Регистрация Войти
Рейтинг:0
Federico Gentile avatar Ubuntu

Почему я могу подключиться к удаленной машине по SSH даже с неправильными ключами?

флаг fr
Federico Gentile

Описание: я создал ssh-соединение между моим ПК с Windows и Raspberry Pi. Для этого я выполнил следующие шаги:

Шаг 1: Каким-то образом получите IP-адрес Raspberry Pi. Должно быть примерно так: 192.168.1.52

Шаг 2: Откройте оболочку и получите доступ к Raspberry Pi через ssh:

ssh пи@192.168.1.52

Вам понадобится пароль.

Шаг 3: В домашнем каталоге удаленного компьютера используйте следующие команды:

мкдир .ssh

Шаг 4: Защитите ssh-соединение с помощью закрытого/открытого ключа. На локальном компьютере используйте следующие команды:

ssh-keygen -f .ssh/fede_windows -t rsa -b 4096

Если ваша локальная машина основана на Linux, запустите эту строку:

chmod 600 .ssh/fede_windows # если линукс

В заключение:

scp .ssh/fede_windows.pub [email protected]:.ssh

Шаг 5: На удаленном компьютере используйте следующие команды:

судо нано /etc/ssh/sshd_config

и измените следующие строки файла конфигурации:

ВызовОтветАутентификация нет
ПарольАутентификация нет
Использовать PAM нет

В заключение:

sudo systemctl перезагрузить sshd

Шаг 6: На удаленном компьютере используйте следующие команды:

кот ~/.ssh/fede_windows.pub >> ~/.ssh/authorized_keys
chmod 700 ~/.ssh/
chmod 600 ~/.ssh/*

Шаг 7: На локальном компьютере выполните эту команду, чтобы войти на удаленный:

ssh -i .ssh/fede_windows [email protected]

Проблема: Когда я снова выполняю все эти шаги на своем ПК с Ubuntu, генерируя на этот раз ключ с именем fede_ubuntu, похоже, что я могу подключиться к Raspberry Pi по ssh независимо от того, что я вставляю в команду:

ssh -i .ssh/fede_xyz [email protected]

Он работает все время, и этого не должно происходить, поскольку он должен быть ограничен только ключом, который я только что создал. Если я переключаюсь на свою машину с Windows, все работает, как и ожидалось, и работает только если я укажу правильный ключ.

Вопрос: Не могли бы вы предложить возможную причину этой проблемы и как ее исправить, пожалуйста?

РЕДАКТИРОВАТЬ: Введя следующую команду ssh -i .ssh/key_that_does_not_exits -v [email protected] Я получил:

