Dotaz: SSH Autentizace pomoci klice neuspesna.

[Zdenek Slama]

Ahoj, Nejak se mi nedari presvedcit ssh k autentizaci pomoci klice.

Postup je snad spravny,ale pro jistotu bodove zopakuji. Klient: Vygenerovat klice pomoci ssh-keygen -t rsa vytvorit soubor identity: cat id_rsa > identity a zmenit prava chmod 600 identity.

Server: Zkopirovat klic id_rsa.pub na server do slozky /home/muj/muj_rsa.pub, pak vyrobit authen authorized_keys pomoci cat muj_rsa.pub > .ssh/authorized_key.

Kdyz se ovsem pokusim prihlasit,tak to dopadne takto:

SSH2_MSG_SERVICE_ACCEPT received
debug2: key: /home/zdenek/.ssh/identity ((nil))
debug2: key: /home/zdenek/.ssh/id_rsa (0x8091600)
debug2: key: /home/zdenek/.ssh/id_dsa ((nil))

SSH2_MSG_NEWKEYS received
debug1: SSH2_MSG_SERVICE_REQUEST sent
debug1: SSH2_MSG_SERVICE_ACCEPT received
debug1: Authentications that can continue: publickey,keyboard-interactive
debug1: Next authentication method: publickey
debug1: Trying private key: /home/zdenek/.ssh/identity
debug1: read PEM private key done: type RSA
debug1: Authentications that can continue: publickey,keyboard-interactive
debug1: Offering public key: /home/zdenek/.ssh/id_rsa
debug1: Authentications that can continue: publickey,keyboard-interactive
debug1: Trying private key: /home/zdenek/.ssh/id_dsa
debug1: Next authentication method: keyboard-interactive

A spadnu do prihlaseni pomoci hesla.

Muj Config vypada takto:

protocol2
HostKey /etc/ssh/ssh_host_rsa_key
PermitRootLogin no
RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile	.ssh/authorized_keys
PasswordAuthentication no
UsePAM yes
UseDNS no

Nekolik dalsich informaci: Server a Klient jsou v jedne siti bez DNS. ssh volam primo IP adresou stroje a pomoci hesla se bez problemu pripojim. Take prikaz scp mi funguje, cimz snad vyloucim problemy v siti. Muj Config uz je asi stokrat zmeneny a tohle je posledni pouzita konfigurace. Jednou se mi podarilo ziskat dotaz na passphrse, ale to byl snad jen nejaky omyl,protoze passphrasi mi ssh stejne neprijalo,presto,ze pouzivam zatim trivialni passphrasi a posledni pokus byl dokonce s prazdnou pass....

Na obou strojich mam Gentoo se shodnou verzi SSH

Nejsem si jisty,jestli soubor identity ma byt na strane klienta a jestli mam spravny format a jestli snad nemam nejakou ocividnou chybu v konfigu.

Prosel jsem snad vsechny diskuze na Abicku, Uvod do paranoi na rootu a dalsich nekolik stranek s problematikou,ovsem nikde jsem nenarazil(jako obvykle) na nic pouzitelneho.

Takze bych vas rad pozadal o kontrolu meho config, postupu a pripadne upresneni, nakopnuti atd.

Diky.

Odpovědi

[unchallenger]

protocol2 je doufám jen překlep a je tam Protocol 2.

Soubor identity je v tom případě irelevantní (patří SSH protokolu 1), naopak může ssh zmást, když v něm bude RSA klíč pro verzi 2... V podstatě můžeš nechat na klientovi všechny soubory, jak ti je ssh-keygen vygeneroval, jen .ssh/id_rsa.pub přidat na serveru do .ssh/authorized_keys.

Typicky je problém s právy na soubory a adresáře, jak na serveru, tak na klientovi. OpenSSH 3.8 a novější je obvzlášť paranoidní. Zkus dát všemu v .ssh práva 0600 a .ssh samému 0700, na obou koncích.

[Zdenek Slama]

Diky,, Nevim proc jsem dofal,ze budes prvni,kdo se ozve

Prava jsem nastavil dle doporuceni.

Soubor identity jsem zrusil

Protocol 2 je spravne a neni mi jasne,ze to mam spatne,kdyz jsem to kopiroval ....

