ssh ohne Passwort

[jakob]

Hi zusammen,

ich moechte mich auf einen Server verbinden ohne ein Passwort einzugeben. Dies soll aber nicht ueber ueber den pub Schluessel laufen.

Gibt es nicht irgendeine Moeglichkeit ssh serverIP -p passwort einzugeben?

Danke und Liebe Gruesse,

Jakob

[peschmae]

Nein.

mit -p möchtest du das eh nicht weil dann kann jeder auf deinem Computer einfach mit ps -aux gucken was dein Passwort ist.

Falls du das wirklich möchtest (ich bin aber wirklich für PublicKey) versuch mal expect. Das ist für so Sachen gemacht worden.

MfG Peschmä

[nil]

Dies soll aber nicht ueber ueber den pub Schluessel laufen.

warum, wenn man fragen darf.

[jakob]

Hi zusammen,

@peschmae: Danke fuer den Tipp, leider brauch' ich SSH

@nil: Ich habe ca. 25 Windowsserver auf welchem ein SSHDienst (http://sshwindows.sourceforge.net/) laeuft. Ich logge mich per ssh ueber die IP ein und kann einen pub Key erstellen, dieser wird aber unter user@hostname erstellt, also kann ich mich mit user@IP nicht einloggen. 2. Grund: Ich moechte nicht auf allen 25 Servern Key generieren und kopieren. Der Server von dem ich mich aus verbinde ist auch Windows also habe ich kein ssh-copy-id.

Was kann ich tun?

Liebe Gruesse,

Jakob

[nil]

@nil: Ich habe ca. 25 Windowsserver auf welchem ein SSHDienst (http://sshwindows.sourceforge.net/) laeuft.

gibt es keine Fernwartungstools für Windows?

Ich logge mich per ssh ueber die IP ein und kann einen pub Key erstellen, dieser wird aber unter user@hostname erstellt, also kann ich mich mit user@IP nicht einloggen.
2. Grund: Ich moechte nicht auf allen 25 Servern Key generieren und kopieren. Der Server von dem ich mich aus verbinde ist auch Windows also habe ich kein ssh-copy-id.

Vielleicht habe ich ja was mit der SSH-Key-Verwaltung falsch verstanden. Aber generell erzeugst du einen Key benutzer@adminplatz für das System, welches die Aufrufe startet (also dein Admin-Arbeitsplatz sagen wir mal), dann gibt es zwar auf jeden Zielsystem ein benutzer und dort trägt man zumindestens bei UNIX den Public-Key des benutzer@adminplatz in "authorized_keys" ein. Dieser Public-Key wird überall eingetragen und pesonalisierte Keys für die Zielsysteme brauchst du gar nicht.

[nepos]

Du erstellst lokal bei dir einen SSH-Key, den oeffentlichen Teil des Schluessels kopierst du dann immer auf die Zielsysteme und zwar immer in .ssh/authorized_keys des jeweiligen Nutzers, als den du dich anmelden willst.

[KBDCALLS]

SSH ohne Passwort oder Key ist meiner Meinung SSH absurd. Dann kann man sie sich schenken und einen Telnetzugang ohne Passwort einrichten.

[jakob]

Hi zusammen,

ich hab' das mal getestet. Leider muss ich immer noch das Passwort eingeben.

- keys lokal erzeugt: ssh-keygen -t rsa
- pub key auf die Remotmaschine kopiert.

Hier die Ausgabe beim Verbinden:

Code: Alles auswählen

debug1: Authentications that can continue: publickey,password,keyboard-interactive
debug3: start over, passed a different list publickey,password,keyboard-interactive
debug3: preferred publickey,keyboard-interactive,password
debug3: authmethod_lookup publickey
debug3: remaining preferred: keyboard-interactive,password
debug3: authmethod_is_enabled publickey
debug1: Next authentication method: publickey
debug1: Trying private key: /pfad/.ssh/identity
debug3: no such identity: /pfad/.ssh/identity
debug1: Offering public key: /pfad/.ssh/id_rsa
debug3: send_pubkey_test
debug2: we sent a publickey packet, wait for reply
debug1: Authentications that can continue: publickey,password,keyboard-interactive
debug1: Trying private key: /pfad/.ssh/id_dsa
debug3: no such identity: /pfad/.ssh/id_dsa
debug2: we did not send a packet, disable method
debug3: authmethod_lookup keyboard-interactive
debug3: remaining preferred: password
debug3: authmethod_is_enabled keyboard-interactive
debug1: Next authentication method: keyboard-interactive
debug2: userauth_kbdint
debug2: we sent a keyboard-interactive packet, wait for reply
debug1: Authentications that can continue: publickey,password,keyboard-interactive
debug3: userauth_kbdint: disable: no info_req_seen
debug2: we did not send a packet, disable method
debug3: authmethod_lookup password
debug3: remaining preferred:
debug3: authmethod_is_enabled password
debug1: Next authentication method: password

Danke und Liebe Gruesse,

Jakob

[KBDCALLS]

Esr kann doch keine Key finden, wie soll dass denn funktionieren.