Предупреждение: файл идентификации .ssh/key_that_does_not_exits недоступен: нет такого файла или каталога.
OpenSSH_8.2p1 Ubuntu-4ubuntu0.3, OpenSSL 1.1.1f 31 марта 2020 г.
debug1: Чтение данных конфигурации /etc/ssh/ssh_config
debug1: /etc/ssh/ssh_config строка 19: включение /etc/ssh/ssh_config.d/*.conf не соответствует ни одному файлу
debug1: /etc/ssh/ssh_config строка 21: Применение параметров для *
debug1: подключение к порту 22 192.168.1.52 [192.168.1.52].
отладка1: соединение установлено.
debug1: файл идентификации /home/federico/.ssh/id_rsa тип -1
debug1: файл идентификации /home/federico/.ssh/id_rsa-cert type -1
debug1: файл идентификации /home/federico/.ssh/id_dsa тип -1
debug1: файл идентификации /home/federico/.ssh/id_dsa-cert type -1
debug1: файл идентификации /home/federico/.ssh/id_ecdsa тип -1
debug1: файл идентификации /home/federico/.ssh/id_ecdsa-cert type -1
debug1: файл идентификации /home/federico/.ssh/id_ecdsa_sk тип -1
debug1: файл идентификации /home/federico/.ssh/id_ecdsa_sk-cert type -1
debug1: файл идентификации /home/federico/.ssh/id_ed25519 тип -1
debug1: файл идентификации /home/federico/.ssh/id_ed25519-cert type -1
debug1: файл идентификации /home/federico/.ssh/id_ed25519_sk тип -1
debug1: файл идентификации /home/federico/.ssh/id_ed25519_sk-cert тип -1
debug1: файл идентификации /home/federico/.ssh/id_xmss тип -1
debug1: файл идентификации /home/federico/.ssh/id_xmss-cert type -1
debug1: строка локальной версии SSH-2.0-OpenSSH_8.2p1 Ubuntu-4ubuntu0.3
debug1: удаленный протокол версии 2.0, удаленная версия программного обеспечения OpenSSH_7.9p1 Raspbian-10+deb10u2+rpt1
debug1: соответствие: OpenSSH_7.9p1 Raspbian-10+deb10u2+rpt1 pat OpenSSH* compat 0x04000000
debug1: Аутентификация на 192.168.1.52:22 как «пи»
debug1: SSH2_MSG_KEXINIT отправлен
debug1: SSH2_MSG_KEXINIT получен
debug1: kex: алгоритм: curve25519-sha256
debug1: kex: алгоритм ключа хоста: ecdsa-sha2-nistp256
debug1: kex: server->client шифр: [email protected] MAC: <неявное> сжатие: нет
debug1: kex: client->server шифр: [email protected] MAC: <неявное> сжатие: нет
debug1: ожидается SSH2_MSG_KEX_ECDH_REPLY
debug1: Ключ хоста сервера: ecdsa-sha2-nistp256 SHA256:hC5w2kDxgHH5eFRY1vOJaS7ipPR+8OWX2tkkEZbF194
debug1: Хост «192.168.1.52» известен и соответствует ключу хоста ECDSA.
debug1: найден ключ в /home/federico/.ssh/known_hosts:1
debug1: сменить ключ после 134217728 блоков
debug1: SSH2_MSG_NEWKEYS отправлено
debug1: ожидается SSH2_MSG_NEWKEYS
debug1: SSH2_MSG_NEWKEYS получен
debug1: повторный ввод после 134217728 блоков
debug1: попытается использовать ключ: federico@federico RSA SHA256:E96Hu2Ee+IyAuoZ06GxTvo+ZmAkzqfihbAKkFqxU1AU агент
debug1: попытается ввести ключ: /home/federico/.ssh/id_rsa 
debug1: попытается использовать ключ: /home/federico/.ssh/id_dsa 
debug1: попытается ввести ключ: /home/federico/.ssh/id_ecdsa 
debug1: попытается ввести ключ: /home/federico/.ssh/id_ecdsa_sk 
debug1: попытается ввести ключ: /home/federico/.ssh/id_ed25519 
debug1: попытается ввести ключ: /home/federico/.ssh/id_ed25519_sk 
debug1: попытается ввести ключ: /home/federico/.ssh/id_xmss 
debug1: SSH2_MSG_EXT_INFO получен
debug1: kex_input_ext_info: server-sig-algs=<ssh-ed25519,ssh-rsa,rsa-sha2-256,rsa-sha2-512,ssh-dss,ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2 -nistp521>
debug1: SSH2_MSG_SERVICE_ACCEPT получен
debug1: Аутентификации, которые могут продолжаться: открытый ключ, интерактивная клавиатура
debug1: следующий метод аутентификации: открытый ключ
debug1: Предлагая открытый ключ: federico@federico RSA SHA256:E96Hu2Ee+IyAuoZ06GxTvo+ZmAkzqfihbAKkFqxU1AU агент
debug1: сервер принимает ключ: federico@federico RSA SHA256:E96Hu2Ee+IyAuoZ06GxTvo+ZmAkzqfihbAKkFqxU1AU агент
debug1: аутентификация прошла успешно (открытый ключ).
Аутентифицирован по адресу 192.168.1.52 ([192.168.1.52]:22).
debug1: канал 0: новый [клиентский сеанс]
debug1: Запрос [email protected]
debug1: вход в интерактивный сеанс.
debug1: залог: сеть
debug1: client_input_global_request: rtype [email protected] want_reply 0
debug1: Удаленный: /home/pi/.ssh/authorized_keys:2: параметры ключа: агент-переадресация переадресация портов pty user-rc x11-forwarding
debug1: Удаленный: /home/pi/.ssh/authorized_keys:2: параметры ключа: агент-переадресация переадресация портов pty user-rc x11-forwarding
debug1: среда отправки.
debug1: Отправка env LC_ADDRESS = it_IT.UTF-8
debug1: Отправка env LC_NAME = it_IT.UTF-8
debug1: Отправка env LC_MONETARY = it_IT.UTF-8
debug1: Отправка env LC_PAPER = it_IT.UTF-8
debug1: отправка env LANG = en_US.UTF-8
debug1: отправка env LC_IDENTIFICATION = it_IT.UTF-8
debug1: Отправка env LC_TELEPHONE = it_IT.UTF-8
debug1: Отправка env LC_MEASUREMENT = it_IT.UTF-8
debug1: Отправка env LC_TIME = it_IT.UTF-8
debug1: Отправка env LC_NUMERIC = it_IT.UTF-8
Последний вход: вс 22 августа 22:26:00 2021 с 192.168.1.197
151
1 + 2
флаг cc
ubfan1
Возможно, вы берете файл идентификации для каждого хоста из вашей конфигурации - вам разрешено несколько.
1
Ответить
Federico Gentile avatar
флаг fr
Federico Gentile
@ubfan1 спасибо за ваш комментарий! не могли бы вы уточнить немного больше, пожалуйста? практически говоря, что я должен изменить в файле конфигурации?
0
Ответить
Рейтинг:4
vidarlo avatar Ubuntu
флаг om
vidarlo

