☰

Autenticação baseada em host OpenSSH - mm_answer_keyallowed: a chave 0x58c400 não é permitida

tag-icon • tag-icon linux ssh
Autenticação baseada em host OpenSSH - mm_answer_keyallowed: a chave 0x58c400 não é permitida

Estou tentando configurar a autenticação baseada em host para um pequeno subconjunto de hosts. Acho que tenho todos os meus patos seguidos:

  • Copiou as chaves públicas para o /etc/ssh/ssh_known_hostsarquivo
  • Coloque todos os hosts em/etc/shosts.equiv
  • Habilitado HostbasedAuthenticationem /etc/ssh/sshd_confige/etc/ssh/ssh_config
  • Configure o /usr/lib64/ssh/ssh-keysignbinário e configure EnableSSHKeysign yesno /etc/ssh/ssh_configarquivo nos clientes.

No entanto, ainda não funciona. Executando o servidor no modo de depuração, recebo a seguinte saída:

debug1: attempt 0 failures 0
debug3: mm_getpwnamallow entering
debug3: mm_request_send entering: type 6
debug3: monitor_read: checking request 6
debug3: mm_answer_pwnamallow
debug3: Trying to reverse map address 10.3.128.10.
debug3: mm_getpwnamallow: waiting for MONITOR_ANS_PWNAM
debug3: mm_request_receive_expect entering: type 7
debug3: mm_request_receive entering
debug2: parse_server_config: config reprocess config len 137
debug3: mm_answer_pwnamallow: sending MONITOR_ANS_PWNAM: 1
debug3: mm_request_send entering: type 7
debug2: monitor_read: 6 used once, disabling now
debug3: mm_request_receive entering
debug2: input_userauth_request: setting up authctxt for kamil
debug3: mm_start_pam entering
debug3: mm_request_send entering: type 45
debug3: mm_inform_authserv entering
debug3: mm_request_send entering: type 3
debug2: input_userauth_request: try method none
debug3: monitor_read: checking request 45
debug1: PAM: initializing for "kamil"
debug1: PAM: setting PAM_RHOST to "foo.bar.com"
debug1: PAM: setting PAM_TTY to "ssh"
debug2: monitor_read: 45 used once, disabling now
debug3: mm_request_receive entering
debug3: monitor_read: checking request 3
debug3: mm_answer_authserv: service=ssh-connection, style=
debug2: monitor_read: 3 used once, disabling now
debug3: mm_request_receive entering
debug1: userauth-request for user kamil service ssh-connection method hostbased
debug1: attempt 1 failures 1
debug2: input_userauth_request: try method hostbased
debug1: userauth_hostbased: cuser kamil chost foo.bar.com. pkalg ssh-dss slen 55
debug3: mm_key_allowed entering
debug3: mm_request_send entering: type 20
debug3: monitor_read: checking request 20
debug3: mm_answer_keyallowed entering
debug3: mm_answer_keyallowed: key_from_blob: 0x58c400
debug2: userauth_hostbased: chost foo.bar.com. resolvedname foo.bar.com ipaddr 10.3.128.10
debug2: stripping trailing dot from chost foo.bar.com.
debug2: auth_rhosts2: clientuser kamil hostname foo.bar.com ipaddr 10.3.128.10
debug1: temporarily_use_uid: 1031/1028 (e=0/0)
debug3: mm_key_allowed: waiting for MONITOR_ANS_KEYALLOWED
debug3: mm_request_receive_expect entering: type 21
debug3: mm_request_receive entering
debug1: restore_uid: 0/0
debug1: temporarily_use_uid: 1031/1028 (e=0/0)
debug1: restore_uid: 0/0
Failed hostbased for kamil from 10.3.128.10 port 55105 ssh2
debug3: mm_answer_keyallowed: key 0x58c400 is disallowed
debug3: mm_request_send entering: type 21
debug3: mm_request_receive entering
debug2: userauth_hostbased: authenticated 0
debug1: userauth-request for user kamil service ssh-connection method hostbased
debug1: attempt 2 failures 2
debug2: input_userauth_request: try method hostbased
debug1: userauth_hostbased: cuser kamil chost foo.bar.com. pkalg ssh-rsa slen 143
debug3: mm_key_allowed entering
debug3: mm_request_send entering: type 20
debug3: monitor_read: checking request 20
debug3: mm_answer_keyallowed entering
debug3: mm_answer_keyallowed: key_from_blob: 0x58c400
debug2: userauth_hostbased: chost foo.bar.com. resolvedname foo.bar.com ipaddr 10.3.128.10
debug2: stripping trailing dot from chost foo.bar.com.
debug2: auth_rhosts2: clientuser kamil hostname foo.bar.com ipaddr 10.3.128.10
debug1: temporarily_use_uid: 1031/1028 (e=0/0)
debug1: restore_uid: 0/0
debug1: temporarily_use_uid: 1031/1028 (e=0/0)
debug1: restore_uid: 0/0
Failed hostbased for kamil from 10.3.128.10 port 55105 ssh2
debug3: mm_answer_keyallowed: key 0x58c400 is disallowed
debug3: mm_request_send entering: type 21
debug3: mm_request_receive entering
debug3: mm_key_allowed: waiting for MONITOR_ANS_KEYALLOWED
debug3: mm_request_receive_expect entering: type 21
debug3: mm_request_receive entering
debug2: userauth_hostbased: authenticated 0
debug1: userauth-request for user kamil service ssh-connection method keyboard-interactive
debug1: attempt 3 failures 3
debug2: input_userauth_request: try method keyboard-interactive

O cerne do problema parece ser a linha:

debug3: mm_answer_keyallowed: key 0x58c400 is disallowed

Ideias?

Responder1

Você EnableSSHKeysignativou no cliente? Essa era outra peça que eu precisava para fazer a autenticação baseada em host funcionar.

Responder2

Ok, grande falha da minha parte. Eu criei /etc/shosts.equivem vez de /etc/ssh/shosts.equiv(ver ponto 2 da minha pergunta). A razão pela qual funcionou em alguns dos meus outros sistemas foi que eles também tinham um /etc/hosts.equivarquivo residual de algum trabalho anterior de um colega de trabalho.

As coisas funcionam muito melhor quando os arquivos certos estão no local certo. Foi necessário algum uso straceno servidor para descobrir o que ele estava lendo em quais arquivos para finalmente me dar uma dica da resposta.

Responder3

Você está no debian com uma chave de host antiga? O pacote openssh-blacklist pode estar impedindo o uso de chaves afetadas pora infame vulnerabilidade SSL.

Gere novamente suas chaves de host, se for esse o caso.

informação relacionada