Private Key

Z

Zervesa

Member
Hallo,

ich habe mir heute für meinen Server und meine angelegten User, das private Key System angelegt.

Nun habe ich da aber noch eine Frage bevor ich es aktiviere und mich total aussperre.

Ich benutze ein paar User mit sehr sicheren Passwörtern, möchte mich jedoch etwas davon trennen und auf den Private Key umsteigen.

Ich habe mir nun einen Private und Public Key mit Pass Phrase erstellt, und sie liegen in dem jeweiligem Ordner .ssh in der File authorized_keys.


Ich habe in der SSH Config login per Root aktiviert, weil ich sehen wollte ob ich damit reinkomme, und ja es klappt!


Wenn ich nun in der ssh config die Passwortanfrage abstelle.

Und mich per Root einloge mit dem Private key dann bin ich doch sofort drinnen? Oder würde er mich dann trotzdem noch nach dem alten Root Passwort fragen?

Könnte ja sein das ich das vorher noch komplett entfernen muss.

Und vor allem wie läuft das ganze mit WinSCP? Funktioniert das dann noch?
 
Du bist ohne PW drin. Mit WinSCP sollte es funktionieren, wenn du den Key mittels Pageant lädtst (auf windows).
 
Wenn der Private Key mit Passwort gesichert ist (was man auch tun sollte), dann benötigt man zum Login neben dem Key immer noch das Schlüsselkennwort.
 
Zervesa said:
...ich habe mir heute für meinen Server und meine angelegten User, das private Key System angelegt....
Und mich per Root einloge mit dem Private key dann bin ich doch sofort drinnen? Oder würde er mich dann trotzdem noch nach dem alten Root Passwort fragen? ...
Click to expand...
Wie schon bereits gesagt wurde, ja das funktioniert ohne System-PW sofern in der sshd-config "PermitRootLogin yes" gesetzt wurde. Ein kleiner Tipp evtl. noch, wenn mehrere User auf dem System unterwegs sind:

Ich würde "PermitRootLogin" generell auf "no" setzen. Damit ist nur noch ein Login erstmal als normaler User möglich. Dann lässt sich auch fein definieren wer "su" bzw. "sudo" ausführen also Root-Rechte in Anspruch nehmen darf. Hat weiterhin den Charm, dass Du besser in den Logs nachvollziehen kannst, wer tatsächlich Root-Rechte in Anspruch genommen hat.
 
TerraX said:
Wie schon bereits gesagt wurde, ja das funktioniert ohne System-PW sofern in der sshd-config "PermitRootLogin yes" gesetzt wurde. Ein kleiner Tipp evtl. noch, wenn mehrere User auf dem System unterwegs sind:

Ich würde "PermitRootLogin" generell auf "no" setzen. Damit ist nur noch ein Login erstmal als normaler User möglich. Dann lässt sich auch fein definieren wer "su" bzw. "sudo" ausführen also Root-Rechte in Anspruch nehmen darf. Hat weiterhin den Charm, dass Du besser in den Logs nachvollziehen kannst, wer tatsächlich Root-Rechte in Anspruch genommen hat.
Click to expand...

Ich benutze so gesehen nur 2 normale User auf dem System, und den Root.

Ich wollte nur in der sshdconf die Password Auth abschalten, damit garkein anmelden mit passwort mehr geht. Sondern nur noch per private und public key.

PermitRootLogin ist schon von anfang an auf yes. Also kein direkter Root Login möglich, nur per su als normaler user nach der anmeldung.

Ich komme nun auch mit den Usern per Private Key aufs System, außer mit Root direkt, da dies ja abgeschaltet ist. Nur die Frage bezieht sich auf die Passwort authentifizierung wenn ich diese abschalte verlangt er dann bei su auf Root trotzdem noch nach dem Root Passwort des Users Root? Oder genügt es dann, dass ich den Private Key und die Pass Phrase dazu besitze?
 
Zervesa said:
...PermitRootLogin ist schon von anfang an auf yes. Also kein direkter Root Login möglich, nur per su als normaler user nach der anmeldung...
Click to expand...
Das müsste dann aber "no" sein.

