Neinteraktivni zadani hesla ssh klientovi (diskuse)

[Suchý čert]

A má to nějakou výhodu oproti použití klíčů, ssh-agent a ssh-add?

[Michal Kubeček]

Jistě. Je to složitější, méně bezpečné a navíc hrozně cool…

[Michal Fecko]

lol

[Marián Kyral]

Taky existují servery ke kterým má developer přístup jen výjimečně (třeba produkční) a tam si nemůže přidávat svůj klíč jen tak.

[Michal Kubeček]

To jistě, ale právě v takových případech mi připadá použití technik z textu tím spíš nevhodné.

[otec]

No, asi to má svůj důvod - k produkčnímu by vývojář neměl mít přístup vůbec, například

[Marián Kyral]

No, asi to má svůj důvod - k produkčnímu by vývojář neměl mít přístup vůbec, například

Však taky píšu výjimečně. Ony jsou i projekty, kde to bez toho nejde. Třeba masívní migrace dat při které je třeba provádět průběžné kontroly a řešit vzniklé problémy.

[Michal Kubeček]

Já se s tím teď u jednoho zákazníka potýkám z druhé strany, z pozice systémáka, který by nejradši vývojáře nepustil ani na testovací stroj, protože mu z jejich skriptů vstávají hrůzou vlasy na hlavě a musí je po nich od základu přepisovat.

[YYY]

V blogpostu jsem ale uvedl, ze tato cesta je pomerne nebezpecna.

[houska]

je to delsi, ale za to horsi cestou ...

[platYpus]

linux jako ssh-client, cisco ios jako ssh-server

[finc]

Jednu vyhodu v tom osobne spatruji. Prenasim nektere data mezi servery a jelikoz cilovy server nemam pod spravou, je to problem. Dost casto totiz dojde k tomu, ze na druhe strane nekdo zmeni ssh klice a pote mi jaksi autentifikace ssh pomoci klicu je k nicemu.

[Filip Jirsák]

SSH klíč patří uživateli (člověku), ne serveru nebo účtu. Takže na druhé straně vám maximálně někdo váš klíč může smazat – otázka je, proč by to někdo dělal, na klíče jiných uživatelů by neměl sahat.

[finc]

Bohuzel k tomu dochazi. Duvod se mi nepodarilo zjistit

[CET]

Nepletes si nahodou RSA klice serveru a uzivatelovo klice?

RSA klice serveru jsou v /etc/ssh/.... a ty slouzi k tomu, aby si klient overil, ze se pripojuje na cilovy server a ne nejaky MITM server. Ty by se opravdu menit nemely a pokud to nekdo dela pravidelne, tak to neni moc dobre. Obyvkle se zmeni pri preinstalaci systemu a uzivatel by to mel vedet a vymazat si stare klice.

Pokud se to meni casto, lze pouzit nastaveni StrictHostChecking=no v kombinaci s UserKnownHostsFile=/dev/null, pak bude klient hlasit pouze warning, ale bude fungovat.

Uzivatelovo klice muze menit jenom uzivatel v .ssh/id_rsa/dsa a na serveru jsou ulozene v ~/.ssh/authorized_keys. Ze by nekdo tohle casto menil, to pochybuju, leda by se to automaticky cistilo nebo se uploadoval soubor ze zalohy.

Zadavat nekam heslo k ssh je pakarna. Pokud ma neco ssh, tak to umi urcite pouzivat i klice. Mame switche HP ProCurve s ssh a umoznuji take vlozit ssh klice. Naopak, ssh klice je lepsi pouzivat, protoze se tak daji lepe regulovat prava - stejny login muze byt pristupny ruznym uzivatelum pres klice a lze pak jednotlive uzivatele zakazovat a povolovat pouze smazanim/pridanim klice. Navic klice mohou uzivatel sifrovat jedinym silnym heslem, takze odpada nutnost znalost nekolika ruznych slabych hesel a pamatovani si, na kterych server jsou ktere.

Klice jsou obvykle v sshd zapnute.

[Tomáš]

Dobrá věc. Pro hnidopichy bych ukázal příklad, kdy uvedený postup má smysl. Vyvíjíme nějaká embedded zařízení, vývojový tým má pár kousků na hraní a často se potřebujeme přihlásit na zařízení, pustit pár příkazů a zase se odhlásit, dá se to pěkně naskriptovat. Vše v důvěryhodné síti, ale klíč si na zařízení prostě nepřidám. Na Windows jsem k tomu našel program plink (z dílny Putty).

Neví někdo o něčem podobném pro Windows a telnet? Zrovna plink to má nějak domotané a při telnetu to nebere z commandliny skoro nic, snad ani username. Potřeboval bych něco ve stylu: nejakytelnet -l username -p password - c commands.

[platYpus]

Kermit95

[imploder]

Proč vlastně nefunguje normálně echo 'heslo' | ssh ...? Zkoušel jsem to a překvapilo mě, že to nejde.

[pavlix]

Proč vlastně nefunguje normálně echo 'heslo' | ssh ...? Zkoušel jsem to a překvapilo mě, že to nejde.

Protože tvůrci OpenSSH mají určitý názor na to, co by uživatel měl a neměl dělat. A tento svůj názor prosazují zablokováním určitých možností (například této) a naopak poskytnutím bezpečnějších alternativ (například přihlašování pomocí klíčů a SSH agenta).

[imploder]

No, já vím, že to není bezpečné. Chtěl jsem to použít na ssh v bezpečné LAN za NATem, jen pro sebe, takže to zrovna vůbec nevadilo. Jinak s tím souhlasím, tyhle aplikace by měly být nekompromisní a nespoléhat se na to, že uživatel ví, co dělá (tady platí víc ještě než jinde, že tomu běžný uživatel nerozumí - nejde jen o to, aby to fungovalo, ale aby to fungovalo bezpečně, a v tom se i mistr snadno utne).

[pavlix]

Odpovídal jsem na otázku :).

Chtěl jsem to použít na ssh v bezpečné LAN za NATem, jen pro sebe, takže to zrovna vůbec nevadilo.

V takovém případě bych nehledal bezpečné řešení, ale jednoduché řešení. Co je zajímavé, tak nejjednodušší řešení je ale stejně použít SSH klíče (třeba bez passphrase). Vygenerováno je hned a na heslo už se to pak neptá.

Jinak s tím souhlasím, tyhle aplikace by měly být nekompromisní a nespoléhat se na to, že uživatel ví, co dělá (tady platí víc ještě než jinde, že tomu běžný uživatel nerozumí - nejde jen o to, aby to fungovalo, ale aby to fungovalo bezpečně, a v tom se i mistr snadno utne).

Tady je zajímavý úkaz, že když se člověk chová tak, aby si nekomplikoval život, tak výjimečně dostane určitou úroveň bezpečnosti v podstatě zadarmo.

[imploder]

V takovém případě bych nehledal bezpečné řešení, ale jednoduché řešení. Co je zajímavé, tak nejjednodušší řešení je ale stejně použít SSH klíče (třeba bez passphrase). Vygenerováno je hned a na heslo už se to pak neptá.

To jsem taky udělal, potom co jsem zjistil, že tím nebezpečným způsobem to nejde.

[pavlix]

Takže se jim povedlo tě konvertovat :). Tomu říkám úspěch.