Команда кот ~/.ssh/fede_windows.pub >> ~/.ssh/authorized_keys добавляет ключ к авторизованные_ключи, он не заменяет того, что уже есть.

К заменять все старые ключи, беги кошка foobar.pub > ~/.ssh/authorized_keys. Это урежет файл, а затем добавит новую информацию.

Вы можете добавить столько ключей, сколько хотите. Для проверки просто откройте файл в текстовом редакторе и посмотрите на содержимое.

Возможность иметь много ключей на самом деле является функцией безопасности. Это означает, что вы можете использовать разные ключи с разных компьютеров, и если компьютер потерян, вам нужно удалить только скомпрометированные ключи, а не все ключи.

0 + 12
Federico Gentile avatar
флаг fr
Federico Gentile
Спасибо за Ваш ответ! Ну, моя идея заключалась в том, чтобы сохранить оба ключа, я не хочу удалять ключ Windows, потому что я все еще хочу использовать его, когда использую свою машину с Windows. Если я использую вашу команду, я удалю ключ Windows и заменю его на Ubuntu, верно?
0
Ответить
vidarlo avatar
флаг om
vidarlo
Тогда ничего не делайте. Вы можете добавлять и удалять ключи столько раз, сколько захотите.
0
Ответить
Federico Gentile avatar
флаг fr
Federico Gentile
извините, но это меня смущает. Если я ничего не делаю, то у меня все еще есть проблема, что по какой-то неизвестной причине я могу ssh с машины Ubuntu даже с неправильным ключом. Как ваш ответ решает мою проблему?
0
Ответить
vidarlo avatar
флаг om
vidarlo
`>>` *добавляет* содержимое в файл. Вы добавили оба ключа. Откройте файл в текстовом редакторе и проверьте его; он покажет оба ключа. Удалите тот, который вам не нужен.
0
Ответить
Federico Gentile avatar
флаг fr
Federico Gentile
ммм ... я проверил файл, и у меня есть 2 ключа: 1 для моего ПК с Windows (который я все еще хочу использовать для ssh моей малины) и 1 для моего ПК с Ubuntu (который я также хочу сохранить для ssh в мою малину) . Когда у меня есть оба из них, я в основном могу подключиться по ssh к моей Raspberry Eve с несуществующими ключами. Например, если я наберу «ssh -i .ssh/key_that_does_not_exist [email protected]», он автоматически получит доступ к малине! Это должно быть невозможно
0
Ответить
vidarlo avatar
флаг om
vidarlo
Отредактируйте свой вопрос с выводом `ssh -v user@host`, чтобы увидеть, какой ключ фактически отправлен.
0
Ответить
Federico Gentile avatar
флаг fr
Federico Gentile
Я добавил вывод, как было предложено :)
0
Ответить
vidarlo avatar
флаг om
vidarlo
Он берет ранее использованный ключ из [`ssh-agent`](https://en.wikipedia.org/wiki/Ssh-agent).
0
Ответить
Federico Gentile avatar
флаг fr
Federico Gentile
о, я вижу так практически говоря, что я должен изменить? Что-то в sshd_config?
0
Ответить
vidarlo avatar
флаг om
vidarlo
Почему вы хотите изменить, если он работает так, как вы хотите?
0
Ответить
Federico Gentile avatar
флаг fr
Federico Gentile
Но если я могу ssh даже с несуществующими ключами, это очень опасно, потому что это будет означать, что мне вообще не нужен ключ. В этом проблема моего вопроса: «Почему я могу использовать SSH на удаленной машине даже с неправильными ключами?» Моя машина с Windows может правильно использовать ssh. Моя машина с Ubuntu может использовать ssh даже с неправильными или несуществующими ключами. А этого не должно быть.
0
Ответить
vidarlo avatar
флаг om
vidarlo
Потому что ssh-agent кэширует ключ и использует его для аутентификации. https://stackoverflow.com/questions/25464930/how-can-i-remove-an-ssh-key
0
Ответить
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.