abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 17:00 | Upozornění

    Národní identitní autorita, tedy NIA ID, MeG a eOP jsou nedostupné. Na nápravě se pracuje [𝕏].

    Ladislav Hagara | Komentářů: 3
    dnes 16:44 | IT novinky

    Americký výrobce čipů Nvidia se stal první firmou na světě, jejíž tržní hodnota dosáhla pěti bilionů USD (104,5 bilionu Kč). Nvidia stojí v čele světového trhu s čipy pro umělou inteligenci (AI) a výrazně těží z prudkého růstu zájmu o tuto technologii. Nvidia již byla první firmou, která překonala hranici čtyř bilionů USD, a to letos v červenci.

    Ladislav Hagara | Komentářů: 4
    dnes 14:11 | Komunita

    Po Canonicalu a SUSE oznámil také Red Hat, že bude podporovat a distribuovat toolkit NVIDIA CUDA (Wikipedie).

    Ladislav Hagara | Komentářů: 0
    dnes 13:55 | Nová verze

    TrueNAS (Wikipedie), tj. open source storage platforma postavená na Linuxu, byl vydán ve verzi 25.10 Goldeye. Přináší NVMe over Fabric (NVMe-oF) nebo OpenZFS 2.3.4.

    Ladislav Hagara | Komentářů: 0
    dnes 13:33 | Nová verze

    Byla vydána OpenIndiana 2025.10. Unixový operační systém OpenIndiana (Wikipedie) vychází z OpenSolarisu (Wikipedie).

    Ladislav Hagara | Komentářů: 0
    dnes 13:22 | Zajímavý článek

    České základní a střední školy čelí alarmujícímu stavu kybernetické bezpečnosti. Až 89 % identifikovaných zranitelností v IT infrastruktuře vzdělávacích institucí dosahuje kritické úrovně, což znamená, že útočníci mohou vzdáleně převzít kontrolu nad klíčovými systémy. Školy navíc často provozují zastaralé technologie, i roky nechávají zařízení bez potřebných aktualizací softwaru a používají k nim pouze výchozí, všeobecně známá

    … více »
    Ladislav Hagara | Komentářů: 8
    dnes 05:11 | Komunita

    Během tradiční ceremonie k oslavě Dne vzniku samostatného československého státu (28. října) byl vyznamenán medailí Za zásluhy (o stát v oblasti hospodářské) vývojář 3D tiskáren Josef Průša. Letos byly uděleny pouze dvě medaile Za zásluhy o stát v oblasti hospodářské, druhou dostal informatik a manažer Ondřej Felix, který se zabývá digitalizací státní správy.

    🇹🇬 | Komentářů: 34
    dnes 04:44 | Nová verze

    Tor Browser, tj. fork webového prohlížeče Mozilla Firefox s integrovaným klientem sítě Tor přednastavený tak, aby přes tuto síť bezpečně komunikoval, byl vydán ve verzi 15.0. Postaven je na Firefoxu ESR 140.

    Ladislav Hagara | Komentářů: 3
    včera 16:44 | Nová verze

    Bylo oznámeno (cs) vydání Fedora Linuxu 43. Ve finální verzi vychází šest oficiálních edic: Fedora Workstation a Fedora KDE Plasma Desktop pro desktopové, Fedora Server pro serverové, Fedora IoT pro internet věcí, Fedora Cloud pro cloudové nasazení a Fedora CoreOS pro ty, kteří preferují neměnné systémy. Vedle nich jsou k dispozici také další atomické desktopy, spiny a laby. Podrobný přehled novinek v samostatných článcích na stránkách Fedora Magazinu: Fedora Workstation, Fedora KDE Plasma Desktop, Fedora Silverblue a Fedora Atomic Desktops.

    Ladislav Hagara | Komentářů: 0
    včera 15:22 | IT novinky

    Elon Musk oznámil (𝕏) spuštění internetové encyklopedie Grokipedia (Wikipedia). Zatím ve verzi 0.1. Verze 1.0 prý bude 10x lepší, ale i ve verzi 0.1 je podle Elona Muska již lepší než Wikipedia.

    Ladislav Hagara | Komentářů: 22
    Jaké řešení používáte k vývoji / práci?
     (36%)
     (48%)
     (20%)
     (19%)
     (23%)
     (17%)
     (21%)
     (17%)
     (17%)
    Celkem 282 hlasů
     Komentářů: 14, poslední 14.10. 09:04
    Rozcestník

    ssh-agent a "automatické" zadání hesla (pam_ssh)

    17.4.2006 21:41 | Přečteno: 2368× | Linux

    Předpokládám, že SSH znáte všichni, většina z vás asi bude vědět i o programu ssh-agent. Pokud používáte hesla na své SSH klíče, tak vás určitě nebaví při každém přihlášení ke vzdálené mašině znova a znova ťukat heslo. Spousta lidí to "vyřešila" tak, že prostě u SSH klíče to heslo zrušili. Lepší řešení je použít program ssh-agent.

    Tento program způsobí to, že heslo zadáte pouze jednou a potom to pro uživatele vypadá jako by se používal klíč bez hesla. Na notebooku, na kterém většinou pracuji, jsem se dřív přihlašoval do textu, přimountoval zašifrovaný disk a pak spustil Xka. V ~/.xinitrc jsem míval něco takovéhleho:

    export SSH_ASKPASS=ssh-askpass
    eval `ssh-agent -s`
    ssh-add < /dev/null

    Nedávno jsem notebook přeinstaloval a zrušil šifrovaný HDD, proto jsem začal bootovat do grafického režimu, konkrétně používám gdm. V novém systému mi tak nějak scházel program ssh-askpass, ale za to je součástí pam_ssh. Používám pro ssh klíč stejné heslo jako do systému, proto jsem se rozhodl ho využít.

