Dotaz: ssh - klíč nahraný - přesto se bez hesla nepřihlásím - chce to heslo

[gepard]

Ahoj, řeším problém s bezheslovým přihlášením na server pomocí mého veřejného klíče nahraného na server.
Kolegovi to funguje, mě ne, stále to po mně chce heslo.
Vygeneroval jsem to pomocí "ssh-keygen -t rsa"
Zkopíroval obsah "~/.ssh/id_rsa.pub" do "authorized_keys" na server pod uživatele, kterým se hlásím.
- nefungovalo, nepřihlásil jsem se bez klíče
Dále jsem zkopírovaný klíč z "authorized_keys" na serveru smazal
a nahrál jej tam pomocí "ssh-copy-id jmenouziv@10.0.0.20"
- také nefungovalo, nepřihlásil jsem se bez hesla, stále to po mě chce heslo.
Co může být blbě? Kolegovi to jede.

---

---

Odpovědi

[fedorac]

muj tip je /etc/ssh/sshd_config odhesovat #PubkeyAuthentication yes

[gepard]

Na serveru nebo na klientovi?

[gepard]

Na serveru povolené je, kolegovi to funguje.
Na klientovi jsem to teď povolil (byť to je podle mě nesmysl), ale nepomohlo.

[Milan Uhrák]

příkaz ssh -v( -vv) (-vvv) -iklč.rsa gepard@x.x.x.x vám odhalí příčinu -zaloguje- , proč váš klíč není funkční ..

[gepard]

debug1: Next authentication method: publickey
debug1: Offering public key: /home/test/.ssh/id_rsa RSA SHA256:d1lwzO4jf91tw150IgHz71Y5iw+v4fTdXhgSvjvba4eC explicit
debug1: send_pubkey_test: no mutual signature algorithm
debug2: we did not send a packet, disable method
debug3: authmethod_lookup password
debug3: remaining preferred: ,password
debug3: authmethod_is_enabled password
debug1: Next authentication method: password

[gepard]

Tak vyřešeno. V nejnovějším buildu Ubuntu 22.04 je ssh-rsa nastavené jako deprecated.
Dá se to povolit v konfigu: /etc/ssh/ssh_config
a přidat tam řádek: PubkeyAcceptedKeyTypes +ssh-rsa

[Milan Uhrák]

++

[lertimir]

Se ssh mohou nastat problémy v případech, kdy je dosti velká vzdálenost mezi verzemi na klientu a serveru, typicky mezi rolling distribucí a nějakou velmi konzervativní. V roce 16 jsem řešil nemožnost připojování mezi serverem na CentOSu a klientem na Archu. Po delším boji byl problém identifikován tak, že Arch podporovou pouze HMAC s etm (Encrypt-than-MAC) kdežto CentOSu pouze MAC-then-Encrypt.

[alkoholik]

IMHO tam potrebujes poladit KexAlgorithms nebo PubkeyAcceptedKeyTypes.
Misto RSA zkus radeji ed25519.

[gepard]

jo, díky, tohle pomohlo: "ssh-keygen -t ed25519"

[Host]

Měl jsem podobný problém s přihlašováním na nový AlmaLinux9.1(RHEL9.1)
Pomohlo nastavit délku RSA klíče na hodnotu větší než 2048 bitů.
Je to nová vlastnost viz zde https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/9/html/9.1_release_notes/new-features
crypto-policies enforce 2048-bit RSA key length minimum for OpenSSH by default Using short RSA keys makes the system more vulnerable to attacks. Because OpenSSH now supports limiting minimum RSA key length, the system-wide cryptographic policies enforce the 2048-bit minimum key length for RSA by default.

[k3dAR]

tak s RSA sem uz roky pouzival jen maximalni 4096b, pred par mesici pak presel na zminovany ed25519...

[k3dAR]

BTW: vhodnost nastaveni se da otestovat napr. https://www.ssh-audit.com
plus tam vycist informace jak to nastavit vhodneji

[vopravar]

ssh -vv -i -klic- nekdo@nekde

a prohledni si proc to ten klic nechce.