SSH mit authorized_keys zu einem Ubuntu-System mit verschlüsseltem Homedir?

Ich habe kürzlich einen neuen Server mit Ubuntu karmic 9.10 eingerichtet und als ich mein Home-Verzeichnis erstellt habe, habe ich mich dafür entschieden, es zu verschlüsseln. Nachdem ich meine authorized_keys-Datei in ~ / .ssh geladen habe, wird sie nicht erkannt, da mein Home-Verzeichnis erst nach der Anmeldung entschlüsselt wird. Gibt es eine Möglichkeit, SSH-Schlüssel unter Ubuntu für verschlüsselte Home-Verzeichnisse zu verwenden?

Ändern Sie diese Zeile in Ihrer sshd_config-Datei:

AuthorizedKeysFile /etc/ssh/%u/authorized_keys

Verschieben Sie anschließend die Datei "authorized_keys" nach / etc / ssh / your-username / authorized_keys

Dieser Beitrag dokumentiert einen anderen Lösungsweg.

Diese Lösung wurde von diesem Beitrag inspiriert . IMHO ist es viel besser als das Ändern von / etc / ssh / sshd_config, da es überhaupt keinen Root-Zugriff erfordert.

# Make your public key accessible
mkdir -m 700 /home/.ecryptfs/$USER/.ssh
echo $YOUR_PUBLIC_KEY > /home/.ecryptfs/$USER/.ssh/authorized_keys
ln -s /home/.ecryptfs/$USER/.ssh/authorized_keys ~/.ssh/authorized_keys
ecryptfs-umount-private
chmod 700 $HOME
mkdir -m 700 ~/.ssh
ln -s /home/.ecryptfs/$USER/.ssh/authorized_keys ~/.ssh/authorized_keys

# Make it auto-mount with first login.
# Note: it can cause problems with automated login.
echo /usr/bin/ecryptfs-mount-private > ~/.profile
echo cd >> ~/.profile
echo source .profile >> ~/.profile
ecryptfs-mount-private

Ich habe nur einige Zeit damit verbracht, und die Antwort ist, dass es so ziemlich grundsätzlich unmöglich ist. Es ist möglich, kennwortlose, mit öffentlichen Schlüsseln authentifizierte Anmeldungen über ssh einzurichten, sodass Sie Ihr Kennwort nicht eingeben müssen, um sich anzumelden. Dies bringt Sie jedoch nicht weiter, da Ihr Basisverzeichnis immer noch verschlüsselt ist.

Die einfache Tatsache ist, dass Ihr verschlüsseltes Home-Verzeichnis mit einem Passwort * verschlüsselt ist. Sie können es also nur mit diesem Passwort entschlüsseln.

Und wenn Sie der Meinung sind, dass es theoretisch möglich sein sollte, Ihren SSH-Schlüssel zum Entschlüsseln der Mount-Passphrase beim Anmelden zu verwenden, funktioniert dies nicht, da Ihr privater Schlüssel niemals an den Server gesendet wird.

Wenn Sie also verschlüsseln möchten, müssen Sie grundsätzlich Kennwörter verwenden. Verschlüsselte Home-Verzeichnisse sind aus demselben Grund nicht mit Fingerabdruck-Anmeldungen kompatibel.

* Ich weiß, es ist komplizierter als ein einzelnes Passwort, aber lassen Sie es uns vorerst einfach halten.

Wenn Sie das Standard-Setup nicht ändern möchten (ich möchte nicht, dass meine Dateien dort sind, wo ich sie erwarte), sollten Sie sich in meinem Beitrag ansehen, wie das geht:

http://www.enetworkservices.net/wordpress/ssh-public-keys-with-encrypted-home-directory.html

Zusamenfassend. Sie geben Ihre Schlüssel in die verschlüsselte Version Ihres Benutzers ein ~/.sshund verknüpfen die verschlüsselte Version ~/.sshmit der anderen. So ist es immer da.

Für die faulen Leute wie ich ist hier ein Skript, um es für Sie zu tun. Führen Sie es einfach als normaler Benutzer aus. Kein Root-Zugriff oder Berechtigungen erforderlich und keine Änderungen an der Serverkonfiguration erforderlich. Reine normale Benutzereinstellungen.

#!/bin/bash
#
# Encrypted Home DIR SSH Key fix.
# Requires modification to sshd_config
#  AuthorizedKeys /etc/ssh/authorized_keys/%u/authorized_keys
# sudo mkdir /etc/ssh/authorized_keys -m 777
# for existing users run from home directory when login.
# for new users modify /etc/skel to include .bashrc to call script.
#
# Author: Benjamin Davis <[email protected]>

# Check if directory exists.
if [ ! -d "/etc/ssh/authorized_keys/$LOGNAME" ]
then
    # Make directory with restricted permissions.
    echo "Creating user ssh directory."
    mkdir /etc/ssh/authorized_keys/$LOGNAME -m 700
fi

# Check real users home .ssh folder
if [ -d "/home/$LOGNAME/.ssh" ]
then
    # Check if dir is symlink
    if [ ! -h /home/$LOGNAME/.ssh ]
    then
        echo "Moving configs."
        mv /home/$LOGNAME/.ssh/. /etc/ssh/authorized_keys/$LOGNAME/.
        rm -rf /home/$LOGNAME/.ssh/
        ln -s -T /etc/ssh/authorized_keys/$LOGNAME /home/$LOGNAME/.ssh
        clear
    fi
else
    # Does not exist so link it.
    if [[ $EUID -ne 0 ]]
    then
        echo "User ssh config folder does not exist. Creating."
        mkdir /home/$LOGNAME/.ssh -m 700
        ln -s -T /etc/ssh/authorized_keys/$LOGNAME /home/$LOGNAME/.ssh
    fi
fi

Sie können den sichereren öffentlichen Schlüssel zum Anmelden verwenden und dann Folgendes ausführen, um Ihr Verzeichnis nach der Eingabe Ihres Kennworts einzuhängen:

ecryptfs-mount-private

Wenn Sie die ~/README.txtDatei lesen , nachdem Sie sich über SSH angemeldet haben, werden Sie feststellen, dass Ihre Dateien nicht vorhanden sind, da das verschlüsselte Verzeichnis nicht bereitgestellt ist.

Sie sollten sowieso keine passwortlosen öffentlichen Schlüssel verwenden, um sich anzumelden. Schauen Sie sich ssh-agent für einen besseren Weg an.