Je mi divne,ze na jednom miste to najde ten klic

debug2: key: /home/zdenek/.ssh/id_rsa (0x8091600)
..
debug1: Trying private key: /home/zdenek/.ssh/identity
debug3: no such identity: /home/zdenek/.ssh/identity
debug1: Offering public key: /home/zdenek/.ssh/id_rsa
debug3: send_pubkey_test

.. a v zapeti pokracuje k dalsim metodam,bez hlasky uspech/neuspech.

Rekl bych, ze ty klice nesedi. Uz jsem udelal tak deset pokusu a porad nic,coz znamena,ze za A) delam systemovou chybu porad dokola B) mam chybu v konfigu. Zkusim to znovu nacisto, drzte palec. Obvykle to byva nejaka kravina Dik, jeste se v kazdem pripade ozvu.

[Michal Marek (twofish)]

cat muj_rsa.pub > .ssh/authorized_key (vs. authorized_keys) je taky překlep jenom příspěvku?

[Zdenek Slama]

Overeno. je to preklep jen v prispevku.

[Zdenek Slama]

Jeste pridavam kousek logu ze serveru:

Connection from 192.168.1.11 port 40374
sshd[6883]: debug1: Client protocol version 2.0; client software version OpenSSH_3.9p1
sshd[6883]: debug1: match: OpenSSH_3.9p1 pat OpenSSH*
sshd[6883]: debug1: Enabling compatibility mode for protocol 2.0
sshd[6883]: debug1: Local version string SSH-2.0-OpenSSH_3.9p1
sshd[6883]: debug1: PAM: initializing for "zdenek"
sshd[6883]: debug1: PAM: setting PAM_RHOST to "192.168.1.11"
sshd[6883]: debug1: PAM: setting PAM_TTY to "ssh"
sshd[6883]: Failed none for zdenek from 192.168.1.11 port 40374 ssh2
sshd[6883]: debug1: temporarily_use_uid: 1002/100 (e=0/0)
sshd[6883]: debug1: trying public key file /home/zdenek/.ssh/authorized_keys
sshd[6883]: debug1: restore_uid: 0/0
sshd[6883]: debug1: temporarily_use_uid: 1002/100 (e=0/0)
sshd[6883]: debug1: trying public key file /home/zdenek/.ssh/authorized_keys
sshd[6883]: debug1: restore_uid: 0/0

Na serveru mi bezi samba a soubor authorized_key lezi v /home , ke kteremu pristupuje take samba. Uz mne napadaji vselijake konstrukce,ale ze by toto pusobilo potize ??

Nekde v diskuzi jsem zahledl poznamku o podpore sifrovani v jadru,ale to by snad nesly ani vytvorit klice,nebo je to neco jineho ?

[Zdeněk Štěpánek]

Zdarvim

Mozna delas chybu v generovani klicu. Kdyz udelas ssh_keygen tak ti vytvori klic jmeno@pocitac. to vlastne anjdes i na konci authorized keys, prihlasi se to bez heslo jen v pripade ze jdes z tohohle pocitace ze stejnyho uziv. uctu. Tak jestli jsi tam treba nedelal neco pod rootem a tak.

Na strane serveru je user@host defakto irelevantni. Muzes si vygenerovat jeden klic a pod tim stejnym klicem se prihlasovat na pepa@server1 a zaroven na josef@server2, staci mit publick key v /home/pepa/.ssh/authorized_keys respektive v /home/josef/...

Dulezity je ale odkud se pripojujes, pokud jsi klic vygeneroval jako root a dal jsi ho do /home/user/.ssh/id_rsa tak ti to fungovat nebude.

Zdenek

[Tlamik]

zkus treba prejmenovat authorized_keys na authorized_keys2 , pripadne jeste zakomentovat radku v configu s odkazem na authorized_keys , protoze podle mne defaultne pouziva protokol 2 authorized_keys2

[unchallenger]

authorized_keys2 byl dočasný úlet z doby přechodu na SSH v2. Navíc konfigurák jasně říká authorized_keys.

Co je mi spíš záhadou, je že to zkouší použít soubor identity, protože ten se defaultně používá jen pro protokol 1 a IdentityFile nikde nevidím předefinovaný.

[Zdenek Slama]

Ahoj ,diky vsem za snahu. Add USER.) , mam dva stejne ucty na obou strojich,roota mam zakazaneho a kdyz generuji klice,tak pod USEREM a tyto se mi ukladaji do meho home,odkud je take kopiruji na server. V kazdem pripade se pokusim o tento postup pod rootem.. Add authorized_keys2.) Zkusit to muzu i kdyz si neslibuji zadny pokrok. Souhlsim s Yetim, ten konfig je jasny. Co se tyka toho IDENTITY, tak DSA jsem v konfigu take zakazal a stejne je v logu pokus jej cist.

