SSH-Snake stiehlt SSH-Schlüssel (mein pw problem gelöst)

[whisper]

Ein wenig aufgeschreckt hat mich der Artikel
https://www.borncity.com/blog/2024/02/2 ... -schlssel/

Nun dachte ich, wird wohl Zeit endlich meinen private Key mit einem Password zu schtüzen.
Schliesslich bin ich viel auf meinem Server und per VPN unterwegs.


Ich habe mir also ein Passwort gesetzt:

Code: Alles auswählen

ssh-keygen -p -f id_ed25519

Dann mit

Code: Alles auswählen

ssh-add -D

den cache glöscht.
Folgerichtig werde ich nun durch

aufgefordert mein key passwort einzugeben.
Das mache ich und alles ist prima, wenn ich meinen Alias benutze.
Soweit so gut.
Nur, wenn ich auf abbrechen klicke....

$ N
sign_and_send_pubkey: signing failed for ED25519 "/home/bed/.ssh/id_ed25519" from agent: agent refused operation
Linux example.de 6.1.0-17-amd64 #1 SMP PREEMPT_DYNAMIC Debian 6.1.69-1 (2023-12-30) x86_64

Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
You have no mail.
Last login: Sun Feb 25 09:11:45 2024 from q.r.s.t
root@example.de ~#

Dann wird die Verbindung dennoch aufgebaut. WTF

Was ist das denn?
service sshd restart hilft nicht.
Jetzt habe ich mehrfach probiert. Allerdings noch kein reboot, aber das dürfte auch nicht helfen.

[niemand]

service sshd restart hilft nicht.

Normal: dafür ist ssh-agent.service (Obacht: läuft im Userbereich) zuständig, nicht sshd.service. Beim Reboot sollte der Schlüssel aber auf jeden Fall weg sein.

Allerdings sollte ssh-add -D den entfernen – mal mit anschließend mit ssh-add -L nachgeschaut? Dort sollte sowas wie „The agent has no identities.“ rauskommen.

Hast du zufällig den alten, ungeschützten Key noch unter ~/.ssh liegen? Wenn ja, kann’s auch sein, dass einfach der genommen worden ist.

[whisper]

Moin,

Den ssh-agent.service habe ich nicht.

ssh-add -L
Zeigt tatsächlich einige, trotz -D

Aber ich danke dir für dein hervorragendes Gespür.
Mit ssh -v
habe ich es gleich gesehen

Code: Alles auswählen

/home/bed/.ssh/id_ed25519_sk

wurde genommen und der hat kein password.

weg gemoved und nun gehts so wie erwatet, der server fordert password an.
Puh
Ehrlich, ich dachte nicht, dass private Keys mit *_sk irgendeine Funktion haben.

Danke dir

[niemand]

Den ssh-agent.service habe ich nicht.

Mit einiger Sicherheit, allerdings ist’s, wie geschrieben, im Userspace. Ein systemctl-Aufruf wäre entsprechend mit --user zu versehen. Leider weiß ich nicht, wie es an service zu übergeben ist, das du da nutzt, sonst hätte ich das direkt hingeschrieben.