مقدمه

استفاده از SSH Key Authentication یکی از روش‌های امن‌تر برای مدیریت سرورهای لینوکس است و بسیاری از مدیران سیستم برای کاهش ریسک حملات Password Brute Force، ورود با کلید عمومی را جایگزین Password Authentication می‌کنند.

اما همان‌طور که SSH Key می‌تواند امنیت را افزایش دهد، اگر یک کلید ناشناس یا غیرمجاز به سرور اضافه شود، می‌تواند به مهاجم اجازه دسترسی دائمی به سیستم را بدهد.

یکی از روش‌های رایج در حملات پس از دسترسی اولیه، اضافه کردن کلید عمومی مهاجم به فایل:

~/.ssh/authorized_keys

است.

پس از این کار، مهاجم بدون نیاز به دانستن Password و حتی بعد از تغییر رمز عبور User، می‌تواند دوباره از طریق SSH وارد Server شود.

در این مقاله بررسی می‌کنیم:

• SSH Keyها در لینوکس کجا قرار دارند.
• چگونه کلیدهای مشکوک را پیدا کنیم.
• چگونه Fingerprint یک Key را بررسی کنیم.
• چگونه تغییرات غیرمجاز را شناسایی کنیم.
• چگونه Loginهای SSH Key را تحلیل کنیم.
• چگونه دسترسی‌های غیرضروری را حذف کنیم.

SSH Key چگونه کار می‌کند؟

SSH از یک ساختار مبتنی بر:

Private Key
+
Public Key

استفاده می‌کند.

Client دارای Private Key است و Server نسخه Public Key را نگهداری می‌کند.

زمانی که کاربر تلاش می‌کند Login کند:

Client
 |
 | Private Key
 |
 v
SSH Server
 |
 | authorized_keys
 |
 v
Authentication Success

Server بررسی می‌کند آیا Public Key ارائه‌شده توسط Client در لیست کلیدهای مجاز وجود دارد یا خیر.

فایل authorized_keys چیست؟

مهم‌ترین فایل برای SSH Key Authentication:

~/.ssh/authorized_keys

است.

مثلاً برای User:

/home/user/.ssh/authorized_keys

و برای Root:

/root/.ssh/authorized_keys

قرار دارد.

مشاهده:

cat ~/.ssh/authorized_keys

برای Root:

cat /root/.ssh/authorized_keys

نمونه محتوا:

ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIG.... admin@laptop

هر خط معمولاً یک Public Key مستقل است.

مسیرهای مهم SSH Key در لینوکس

مهم‌ترین مسیرها:

/root/.ssh/
/home/*/.ssh/
/etc/ssh/
/etc/ssh/sshd_config

بررسی:

ls -la /root/.ssh/

و:

find /home -name authorized_keys

پیدا کردن تمام authorized_keysهای سیستم

برای پیدا کردن کلیدهای کاربران:

find /home /root -name authorized_keys 2>/dev/null

نمونه خروجی:

/root/.ssh/authorized_keys
/home/admin/.ssh/authorized_keys
/home/deploy/.ssh/authorized_keys

در بررسی امنیتی، تمام این فایل‌ها باید بررسی شوند.

بررسی محتوای تمام SSH Keyها

برای مشاهده همه کلیدها:

find /home /root -name authorized_keys \
-exec echo {} \; \
-exec cat {} \;

نمونه:

/root/.ssh/authorized_keys

ssh-rsa AAAAB3.... root@server

/home/admin/.ssh/authorized_keys

ssh-ed25519 AAAAC3.... admin@workstation

ساختار یک SSH Public Key

یک Key معمولاً شامل سه بخش است:

Algorithm
Public Key Data
Comment

مثال:

ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIG.... user@device

بخش Comment:

user@device

توسط کاربر ایجاد می‌شود و قابل اعتماد کامل نیست.

مهاجم نیز می‌تواند Comment دلخواه قرار دهد.

شناسایی SSH Key ناشناس

وجود یک Key ناشناس همیشه به معنی حمله نیست.

اما موارد زیر مشکوک هستند:

• Key متعلق به User ناشناس باشد.
• Comment نامعتبر داشته باشد.
• زمان اضافه شدن مشخص نباشد.
• صاحب Key سازمان یا تیم نباشد.
• Fingerprint آن در لیست مجاز وجود نداشته باشد.

