Privater Schlüssel und öffentlicher Schlüssel im selben Verzeichnis führen dazu, dass SSH fehlschlägt

Question 1

Ich konnte Ihre Symptome reproduzieren, indem ich einen öffentlichen und einen privaten Schlüssel verwendete, die nicht zueinander passten. Selbst wenn beide Schlüssel von authorized_keys zugelassen werden, schlägt die Anmeldung fehl, wenn der öffentliche und der private Schlüssel nicht übereinstimmen.

Soweit ich das beurteilen kann, passiert Folgendes.

Client-Hinweis, dass der private Schlüssel verschlüsselt ist
Der Client hat die öffentliche Schlüsseldatei gelesen
Der Client bietet dem Server diesen Schlüssel an
Server akzeptiert den öffentlichen Schlüssel
Client fordert zur Eingabe eines Passworts auf
Benutzer gibt Passwort ein
Der Client setzt die Authentifizierung mit einem nicht übereinstimmenden privaten Schlüssel fort.

Wenn Sie den öffentlichen Schlüssel entfernen, fragt der Client nach einem Passwort, ohne zu wissen, ob der Server den Schlüssel akzeptiert. Das bedeutet, dass Sie möglicherweise aufgefordert werden, das Passwort für einen privaten Schlüssel einzugeben, nur um dann festzustellen, dass der Server es sowieso nicht akzeptiert.

Answer

Ich konnte Ihre Symptome reproduzieren, indem ich einen öffentlichen und einen privaten Schlüssel verwendete, die nicht zueinander passten. Selbst wenn beide Schlüssel von authorized_keys zugelassen werden, schlägt die Anmeldung fehl, wenn der öffentliche und der private Schlüssel nicht übereinstimmen.

Soweit ich das beurteilen kann, passiert Folgendes.

Client-Hinweis, dass der private Schlüssel verschlüsselt ist
Der Client hat die öffentliche Schlüsseldatei gelesen
Der Client bietet dem Server diesen Schlüssel an
Server akzeptiert den öffentlichen Schlüssel
Client fordert zur Eingabe eines Passworts auf
Benutzer gibt Passwort ein
Der Client setzt die Authentifizierung mit einem nicht übereinstimmenden privaten Schlüssel fort.

Wenn Sie den öffentlichen Schlüssel entfernen, fragt der Client nach einem Passwort, ohne zu wissen, ob der Server den Schlüssel akzeptiert. Das bedeutet, dass Sie möglicherweise aufgefordert werden, das Passwort für einen privaten Schlüssel einzugeben, nur um dann festzustellen, dass der Server es sowieso nicht akzeptiert.

Question 2

Dies kann ein Fehler in OpenSSH sein oder der Schlüssel im Server authorized_keysund Ihr privater Schlüssel passen nicht zusammen. Wenn die Authentifizierung erfolgreich ist, erhalten Sie

debug1: identity file ./id_rsa type -1

Das bedeutet, dass OpenSSH in dieser Phase die Identitätsdatei (ich glaube den öffentlichen Schlüssel) nicht laden kann. Im Quellcode im Teil zum Laden des Schlüssels gibt es diesen Ausschnitt ( authfile.c):

/* try ssh2 public key */
pub = key_new(KEY_UNSPEC);
if (key_try_load_public(pub, filename, commentp) == 1)
    return pub;
if ((strlcpy(file, filename, sizeof file) < sizeof(file)) &&
    (strlcat(file, ".pub", sizeof file) < sizeof(file)) &&
    (key_try_load_public(pub, file, commentp) == 1))
    return pub;

Das bedeutet, dass OpenSSH versucht, den im -iParameter + ".pub" angegebenen öffentlichen Schlüssel zu laden und wie im Protokoll angegeben erfolgreich ist. Ohne den öffentlichen Schlüssel mit der Endung ".pub" im aktuellen Verzeichnis schlägt dies fehl. Später bei der Authentifizierung ( sshconnect2.c):

/*
 * send a test message if we have the public key. for
 * encrypted keys we cannot do this and have to load the
 * private key instead
 */
    if (id->key && id->key->type != KEY_RSA1) {
        debug("Offering %s public key: %s", key_type(id->key),
            id->filename);
        sent = send_pubkey_test(authctxt, id);
    } else if (id->key == NULL) {
        debug("Trying private key: %s", id->filename);
        id->key = load_identity_file(id->filename);
        if (id->key != NULL) {
            id->isprivate = 1;
            sent = sign_and_send_pubkey(authctxt, id);
            key_free(id->key);
            id->key = NULL;
        }
    }

Wenn der öffentliche Schlüssel vorhanden war, sendet OpenSSH ihn als Testnachricht (?), was aus irgendeinem Grund fehlschlägt. Ohne vorinstallierten öffentlichen Schlüssel wird es mit dem privaten Schlüssel versucht und erfolgreich sein.

