scp ohne passwörter?

[Stefan Hornbostel]

Hallo Liste :)

Daten kopiere ich mit "scp durch mein Netzwerk.
Nervig finde ich dabei, dass man eigentlich immer ein
Password verwenden muss.
Ist es machbar scp so zu konfigurieren, dass ich
zum kopieren keine Passwörter brauche??
--
--
Mfg
Stefan Hornbostel
http://bronx666.coderlinks.de

[Gerd-Christian Michalke]

Post by Stefan Hornbostel
Hallo Liste :)
Daten kopiere ich mit "scp durch mein Netzwerk.
Nervig finde ich dabei, dass man eigentlich immer ein
Password verwenden muss.
Ist es machbar scp so zu konfigurieren, dass ich
zum kopieren keine Passwörter brauche??

Jupp.

Geht ganz einfach:
http://www.cs.umd.edu/~arun/misc/ssh.html

MfG,
Gerd
--
------------------------------------------------------------------------
***@freegates.be \\_//
(. .) Powered by SuSE Linux 8.2
-------------------------------------oOOo-oOOo--------------------------

[Daniel Bauer]

Post by Stefan Hornbostel
Hallo Liste :)
Daten kopiere ich mit "scp durch mein Netzwerk.
Nervig finde ich dabei, dass man eigentlich immer ein
Password verwenden muss.
Ist es machbar scp so zu konfigurieren, dass ich
zum kopieren keine Passw=F6rter brauche??

Tach Stefan,

zuerst mit ssh-keygen einen Schl=FCssel generieren, danach den
Public-Key in die authorized-keys auf den jeweiligen Maschinen
eintragen. Die Dateien liegen in ~/.ssh. Danach werden alle SSH
Aktionen ohne Passwortabfrage ausgef=FChrt.


Gru=DF
Daniel

[Kristian Köhntopp]

Post by Stefan Hornbostel
Daten kopiere ich mit "scp durch mein Netzwerk.
Nervig finde ich dabei, dass man eigentlich immer ein
Password verwenden muss.
Ist es machbar scp so zu konfigurieren, dass ich
zum kopieren keine Passwörter brauche??

Ja. Ist es.

Die folgende Anleitung ist spezifisch für Suse Linux.

1. Generiere einen Key für Deine SSH.

$ ssh-keygen -t dsa -b 2048
... Password: ....

Du hast jetzt in ~/.ssh/id_dsa Deinen Private Key. Den läßt Du in Ruhe. Und in
~/.ssh/id_dsa.pub den Public Key.

2. Installiere den Public Key auf dem Zielrechner.

Dazu erzeugst Du auf dem Zielrechner im Home des Zielusers ein Verzeichnis
.ssh, falls es noch nicht existiert. Dort legst Du eine Datei
~/.ssh/authorized_keys an, an die Du den Inhalt der id_dsa.pub des Quellusers
vom Quellrechner anfügst.

$ cat ~/.ssh/id_dsa.pub | ssh ***@zielrechner "mkdir .ssh; cat >>
.ssh/authorized_keys"
Password: ...

3. Logge Dich testhalber auf dem Zielrechner als Zieluser ein.

ssh müßte nun nicht mehr nach dem Paßwort des Zielusers fragen, sondern nach
dem Paßwort des Keys, so wie Du es beim Anlegen des Keys eingegeben hast.

Du kannst das auch am Prompt erkennen.

4. Starte auf dem Quellrechner ssh-agent.

Speziell in Suse Linux ist dies schon vorbereitet. Du mußt lediglich in
~/.xsession die Variable "usessh" am Anfang des Scriptes auf "yes" setzen und
Dich neu einloggen.

5. Lade den Key in den ssh-agent.

$ ssh-add
Password: ...

Der Key ist nun Bestandteil des ssh-agent und da die gesamte X-Session am
Agent hängt, von allen Prozessen Deines X.

6. Logge Dich testhalber auf dem Zielrechner als Zieluser ein

ssh müßte nun nicht mehr nach Paßworten fragen.