مثلاً:

ssh-rsa AAAAB3.... backup@unknown

اگر چنین کاربری وجود ندارد، باید بررسی شود.

بررسی مالک فایل authorized_keys

Permissions و Owner اهمیت زیادی دارند.

بررسی:

ls -la ~/.ssh/

نمونه صحیح:

drwx------ user user .ssh

-rw------- user user authorized_keys

بررسی Root:

ls -la /root/.ssh/

Permissionهای مناسب SSH Key

معمولاً:

Directory:

chmod 700 ~/.ssh

File:

chmod 600 ~/.ssh/authorized_keys

بررسی:

stat ~/.ssh/authorized_keys

اگر افراد دیگر بتوانند فایل را تغییر دهند، امکان اضافه کردن Key غیرمجاز وجود دارد.

پیدا کردن فایل‌های اخیراً تغییر کرده

یکی از روش‌های شناسایی Persistence بررسی زمان تغییر فایل‌ها است.

مثلاً فایل‌هایی که در ۷ روز گذشته تغییر کرده‌اند:

find /root /home \
-name authorized_keys \
-mtime -7 \
-ls

نمونه:

/root/.ssh/authorized_keys
Modify: Sep 26 03:21

اگر این تغییر با فعالیت مدیریتی هماهنگ نیست، نیاز به بررسی دارد.

بررسی Timestamp فایل

جزئیات:

stat /root/.ssh/authorized_keys

نمونه:

Access:
2026-09-26 03:21

Modify:
2026-09-26 03:21

Change:
2026-09-26 03:21

این زمان را می‌توان با SSH Login Logها مقایسه کرد.

بررسی Loginهای SSH با Key

برای مشاهده Loginهای موفق:

Ubuntu / Debian:

grep "Accepted publickey" /var/log/auth.log

AlmaLinux / Rocky:

grep "Accepted publickey" /var/log/secure

نمونه:

Accepted publickey for root from 203.0.113.50 port 53221 ssh2

اطلاعات مهم:

User
Source IP
Time
Authentication Method

بررسی Fingerprint یک SSH Key

برای اینکه یک Key را شناسایی کنیم:

ssh-keygen -lf ~/.ssh/authorized_keys

نمونه:

256 SHA256:abc123.... user@host (ED25519)

Fingerprint مانند Hash شناسه کلید است.

می‌توان آن را با Fingerprintهای ثبت‌شده مقایسه کرد.

استخراج Fingerprint از کلید خاص

مثلاً:

ssh-keygen -lf /root/.ssh/authorized_keys

برای Keyهای RSA:

ssh-keygen -lf keyfile -E sha256

مقایسه Keyهای فعلی با لیست مجاز

در محیط‌های سازمانی بهتر است Fingerprintهای مجاز نگهداری شوند.

مثلاً:

SHA256:abc123
SHA256:def456
SHA256:xyz789

سپس:

ssh-keygen -lf /root/.ssh/authorized_keys

با لیست مورد انتظار مقایسه شود.

پیدا کردن SSH Keyهای موجود در کل سیستم

گاهی مهاجم فقط authorized_keys را تغییر نمی‌دهد و Keyهای خود را در مسیرهای دیگر قرار می‌دهد.

جستجو:

find / -name "*.pub" 2>/dev/null

یا:

find / -name "id_rsa*" 2>/dev/null

مسیرهای مهم:

/root/.ssh/
/home/*/.ssh/
/tmp/
/var/tmp/

بررسی SSH Host Keyها

SSH Host Key با User Public Key متفاوت است.

Host Keyها برای شناسایی خود Server استفاده می‌شوند.

مسیر:

/etc/ssh/ssh_host_*

مشاهده:

ls -la /etc/ssh/ssh_host_*

Fingerprint:

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub

تغییر غیرمنتظره Host Key می‌تواند باعث هشدار Clientها شود و نیاز به بررسی دارد.

بررسی کلیدهای فعال SSH در Sessionها

مشاهده Sessionهای SSH:

who

یا:

w

نمونه:

root pts/0 203.0.113.50

بررسی Connectionها:

ss -tnp | grep ssh

یا:

ss -tnp | grep sshd

بررسی Userهایی که SSH دارند

همه Userها نباید SSH Access داشته باشند.

