Dotaz: jak na SCP s heslem

[Mojaaa]

Vim ze se toto resilo uz skoru vsude, ale v me situaci mi nepomuze vygenerovat klice, potrebuju skript, ktery mi rozesle muj program na rekneme 500 stanic. Klice jsou sice dobra vec, ale i tak bych je na ty stanice nejak musel dostat. Cili se bez scp s name / pass neobejdu.

Nevite nekdo o nejakem jinem reseni nez tam rucne jeden po druhem hrnout ten public key? diky

Odpovědi

[Josef Kufner]

Napadají mě nějaké možnosti, ale jsou jedna zvrhlejší než druhá...

1. Patchnout ssh clienta, aby se na heslo neptal a použil zakompilovaný string.
2. Nějak naskriptovat spouštění ssh a xtermu a mačkání kláves (xterm -geometry, sleep, xvkbd -text; možná jestli to neumí screen)
3. Existuje nějaký prográmek, co zvládne 2. myšlenku lépe, ale nemůžu si vzpomenout...

[Radovan Garabík]

ad 3: expect

[billgates]

Da sa pouzit napriklad PHP CLI skript, ktory sa vie pripojit na stdin scp-cka.

Tu je priklad funkcia, ktora zmeni heslo pomocou passwd:

function passwd_change($login,$pass)
{
  if(sec_check_login($login)!=0) return -2;
  $descriptorspec = array(
    0 => array("pipe", "r"),  // stdin is a pipe that the child will read from
    1 => array("pipe", "w"),  // stdout is a pipe that the child will write to
    2 => array("file", "/dev/null", "w") // stderr is a file to write to
  );
  $pr=proc_open(sprintf("/usr/bin/passwd --stdin %s",$login),$descriptorspec,$p);
  if(!is_resource($pr)) return -1;
  fwrite($p[0],sprintf("%s\n",$pass));
  return proc_close($pr);
}

[Michal Kubeček]

Opravdu jste zkoušel, jestli to s tím scp funguje? Kdyby ano, muselo by fungovat i prosté 'echo ... | scp ...'.

[Mojaaa]

takze jsem to nakonec poresil asi nejrychlejsi moznou metodou. Pouzil jsem na windowsech program winSCP, ktery jde pustit i z command line pomoci wincmp.com a napsat jednoduchy skript pro upload, viz http://winscp.net/eng/docs/scripting#console

za 5 minut bylo hotovo...

ale itak bych ocenil do budoucna nejake jiz hotove linuxove reseni.

diky

[Ash]

Jo winscp.exe umožńuje heslo i z příkazové řádky login:heslo@stroj. OpenSSH ne, asi to bylo z počátku bráno jako prostředek bezpečné komunikace, ne jen takové druhé rcp. Možná by to šlo naskriptovat podobně jako tady: Expect and SSH kde je expect použit asi místo ssh-agenta, jestli jsem to dobře pochopil. Jinak těch 500 účtů s přístupem jen přes heslo je docela dobrej fór :)

[Ash]

Python, scp wraper přímo v expectu, různá hesla, určitě když ještě zagooglujete tak toho vypadne hodně.

[Jirka]

Ještěže se tam nemusí logovat na dvakrát, že?

[Ash]

:D Vidíte, a zrovna tohle je dobrý příklad, kdy bych ssh na roota zakázal (jako pokus o obranu před rootem samotným:). Jak jste si mohl všimnout, program tam byl distribuován z Windows pomocí winscp.exe, s heslem braným z plaintextu. Pokud by se jednalo o root účet (což nevím), tak... asi chápete, že bezpečnost vyžaduje dodržování jistých pravidel, o nichž lidi z Redmondu mají zřejmě trochu jinou představu. Budeme doufat, že to byly alespoň virtuální Widle, nainstalované čistě za účelem tohoto jednoho excesu (následně smazány).

[Michal Kubeček]

Technická poznámka: WinSCP není dílo "lídí z Redmondu".

[Ash]

Jo měl jsem na mysli zabezpečení toho souboru s heslem. Nakonec v plaintextu se hesla ukládají leckde a leckam pro různé aplikace i v linuxu, jen přístup k těm souborům se imvho dá považovat za zabezpečenější (nic proti bezpečnosti ve Windows, je to jen můj názor).

[Mojaaa]

pouzil jsem to jen na nahrani verejneho klice, upload programu delam pres scp, jeho pousteni pak pres ssh

jinak pokud by nekoho zajimalo kde jsem vzal 500 pocitacu tak: http://www.planet-lab.org/

kazdopadne dekuju za cenne rady

[Ash]

Já si říkal co to asi je za cluster :)

[Martin Doucha]

Anička ze SUSE tohle nedávno řešila, takže se ten patch možná brzy objeví v OpenSSH.

[xkucf03]

Nebylo by lepší udělat si pro ten program balíček (.deb, .rpm)? Pak si založit úložiště (repository) a nechat ty stanice, aby si ten program samy stahovaly - stejně jako si stahují programy, které jsou součástí distribuce.

[Mojaaa]

ale zase budu resit to ze kazdou stanice si stahne ten repository a budu tam kde jsem byl pred tim

[the.max]

mozna to je mimo, ale zkus se podivat po CLRscript. bylo to ale pro win. Udelal jsi tam nejaky "skript" kam se dali zadat primo i hesla na ssh a ono se to pak konektrlo na linux a udelalo to to co melo.

[Mojaaa]

no uz jsem to poresil v batchu, kazdopadne ten CLRscript vypada hodne zajimave, pristi win script bude v nem