Différences
Ci-dessous, les différences entre deux révisions de la page.
| Les deux révisions précédentes Révision précédente Prochaine révision | Révision précédente | ||
| info:connection_ssh_sans_mot_de_passe [2019/01/05 06:15] – radeff | info:connection_ssh_sans_mot_de_passe [2026/10/02 06:00] (Version actuelle) – radeff | ||
|---|---|---|---|
| Ligne 1: | Ligne 1: | ||
| ====== Connexion SSH ====== | ====== Connexion SSH ====== | ||
| - | {{tag> | ||
| - | Voir aussi: https:// | ||
| - | ====== Solution | + | ====== Solution |
| - | il vaudrait mieux toujours avoir un passphrase pour protéger ses clés, sinon un hacker qui entrerait dans ~/.ssh pourrait piquer les clés | + | |
| - | + | ||
| - | + | ||
| - | ====== pam-keyring ====== | + | |
| - | + | ||
| - | utiliser pam-keyring pour ne pas avoir à entrer la passphrase à chaque fois | + | |
| - | + | ||
| - | apt-get install libpam-ssh libpam-keyring | + | |
| - | + | ||
| - | http:// | + | |
| - | + | ||
| - | puis | + | |
| - | + | ||
| - | http:// | + | |
| - | + | ||
| - | si on a déjà une clé ssh (voir ci-dessous) mais qu' | + | |
| - | + | ||
| - | http:// | + | |
| - | You can also add a passphrase to an existing key without a passphrase by using ssh-keygen -p. However, only do it if you have just generated the key, or if you are absolutely sure the said key had been totally safe until then. If you cannot be completely sure, your key might have been compromised meanwhile, in which case setting a passphrase will not help, and it should be immediately replaced. | ||
| - | |||
| - | ====== Solution sans mot de passe ====== | ||
| - | pratique mais semble-t-il pas assez solide pour bon hacker | ||
| - | < | ||
| - | solution avec une clef ssh sans mot de passe | ||
| Le but n'est pas de se passer de sécurité (au contraire). | Le but n'est pas de se passer de sécurité (au contraire). | ||
| Ligne 36: | Ligne 10: | ||
| Sur les deux postes sshd tourne et est correctement configuré. | Sur les deux postes sshd tourne et est correctement configuré. | ||
| Sur chacun des postes on génére des clés : | Sur chacun des postes on génére des clés : | ||
| - | [fred@frodon ~]$ ssh-keygen -t rsa | + | |
| (entrez une passe-phrase vide), et : | (entrez une passe-phrase vide), et : | ||
| - | [bibi@gandalf ~]$ ssh-keygen -t rsa | + | |
| (entrez aussi une passe-phrase vide). | (entrez aussi une passe-phrase vide). | ||
| Ensuite, il suffit de copier la clé publique d'un poste sur l' | Ensuite, il suffit de copier la clé publique d'un poste sur l' | ||
| - | [fred@frodon ~]$ scp ~fred/ | + | |
| et : | et : | ||
| - | [bibi@gandalf ~]$ scp ~bibi/ | + | |
| (il peut falloir remplacer : authorized_keys2 par authorized_keys). | (il peut falloir remplacer : authorized_keys2 par authorized_keys). | ||
| Et voilà, à partir de maintenant, une connection : | Et voilà, à partir de maintenant, une connection : | ||
| - | [bibi@gandalf ~]$ ssh fred@frodon | + | |
| ou | ou | ||
| - | [fred@frodon ~]$ ssh bibi@gandalf | + | |
| ne demandera pas de mot de passe. | ne demandera pas de mot de passe. | ||
| + | |||
| Mais ce ne sera pas pour autant trop " | Mais ce ne sera pas pour autant trop " | ||
| sans mot de passe sur frodon il faudra réussir à se connecter | sans mot de passe sur frodon il faudra réussir à se connecter | ||
| avec mot de passe sur gandalf et réciproquement. | avec mot de passe sur gandalf et réciproquement. | ||
| + | |||
| source: http:// | source: http:// | ||
| - | </ | + | |
| ===== note Fred: infomaniak ===== | ===== note Fred: infomaniak ===== | ||
| Ligne 69: | Ligne 45: | ||
| voir https:// | voir https:// | ||
| - | ===== note Fred: server X ===== | ||
| + | <note important> | ||
| - | si on veut lancer des logiciels X sur le serveur, il faut: | + | toujours chez infomaniak, |
| - | sur ubuntu, utiliser l' | + | <code bash> |
| + | ** WARNING: connection is not using a post-quantum key exchange algorithm. | ||
| + | ** This session may be vulnerable to "store now, decrypt later" attacks. | ||
| + | ** The server may need to be upgraded. See https:// | ||
| + | </ | ||
| - | < | + | voici la solution: |
| - | #!/bin/bash | + | |
| - | xhost + | + | vim ~/.ssh/config |
| - | gnome-terminal | + | |
| + | < | ||
| + | Host votre-serveur.infomaniak.com | ||
| + | # Force l' | ||
| + | KexAlgorithms curve25519-sha256,ecdh-sha2-nistp256, | ||
| </ | </ | ||
| - | //ancienne solution// | ||
| - | * mentionner xhost+ avant la connection ssh | ||
| - | * vérifier dans / | ||
| - | * vérifier dans $HOMEDIR/ | ||
| - | ====== | + | En listant explicitement les algorithmes classiques, le client SSH ne tentera pas de négocier d' |
| + | ===== note Fred: spécifier la clé utilisée | ||
| + | <note tip> | ||
| + | ssh -i ~/ | ||
| + | |||
| + | |||
| + | ====== SSH serveur | ||
| + | https:// | ||
| + | ===== Pour forcer l' | ||
| Si on veut interdire l' | Si on veut interdire l' | ||
| Ligne 100: | Ligne 89: | ||
| https:// | https:// | ||
| http:// | http:// | ||
| + | |||
| + | <note tip>Si on est total parano on peut encore ajouter un [[fail2ban|fail2ban]] mais vu qu'on interdit l' | ||
| + | |||
| + | ====== sshpass (souci avec rsync, scp, sftp etc) ====== | ||
| + | Il peut arriver que ssh fonctionne avec la clé selon la méthode décrite //supra//, mais que le système vous demande un mot de passe pour des programmes comme rsync, scp etc. Il y a sûrement une solution plus élégante, mais moi j'ai choisi celle de **sshpass** | ||
| + | |||
| + | installer: | ||
| + | sudo apt-get install sshpass | ||
| + | |||
| + | exemple: | ||
| + | | ||
| + | |||
| + | si on veut (en plus c'est plus sûr) on peut mettre le mot de passe dans un fichier | ||
| + | | ||
| + | |||
| + | doc https:// | ||
| + | |||
| + | ===== Voir aussi ===== | ||
| + | * https:// | ||
| + | * [[https:// | ||
| + | * https:// | ||
| + | * [[tmux|tmux sessions]] | ||
| + | |||
| + | {{tag> | ||