V noci jsem zjistil,ze moje jadro na klientovi NEMA zkompilovanu podporu sifrovani. Ze bych mel zkontrolovat i server mi doslo az ted pri psani diskuze, takze jdu na to.

PS: Staci mi podpora MD5, DES, BLOWFISH ?, myslim,ze jsem to videl v manu k ssh

[Tlamik]

to SSH je zkompilovano ze zdrojaku nebo jako balik nebo soucast distribuce ? Nejdriv bych zkusil zdefaultnit konfigurak, bud ho nahradit cistym nebo zakomentovat vse, tzn. pouziji se defaultni parametry. Pripadne zkusit jiny typ klice, treba dsa, defualtne sice ssh pouziva nejaky nazev klice (ted misto identity, treba id_dsa), ale jde to vnutit jako parametr, takze mas jistotu, ze to pouzije opravdu zadouci klic ze spravneho adresare, a pak jsou dulezita prava a vlastnictvi souboru, hlavne u osobniho klice.

[Zdeněk Štěpánek]

Zdravim

Na serveru ma authorized_keys prava 644 a u klienta ma id_dsa (privatni cast) prava 400. Kdyz jsem mu omylem dal prava 640 tak ssh kricel ze klic je world-readable a ze ho tudiz nepouzije a chtel normalne heslo.

Jeste tohle me napadlo, kdyz jsem byl jeste mlady a nezkuseny a nevedel jak na to, tak jsme neustale neco cpal do /etc/ssh, ted uz vim, ze tam nic nepatri. Ale podle toho co pises to asi nebude tvuj pripad.

Zdenek

[Zdenek Slama]

Mlady uz asi nejsem, nicmene nezkusenym uspesne zustavam.

Zkompiloval jsem DES,MD5,BLOWFISH a AES ,rebootoval, vytvoril nove klice,uz to zvladam do tri minut , a :

        Trying private key: /home/zdenek/.ssh/identity
debug3: no such identity: /home/zdenek/.ssh/identity
debug1: Offering public key: /home/zdenek/.ssh/id_rsa
debug3: send_pubkey_test
debug2: we sent a publickey packet, wait for reply
debug1: Authentications that can continue: publickey,password,keyboard-interactive
debug1: Trying private key: /home/zdenek/.ssh/id_dsa
debug3: no such identity: /home/zdenek/.ssh/id_dsa
debug2: we did not send a packet, disable method
debug3: authmethod_lookup keyboard-interactive
debug3: remaining preferred: password
debug3: authmethod_is_enabled keyboard-interactive

Jsem tam,kde jsem zacal.

ad TLAMIK.) V mem Gentoo se kompiluje vsechno,presto zkusim tu kompilaci projet znovu s defaultnim nastavenim,ale vypinam pouze podporu IPV6 Podle emerge pouzivam ssh-3.2.9.1-r1 a je tam vypnuta podpora -openssh , zrejme proto,ze openssh "is blocking net-misc/ssh-3.2.9...." Obe verze jsou shodne.

Prava kontroluji po kazde zmene klice,nekdy i casteji... Kdyz je nastavim spatne,tak mam prinejmensim hlasku v logu. Mam nastaven DEBUG 3 a stejne se nic duleziteho nedozvim a to ani na serveru. Maximalne pokus o pouziti klice a pak skok na dalsi moznost autentizace.

Holt jsem asi opravdu LAMA

V kazdem pripade jeste jednou dik vsem za trpelivost

[Tlamik]

nejak se mi nezdaji ty hlasky no such identity, zkousel si vygenerovat dsa typ klice ?

[skonciljsem]

Vypadá to, že se serveru ten tvůj klíč nelíbí. Pitomá až urážlivá otázka - nedal jsi do authorized_keys jiný, je to opravdu ten správný (id_rsa.pub, když privátní je id_rsa)?

[Zdeněk Štěpánek]

Zdravim

Zkus pouzivat dsa klice, jsou bezpecenjsi.

Mechanismus funguje tak ze pokud se na server logujes z user@host tak OpenSSH server se podiva do authorized_keys zda tam neni verejny klic od user@host. Pokud ano, tak vezme nejakej salt, zasifruje ho verejnym klicem a posle klientovi. Ten ho privatnim klicem desifruje a posle ho zpatky sevreru. Pokud puvodni salt a ten zasifrovany/odsifrovany jsou stejny tak je prihlaseni uspesne.

