SSH root Login ohne Passwort



3

3df

Registered User
Hallo zusammen,

ich logge mich auf meinen Server per SSH Keys ein. Jemand der die Keys nicht auf seinem PC hat, kann sich dann als root mit dem root Passwort einloggen. Ist es möglich dies auszuschalten? so das man sich nur noch mit den Keys einloggen kann? und wenn jemand sich versucht einzuloggen der die Keys nicht hat, das die Verbindung dann nicht möglich ist?


Danke
 
Ja das ist möglich unter Debian ist es wie folgt:

Neuen user anlegen dem user mit keys versorgen und in der sshd config PermitRootLogin auf no setzten und schon ist der rootlogin verboten.
 
Das mit dem neuen Benutzer ist mir bekannt. Allerdings loggt er sich ja dann via den Keys ein, und nach der Eingabe von "su" muss ich ja dann das root Passwort eingeben, das zu merken ist nicht so toll. Deswegen dachte ich das man den root Login per Passwort ausschalten kann, und man sich dann nur noch via den Keys einloggen kann.
 
3df said:
Ich habe kein Putty weil ich mit MAC arbeite.
Click to expand...

Selber dran schuld...:p
Nein, nur ein bissel Sarkasmus, ich mag die Äpfel nicht ;)

Setz einfach PermitRootLogin auf no und gut isses. Dann kommst nur noch via Key rein und vom Sicherheitsaspekt her ist das mehr als ausreichend. SSH ist auf einem Server nicht wirklich der Hauptangriffsvektor :)
 
Jetzt habe ich das gerade gemacht, und er fragt mich nach einem Passwort, statt sich mit den Keys einzuloggen.

Zusätzlich habe ich dies noch geändert:

Code: 
vorher:
#AuthorizedKeysFile %h/.ssh/authorized_keys

nachher:
AuthorizedKeysFile %h/.ssh/authorized_keys
 
Last edited by a moderator:
was die Herrschaften oben anscheinend nicht verstehen ist das du su mit Keys statt Passwort ausführen möchtest.

Ich denke su kann man soweit nicht abändern aber evtl. sudo su mit Hilfe von pam_ssh
 
MadMakz said:
was die Herrschaften oben anscheinend nicht verstehen ist das du su mit Keys statt Passwort ausführen möchtest.
Click to expand...

Woher nimmst du diese Info?

3df said:
ich logge mich auf meinen Server per SSH Keys ein. Jemand der die Keys nicht auf seinem PC hat, kann sich dann als root mit dem root Passwort einloggen. Ist es möglich dies auszuschalten? so das man sich nur noch mit den Keys einloggen kann? und wenn jemand sich versucht einzuloggen der die Keys nicht hat, das die Verbindung dann nicht möglich ist?
Click to expand...

Er sagt, daß er sich (als root -> Schlußfolgerung aus dem zweiten Satz) mit Key einloggt, denn wenn jemand ohne Key (als root) connectet, muß er das root PW eingeben.
Und den root-Login mit PW will er deaktivieren.

So zumindest verstehe ich den Startpost...
 
Ja, richtig. Ich möchte mich als root einloggen, aber nur mit Keys. Wenn sich jemand versucht mit ohne Keys einzuloggen per root, dann soll der Server diese Verbindung ablehnen, also das es nicht mehr möglich ist sich mit dem root Passwort einloggen zu können.

Aber mit "PermitRootLogin" funktioniert es nicht.
 
Oh man...man sollte nicht einfach die Vorschläge anderer undurchdacht übernehmen :o

In der Datei "/etc/ssh/sshd_config" die Zeile

Code: 
PasswordAuthentication yes

in

Code: 
PasswordAuthentication no

ändern. Dann sollte nur noch Key-Login funktionieren.
 
"PasswordAuthentication" ist ja wieder was anderes als "PermitRootLogin" und ich habe eben PermitRootLogin auf no gesetzt, damit hat es jedenfalls nicht geklappt.
 
Last edited by a moderator:
3df said:
"PasswordAuthentication" ist ja wieder was anderes als "PermitRootLogin" und ich habe eben PermitRootLogin auf no gesetzt, damit hat es jedenfalls nicht geklappt.
Click to expand...

Geht auch nicht denn damit schaltest du für lediglich alle SSH benutzer die passwörter aus (wenn das nebenbei für dich so sein soll dann kannst du das übernehmen).
su wird aber weiterhin nach einem Passwort fragen weil SSH eben nichts mit interner Authentifizierung zu tun hat.

@nexus: Siehe Post #5. Er will su ausführen NACHDEM er via Key eingeloggt ist OHNE ein PASSWORT für das Kommando su zu benötigen sondern su ebenfalls nur einen Key zu geben. In der Shell gibts per default kein SSH-Auth/Key-Auth.

Sonstige alternative, neben pam_ssh, wäre NOPASSWD in /etc/sudoers für entsprechenden Benutzer od. Gruppe, das setzt dann aber wiederum eine Sicherheitsebene ausser Kraft.
 
Last edited by a moderator:
MadMakz said:
@nexus: Siehe Post #5. Er will su ausführen NACHDEM er via Key eingeloggt ist OHNE ein PASSWORT für das Kommando su zu benötigen sondern su ebenfalls nur einen Key zu geben.
Click to expand...

Einer von uns beiden versteht den TO nicht richtig...:o

Post #13:

3df said:
Ja, richtig. Ich möchte mich als root einloggen, aber nur mit Keys. Wenn sich jemand versucht mit ohne Keys einzuloggen per root, dann soll der Server diese Verbindung ablehnen, also das es nicht mehr möglich ist sich mit dem root Passwort einloggen zu können.
Click to expand...

Wenn ich richtig liege, dann reicht
Code: 
PasswordAuthentication no
um eine Fehlermeldung zu erzeugen. Bei PuTTY kommt dann folgendes:
Code: 
---------------------------
PuTTY Fatal Error
---------------------------
Disconnected: No supported authentication methods available
---------------------------
und der Login geht nur noch via Key
 
Das wurde in #3 Beantwortet
Code: 
PermitRootLogin without-password
Da er nur nach gefragt hat wie ROOT nicht via Passwort einloggen kann und nur mit Key.

Code: 
PasswordAuthentication no
Ist Benutzerübergreifend und wurde nicht gefragt, aber wie oben zu sehen habe ich OP gesagt das er das von dir übernehmen kann sofern er es wünscht.

Sein Hauptproblem seit #5 ist aber das er Lokal, nach der Anmeldung als Benutzer xy, z.B. su mit Key ausführen möchte und nicht mit Passwort.
 
Last edited by a moderator:
MadMakz said:
Sein Hauptproblem seit #5 ist aber das er Lokal, nach der Anmeldung, z.B. su mit Key ausführen möchte und nicht mit Passwort.
Click to expand...
nein, das steht da nicht.

Da steht nur, daß er nicht die "gern empfohlene Methode" "ssh -> user -> su -> root" nehmen will, weil das root-pw zu komplex ist und er deswegen "ssh -> root" mit KeyAuth nehmen will-
 
You must log in or register to reply here.
Back
Top