Dotaz: Problem SSH s klíčem

[SHDLeader]

Ahoj mám problém, že potřebuju přihlášení na vzdálený stroj bez hesla a tak jsem chtěl použít RSA autentifikaci. Vygeneroval jsem si klíče (ssh-keygen -t rsa) a ten *.pub jsem nahrál na vzdálený sezver do /home/someuser/.ssh/authorized_keys2. Když ale spustím ssh -1 -vvv -o IdentityFile=~/.ssh/id_rsa shodan@localhost, tak se vypíše:

OpenSSH_3.9p1, OpenSSL 0.9.7a Feb 19 2003
debug1: Reading configuration data /root/.ssh/config
debug1: Applying options for localhost
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug2: ssh_connect: needpriv 0
debug1: Connecting to localhost [127.0.0.1] port 22222.
debug1: Connection established.
debug1: permanently_set_uid: 0/0
debug3: Not a RSA1 key file /root/.ssh/id_rsa.
debug2: key_type_from_name: unknown key type '-----BEGIN'
debug3: key_read: missing keytype
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug2: key_type_from_name: unknown key type '-----END'
debug3: key_read: missing keytype
debug1: identity file /root/.ssh/id_rsa type 1
debug3: Not a RSA1 key file /root/.ssh/id_rsa.
debug2: key_type_from_name: unknown key type '-----BEGIN'
debug3: key_read: missing keytype
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug2: key_type_from_name: unknown key type '-----END'
debug3: key_read: missing keytype
debug1: identity file /root/.ssh/id_rsa type 1
debug1: Remote protocol version 1.99, remote software version OpenSSH_3.9p1
debug1: match: OpenSSH_3.9p1 pat OpenSSH*
debug1: Local version string SSH-1.5-OpenSSH_3.9p1
debug2: fd 3 setting O_NONBLOCK
debug1: Waiting for server public key.
debug1: Received server public key (768 bits) and host key (1024 bits).
debug3: check_host_in_hostfile: filename /root/.ssh/known_hosts
debug3: check_host_in_hostfile: match line 3
debug1: Host 'localhost' is known and matches the RSA1 host key.
debug1: Found key in /root/.ssh/known_hosts:3
debug1: Encryption type: 3des
debug1: Sent encrypted session key.
debug2: cipher_init: set keylen (16 -> 32)
debug2: cipher_init: set keylen (16 -> 32)
debug1: Installing crc compensation attack detector.
debug1: Received encrypted confirmation.
Permission denied.

Podle toho výpisu mi připadá, jako by byl špatný formát mého soukromého klíče (podle toho Not a RSA1 key file /root/.ssh/id_rsa). Co dělám špatně??

Díky

Odpovědi

[Tomáš Honzák]

Špatně generujete klíč:

$ man ssh-keygen
(...)
ssh-keygen can create RSA keys for use by SSH protocol version
     1 and RSA or DSA keys for use by SSH protocol version 2.  The type of
     key to be generated is specified with the -t option.
(...)
   -t type
             Specifies the type of the key to create.  The possible values
             are "rsa1" for protocol version 1 and "rsa" or "dsa" for proto-
             col version 2.

Takže buď použít ssh v2 (doporučuju), nebo, pokud skutečně potřebujete starou verzi protokolu, vygenerujte nový klíč pomocí

$ ssh-keygen -t rsa1

[alkoholik]

a) vykasli se na RSA a pouzivej DSA
b) klic v novych distrech patri do /home/someuser/.ssh/authorized_keys. Ta dvojka na konci se pouzivala pred par lety.
c) vykasli se na protokol 1. Ma bezpocnostni mouchy a dnes se stejne vetsina ssh daemonu posti uz jen s protocol 2 v sshd_config.
d) postni sem konec auth.log pripadne messages. Obcas se tam da neco najit.
e) jak je na tom ten vzdaleny uzivatel s heslem? Treba nove SUSE odmitaji pouzivani ssh klicu, kdyz je konto locknute.
f) jeste si zkontroluj, jak mas nastavene prava na .ssh odkud se hlasis.

[hafieror]

Takto to dělám a vždy to funguje. Třeba Vám to pomůže Vygenerujeme veřejný a privátní klíč hafi@debian:~$ ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/home/hafi/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/hafi/.ssh/id_rsa.
Your public key has been saved in /home/hafi/.ssh/id_rsa.pub.
The key fingerprint is:
ff:94:24:22:c8:f0:ce:77:a6:ed:35:a8:0d:84:53:1f hafi@debian
V ~/.ssh se nám vytvoří privátní klíč id_rsa a veřejný klíč id_rsa.pub
Veřejný klíč bezpečně dopravíme na cílový stroj
scp -P2233 ~/.ssh/id_rsa.pub user@remote.machine:/home/user/.ssh/temp
Přihlásíme se na cílový stroj a vložíme klíč do souboru authorized_keys
cd /home/hafi/.ssh
cat temp >> authorized_keys
rm temp
Aby bylo přihlašování funkční je nutné mít práva u souboru authorized_keys nastavena jen pro čtení vlastníkem.

[SHDLeader]

Tak je opravdu problém v tom, že musím použít RSA1, pak to funguje. Rád bych použil ten bezpečnější DSA klíč, ale když ho použiju stejně jako RSA, tak mi napiše

Not a RSA1 key file /root/.ssh/id_dsa

. On nepozná, že se jedná o DSA klíč? Musím to zadat nějakým parametrem?

[Tomáš Honzák]

IMHO ssh v1 jinej klíč než RSA1 nepodporuje. Proč tak zoufale trváte na tom starém protokolu?

[SHDLeader]

Tak už mi to funguje. Zarazila mě ale jedna věc. Když se teď přihlásím příkazem

ssh -1 adresa

tak se spolehlive prihlasim bez zadani hesla a vsechno jde OK. Ale nejde mi to pred scp. Kdyz pouziju prikaz

scp zdrojovy_soubor uzivatel@adresa:cilovy_soubor

tak mi to napise

Permission denied (publickey,gssapi-with-mic,password).

Prosim poraďte

[mlz]

scp -1 [-dalsi-options] SRC USER@server:DEST

Analogické

[SHDLeader]

FUNGUJE!!!

Diky moc všem, co mi pomohli. Za chvili jsem tady vyřešil s tim jsem se trapil celej včerejšek ;o))