SSH Keys

Ist zwar schon einige Jahre alt, aber evtl. hilft es dir ja:
http://www.strus.ch/ssh/

EDIT:
hab das $TOPIC falsch interpretiert. Diese anleitung ist dafür da, dass man sich paßwortlos über putty einloggen kann.
Die Keys unter /etc/ssh werden bei der Installation des ssh daemons automatisch erzeugt, die mußt du i.A. nicht mehr neu erzeugen.

Hi,

ein paar Ideen:

1) Du darfst für die Host-Keys keine Passphrase angeben
2) Der private-Key MUSS die Rechte 600 haben
3) Der public-Hostkey SOLL die Rechte 644 haben (der wird aber eigentlich gar nicht benutzt)
4) Die zum Key passende Protokollversion muss in der sshd_config aktiviert sein
5) Die Key-Namen müssen ebenfalls in der sshd_config bekannt gemacht werden.

Sieht so aus:

...
Protocol 2
# HostKeys for protocol version 2
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key
...

Du kannst den sshd mal so starten:

sshd -t (Test des Config-Files und der Key-Integrität)

oder auch

sshd -ddd -D (Debug-Level 3 und keine Dämonisierung)

dann siehst Du auf der Konsole und im Syslog was abgeht.

HTHH
Jürgen

Hi,

Zitat

Key ist not a RSA1 key

ich würde aus Sicherheitsgründen eh nur SSH Version 2 zulassen. (Eintrag "Protocol 2" in sshd.conf).
Und wenn schon ssh, dann auch ohne Password-Authentication, sondern nur mittels passphrase-geschütztem Key.

Vielleicht zu paranoid, mag sein. Aber schaden tut's nicht.

Ciao
Jürgen

Hab da mal ne DAU Frage...

Was machen die SSH-Keys, wozu sind die überhaupt dabei? Bei Mandrake habe ich ja auch keine...

XD

Hi,

also bei mir ergibt das sshd -ddd -D folgendes:

Zitat

debug1: Seeding random number generator
debug1: sshd version OpenSSH_3.0.2p1
debug3: Not a RSA1 key file /etc/ssh/ssh_host_rsa_key.
debug1: read PEM private key done: type RSA
debug1: private host key: #0 type 1 RSA
debug3: Not a RSA1 key file /etc/ssh/ssh_host_dsa_key.
debug1: read PEM private key done: type DSA
debug1: private host key: #1 type 2 DSA
debug1: Bind to port 22 on ::. Server listening on :: port 22.

Alles anzeigen

Er "meckert" zwar auch, dass er keine RSA1-Files findet, aber der ssh-Server startet trotzdem und arbeitet auch definitv nur nach Protokoll 2. Ist also nur informativ. Evtl. sogar falsch, da er ja auch den Typ 2 RSA-Key als "type 1 RSA" bezeichnet.

Die 3 Host-Key-Einträge sind
Type 1 RSA: /etc/ssh/ssh_host_key
Type 2 RSA: /etc/ssh/ssh_host_rsa_key
Type 2 DSA: /etc/ssh/ssh_host_dsa_key

wobei Type 1 RSA und Type 2 DSA eh defaultmäßig gesucht werden und deshalb in der sshd_config eigentlich auch weggelassen werden können (sofern man keine anderen Namen verwendet).

Ciao
Jürgen

Ahoi,

Zitat

Was machen die SSH-Keys, wozu sind die überhaupt dabei?

SSH (Secure SHell) ist ein Ersatz für telnel/rlogin/rsh etc., der sich dadurch auszeichnet, dass verschlüsselt kommuniziert wird und somit keine Paßwörter mitgeschnitten oder Verbindungen gehijacked werden können. Die Keys werden benötigt zum einen zur Identifikation ("spreche ich wirklich mit demjenigen, mit dem ich sprechen will?") und zum anderen zur Vereinbarung des Schlüssels, mit dem die Verbindung anschließend kryptiert wird.

Im Internet findet sich sicher eine Fülle an Informationen zu Funktionsweise und Ausgestaltung der diversen ssh-Implementierungen.

Bei Deinem Mandrake ist wahrscheinlich kein SSH-Server installiert, sonst hättest Du sicher Keys.

HTHH
Ciao
Jürgen

Und wozu brauch ein VDR sowas?

XD

Zitat

Und wozu brauch ein VDR sowas?

Solange Du sicher bist, dass Du auf Deine Systeme (VDR oder nicht, ist ja egal) immer nur
a) von vertrauenswürdigen (also sicher nicht gehackten oder mit durch Spyware o.ä verseuchten und mit Backdoors versehenen) Rechnern zugreifst
b) über einen sicheren Kommunikationsweg zugreifst

brauchst Du es natürlich nicht. Bist Du 100%ig sicher?

Aber schaden tut's ja nicht und mehr Aufwand als telnet ist's auch nicht (selbst mit pubkey-Authentication).

Ciao
Jürgen

Aha,
also bringt mir das eigentlich nur was, wenn ich von irgendeinem anderen Rechner zb über das Internet auf meinem VDR zugreifen will ja?

Wo kann man denn übrigens so einen Eigenen Schlüssel herbekommen?

XD

wie gesagt:

vertrauenswürdige Hosts UND vertrauenswürdige Kommunikationskanäle, dann würde ich's (vielleicht ) ohne machen.

Keys erzeugst Du mit ssh-keygen. Lies Dich am besten vorab mal etwas in die Materie ein. Es ist -finde ich- ein spannendes Thema (Alice und Bob und Blowfish und all diese Dinge...)

Ciao
Jürgen

Ok. Danke für deine vielen Infos.
Ich habe mich bisher nie damit befasst, wahrscheinlich gehöre ich zu den leichtgläubigen Usern die meinen: Ich hab ne Hardware-Firewall und nutze Linux, mir passiert schon nix...

Ich werde dann mal n bissl lesen tun.

XD