Face à un VPS exposé sur Internet, scruté en permanence par des robots qui testent des milliers de combinaisons de mots de passe par minute, la question n'est pas de savoir si une attaque par force brute aura lieu, mais quand. La différence entre un serveur compromis et un serveur qui résiste tient souvent à un seul choix : mot de passe, ou clé SSH.
Comment fonctionne une authentification par mot de passe
Avec un mot de passe, la sécurité repose entièrement sur sa complexité et sur le nombre de tentatives autorisées avant blocage. Un mot de passe, même long, reste un secret unique : s'il est intercepté, deviné, ou retrouvé dans une fuite de données ailleurs sur Internet (une pratique malheureusement fréquente de réutilisation), l'accès au serveur est immédiatement compromis.
Comment fonctionne une paire de clés SSH
Une clé SSH repose sur un principe différent, la cryptographie asymétrique : une paire de clés mathématiquement liées est générée, l'une privée (gardée secrète sur votre ordinateur), l'autre publique (déposée sur le serveur). Lors de la connexion, le serveur envoie un défi chiffré que seule la clé privée correspondante peut résoudre, sans jamais que cette clé privée ne transite elle-même sur le réseau.
Pourquoi la clé résiste là où le mot de passe cède
Une attaque par force brute consiste à essayer des combinaisons jusqu'à trouver la bonne. Contre un mot de passe, même complexe, ce nombre de combinaisons reste théoriquement fini et atteignable avec suffisamment de temps et de puissance de calcul. Contre une clé SSH de taille standard actuelle, ce nombre de combinaisons possibles est si astronomiquement élevé qu'aucune attaque par force brute réaliste ne peut y parvenir dans un délai humainement significatif.
Générer et installer sa clé en pratique
La commande ssh-keygen, disponible nativement sur macOS et Linux (et via les outils modernes sous Windows), génère la paire de clés en quelques secondes. La clé publique est ensuite copiée sur le serveur, dans le fichier authorized_keys de l'utilisateur concerné, ce qui l'autorise définitivement à se connecter via cette clé.
Que faire en cas de perte de sa clé privée
Contrairement à un mot de passe oublié, qui se réinitialise généralement en quelques clics, la perte d'une clé privée sans aucune sauvegarde pose un problème plus sérieux : si c'était la seule méthode d'authentification configurée sur le serveur, l'accès devient impossible par SSH. C'est pourquoi il reste recommandé de conserver un accès de secours, par exemple via la console web fournie par l'hébergeur en complément de l'accès SSH, qui permet de reconfigurer une nouvelle clé en cas de perte totale de l'ancienne. Sauvegarder une copie chiffrée de sa clé privée dans un gestionnaire de mots de passe sécurisé évite également de se retrouver dans cette situation délicate après un simple changement ou une panne d'ordinateur.
Les standards actuels recommandent une taille de clé suffisamment robuste pour résister à l'état de l'art du calcul, les anciennes recommandations plus courtes ayant progressivement été abandonnées à mesure que la puissance de calcul disponible augmentait. Un outil de génération de clé à jour applique généralement une taille sécurisée par défaut, sans nécessiter de choix technique complexe de la part de l'utilisateur. La véritable question à se poser reste moins la taille exacte de la clé, suffisamment robuste dans tous les cas avec un outil récent, que la protection de la clé privée elle-même une fois générée : une clé cryptographiquement parfaite mais stockée sans aucune protection sur un ordinateur partagé perd une grande partie de son intérêt pratique en matière de sécurité réelle. C'est pourquoi la combinaison d'une clé moderne et d'une phrase secrète solide protégeant son usage reste plus déterminante, dans la pratique, que le débat théorique sur la taille exacte de la clé générée.
Dois-je protéger ma clé privée par une phrase secrète supplémentaire ?
C'est fortement recommandé : cette phrase ajoute une protection supplémentaire si votre clé privée venait à être copiée sans votre accord, par exemple en cas de vol de votre ordinateur.
Puis-je utiliser la même clé pour me connecter à plusieurs serveurs ?
Oui techniquement, mais utiliser une clé distincte par serveur ou par contexte limite l'impact si l'une d'elles venait à être compromise un jour.
Faut-il désactiver complètement le mot de passe après avoir configuré une clé ?
C'est la pratique recommandée une fois la connexion par clé testée et confirmée fonctionnelle : désactiver l'authentification par mot de passe élimine purement et simplement la surface d'attaque la plus exploitée.
Sur nos VPS Linux et offres VPS, la configuration d'une authentification par clé SSH peut être mise en place dès l'activation de votre serveur. Pour un accompagnement sur cette sécurisation, contactez le support VSP TECH.
