[Git] SSH 공개키 만들기 / Credential 인증 시스템

Credential 저장소 / HTTPS 프로토콜

---

Git 리모트 저장소와 통신할 때 사용하는 프로토콜은 Git(기본 프로토콜), SSH, HTTPS 방식이 있다. Git 기본 프로토콜은 인증 기능이 미약하여 거의 사용하지 않고, 주로 SSH나 HTTPS를 사용한다.

 

HTTPS 프로토콜을 사용하면 매번 사용자 이름과 암호를 입력해야하는 번거로움이 있는데 Git은 이를 위해 인증 정보를 저장해두고 자동으로 입력해주는 Credential 시스템을 제공한다. Credential 기능에서 제공하는 옵션은 아래 3가지가 있다.

 

1. cache 모드 : 인증정보를 메모리에 임시 저장(기본 15분)
2. store 모드 : 인증 정보를 텍스트 파일로 Disk에 저장. 사용자 홈 디렉토리에 일반 텍스트 파일로 저장되므로 인증 정보 노출 위험 존재한다.
3. osxkeychain 모드(macOS 전용) : 인증 정보를 맥의 키체인에 저장. 암호화돼서 저장되므로 안전하다.

 

💡 macOS는 기본적으로 osxkeychain 모드로 설정되어 있어서 따로 설정하지 않아도 된다.

 

터미널에서 아래 명령어를 입력하면 macOS의 키체인에 인증 정보를 보관하고 사용하게 된다. 그럼 최초 인증시에만 아이디와 패스워드를 입력하면 입력한 정보가 키체인에 보관된다. 이후부턴 이 키체인 정보를 사용해 자동으로 인증된다.

# osxkeychain 헬퍼를 인증 처리에 사용하도록 설정
git config --global credential.helper osxkeychain

 

Git의 global configuration 목록을 확인해보면 credential.helper=osxkeychain 항목이 추가된걸 확인할 수 있다.

# List only global configuration entries
git config --list --global

 

 

키체인 앱에서 github.com을 검색해서 자동으로 등록된 인증 정보를 확인할 수도 있다.

 

 

SSH 프로토콜

---

💡 SSH 공개키를 만들어서 등록해두면 깃헙 리모트 저장소와 통신할 때 HTTPS 프로토콜 인증 방식은 사용하지 않아도 된다.

 

배경 지식

아래처럼 SSH 방식으로 깃헙 저장소를 Clone하려면 SSH 공개키를 만들어서 GitHub에 등록해야 한다.

 

 

SSH(Secure Shell)는 원격지 호스트 컴퓨터에 접속하기 위해 사용하는 인터넷 프로토콜이다. 이름에서도 알 수 있듯 안전한(보안) Shell이다. 암호화 기법을 사용하므로 통신이 노출돼도 암호화된 문자로만 보인다. SSH는 주로 공개키 인증 방식을 사용한다.

 

💡 공개키는 이름처럼 어디에든 공개돼도 상관없다. 개인키는 비밀번호처럼 자신만 접근할 수 있도록 안전하게 보관해야 한다. 개인키가 있으면 공개키를 등록해놓은 SSH 서버나 Git 서버에 접근할 수 있기 때문이다.

 

공개키 인증 방식을 사용하려면 공개키와 개인키 한 쌍을 만들어야 한다. 공개키는 접속하려는 서버에 등록해놓는 용도로 사용한다. ➊사용자가 개인키를 이용해 SSH에 접속하고, ➋연결 요청을 받은 SSH 서버는 등록된 공개키 중 요청받은 개인키 정보와 매칭하는 공개키가 있는지 찾는다. ➌없으면 서버 접속(인증)은 실패하고, 있다면 인증을 성공하여 서버에 접속된다.

