Tips: passordløs SSH innlogging

[Linuxguru]

Først må du ha en offentlig nøkkel generert av ssh-keygen. Du kan generere flere typer nøkler basert på ulike krypteringsalgoritmer - i dette eksemplet bruker jeg rsa-nøkler:

 

% ssh-keygen -t rsa

 

I ~/.ssh/ ligger nå id_rsa.pub som er din offentlige nøkkel. Denne passer kun sammen med den private nøkkelen id_rsa SOM ALDRI MÅ OFFENTLIGGJØRES. Det du da gjør, er å gi bort din offentlige nøkkel til de du ønsker å autentisere deg med. I dette tilfellet en konto på en annen maskin.

 

På maskinen du ønsker passordløs innlogging over ssh på, tar du å oppretter filen ~/.ssh/authorized_keys. I denne limer du så inn innholdet i din id_rsa.pub (fra den andre maskinen) på en linje. Da skal passordløs innlogging over ssh virke.

 

Lykke til!

[Egil.B]

Det skal testes!

Forøvrig bør du kopiere det til FAQ-tråden.

[xeon]

det hørtes jo mystisk enkelt ut

[Egil.B]

Tror jeg fortsetter uten ssh-keys hos deg xeon. Det er vel tryggest

[slime mold]

Det er helt trygt å distribuere sin offentlige ssh-nøkkel. Så lenge det kun er du som har den private delen er det ikke så mye som kan gå galt

[Langbein]

Mulig jeg er en fjøsnisse som har misforstått noe, men jeg skummet raskt gjennom en OpenSSH guide fra IBM for en stund siden:

 

http://www-106.ibm.com/developerworks/linu...ary/l-keyc.html

 

Det er jo en lang beskrivelse over 3 sider som forteller om ssh-keygen og greier.

 

Det så så tungvint ut at jeg rett og slett ikke gadd, og fortsatte derfor å bruke vanlig passord-autentisering

 

Er det like greit/trygt å gjøre som Linuxguru har skrevet? Så ihvertfall langt mer behagelig ut.

 

Any expert opinions?

[Torbjørn]

rent sikkerhetsmessig er det sikrere med ssh-nøkler fordi man da ikke slenger ut passordet sitt i hytt og gevær. Teoretisk sett har man ingen garanti for at det er den hosten man tror som står i andre ende og får passordet ditt. Hvis man istedet lager sin egen ssh-nøkkel som aktiveres vha passord på egen maskin, så gir man bare passordet til egen host, før den lastet nøklen og sender den til hosten du skal inn på. hvis det var forståelig.

 

hvis man lager ssh-nøklen uten passord, så er man vel like langt igjen, men det er hvertfall lettvindt, og sålenge ingen andre har tilgang til din maskin, pleier jeg å synes at det er greit.

 

og det er virkelig ikke tungvint...

 

*) ssh-keygen -t dsa (svare på prompts)

*) scp .ssh/id_dsa.pub [email protected]:

*) ssh [email protected]

*) cat id_dsa.pub >> .ssh/authorized_keys

*) rm id_dsa.pub

 

og ferdig.

 

prøv selv og se hva som skjer. autentisering fra din maskin til some.host skjer når vha en privat nøkkel, ~/.ssh/id_dsa, mot en offentlig nøkkel, som ligger i some.host:~/.ssh/authorized_keys, hvor det selvsagt kan ligge flere nøkler

 

ønsker du å muliggjøre det samme andre veien også, er det bare å repetere fra den maskinen mot din maskin istedet.

[objorkum]

Nice! Funket fint.

[slime mold]

Hvis du fremdeles blir spurt om passord, pass på at andre brukere enn deg ikke har noen tilganger til authorized_keys.

[iDude]

En annen fin ting i kombinasjon med dette er "ssh-agent". På de fleste distroer blir ssh-agent startet sammen med vindusstyreren. Skriv "ssh-add" i terminalen, og du kan legge nøklene (med "passphrase" om du bruker det) inn i ssh-agent. Neste gang du prøver å logge inn på en annen maskin vha ssh slipper du å skrive "passphrase" til nøkkelen din. ssh-agent tar seg av autentiseringen...

 

 

PS: dsa-nøkler (laget med ssh-keygen -t dsa) lar deg ha et passord som beskytter nøkkelen din. I kombinasjon med ssh-agent/ssh-add kan du fremdeles ha passordløs innlogging. Bonusen med dette er at om noen skulle få tak i den private nøkkelen din, så er du sikret at de ikke kan bruke den da de ikke har passordet til den...

[slime mold]

Sikret og sikret, pass-frasen kan nok brute forces på ikke så veldig lang tid, men det er jo en terskel som gir en viss beskyttelse

[objorkum]

Noen som vet hvordan man fikser det i Putty?

[iDude]

Noen som vet hvordan man fikser det i Putty?

puttygen for å lage nøkler, pageant for å få funksjonalitet tilsvarende ssh-agent.

 

http://www.chiark.greenend.org.uk/~sgtatha...y/download.html