La plupart des gens ne lancent jamais ce programme volontairement, et presque tout le monde l a utilise aujourd hui.

Un protocole devenu infrastructure

Pousser une modification, deployer un serveur, copier un fichier vers un hote de sauvegarde, lancer une commande sur une machine du batiment voisin: tout passe par un protocole, et la plupart du temps personne ne y pense. C est la marque de l infrastructure. Cela fonctionne, cela reste invisible, et cela se remarque le jour ou cela s arrete.

OpenSSH est la mise en oeuvre que le monde utilise. La description officielle est une liste et non un slogan: les clients ssh, scp et sftp, le service sshd, transport chiffre, tunnels et plusieurs methodes d authentification. Chaque point repond a un besoin precis, et l ensemble tient parce que tout parle le meme protocole.

L entretien vient de developpeurs du projet OpenBSD, ce qui explique une certaine prudence dans la conception. Les fonctions arrivent lentement, les defauts changent rarement, et quand un defaut change il est annonce fort, car le prix d une surprise pour un administrateur se mesure en interruption de service.

Trois clients, un service, plusieurs facons de prouver qui on est

Les clients se distinguent par tache et non par capacite. ssh donne une session interactive ou execute une commande et revient; scp copie des fichiers dans une syntaxe empruntee a l ancien outil du meme usage; sftp offre une session de transfert interactive pour beaucoup de fichiers et de dossiers. Tous trois chevauchent le meme canal chiffre.

Les decisions pratiques se prennent a l authentification. Un mot de passe est simple et faible. Avec des cles, la part privee reste chez le client et la publique chez le service, donc aucun secret ne traverse la ligne et rien ne peut etre devine. Les certificats vont plus loin et laissent une autorite signer des justificatifs de courte duree pour beaucoup de machines, ce qui fait la difference entre gerer des cles a la main et traiter l acces comme une politique.

Les tunnels sont la partie que on decouvre tard et que on ne quitte plus. Une redirection locale pose un service distant sur un port local; une distante fait l inverse; une dynamique transforme la connexion en relais general. Rien de tout cela ne demande quoi que ce soit de plus a l autre bout que le service deja present.

Version et habitudes qui vieillissent bien

La version actuelle est 10.6. Les numeros bougent lentement ici, et chaque sortie retire plutot un ancien algorithme ou resserre un defaut que ajouter une fonction visible. Lire les notes de version ne est donc pas facultatif pour qui gere un serveur, car ce qui casse un script est le plus souvent un retrait.

Deux habitudes tiennent dans le temps. D abord remplacer les cles selon un calendrier plutot qu au premier incident. Ensuite relire la configuration du service apres chaque mise a jour, car des defauts acceptables il y a cinq ans ne sont souvent plus proposes.

La securite d une connexion distante se decide dans les habitudes de la personne qui l a configuree, bien avant le choix d un algorithme.

Notes pratiques: preferer les cles aux mots de passe et garder ces derniers en secours seulement la ou une politique l exige; restreindre les comptes autorises a se connecter plutot que compter sur des mots de passe solides partout; et ecrire dans un fichier de configuration un tunnel utilise chaque jour au lieu de retaper les options, car une redirection mal tapee ouvre une seance de mise au point que personne n aime.