 

SSH 생성 여부 확인

SSH 키를 만들기 전에 기존에 생성한 키가 있는지 확인해본다. 기존에 생성한 키가 있는 상태에서 키를 또 발급하면 기존 키가 덮어씌워지므로 주의한다.

ls -al ~/.ssh

 

아래 파일쌍이 있다면 이미 키를 생성한적이 있는 것이다. Key 암호화 방식은 DSA, RSA, ECDSA, Ed25519 등이 있는데 주로 Ed25519를 추천한다(참고글)

 

• id_ed25519 (개인키) id_ed25519.pub (공개키)
• id_rsa (개인키) id_rsa.pub (공개키)

 

SSH Key 생성

💡 1Password 8에 추가된 SSH & Git 관리 기능을 사용하면 SSH 개인키를 로컬에 저장하지 않고도 SSH 인증을 할 수 있고,  ~/.ssh/config 파일에 일일이 SSH 키 경로를 명시하지 않아도 된다. 1Password에서 생성한 SSH 키는 공개키와 핑거 프린트를 함께 생성하기 때문에 GitHub 같은 서비스에서 공개키 자동완성 기능도 사용할 수 있다. 자세한 내용은 노트 링크 참고.

 

❶ 유닉스 계열인 macOS는 OpenSSH를 기본으로 포함하고 있으므로 ssh-keygen으로 간단하게 생성할 수 있다. -C 옵션(생성된 키에 주석 추가)의 email@example.com 엔 자신의 이메일로 변경한다. -t 옵션으로 특정 타입의 암호화 방식을 지정할 수 있다. -t 옵션이 없으면 RSA Key를 생성한다.

ssh-keygen -t ed25519 -C "email@example.com"

 

❷ 1번 명령어를 입력하면 저장 위치를 물어본다. 엔터를 누르면 기본 경로(~/.ssh)에 저장된다.

 

❸ 그 다음 SSH 개인키에 대한 비밀번호(Passphrase) 지정 여부를 물어본다. 엔터를 누르면 패스워드 없이 사용한다. Github에선 Passphrase 설정을 권장하므로 왠만하면 지정해준다.

 

❹ Key가 잘 생성됐는지 확인하기 위해 공개키, 개인키를 출력해본다

cat ~/.ssh/id_ed25519 # 개인키 출력
cat ~/.ssh/id_ed25519.pub # 공개키 출력

 

Github 계정에 공개키 등록

❶ 먼저 공개키를 클립보드에 복사해둔다

pbcopy < ~/.ssh/id_ed25519.pub

 

❷ Github 접속 → Settings → SSH and GPG keys → New SSH Key 버튼 클릭 후 공개키 등록

 

• Title 필드 : 등록하려는 키 이름 임의 입력
• Key 필드 : 복사한 공개키 붙여넣기

 

❸ SSH 공개키 등록 후 github.com/username.keys 주소로 접속하면 해당 username이 등록한 공개키를 확인할 수 있다. 아래는 비탈린 부테린의 공개키다.

 

SSH 접속 테스트

❶ 아래 명령어로 GitHub 접속 테스트를 해본다. SSH 패스워드를 입력하고 You've successfully... 메시지가 나오면 연결 성공

ssh -T git@github.com
# Enter passphrase for key '...':
# ...You've successfully authenticated, but GitHub does not provide shell access.

 

❷ SSH 프로토콜로 Git 저장소 복제 테스트를 해본다. git clone 명령어 뒤에 SSH 형식의 저장소 주소를 입력한다. SSH 패스워드를 입력 후 Git 저장소가 로컬에 클론됐다면 성공

 

 

git clone git@github.com:prettier/prettier.git
# Cloning into 'prettier/prettier'...
# Enter passphrase for key '...':

 

SSH 패스워드 입력 생략하기

매번 SSH 패스워드(Passphrase)를 입력하려면 번거롭다. ssh-agent 혹은 macOS 키체인에 패스워드를 저장해두는 방법으로 번거로움을 해소할 수 있다.

 

SSH Agent에 SSH 패스워드 등록

ssh-agent는 터미널 세션당 1번만 암호를 입력해두면 백그라운드에서 자격 증명을 유지시켜 주는 데몬이다. 처음 에이전트에 추가할 때 입력한 암호가 저장되고 그 후부턴 입력하지 않아도 된다.

