KDE4 a ssh-agent

12.12.2009 18:04 | Přečteno: 1800× | Linux | | poslední úprava: 12.12.2009 18:07

V poslední době mám nějaké křivé pracky a tak jsem se rozhodl zatočit s neustálým několika-násobným zadáváním mých super-bezpečných hesel k privátním klíčům.

Asi jsem v menšině ale protože jsem naprosto spokojeným uživatelem KDE 4, začal jsem pátrat jak nějak rozumně zaintegrovat ssh-agenta mého desktopu.

Po hodince googlení a procházení super-starých webů jsem se dohrabal k velice jednoduchému řešení.

Nejdříve je potřeba napojit ssh-agenta na KDE session.

cd
mkdir -p .kde4/env .kde4/shutdown
echo 'eval `ssh-agent`' > .kde4/env/ssh-agent.sh
echo 'ssh-agent -k' > .kde4/shutdown/ssh-agent.sh
chmod +x .kde4/env/ssh-agent.sh .kde4/shutdown/ssh-agent.sh

Po přihlášení do KDE je pak možné jednoduše pomocí "ssh-add klíč" zadat heslo pro tento klíč a to se bude držet dokud se z KDE neodhlásíte.

Samozřejmě takové řešení je dobré na dvě věci. Jsme v GUI a proto by při startu mělo vyskočit okno (ideálně KWallet) s dotazem na heslo a to by mělo být vše.

Tady už je potřeba sáhnout po externím balíčku a to konkrétně Ksshaskpass (v OpenSuSe 11.2 mi funguje verze z OBS od uživatele lemmy04). Po instalaci už zbývá pouze poslední krok a to přidat ssh-add s Ksshaskpass do autostart.

echo "export SSH_ASKPASS=`which ksshaskpass`" >~/.kde4/Autostart/ssh-add.sh
echo "`which ssh-add` ~/.ssh/id_rsa" >>~/.kde4/Autostart/ssh-add.sh
chmod +x ~/.kde4/Autostart/ssh-add.sh

A máme hotovo. Při dalším přihlášení na vás vyskočí Kwallet s dotazem na odemknutí databáze hesel následovaná samotným ksshaskpass. Při dalších přihlášeních pak už pouze samotná Kwallet.

       

Komentáře

[marek_hb]

nemáš trochu strach dávat hesla do programu staženému bůh ví od koho?

[Let_Me_Be]

Ani ne, to delam stejne (u oficialniho repa), navic u OBS se muzu velmi jednoduse podivat z ceho je ten balicek sestaveny a pokud se mi neco nezda tak si jednim kliknutim udelat vlastni kopii (ktera se mi do par minut zbuildi).

[l4m4]

WTF? To první řešení je přece podstatně lepší:

1) SSH agenta používám v shellu. Při zadávání passphrase v shellu vidím, co, kam a proč zadávám. Nepíši jako trubka tajný údaj do okýnka, které nijak viditelně nesouvisí s prováděnou autentizací.

Toto je obecný problém všech podobných nástrojů v DE. Nevím, jak se to chová v KDE, ale např. v GNOME je to schopno vyhodit GUI okýnko ve chvíli, kdy spustím v terminálu ssh někam. Čímž to vychovává lidi k bezhavému zadávání autentizačních údajů, kdykoli si o ně něco řekne.

2) ssh-add spustím, když to potřebuji, ne když se přihlásím do grafického prostředí.

No a

3) Když se to udělá inteligentně, lze to navázat na login nezávisle na tom, zda jsem přihlášen do KDE, do GNOME nebo třeba na konzolu. Takže se přihlásim na jednu konzolu, zadám passphrase a na druhé mám autentizovaného agenta taky.

[Let_Me_Be]

> 1) SSH agenta používám v shellu. Při zadávání passphrase v shellu vidím, co, kam a proč zadávám. Nepíši jako trubka tajný údaj do okýnka, které nijak viditelně nesouvisí s prováděnou autentizací.

Pak ale pouziti ssh agenta ponekud ztraci smysl (teda alespon pri mem zpusobu prace).

> Toto je obecný problém všech podobných nástrojů v DE. Nevím, jak se to chová v KDE, ale např. v GNOME je to schopno vyhodit GUI okýnko ve chvíli, kdy spustím v terminálu ssh někam. Čímž to vychovává lidi k bezhavému zadávání autentizačních údajů, kdykoli si o ně něco řekne.

Nepouzivam Gnome, v KDE mi Kwallet rekne pro koho provadim overeni (navic okna nekradou focus, jenom mi v rohu vyskoci se napriklad Kopete vyzaduje moji pozornost).

> 2) ssh-add spustím, když to potřebuji, ne když se přihlásím do grafického prostředí.

Ano to je taky moznost, nicmene viz. 1)

> 3) Když se to udělá inteligentně, lze to navázat na login nezávisle na tom, zda jsem přihlášen do KDE, do GNOME nebo třeba na konzolu. Takže se přihlásim na jednu konzolu, zadám passphrase a na druhé mám autentizovaného agenta taky.

Ano, nicmene ja mam na pocitaci vyrazne slabsi heslo nez mam passphrase.

[xkucf03]

V tom případě bych šel asi do pam_ssh. Člověk pak nemusí zadávat heslo do systému a pak ještě (delší) heslo ke klíči – zadá jen to delší. Ale přiznám se, že na ssh agenta nepoužívám – radši zadávám vždycky heslo, vím, že je to spíš o tom pocitu, ale přijde mi lepší vědět, kdy se kam člověk přihlašuje.

[l4m4]

Chtěl bych tě vidět, jak pokaždé zadáváš heslo, kdybys pravidelně pouštěl výpočty na clusteru 30 počítačů s autentizací přes ssh...

[xkucf03]

V takovém případě bych si vytvořil zvláštní klíč a ten si přidal do agenta (nebo bych možná použil ten standardní). Ale já jsem mluvil o běžné práci, kdy se sem tam připojím na nějaký server, těch jsou jednotky, možná kolem deseti, ale připojím se k ním obvykle jednou a pak nechám spojení otevřené, tudíž to heslo zadávám třeba jen jednou za den pro každý server.

[Let_Me_Be]

Holt je to hodne o zpusobu prace. Mne servery vzdy po nejake dobe utnou spojeni (takze celodenni session fakt nehrozi), nicmene dulezitejsi je, ze mam sice relativne malo serveru (<10) ale typicky mam na kazdy otevreno tak 4-5 oken.

[xkucf03]

Holt je to hodne o zpusobu prace.

jj. Kdybych ty hesla musel zadávat častěji a otravovalo mě to, tak bych agenta asi taky používal.

Mne servery vzdy po nejake dobe utnou spojeni

Tohle nemám rád, přijde mi to jako přežitek. Dneska už navázané SSH spojení nikoho nevytrhne.

[l4m4]

Ad Kwallet. V GNOME to sice taky napíše, k čemu to chce tu passhrase, ale to mi nestačí. Při zadání passphrase v tom terminálu, kde spouštím příkaz, který ji pořebuje, navíc není třeba řešit fokus -- ten terminál ho v tu chvíli má.

[Michal Kubeček]

Jestli je řeč o OpenSuSE, tak tam se mi spouští ssh-agent při přihlášení do KDE automaticky, aniž bych pro to musel něco dělat. Takže stačí buď po přihlášení spustit ssh-add, nebo použít pam_ssh.

[theo]

V portage stromu ksshaskpass neni, jak to nainstalovat najdete zde, hledejte slovo gentoo a pak pokracujte pres odkazy na googlecode.