Zervesa said:
...
Ich komme nun auch mit den Usern per Private Key aufs System, außer mit Root direkt, da dies ja abgeschaltet ist. Nur die Frage bezieht sich auf die Passwort authentifizierung wenn ich diese abschalte verlangt er dann bei su auf Root trotzdem noch nach dem Root Passwort des Users Root? Oder genügt es dann, dass ich den Private Key und die Pass Phrase dazu besitze?
Click to expand...
Sofern auf dem Root-User ein PW gesetzt ist (i.d.R. der Fall) - ja, dann musst Du das bei su auf jeden Fall eingeben. Grob gesagt, SSH managed nur den Zugang zur Shell/Konsole, alles was danach passiert ist nicht mehr die Sache von SSH.
 
Root login deaktivieren:
$ sudo passwd -l root

Wenn Du dann mal eine root-Shell brauchst:
$ sudo -s

Was ich jetzt noch nicht verstanden habe: Loggst Du Dich nun mit privatem Schlüssel ein, der NICHT PW-gesichert ist oder mit PW-gesichertem Private Key?
 
ja um genau das ging es mir.

Versteh halt nicht warum viele raten man sollte in der sshconfig die passwortabfrage abschalten und auf private key umstellen, wenn danach bei su die interne passwortabfrage sowieso noch greift!?
 
Sicherheit ist eine Abwägung zwischen Komplexität, Risiko und Conveniance.
Keys haben ihre Daseinsberechtigung indem man mit dem gleiche (Entschlüssluns)passwort ganze Horden an jeweils mit unterschiedlichen Logins versehene Rechner steuern kann aber wie "su" sicherer sein soll als direkter Root-Login hat sich mir noch nie erschlossen. Das Einzige was es wirklich tut ist viele Skripte und Programme stören...

Passwort abschalten ist übrigens imho nicht die beste Idee. Ein sehr langes und sicheres Passwort generieren, drucken, ins Safe legen und nie verwenden. Bei Super-Gau (Verlust des Key) kann man sich dann noch immer einloggen...
Alternativ den Key auf QR-Codes drucken aber naja :D
 
d4f said:
... aber wie "su" sicherer sein soll als direkter Root-Login hat sich mir noch nie erschlossen. ...
Click to expand...
Hmm, hat auch IMHO keiner behauptet. Aber in bestimmten Mehrbenutzer-Umgebungen, wo auch mehrere Leute Root-Rechte benötigen, ist das 2-stufige Verfahren mit dem Zwang zu su besser nachvollziehbar.
 
Ja sicher. Wieso es aber in 0815 Tutorials als die ultimative Sicherheit angepriesen wird ist die Frage =)
Es ist aber auch möglich mehrere Superuser an zu legen - es gibt aber Probleme mit zB Programmen welche Benutzername statt UID vergleichen.
 
Wobei eine PW-Datenbank mit ausreichend starkem Passwort auf einem "sicheren" Drittsystem IMO auch eine gute Wahl sein kann, da viele Menschen ihre Passwörter recyclen und dann im häufigsten Falle (= Hack eines Drittanbieters) ein großes Problem haben.
Ist ein Trojaner auf dem eigenen System, kann dieser sowohl die Key files als auch die eingegebenen Passwörter auslesen. Gut, da beschränkt sich das Risiko darauf, dass wirklich nur die Passwörter ausgelesen werden können, die man zum Zeitpunkt der Infektion verwendet hat.

Und klar, noch viel sicherer sind Passwörter, welche man an einem sicheren Ort auf Papier verwahrt.
Ist eben - wie d4f schon sagte - immer eine Abwägung.

Ps: das soll nicht heißen, dass ich Passwortdatenbanken immer für toll und super halte, es kommt eben darauf an.
 
Was haltet ihr eigentlich von Fingerabdruckscannern, wenn man einen solchen besitzt könnte man seine PWs direkt auf diesen Speichern, und diese wären zugleich stark verschlüsselt.
 
You must log in or register to reply here.
Back
Top