 

ssh-agent 실행

eval $(ssh-agent)

 

ssh-agent에 키 등록. 이때 SSH 패스워드(passphrase)를 입력해야 한다

ssh-add ~/.ssh/id_ed25519
# Enter passphrase for key ...
# Identity added: ...

 

ssh-agent에 등록된 키 확인 (현재 로드된 키의 핑거 프린트 리스트 확인)

ssh-add -l
# 256 SHA256:JfXX05P...

 

키체인에 SSH 패스워드 등록 (추천) ⭐️

💡 Oh My Zsh에서 제공하는 ssh-agent 플러그인을 사용하면 ssh-agent를 자동으로 시작하고 지정한 자격 증명을 로드할 수 있다. 플러그인 추가는 ~/.zshrc 파일의 plugins 배열에 ssh-agent를 추가하면 된다. 더 자세한 설정 방법은 노트 참고.

 

❶ ssh-add의 -K 옵션 사용 방법

ssh-add 명령어로 개인키 등록 시 -K 옵션을 추가하면 SSH 패스워드(passphrase)를 키체인에 저장해두고 사용할 수 있다. 처음 한 번만 패스워드를 입력하면 키체인에 자동 저장되고, 다시 물어보지 않는다.

ssh-add -K ~/.ssh/id_ed25519
# Enter passphrase for key ...
# Identity added: ...

 

❷ config 파일 편집 방법 ⭐️

AddKeysToAgent 옵션은 개인키를 사용한 시점에 해당 키를 에이전트(ssh-agent)에 추가한다. 즉, 개인키를 사용하기 전까진 에이전트에 추가되지 않는다.

 

• `ssh-add -l` 명령어로 에이전트에 추가된 개인키 목록을 확인할 수 있다.
• ssh-agent 프로세스를 종료하면(로그아웃 등) 에이전트에 추가된 목록은 초기화된다.

 

`~/.ssh/config` 파일에 `UseKeychain`(키체인 사용), `AddKeysToAgent`(에이전트에 개인키 추가) 옵션을 추가해두면 위 1번 과정을 자동으로 처리해준다. 먼저 원하는 에디터로 config 파일 편집창을 연다. 

nano ~/.ssh/config # Nano 에디터로 config 파일 편집
code ~/.ssh/config # VSCode로 config 파일 편집

 

config 파일 편집창에서 아래 내용을 추가하고 저장한다. 개인키를 여러개 사용한다면 `IdentityFile` 항목만 추가해주면 된다. 

# ~/.ssh/config 파일

Host *
  UseKeychain yes
  AddKeysToAgent yes
  IdentityFile ~/.ssh/id_ed25519
  IdentityFile ~/Documents/cert/private-aws-ec2-seoul.pem

 

VSCode에서 원격으로 AWS 서버에 접속 상황이라면 별도의 호스트를 추가한다. 아래처럼 추가해두면 터미널에서 `ssh [호스트이름]` 명령어로 바로 접속할 수 있다. ex) `ssh private-aws-ec2-seoul`

 

💡 HostName을 입력하지 않으면 Host 값으로 대신 설정된다

Host *
  UseKeychain yes
  AddKeysToAgent yes
  IdentityFile ~/.ssh/id_ed25519

# VSCode 원격 접속 리스트에 보여질 내용
Host private-aws-ec2-seoul
  HostName ec2-88-888-88-888.ap-northeast-2.compute.amazonaws.com
  User ubuntu
  IdentityFile ~/Documents/cert/private-aws-ec2-seoul.pem

 

위 방법으로 SSH 패스워드를 입력했다면 키체인 앱에 자동으로 추가된걸 확인할 수 있다.

 

 

레퍼런스

---

• Git - Credential 저장소
• GitHub 접속 용 SSH 키 만드는 방법
• Mac OS X 터미널에서 Git 패스워드 기억하기
• How to permanently save SSH private key's passphrase to OSX Keychain

 

---

글 수정사항은 노션 페이지에 가장 빠르게 반영됩니다. 링크를 참고해 주세요