O que é SSH e o que acontece exatamente quando você se conecta

Publicado em 2026-09-12 por frfrand

El par de claves explicado sin misterio, qué es el desafío que firma tu máquina, por qué el servidor puede tener tu clave pública sin riesgo y qué significa ese aviso gigante de host changed.

SSH é o protocolo com o qual você acessa um servidor. Todo mundo sabe disso. O que costuma ficar borroso é o que acontece no segundo entre você apertar Enter e aparecer o prompt.

Vale a pena, porque de lá saem as respostas para quase todas as dúvidas de segurança que aparecem depois.

O par de chaves, e qual se compartilha

Quando você gera uma chave, são criados dois arquivos:

~/.ssh/id_ed25519 a privada ~/.ssh/id_ed25519.pub a pública

A privada vive no seu computador e não sai de lá. Nunca. Não se manda por e-mail, não se cola em um chat, não se sobe a um repositório.

A pública sim se distribui: vai para cada servidor onde você quiser entrar, dentro do arquivo ~/.ssh/authorized_keys.

A confusão mais comum é pensar que entregar a pública é arriscado. Não é, e não por convenção, mas por matemática: a partir da chave pública não se pode deduzir a privada. Por isso um servidor pode ter as chaves públicas de dez pessoas tranquilamente.

Regra prática: se você já copiou para algum lugar o arquivo sem o .pub, gere um par novo hoje.

O que acontece quando você se conecta

1. Seu cliente se conecta e as duas partes acordam um ciframento para a sessão.
2. O servidor manda um desafio: um dado aleatório, diferente a cada vez.
3. Sua máquina assina com a chave privada e devolve a assinatura.
4. O servidor verifica essa assinatura com a chave pública que já tinha. Se bater, você entra.

O importante deste baile: sua chave privada nunca viaja, e o desafio muda a cada conexão, então capturar o tráfego não serve para entrar depois.

Com senha, ao invés, o segredo sim viaja (criptografado, mas viaja) e o servidor o recebe. Um servidor comprometido fica com sua senha. Com chaves, fica com uma assinatura que não serve para nada.

Esse aviso gigante que assusta

Na primeira vez que você entra em um servidor, o SSH salva sua impressão digital em ~/.ssh/known_hosts. Se essa impressão digital mudar, aparece o aviso de REMOTE HOST IDENTIFICATION HAS CHANGED.

Há exatamente duas explicações:

• Reinstalaram o servidor ou regeneraram as chaves. Acontece seguido e é inofensivo.
• Alguém entrou no meio e está se passando pelo servidor.

O reflexo habitual é apagar a linha do known_hosts e seguir. Está bem fazer depois de confirmar o primeiro caso, não antes. São dez segundos de perguntar.

Três coisas que valem ouro

ssh-copy-id instala sua chave pública no servidor sem editar arquivos manualmente:

ssh-copy-id deploy@miservidor.com

O arquivo ~/.ssh/config evita que você lembre usuário, porta e chave:

Host prod HostName miservidor.com User deploy Port 2222 IdentityFile ~/.ssh/id_ed25519

A partir daí, ssh prod. E o melhor: scp, rsync, git e editores leem esse mesmo arquivo.

Coloque uma senha na chave privada. Se roubarem seu laptop, a chave sozinha não basta. Para não precisar digitá-la toda vez, existe o agente: o ssh-add a mantém enquanto durar sua sessão.

E a permissão que quebra tudo

chmod 700 ~/.ssh chmod 600 ~/.ssh/id_ed25519 chmod 600 ~/.ssh/authorized_keys

O SSH se recusa a usar uma chave privada que outros usuários possam ler, e faz bem. Se um dia sua chave "parar de funcionar" sem que você tenha mexido em nada, verifique as permissões: quase sempre é isso, depois de copiar a pasta de um lado para o outro.