Voir la source de OpenSSH

{{ébauche|logiciel libre|sécurité informatique}}
{{Infobox Logiciel
 | couleur boîte            = <!-- pour adapter la couleur de la boîte au logo -->
 | nom                      = OpenSSH
 | logo                     = Openssh.gif
 | image                    = 
 | légende                  = 
 | développeur              = Projet [[OpenBSD]]
 | date de première version = {{1er}} décembre 1995
 | dernière version         = <!-- Utilisation du modèle « Modèle:Dernière version stable/OpenSSH » -->
 | date de dernière version = <!-- idem -->
 | version avancée          = 
 | état                     = Actif
 | date de version avancée  = 
 | langage de programmation = 
 | environnement            = [[Multi-plateforme]]
 | langues                  = 
 | type                     = Accès distant au [[Shell (informatique)|Shell]] [[Secure Shell|(SSH)]] et [[transfert de fichiers]] sécurisés
 | licence                  = [[Licence BSD|Licence BSD Modifiée]]
 | site web                 = {{URL|http://www.openssh.org/}}
}}

'''OpenSSH''' ('''[[OpenBSD]] [[Secure Shell]]''') est un ensemble d'outils informatiques [[Logiciel libre|libres]] permettant des communications sécurisées sur un [[réseau informatique]] en utilisant le [[Protocole informatique|protocole]] [[Secure Shell|SSH]].

== Historique ==
Créé comme alternative open source à la [[suite logicielle]] proposée par la société [[SSH Communications Security]], OpenSSH est développé depuis 1999 par l'équipe d'[[OpenBSD]], dirigée par son fondateur, [[Theo de Raadt]], et diffusé sous [[licence BSD]].

== Présentation technique ==
OpenSSH est à la fois une brique logicielle du système [[OpenBSD]]<ref>{{en}} [http://lists.mindrot.org/pipermail/openssh-unix-announce/2011-February/000103.html OpenSSH 5.8] réalisé le 3 février 2011.</ref> et l'implémentation SSH la plus utilisée sur les systèmes [[Berkeley Software Distribution|BSD]] et [[GNU/Linux]]. L'équipe du projet OpenSSH maintient une version de base, propre à [[OpenBSD]] et une version multi-plateforme sous l'appellation '''Portable OpenSSH'''<ref>{{en}} [http://lists.mindrot.org/pipermail/openssh-unix-announce/2011-May/000105.html Portable OpenSSH 5.8p2] réalisé le 3 mai 2011.</ref> à destination des systèmes compatibles (autres [[Berkeley Software Distribution|BSD]], systèmes [[GNU/Linux]]...). Les versions multi-plateforme sont estampillées d'un '''p''' comme portable : par exemple OpenSSH 5.0'''p'''1.

La suite logicielle OpenSSH inclut les outils suivants :
* ''ssh'', un remplaçant pour les clients [[rlogin]] et [[telnet]] :
:<code>ssh utilisateur@exemple.com</code>
* ''scp'', un remplaçant pour le client [[rcp (Unix)|rcp]] :
:<code>scp utilisateur@exemple.com:~/utilisateur .</code>
* ''sftp'', un remplaçant pour le client [[File Transfer Protocol|ftp]] :
: <code>sftp utilisateur@exemple.com</code>
* ''sshd'', le [[Daemon (informatique)|daemon]] SSH :
:<code>sshd</code>
* ''sftp-server'', le [[Daemon (informatique)|daemon]] remplaçant le serveur [[File Transfer Protocol|FTP]]. ''sftp-server'' est un sous-système lancé par ''sshd'' quand celui-ci reçoit une demande de connexion d'un client ''sftp''.
:<code>sftp-server</code>
* {{Lien|trad=ssh-keygen|lang=en|fr=ssh-keygen|texte=''ssh-keygen''}}, programme de génération, gestion et conversion des clés [[Chiffrement RSA|RSA]], [[Digital Signature Algorithm|DSA]] et [[Elliptic curve digital signature algorithm|DSA basées sur les courbes elliptiques]]. Par défaut, la clé privée générée par ''ssh-keygen'' est un [[fichier texte]] sans extension (dont l'utilisation peut être protégé par une [[phrase secrète]]) et la clé publique associée est un fichier texte d'extension ''.pub''. Ces paires de clés servent soit à l'authentification des hôtes (attribut ''HostKey'' du serveur ''sshd'') soit à l'authentification des utilisateurs (attribut ''IdentityFile'' du client ''ssh''). 
:<code>keygen -t ecdsa -b 384 -f .ssh/maclé -C commentaire</code>
* ''[[ssh-agent]]'', agent d'authentification.
* ''ssh-add'', agent de gestion des clés privées de l'utilisateur. ''ssh-agent'' et ''ssh-add'' font office de trousseau de clés.
* ''ssh-keyscan'', utilitaire de récupération et vérification des clés publiques d'hôtes distants.
* ''ssh-keysign'', Agent d'authentification servant si l'option ''HostbasedAuthentication'' est activée sur le serveur (option désactivée par défaut).
* ''ssh-copy-id'', utilitaire servant à déposer sa clé publique sur un serveur distant.