Code: Alles auswählen

debug1: Trying private key: /pfad/.ssh/identity
debug3: no such identity: /pfad/.ssh/identity 

debug3: no such identity: /pfad/.ssh/identity
debug1: Offering public key: /pfad/.ssh/id_rsa 

debug1: Trying private key: /pfad/.ssh/id_dsa
debug3: no such identity: /pfad/.ssh/id_dsa 

Gibt es die Keys? Dann müssen sich der SSH Server und Client miteinanderer verstehen. Damit zum Beispiel Putty (Windows) und die OpenSSH (Linux) verbinden können reicht es nicht nur den Key von Putty zu kopieren sondern er muß ins richtige Format konvertiert werden.

Und das ist Nonsens

Ich moechte nicht auf allen 25 Servern Key generieren und kopieren

Die Public Keys müssen auf dem Client erstellt werden und werden dann auf den Server kopiert.

Und auf den Clients wird dann noch der

Code: Alles auswählen

ssh-agent

gebraucht.

[peschmae]

@peschmae: Danke fuer den Tipp, leider brauch' ich SSH

... und was?

MfG Peschmä

[jakob]

Hallo KBDCALLS,

Esr kann doch keine Key finden, wie soll dass denn funktionieren.

Code: Alles auswählen

debug1: Trying private key: /pfad/.ssh/identity
debug3: no such identity: /pfad/.ssh/identity 

debug3: no such identity: /pfad/.ssh/identity
debug1: Offering public key: /pfad/.ssh/id_rsa 

debug1: Trying private key: /pfad/.ssh/id_dsa
debug3: no such identity: /pfad/.ssh/id_dsa 

Er findet doch den id_rsa, oder?

Gibt es die Keys? Dann müssen sich der SSH Server und Client miteinanderer verstehen. Damit zum Beispiel Putty (Windows) und die OpenSSH (Linux) verbinden können reicht es nicht nur den Key von Putty zu kopieren sondern er muß ins richtige Format konvertiert werden.

Wie mache ich das?


Liebe Gruesse,

Jakob

[jakob]

Hi peschmae,

... und was?

MfG Peschmä

Mja, da habe ich dich wohl falsch verstanden. Du meinst ich soll mit dem Perl Modul (http://www.linux-magazin.de/Artikel/aus ... xpect.html) ein Script bauen, dass den Login umgeht, oder?

Liebe Gruesse,

Jakob

[peschmae]

Ich dachte eher an das Programm (und Paket) expect das den Login eingibt.

Aber Publickey ist immer noch erste Wahl

MfG Peschmä

[Wikinator]

ein gutes Tutorial für SSH-Keys gibt es hier. Wenn auch für SuSE, du kannst es leicht an debian anpassen.

[habakug]

@jakob

Wenn du wirklich die Schlüsselpaare verteilt hast...

Auf Client:

user@box:~$ ssh-agent $SHELL

user@box:~$ ssh-add ~/.ssh/id_dsa
(Passphrase eingeben)

...ab jetzt darfst du rein.

Der Admin des SSH-Servers muß es dir aber erlauben.
(Siehe "/etc/ssh/ssh_known_hosts"
und "PasswordAuthentication no",
sowie "PubkeyAuthentication yes".
Zur Sicherheit noch "PermitRootLogin no".)

Good luck, habakug

P.S. Die default-Einstellungen der SSH-Dämonen auf den verschiedenen Distributionen sind seltsam. Frag den Admin.

[KBDCALLS]

Um seinen Schlüssel oder die Schlüssel zu verteilen muß, er ja welche erstellen.

Code: Alles auswählen

ssh-keygen

[habakug]

@KBDCALLS

Was genau meinst du?
Ich zitiere jakob in diesem Thread:

ich hab' das mal getestet. Leider muss ich immer noch das Passwort eingeben.

- keys lokal erzeugt: ssh-keygen -t rsa
- pub key auf die Remotmaschine kopiert.

Gruß, habakug

[jakob]

Hi zusammen,

trotz der vielen guten Betraege komm' ich nicht ohne Passwd rein.

Hab' auf dem Client den rsa Schluessel erzeugt, den pub Key auf den Server kopiert und den Inhalt in die Datei authorized_keys geschrieben.

Auf dem Server sind diese Optionen gesetzt:

RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

Aber http://nopaste.debianforum.de/1815

Liebe Gruesse,

Jakob

[nil]

AuthorizedKeysFile .ssh/authorized_keys

sollte doch besser

Code: Alles auswählen

#AuthorizedKeysFile     %h/.ssh/authorized_keys

Ist Standard, wodurch das # stehen bleiben kann. Deine Angabe ist aber falsch, obwohl der Fehler wohl noch woanders liegen wird.