    Modul pam_ssh umí jednu prima věc, při jeho použití se automaticky nastartuje ssh-agent a načte klíč už během přihlašování do systému, takže nemusím heslo vypisovat znovu po náběhu windowmakera.

    Následující postup je platný pro Fedoru 5, pro ostatní distribuce si ho zřemě budete muset trochu přiohnout.

    Vytvořte soubor /etc/pam.d/system-auth-ssh:

    auth        required      pam_env.so
    auth        sufficient    pam_ssh.so
    auth        sufficient    pam_unix.so nullok try_first_pass
    auth        requisite     pam_succeed_if.so uid >= 500 quiet
    auth        required      pam_deny.so
    
    account     required      pam_unix.so
    account     sufficient    pam_succeed_if.so uid < 500 quiet
    account     required      pam_permit.so
    
    password    requisite     pam_cracklib.so try_first_pass retry=3
    password    sufficient    pam_unix.so md5 shadow nullok try_first_pass use_authtok
    password    required      pam_deny.so
    
    session     required      pam_limits.so
    session     optional      pam_ssh.so
    session     required      pam_unix.so
    

    vytvořte soubor /etc/pam.d/gdm-ssh:

    auth       required     pam_env.so
    auth       include      system-auth-ssh
    account    required     pam_nologin.so
    account    include      system-auth-ssh
    password   include      system-auth-ssh
    session    include      system-auth-ssh
    session    required     pam_loginuid.so
    session    optional     pam_console.so
    

    Dalším krokem je přejmenování souboru /etc/pam.d/gdm na něco jiného a vytvoření symlinku:

    ln -s /etc/pam.d/gdm-ssh /etc/pam.d/gdm

    Při použití pam_ssh se změní výzva na zadání hesla v dialogu gdm (nebo pokud upravíte soubor /etc/pam.d/login tak i v textové konzoli) na SSH passphrase:.

    Pokud vám něco nefunguje, tak se kokněte do logů jestli to tam nezvrací nějaké chyby.

           

    Hodnocení: 100 %

            špatnédobré        

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    Komentáře

    Vložit další komentář

    17.4.2006 22:35 Michal Vyskočil | skóre: 60 | blog: miblog | Praha
    Rozbalit Rozbalit vše Re: ssh-agent a "automatické" zadání hesla (pam_ssh)
    Pak ať někdo tvrdí, že blogy na abclinuxu jsou k ničemu. Super věc, před časem jsem si dost hrál s ssh a tento fígl mě skutečně ani nenapadl. Jdu si měnit heslo na passfrázi a tento blogpost si dávám do záložek. Moc díky!
    When your hammer is C++, everything begins to look like a thumb.
    17.4.2006 23:27 petr_p | skóre: 59 | blog: pb
    Rozbalit Rozbalit vše Re: ssh-agent a "automatické" zadání hesla (pam_ssh)
    Z clanku jsem nepochopil, jak to funguje (co provadi autentizaci a proti cemu), takze tady je popis z domovske stranky projektu:
    This PAM module provides single sign-on behavior for SSH. The user types an SSH passphrase when logging in (probably to GDM, KDM, or XDM) and is authenticated if the passphrase successfully decrypts the user's SSH private key. In the PAM session phase, an ssh-agent process is started and keys are added. For the entire session, the user can SSH to other hosts that accept key authentication without typing any passwords.
    Tudiz podstatna informace je, ze autentizace se dela na zaklade toho, ze poskytnuta passphrase umi rozsifrovat klic.

    BTW, nejsem si jisty, jestli je nebezpecnejsi mit rozsifrovany ssh klic porad v pameti pocitace (doufam, ze prislusna oblast pameti je chranena proti odswapovani) nebo tu passphrase zadavat porad dokola (trebas po time-outu)?
    17.4.2006 23:46 Zdeněk Burda | skóre: 61 | blog: Zdendův blog | Praha
    Rozbalit Rozbalit vše Re: ssh-agent a "automatické" zadání hesla (pam_ssh)
    Z clanku jsem nepochopil, jak to funguje (co provadi autentizaci a proti cemu)...

    Popisovat jak to funguje nebylo cílem, jen jsem chtěl upozornit na pam_ssh. Podrobnosti ať si najde každý sám, od toho je přece dokumentace.
    -- Nezdar není hanbou, hanbou je strach z pokusu.
    19.4.2006 17:21 Jan Kundrát (jkt) | skóre: 27 | blog: jkt | Praha - Bohnice
    Rozbalit Rozbalit vše Re: ssh-agent a "automatické" zadání hesla (pam_ssh)
    No ja nevim, ale ja osobne to pouzivam tak, ze se stale primarne overuje oproti shadow a teprve pokud to projde, zkusi se rozsifrovat i SSH klic. Ma to tu vyhodu, ze uzivatele, co maj svuj SSH klic bez hesla, se budou muset prihlasit svym "systemovym" heslem. Cili heslo z /etc/shadow je porad rozhodujici a pokud se s pam_ssh cokoliv stane, vubec to nevadi.

    Jo a davam to do /etc/pam.d/system-auth, cili se to pouziva i pri loginu do konzole etc...
    auth       required     pam_env.so
    auth       required     pam_unix.so likeauth nullok
    auth       optional     pam_ssh.so try_first_pass
    
    Jinak pokud pouzivas originalni verzi pam_ssh a ne tu opatchovanou Debianem, tak by se ti mohlo hodit odstranovani mrtvejch souboru po havarii...

    Založit nové vláknoNahoru

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.