OpenSSH utilise la [[cryptographie asymétrique]] comme mécanisme d'authentification. À ce titre, OpenSSH gère les [[Chiffrement RSA|clés RSA]], les [[Digital Signature Algorithm|clés DSA]] et les [[Elliptic curve digital signature algorithm|clés DSA basées sur les courbes elliptiques]]. OpenSSH reconnaît aussi les certificats [[X 509|X509]] et les fichiers au format [[PKCS12|PKCS#12]]. 

Le modèle de sécurité d'OpenSSH n'utilise pas d'[[Infrastructure à clés publiques|IGC]] mais préfère la méthode du {{Lien|lang=en|fr=Trust on first use}} ; avec cette méthode, chaque nouvelle connexion à un serveur SSH jusque là inconnu du client nécessite l'approbation de l'utilisateur. Si l'utilisateur accepte la clé publique que lui présente ce serveur SSH (soit sans vérification ce qui n'est pas souhaitable, soit après vérification de l'empreinte de la clé publique que l'utilisateur aura obtenu auparavant) le client ''ssh'' poursuivra les autres étapes de la connexion SSH pendant que l'utilitaire ''ssh-keyscan'' enregistrera la clé publique de l'hôte dans un fichier nommé ''known_hosts''. Le fichier ''known_hosts'' conserve l'ensemble des clés publiques associées aux hôtes (serveurs SSH) qui ont été approuvées. Pour toute nouvelle connexion auprès d'un hôte (serveur SSH) connu, l'utilitaire ''ssh-keyscan'' va comparer l'empreinte de la clé publique que lui soumet le serveur avec celle qu'il a précédemment enregistrée dans le fichier ''known_hosts''.

== Vunérabilités ==
Le 29 mars 2024, une grave {{Lien|trad=Supply chain attack|fr=Attaque de la chaîne logistique}} de [[XZ Utils]], visant par rebond le serveur OpenSSH a été détectée. Le code d'OpenSSH n'est pas directement en cause, c'est son association à liblzma via [[Systemd|libsystemd]] qui ouvre la faille.

== Notes et références ==
{{références|colonnes=1}}

== Annexes ==
{{autres projets|commons=Category:OpenSSH}}

== Articles connexes ==
* [[Secure Shell]], le protocole sécurisé sous-jacent ;
* [[SSH File Transfer Protocol]] (soit ''SSH FTP''), transfert de fichiers à travers SSH ;
* [[Secure shell file system|Sshfs]], partage d'un [[système de fichiers]] de manière sécurisée en utilisant le protocole [[Secure shell|SSH]] ;
* [[Dropbear]] un client/serveur SSH léger et alternatif à OpenSSH ;
* [[File Transfer Protocol Secure|FTPS]] client/serveur FTP sur [[Transport Layer Security|TLS]].

== Liens externes ==
* {{en}} [http://www.openssh.com/ Site officiel d'OpenSSH]
* {{en}} [http://sshwindows.sourceforge.net/ OpenSSH for Windows]
* {{en}} [http://www.openssh.com/portable.html Portable releases]
* {{fr}} [http://virologie.free.fr/documents/openSSH/ssh_installation.html Une introduction à OpenSSH] : Introduction, explications pour l'installation, la configuration et quelques exemples d'applications d'OpenSSH.
* {{en}} [http://www.gooze.eu/howto/using-openssh-with-smartcards Using OpenSSH with smartcards] : Utilisation de [[Carte à puce|cartes à puce]] pour sécuriser OpenSSH.
* {{fr}} [http://www.ssi.gouv.fr/IMG/pdf/NP_OpenSSH_NoteTech.pdf Recommandations ANSSI pour OpenSSH] : Note technique - Recommandations pour un usage sécurisé d’(Open)SSH.

{{Palette|Logiciels de cryptographie}}
{{Portail|sécurité informatique|logiciels libres|informatique|cryptologie}}

[[Catégorie:Logiciel d'administration sécurisée à distance]]
[[Catégorie:Algorithme de cryptographie asymétrique]]
[[Catégorie:OpenBSD]]
[[Catégorie:Logiciel libre de sécurité informatique]]