لیست Userها:

cat /etc/passwd

بررسی Shell:

cat /etc/passwd | grep -v nologin

Userهایی که Shell فعال دارند می‌توانند گزینه Login باشند.

بررسی SSH Configuration

فایل:

/etc/ssh/sshd_config

را بررسی کنید.

موارد مهم:

PermitRootLogin
PasswordAuthentication
PubkeyAuthentication
AllowUsers
AllowGroups

مشاهده تنظیمات واقعی:

sshd -T

بررسی فعال بودن Public Key Authentication

sshd -T | grep pubkeyauthentication

نمونه:

pubkeyauthentication yes

بررسی Root Login با Key

sshd -T | grep permitrootlogin

مقادیر رایج:

yes
prohibit-password
no

اگر Root Login فعال است، باید بررسی شود که آیا استفاده از آن ضروری است یا خیر.

بررسی Logهای تغییر SSH Key

اگر Audit فعال باشد، می‌توان تغییرات فایل را بررسی کرد.

مثلاً با Auditd:

نصب:

apt install auditd

ایجاد Rule:

auditctl -w /root/.ssh/authorized_keys -p wa

مشاهده:

ausearch -f /root/.ssh/authorized_keys

این کار می‌تواند مشخص کند چه Process یا Userای فایل را تغییر داده است.

بررسی SSH Keyهای اضافه‌شده توسط مهاجم

یکی از الگوهای رایج Persistence:

Initial Access
       |
       v
Privilege Access
       |
       v
Add Public Key
       |
       v
Future SSH Access

نشانه‌ها:

• Key جدید بدون توضیح
• تغییر ناگهانی authorized_keys
• Login موفق از IP ناشناس
• User جدید
• تغییر Permissionها

بررسی Userهای جدید

مهاجم ممکن است علاوه بر Key، User ایجاد کند.

بررسی:

cat /etc/passwd

یا:

getent passwd

بررسی آخرین تغییرات:

last

حذف SSH Key مشکوک

قبل از حذف، بهتر است Evidence نگهداری شود.

Backup:

cp ~/.ssh/authorized_keys \
~/authorized_keys.backup

ویرایش:

nano ~/.ssh/authorized_keys

خط مشکوک را حذف کنید.

سپس Permission:

chmod 600 ~/.ssh/authorized_keys

غیرفعال کردن یک Key بدون حذف

می‌توان در ابتدای خط Key عبارت:

from=

یا:

no-pty

قرار داد.

اما برای حذف کامل دسترسی، حذف Key روش ساده‌تر است.

محدود کردن SSH Key

SSH اجازه محدود کردن قابلیت‌های یک Key را می‌دهد.

مثال:

command="/usr/bin/backup.sh",no-agent-forwarding,no-port-forwarding ssh-ed25519 AAA...

این روش برای Automation و Backup Accountها مفید است.

بررسی SSH Key در سرورهای متعدد

در محیط‌های بزرگ، بررسی دستی کافی نیست.

روش‌های رایج:

• Ansible
• SIEM
• EDR
• Configuration Management
• Auditd

برای مقایسه State مورد انتظار با وضعیت واقعی استفاده می‌شوند.

Workflow عملی بررسی SSH Key مشکوک

مرحله اول: پیدا کردن Keyها

find /home /root -name authorized_keys

مرحله دوم: مشاهده محتوا

cat ~/.ssh/authorized_keys

مرحله سوم: بررسی Fingerprint

ssh-keygen -lf ~/.ssh/authorized_keys

مرحله چهارم: بررسی Timestamp

stat ~/.ssh/authorized_keys

مرحله پنجم: بررسی Loginها

grep "Accepted publickey" /var/log/auth.log

مرحله ششم: بررسی Sessionهای فعال

who

ss -tnp | grep ssh

مرحله هفتم: بررسی تغییرات فایل

ausearch -f ~/.ssh/authorized_keys

اشتباهات رایج

• اعتماد کردن به Comment داخل SSH Key
• بررسی نکردن Fingerprint
• بررسی نکردن Timestamp
• حذف Key بدون Backup
• بررسی نکردن Loginهای موفق
• فراموش کردن Userهای غیر Root
• بررسی نکردن Permission فایل
• بررسی نکردن تغییرات Host Key
• فعال گذاشتن Root Login بدون نیاز
• نگهداری Keyهای قدیمی کاربران خارج‌شده
• استفاده از یک Key مشترک برای چند نفر

