Dotaz: sshd - zakaz autentizace heslem

[Dan]

Je mozne zakazat prihlaseni heslem a pouzivat pouze klice?
V /etc/ssh/sshd_config to nevidim (jsem asi slepej).
OpenSSH_3.4p1 Debian 1:3.4p1-1.woody.3, SSH protocols 1.5/2.0, OpenSSL 0x0090603f

Odpovědi

[Petr]

A podivat se treba do manualovych stranek ?
PasswordAuthentication no

[Dan]

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no

...ja si to prelozil jako ze heslo nesmi byt prazdne.

[kocour]

jestli pouzivate PAM tak bude potreba jeste nastavit UsePAM no

[Michal Marek (twofish)]

A případně i PasswordAuthentication no na klientovi v ~/.ssh/config

[unchallenger]

Za normálních okolností ani jedno. UsePAM je defaultně vypnuté, takže leda že by sis ho zapnul. A to druhé je zbytečné -- server klientovi sdělí, na které metody autentizace je ochoten přistoupit.

[Michal Marek (twofish)]

Ale pokud je účelem nevyzradit heslo kompromitovanému serveru (OK, časem ho asi dostane z /etc/shadow, ale stejně...), tak bych nespoléhal na to, co server sdělí a na co přistoupí.

[unchallenger]

To má logiku pouze v případě, že máš na různých počítačích stejná hesla (pak je tvá uroveň paranoi stejně zcela nedostatečná). Nemáš-li stejná hesla, tak útočník ovládající sshd na serveru ovládá tvůj účet tak jako tak a heslo samo mu k ničemu není.

Ostatně já v případě, že nechci někam autentizaci heslem, navíc změním heslo na náhodné a zapomenu ho ;-) Jediný problém je, přihlašuješ-li se na ten účet i lokálně, pak se to takhle dělat nedá, ale to zase paranoik bude řešit nějakým klíčem na tokenu, kartou a pod.

[kocour]

Mozna na Debianu, u me na Gentoo je naopak UsePAM defaultne zapnute

[unchallenger]

V defaultní konfiguraci je vypnuté. Což nevylučuje, že si to nějaká distribuce změní.

[kocour]

To mate pravdu, ale resil se prece konkretni problem a ne nejaka hypoteticka situace. Puvodni tazatel psal, ze ma Debian = pravdepodobne nebude mit defaultni config. Proto mi prislo logicke ho upozornit na to, ze vypnout jenom PasswordAuthentication nemusi stacit a at pripadne zameri pozornost i na jine direktivy.

[Petr]

Tak asi mame rozdilne manualove stranky:
man sshd_config

Specifies whether passowrd authentication is allowed. The default is "yes".

[unchallenger]

Stejné.

# To disable tunneled clear text passwords, change to no here!

popisuje jinými slovy totéž.