Mikä on SSH-avain? – Täydellinen opas aloittelijoille

Kun kirjaudut etäpalvelimelle tai työnnät koodia GitHubiin, jokin pieni mutta tärkeä osa varmistaa, että yhteys on turvallinen etkä joudu huijatuksi. SSH-avain on tuo osa – se on kryptografinen avainpari, joka korvaa perinteisen salasanan.

Protokolla: Secure Shell (SSH) ·
Oletusportti: 22 ·
Avainpari: Julkinen ja yksityinen avain ·
Suositus: Ed25519-avaintyyppi

Viisi keskeistä tietoa SSH-avaimesta, yksi tiivis paketti:

Mikä on SSH-avain?

SSH-avain on kryptografinen todennuskeino, joka perustuu julkisen avaimen kryptografiaan. Siinä missä salasana on muistettava merkkijono, SSH-avain on tiedostopari, joka todistaa henkilöllisyytesi matemaattisesti. Avainpari koostuu julkisesta avaimesta, jonka voit jakaa palvelimille, ja yksityisestä avaimesta, jota et koskaan luovuta kenellekään.

Miten SSH-avain eroaa salasanasta?

• Salasana lähetetään verkossa – SSH-avainta ei koskaan lähetetä, vaan se todistaa omistajuuden allekirjoituksella (Prehost, suomalainen webhotelli)
• Salasana voidaan arvata tai kalastella – yksityistä avainta ei voi päätellä julkisesta avaimesta
• SSH-avain mahdollistaa automaattisen kirjautumisen ilman, että salasanaa tarvitsee tallentaa skripteihin

The pattern: salasana on jotain, jonka tiedät, SSH-avain on jotain, jonka omistat. Jälkimmäinen on huomattavasti vaikeampi varastaa etänä.

Mitä tarkoittaa julkinen ja yksityinen avain?

• Julkinen avain (.pub-tiedosto) – tallennetaan palvelimen ~/.ssh/authorized_keys-tiedostoon (Lenovo, tietotekniikkavalmistaja)
• Yksityinen avain – pidetään omalla koneella, ei koskaan jaeta (CSC Docs, suomalainen tutkimuskeskus)

Kun muodostat yhteyden, palvelin haastaa sinut allekirjoittamaan viestin yksityisellä avaimella. Jos allekirjoitus täsmää julkisen avaimen kanssa, pääset sisään. Mitään salasanaa ei liiku verkossa. Käytännön seuraus: yksityinen avain todistaa henkilöllisyytesi ilman, että se koskaan poistuu koneeltasi.

Miten löydän SSH-avaimeni?

Jos olet koskaan käyttänyt SSH:ta tai Git:iä, sinulla saattaa jo olla SSH-avain tietämättäsi. Näin tarkistat asian.

Tarkista olemassa olevat avaimet komentorivillä

• Avaa pääte (Linux/macOS) tai komentokehote (Windows)
• Listaa avaintiedostot: ls -la ~/.ssh/ (SSL.com, tietoturvayritys)
• Etsi tiedostoja kuten id_rsa, id_ed25519 tai niiden .pub-versioita

Jos kansiossa ei ole tiedostoja, sinulla ei ole SSH-avainta – tai se on tallennettu eri sijaintiin.

Avaimen oletussijainnit (id_rsa, id_ed25519)

• Linux ja macOS: ~/.ssh/id_ed25519 tai ~/.ssh/id_rsa
• Windows: %userprofile%\.ssh\id_ed25519 tai %userprofile%\.ssh\id_rsa
• Julkinen avain on aina samassa kansiossa, päättyen .pub

Windowsissa sijainti on hieman eri, mutta periaate on sama: avaimet löytyvät .ssh-kansiosta käyttäjäprofiilin juuressa.

Miten luon SSH-avaimen?

Avaimen luominen vie alle minuutin, ja se kannattaa tehdä heti. Alla ohjeet kolmelle yleisimmälle käyttöjärjestelmälle.

Avaimen luominen Linuxissa ja macOS:ssä

• Komentorivillä: ssh-keygen -t ed25519 (SSL.com, tietoturvayritys)
• Ohjelma kysyy sijaintia – oletus ~/.ssh/id_ed25519 on hyvä
• Aseta salasana (passphrase) – tärkeä turvallisuuden lisä (SSL.com, tietoturvayritys)
• Julkinen avain löytyy tiedostosta ~/.ssh/id_ed25519.pub

Ed25519 on nykyisin suositeltu avaintyyppi, koska se on nopea ja turvallinen. Jos järjestelmä ei tue sitä, käytä ssh-keygen -t rsa -b 4096.

Avaimen luominen Windowsissa PuTTY:llä

• Lataa ja asenna PuTTY (sisältää PuTTYgen-työkalun)
• Avaa PuTTYgen ja valitse avaintyypiksi Ed25519 tai RSA
• Paina Generate ja liikuttele hiirtä satunnaisuuden tuottamiseksi
• Tallenna yksityinen avain ja kopioi julkinen avain palvelimelle

Windowsin uudemmissa versioissa (Windows 10/11) OpenSSH on sisäänrakennettu – voit käyttää samaa ssh-keygen-komentoa kuin Linuxissa.

Avaimen lisääminen SSH-agenttiin

• Käynnistä SSH-agentti taustalle: eval "$(ssh-agent -s)"
• Lisää avain: ssh-add ~/.ssh/id_ed25519
• Agentti muistaa avaimen istunnon ajan – sinun ei tarvitse kirjoittaa salasanaa joka kerta

Kun avain on agentissa, etäyhteydet ja Git-operaatiot sujuvat ilman toistuvia salasanakyselyjä. Julkinen avain lisätään palvelimen authorized_keys-tiedostoon komennolla ssh-copy-id user@palvelin (YouStable, pilvipalveluntarjoaja). Ongelman ydin: jos et lisää avainta agenttiin, joudut kirjoittamaan salasanan joka kerta, mikä heikentää käyttömukavuutta ja kannustaa oikotiehen.