بهترین روش‌ها

برای مدیریت امن SSH Key:

• برای هر User یک Key اختصاصی داشته باشید.
• Fingerprint کلیدها را ثبت کنید.
• Keyهای کاربران خارج‌شده را حذف کنید.
• Permission مناسب روی .ssh و authorized_keys تنظیم کنید.
• Root Login را محدود کنید.
• از Keyهای کوتاه‌عمر یا مدیریت‌شده استفاده کنید.
• تغییرات SSH Key را Audit کنید.
• Loginهای Public Key را مانیتور کنید.
• دسترسی SSH را محدود کنید.
• لیست Keyهای مجاز را مستند کنید.

چک‌لیست

برای بررسی SSH Keyهای مشکوک:

• مسیرهای SSH Key بررسی شده‌اند.
• تمام authorized_keysها پیدا شده‌اند.
• Owner فایل‌ها بررسی شده است.
• Permissionها بررسی شده‌اند.
• Fingerprint کلیدها استخراج شده است.
• کلیدهای ناشناس شناسایی شده‌اند.
• Timestamp فایل‌ها بررسی شده است.
• Loginهای Accepted publickey بررسی شده‌اند.
• Source IPهای Login بررسی شده‌اند.
• Sessionهای فعال بررسی شده‌اند.
• Host Keyها بررسی شده‌اند.
• SSH Configuration بررسی شده است.
• Root Login بررسی شده است.
• Auditd برای تغییرات حساس بررسی شده است.
• Backup قبل از حذف گرفته شده است.
• Keyهای غیرمجاز حذف شده‌اند.

مطالعات بیشتر

OpenSSH Manual – sshd_config
مرجع رسمی تنظیمات SSH Server مانند PermitRootLogin، PasswordAuthentication، PubkeyAuthentication و محدودیت‌های دسترسی.
https://man7.org/linux/man-pages/man5/sshd_config.5.html?utm_source=maral.cloud

OpenSSH Manual – ssh-keygen
مرجع رسمی ساخت، بررسی و مدیریت Fingerprint کلیدهای SSH.
https://man7.org/linux/man-pages/man1/ssh-keygen.1.html?utm_source=maral.cloud

OpenSSH Official Documentation
مستندات رسمی OpenSSH برای Authentication و مدیریت کلیدها.
https://www.openssh.com/manual.html?utm_source=maral.cloud

Linux Audit Framework Documentation
مستندات Audit برای ثبت تغییرات فایل‌های حساس مانند authorized_keys.
https://linux-audit.com/?utm_source=maral.cloud

جمع‌بندی

SSH Key یکی از مهم‌ترین روش‌های Authentication در سرورهای لینوکس است، اما همان چیزی که امنیت را افزایش می‌دهد، در صورت مدیریت اشتباه می‌تواند به یک مسیر Persistence برای مهاجم تبدیل شود.

مهم‌ترین فایل برای بررسی:

~/.ssh/authorized_keys

است.

برای تحلیل یک Key مشکوک باید موارد زیر بررسی شوند:

مالک Key
+
Fingerprint
+
Timestamp تغییر
+
Permission فایل
+
Loginهای SSH
+
Source IP
+
فعالیت بعد از Login

وجود یک SSH Key ناشناس به‌تنهایی اثبات نفوذ نیست، زیرا ممکن است مربوط به یک کاربر، ابزار Automation یا سیستم مدیریت داخلی باشد.

اما ترکیب موارد زیر باید بررسی فوری شود:

New authorized_keys entry
+
Unknown Fingerprint
+
Unknown Source IP
+
Successful publickey login
+
Privilege Account

برای جلوگیری از سوءاستفاده:

• Keyهای کاربران را مدیریت کنید.
• دسترسی Root را محدود کنید.
• تغییرات SSH را Audit کنید.
• Fingerprintهای مجاز را ثبت کنید.
• Loginهای SSH را مانیتور کنید.

امنیت SSH فقط با استفاده از Key ایجاد نمی‌شود؛ مدیریت چرخه عمر کلیدها، کنترل دسترسی و بررسی مداوم فعالیت‌ها بخش اصلی امنیت این سرویس هستند.

کیان پور