Z nasledujicich hlasek bych usuzoval ze odeslani zasifrovanehio slatu probehlo "send_pubkey_test", ale klient to bud ignoroval nebo spatne desifroval.

debug1: Offering public key: /home/zdenek/.ssh/id_rsa debug3: send_pubkey_test debug2: we sent a publickey packet, wait for reply

Zdenek

[petr_p]

Tak zbyva metoda puleni intervalu.

Vsechen stary balast smaz, udelej si novy par klicu, na tom stejnem stroji pridej id_dsa.pub do authorized_keys a vyzkousej to na localhostu. Pak prekopiruj oba klice na druhy stroj a take vyzkousej pres localhost. Pak to vyskouzej ze stroje A na B a pak z B na A (teoreticky by mely fungovat vsechny 4 variace).

[Zdenek Slama]

Vsechno jsem smazal a primo na serveru jsem vygeneroval klice, tentokrat DSA a pokusil jsem se prihlasit.

Opet neuspech. Jsem si temer jist,ze klice generuji spravne a pouzivam spravne klice pro server i klient. Take prava na obou systemech mam nastavena spravne. Uz mne nic nenapada

Jak s tim vsim sovisi rhost a PAM , Myslite,ze kdyz zakonmentuji uplne vsechno,tak sshd pouzije defaultni hodnoty ?, Jak s tim souvisi SSL,ktereho konfig jsem zahledl v /etc.... ?

Zkusim spustit SSHD na klientovi a otestuji logovani opacnym smerem..

[petr_p]

A zkousel jsi to na localhostu?

rhost s tim nijak nesouvisi (to je autentizace stroju), PAM muze, ale to by ti prislusny modul neco napsal do syslogu a neslo by ani prihlaseni pres heslo. SSL ma spolecnou jen libssl.so, ale zadne x509 certifikaty se tu nepouzivaji, takze ani konfigurace SSL s tim nesouvisi.

Pri defaultnim nastaveni sshd i ssh by autentizece verejnymi klici mela byt povolena.

[Zdenek Slama]

Hmm.. Evidentne mi nefunguje overovani klice a to ani na serveru,ani na klientovi, ani dokrize a ani dsa a rsa Protokol 2 Vzdy to konci hlaskou vzorek odeslan a hned nato skok na dalsi metodu password.

Kontroloval jsem jadra a zjistil jsem,ze nemam zkompilovanou podporu kryptovani,takze jsem ji dokompiloval na obou strojich....zadna zmena. Na klientovi jsem spustil sshdemona s defaultnim nastavenim. Bohuzel autentizace klicem neprobehne. Vzdy se snazim vyhazet stare klice a udelat nove, kvuli mozne zamene. Stejne mam klice bez passfrazi. Asi zkusim prihlaseni na Knoppix...

[Michal Marek (twofish)]

(Sorry že neporadím jak vyřešit problém)

Kontroloval jsem jadra a zjistil jsem,ze nemam zkompilovanou podporu kryptovani

Žádná podpora v jádře není pro SSH potřeba, leda že bys měl nějaký hardware co to umí a chtěl ho využít (např.). Normálně SSH používá implementace v knihovně. Šifrovací funkce v jádře jsou pro IPsec apod (tj. pro potřeby jádra).

[Zdenek Slama]

Neco delam VELMI spatne. Zkusil jsem se pripojit na knoppix i na Slax.

Gentoo<-->Knoppix Gentoo<-->Slax Knoppix<-->Slax a samozdrejme Slax>Slax .atd..... Vzdy spadnu do promptu password:

Tady jsem udelal zaznam krok po kroku, prosim najdete tam nekde tu chybu. Priznavam jsem LAMA.