Mitä joku voi tehdä SSH-avaimellani?

Tämä on se kysymys, joka saa monet hereille öisin. SSH-avain ei ole vain kätevä työkalu – se on pääsylippu järjestelmiisi.

Yksityisen avaimen varastamisen vaarat

• Hyökkääjä voi kirjautua kaikille palvelimille, joissa julkinen avain on käytössä – ilman salasanaa (Prehost, suomalainen webhotelli)
• Avain voidaan varastaa haittaohjelmalla, tietovuodolla tai jos jaat avaimen vahingossa
• Jos avain on tallennettuna versionhallintaan (esim. GitHubiin vahingossa), se on julkinen tieto

Varastettu SSH-avain antaa hyökkääjälle täyden pääsyn – hän voi lukea tietoja, muokata tiedostoja ja jopa poistaa järjestelmiä. Salasanaa ei kysytä toista kertaa. Mikä tästä seuraa: yksi vuotanut avain voi vaarantaa koko infrastruktuurisi kerralla.

Miten suojata SSH-avain?

• Aseta vahva salasana (passphrase) avaimen luonnin yhteydessä (SSL.com, tietoturvayritys)
• Käytä chmod 700 ~/.ssh ja chmod 600 ~/.ssh/id_ed25519 (SSL.com, tietoturvayritys)
• Älä koskaan kopioi yksityistä avainta toiselle laitteelle ilman turvallista siirtoa
• Poista salasanatodennus käytöstä palvelimen sshd_config-tiedostossa: PasswordAuthentication no (Prehost, suomalainen webhotelli)
• Estä pääkäyttäjän (root) kirjautuminen SSH:n kautta (Prehost, suomalainen webhotelli)

Kun salasanatodennus on pois päältä, ainoa tapa päästä palvelimelle on SSH-avain. Tämä nostaa turvallisuustasoa merkittävästi, mutta tekee myös avaimen varastamisesta kriittisen riskin. Käytännön seuraus: avaimesta tulee järjestelmäsi herkin piste – sen suojaaminen on yhtä tärkeää kuin palvelimen palomuurin konfigurointi.

Missä SSH-avaimeni sijaitsee?

Sijainti vaihtelee käyttöjärjestelmän mukaan, mutta perusperiaate on sama kaikilla alustoilla.

Linux- ja macOS-järjestelmät

• Oletussijainti: ~/.ssh/ (eli /home/käyttäjä/.ssh/ tai /Users/käyttäjä/.ssh/)
• Yksityinen avain: ~/.ssh/id_ed25519 tai ~/.ssh/id_rsa
• Julkinen avain: ~/.ssh/id_ed25519.pub tai ~/.ssh/id_rsa.pub
• Luettelo tunnetuista palvelimista: ~/.ssh/known_hosts

Windows-järjestelmät

• Oletussijainti: %userprofile%\.ssh\ (esim. C:\Users\Käyttäjä\.ssh\)
• Jos käytät PuTTY:tä, avaimet voivat olla eri sijainnissa (.ppk-tiedostoina)
• Windowsin OpenSSH käyttää samaa kansiorakennetta kuin Linux

GitHubin SSH-avaimet

• Julkinen avain lisätään GitHubin asetuksista: Settings → SSH and GPG keys → New SSH key
• GitHub käyttää julkista avainta varmistaakseen, että sinä olet se, joka työntää koodia (Lenovo, tietotekniikkavalmistaja)
• Voit lisätä useita julkisia avaimia – yksi per laite

GitHubin tapauksessa SSH-avain toimii samalla periaatteella: palvelin (GitHub) tietää julkisen avaimesi, ja sinä todistat henkilöllisyytesi yksityisellä avaimella. Mikä tästä seuraa: jos GitHub-tilisi hallinnoi useita repositorioita, yksi varastettu avain voi vaarantaa koko projektisi lähdekoodin.

SSH-protokolla mahdollistaa salatun etäyhteyden kahden järjestelmän välillä, ja SSH-avain on se pääsyvaltuus, jolla käyttäjä todistaa henkilöllisyytensä.

– Cloudflare, tietoturvayhtiö

SSH-avain on pääsyvaltuus, jota käytetään SSH-protokollassa. Se koostuu kahdesta osasta: julkisesta avaimesta, joka jaetaan palvelimille, ja yksityisestä avaimesta, joka pidetään salassa.

– Sectigo, tietoturvayritys

SSH-avain on pääsyvaltuus suojattuun etäyhteyteen. Git-kehittäjät käyttävät sitä päivittäin työntäessään koodia GitHubiin ilman, että heidän tarvitsee kirjautua joka kerta.

– Atlassian, ohjelmistoyritys

SSH-avain on yksi tietoturvan kulmakivistä, mutta se on vain niin vahva kuin sen käyttötapa. Kun salasanatodennus poistetaan käytöstä ja avaimet suojataan salasanalla, riski pienenee huomattavasti. Suomalaiselle kehittäjälle tai järjestelmänvalvojalle valinta on selvä: SSH-avain on pakollinen työkalu, mutta sen huolimaton käyttö voi avata oven koko järjestelmään. Joko suojaat avaimesi huolella, tai varaudut ikävään yllätykseen. Ydinviesti: jokaisen SSH-käyttäjän on itse otettava vastuu avaimensa turvallisuudesta – muuten paras tekninen työkalu muuttuu pahimmaksi tietoturvariskiksi.