Ich weiß nicht, warum der Fehler mit dem öffentlichen Schlüssel auftritt (wenn ich Zeit habe, werde ich versuchen, mehr herauszufinden). Es gibt möglicherweise eine Nichtübereinstimmung bei der .ssh/Verarbeitung der Dateien im Vergleich zu anderen Pfaden, oder es gibt letztendlich eine Nichtübereinstimmung mit Ihren Schlüsseln.

Answer

Dies kann ein Fehler in OpenSSH sein oder der Schlüssel im Server authorized_keysund Ihr privater Schlüssel passen nicht zusammen. Wenn die Authentifizierung erfolgreich ist, erhalten Sie

debug1: identity file ./id_rsa type -1

Das bedeutet, dass OpenSSH in dieser Phase die Identitätsdatei (ich glaube den öffentlichen Schlüssel) nicht laden kann. Im Quellcode im Teil zum Laden des Schlüssels gibt es diesen Ausschnitt ( authfile.c):

/* try ssh2 public key */
pub = key_new(KEY_UNSPEC);
if (key_try_load_public(pub, filename, commentp) == 1)
    return pub;
if ((strlcpy(file, filename, sizeof file) < sizeof(file)) &&
    (strlcat(file, ".pub", sizeof file) < sizeof(file)) &&
    (key_try_load_public(pub, file, commentp) == 1))
    return pub;

Das bedeutet, dass OpenSSH versucht, den im -iParameter + ".pub" angegebenen öffentlichen Schlüssel zu laden und wie im Protokoll angegeben erfolgreich ist. Ohne den öffentlichen Schlüssel mit der Endung ".pub" im aktuellen Verzeichnis schlägt dies fehl. Später bei der Authentifizierung ( sshconnect2.c):

/*
 * send a test message if we have the public key. for
 * encrypted keys we cannot do this and have to load the
 * private key instead
 */
    if (id->key && id->key->type != KEY_RSA1) {
        debug("Offering %s public key: %s", key_type(id->key),
            id->filename);
        sent = send_pubkey_test(authctxt, id);
    } else if (id->key == NULL) {
        debug("Trying private key: %s", id->filename);
        id->key = load_identity_file(id->filename);
        if (id->key != NULL) {
            id->isprivate = 1;
            sent = sign_and_send_pubkey(authctxt, id);
            key_free(id->key);
            id->key = NULL;
        }
    }

Wenn der öffentliche Schlüssel vorhanden war, sendet OpenSSH ihn als Testnachricht (?), was aus irgendeinem Grund fehlschlägt. Ohne vorinstallierten öffentlichen Schlüssel wird es mit dem privaten Schlüssel versucht und erfolgreich sein.

Ich weiß nicht, warum der Fehler mit dem öffentlichen Schlüssel auftritt (wenn ich Zeit habe, werde ich versuchen, mehr herauszufinden). Es gibt möglicherweise eine Nichtübereinstimmung bei der .ssh/Verarbeitung der Dateien im Vergleich zu anderen Pfaden, oder es gibt letztendlich eine Nichtübereinstimmung mit Ihren Schlüsseln.

Question 3

Ich bin fast sicher, dass es ein Berechtigungsproblem ist. Überprüfen Sie die Ordnerberechtigungen, um sicherzustellen, dass es nicht „ 770but“ 740oder etwas Ähnliches ist. Wenn Sie das Verzeichnis nicht verwenden, .sshkönnte dies leicht das Problem verursachen, das Sie haben.

Zum Korrigieren verwenden Sie chmod o-w /root. IhöchstWir empfehlen, für diese Schlüssel einen dedizierten Ordner zu verwenden, da die Berechtigungseinstellungen für Home-Ordner schwierig sind.

Answer

Ich bin fast sicher, dass es ein Berechtigungsproblem ist. Überprüfen Sie die Ordnerberechtigungen, um sicherzustellen, dass es nicht „ 770but“ 740oder etwas Ähnliches ist. Wenn Sie das Verzeichnis nicht verwenden, .sshkönnte dies leicht das Problem verursachen, das Sie haben.

Zum Korrigieren verwenden Sie chmod o-w /root. IhöchstWir empfehlen, für diese Schlüssel einen dedizierten Ordner zu verwenden, da die Berechtigungseinstellungen für Home-Ordner schwierig sind.

Privater Schlüssel und öffentlicher Schlüssel im selben Verzeichnis führen dazu, dass SSH fehlschlägt

Antwort1

Antwort2

Antwort3

verwandte Informationen