zdenek@HP:~$ ssh-keygen -t dsa
Generating public/private dsa key pair.
Enter file in which to save the key (/home/zdenek/.ssh/id_dsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/zdenek/.ssh/id_dsa.
Your public key has been saved in /home/zdenek/.ssh/id_dsa.pub.
The key fingerprint is:
15:07:a5:70:66:b1:64:4f:06:e5:07:fc:2b:df:79:b7 zdenek@HP
zdenek@HP:~$

zdenek@HP:~$ pwd
/home/zdenek
zdenek@HP:~$ scp .ssh/id_dsa.pub zdenek@192.168.1.2:
The authenticity of host '192.168.1.2 (192.168.1.2)' can't be established.
RSA key fingerprint is a9:04:52:1e:b1:c7:3e:c0:5e:44:29:b0:db:3b:34:a5.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '192.168.1.2' (RSA) to the list of known hosts.
zdenek@192.168.1.2's password:
id_dsa.pub                                   100%  599     0.6KB/s   00:00
zdenek@HP:~$

zdenek@HP:~$ ssh zdenek@192.168.1.2
zdenek@192.168.1.2's password:
Linux 2.6.11.6.
zdenek@slax:~$ pwd
/home/zdenek
zdenek@slax:~$ cat id_dsa.pub > .ssh/authorized_key
zdenek@slax:~$

zdenek@slax:~$ ls -l .ssh
total 4
-rw-r--r--  1 zdenek users 599 May 17 22:00 authorized_key

zdenek@slax:~$ exit
logout
Connection to 192.168.1.2 closed.

zdenek@HP:~$ ls -l .ssh/
total 12
-rw-------  1 zdenek zdenek 672 May 17 22:55 id_dsa
-rw-r--r--  1 zdenek zdenek 599 May 17 22:55 id_dsa.pub
-rw-r--r--  1 zdenek zdenek 221 May 17 22:57 known_hosts

zdenek@HP:~$ ssh zdenek@192.168.1.2
zdenek@192.168.1.2's password:

Je to spojeni Knoppix-->Slax, tak snad konfigurace, ac defaultni by mela byt v poradku.

Diky vsem za ochotu. Je vydet,ze kdyz se clovek slusne a vecne zepta,tak se vzdy docka odpovedi.

PS: Neni nutno zaradit uzivatele do nejake specialni skupiny, nebo neco podobneho ? ...asi ne

[Andrei Badea]

Pokud pouzivate vychozi konfiguraci a nemenil jste parametr AuthorizedKeysFile v /etc/ssh/sshd_config, nemel by se soubor s klici na serveru nazyvat "authorized_keys" a ne "authorized_key"? Nebo je to zase preklep?

[skonciljsem]

Teď jsem se koukal a mám tam authorized_keys. Mám OpenSSH (tuším 3.8.1) nijak nepřekonigurované z instalačního balíčku.
Tazatel má, jak jsem pochopil nějakou jinou verzi, ale ta by snad měla Protokol 2 podporovat taky, ne?
Hele, zrovna mne napadá - já jsem nepoužil při generování klíče pasfrázi (či jak se to jmenuje), neví někdo chytřejší/vzdělanější, jak se fráze při přihlášení projeví?

[skonciljsem]

Měl jsem si napřed přečíst celou diskusi, ono je to od včerejška vyřešeno...

[Zdeněk Štěpánek]

Zdravim

Ja ve svych jadrech zadnou EXTRA podporu kryptovani nemam, tyhle veci vicemene nechavam standardni, asi je to jako moduly.

Konfigurak sshd muze byt defaultni, na slacku mi to s defaultnim chodi, jde mi to i na debian i na redhat-9. Na debianu nevim, ale na redhatu jsme byl prvni kdo tohle pouzil a zadne zasahy do konfigu jsem nedelal. Ani na strane serveru ani u klienta. Tak proste zkus vzit defaultni konfigy.

Jeste jedna vec, jestli to delas spravne. Kdyz das vygenerovat klic tak se te zepta na passfrazi. Kdyz ji jenom odentrujes tak to zadny heslo chtit nebude, kdyz tam neco das tak to chce heslo v kroku kdy server posle zasifrovanej salt a klient ji ma odsifrovat, bez spravneho hesla nic nedesifruje. Tak zkus tam nejaky heslo dat a jestli s ena nej zepta. Je to heslo pri prihlasovani Z TOHOTO pocitace, cili na vsechny komp ymuzes mit stejny heslo by se dalo rict.

Zdenek

[Zdenek Slama]

Chyba byla ...mezi klavesnici a zidli..... jak prekvapive. Pokud si vsimnete meho posledniho zapisu,tak

          cat id_dsa.pub > authorized_key je spatne !!
  Spravne cat id_dsa.pub > authorized_keys  

Jeste overim nekolika pokusy,jestli je to jedina chyba a pokud ne, tak uz dam pokoj

Dekuji vsem za spolupraci. Tento thread se da pouzit,jako ukazkovy...

[Michal Marek (twofish)]

No, co jsem říkal