7. Verwende fish

fish://***@zielrechner/home/zieluser/

im Konqueror oder jeder anderen KDE-Anwendung. fish verwendet intern implizit
ssh und scp. Du brauchst nur noch die Maus zu schubsen.

Kristian

[Thomas Hertweck]

[scp ohne Passwort]

Ich denke, bei der ganzen Geschichte sollte man aber eines bedenken:
So bequem es auch ist, man sollte genau ueberlegen, fuer welche Rech-
ner und fuer welche User man so ein scp oder auch ein ssh ohne Eingabe
eines Passwortes zulaesst. Wenn man naemlich quasi alle verfuegbaren
Rechner innerhalb eines Netzwerkes so ausstattet und einer davon wird
kompromitiert (z.B. wegen eines Security-Lochs), dann stehen alle an-
deren Rechner (die womoeglich eigentlich sicher waeren, weil dort das
Security-Loch nicht vorhanden ist) offen wie ein Scheunentor. Nur mal
so als Gedanke...

CU,
Th.

[Christian Boltz]

Hallo Thomas, hallo Leute,

Post by Thomas Hertweck

[scp ohne Passwort]

So bequem es auch ist, man sollte genau ueberlegen, fuer welche Rech-
ner und fuer welche User man so ein scp oder auch ein ssh ohne
Eingabe eines Passwortes zulaesst. Wenn man naemlich quasi alle
verfuegbaren Rechner innerhalb eines Netzwerkes so ausstattet und
einer davon wird kompromitiert (z.B. wegen eines Security-Lochs),
dann stehen alle an- deren Rechner (die womoeglich eigentlich sicher
waeren, weil dort das Security-Loch nicht vorhanden ist) offen wie
ein Scheunentor. Nur mal so als Gedanke...

Der Einwand ist nicht verkehrt ;-)

Allerdings halte ich das Risiko für vertretbar, wenn man den Key mit
einem Passwort schützt, das man dann einmalig per ssh-add eingibt.
Zur Erhöhung der Sicherheit kann man ja die "lifetime" angeben
(ssh-add -t xxx), dann wird der Schlüssel nach Ablauf dieser Zeit wieder
gesperrt.

Ein Angreifer hat dann prinzipiell zwei Möglichkeiten:
a) er muss das Passwort für den Key rausbekommen, was nicht einfacher
oder schwieriger ist als das Passwort für die einzelnen Rechner zu
knacken. Na gut, es ist nur ein Passwort für viele Rechner - im
Gegenzug dürfte der Key aber besser verschlüsselt sein ;-)
b) er muss den ssh-agent socket "entführen", sprich: $SSH_AUTH_SOCK
entsprechend setzen. [1] Dann kann er den Key nutzen, bis die
ssh-agent-Sitzung abgelaufen ist.

Andererseits: man kann ja die Aktionen, die mit dem Schlüssel auf dem
Zielrechner erlaubt sind, passend einschränken - das geht beim Zugriff
mit Passwort-Login AFAIK nicht. Bei passender Konfiguration erhält man
also einen Sicherheitsgewinn.


Gruß

Christian Boltz

PS: Keys _ohne_ Passwortschutz würde ich nicht empfehlen.

[1] Es gäbe noch eine Möglichkeit, die Sicherheit zu erhöhen: der
ssh-agent bzw. ssh könnte nachprüfen, ob er gerade im richtigen
Prozess oder einem Kindprozess davon (-> pstree) aufgerufen wurde.
Damit würde eine "Entführung" durch Setzen von $SSH_AUTH_SOCK wohl
verhindert werden, da AFAIK ein neues Login kein Kindprozess eines
bestehenden Logins sein kann.
Ich weiß allerdings nicht, ob die OpenSSH-Programmierer so was
basteln wollen - reicht jemand einen FeatureRequest ein?
Oder gibt es sowas schon und ich habs nur noch nicht gefunden?
--
Es kann dadurch
, daß der Rechner (
wenn er an Trenn
- zeichen umbricht [Ratti erklärt
) die falschen Stellen den Begriff
erwischt , zu ganz gräß "Plenken"
- lichen Effekten kommen in suse-linux]
!