Windows SSH: uprawnienia do „klucza prywatnego” są zbyt otwarte

Mam OpenSSH 7.6 zainstalowany w systemie Windows 7 do celów testowych. Klient i serwer SSH działają dobrze, dopóki nie spróbowałem uzyskać dostępu do jednego z moich urządzeń AWS EC2 z tego okna.

Wygląda na to, że muszę zmienić uprawnienia do pliku klucza prywatnego. Można to łatwo zrobić na Unix / Linux za pomocą chmodpolecenia.

Co z oknami?

private-key.ppm jest kopiowany bezpośrednio z AWS i myślę, że również pozwolenie.

C:\>ssh -V
OpenSSH_7.6p1, LibreSSL 2.5.3

C:\>ver

Microsoft Windows [Version 6.1.7601]

C:\>


C:\>ssh [email protected] -i private-key.ppk
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@         WARNING: UNPROTECTED PRIVATE KEY FILE!          @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
Permissions for 'private-key.ppk' are too open.
It is required that your private key files are NOT accessible by others.
This private key will be ignored.
Load key "private-key.ppk": bad permissions
[email protected]: Permission denied (publickey).

C:\>
C:\>
C:\>ssh [email protected] -i private-key.ppm
Warning: Identity file private-key.ppm not accessible: No such file or directory.
[email protected]: Permission denied (publickey).

C:\>

Zlokalizuj plik w Eksploratorze Windows, kliknij go prawym przyciskiem myszy, a następnie wybierz „Właściwości”. Przejdź do zakładki „Bezpieczeństwo” i kliknij „Zaawansowane”.

Zmień właściciela na siebie, wyłącz dziedziczenie i usuń wszystkie uprawnienia. Następnie daj sobie „pełną kontrolę” i zapisz uprawnienia. Teraz SSH nie będzie już narzekać na zbyt otwarte uprawnienia do plików.

Powinno to wyglądać następująco:

Klucze muszą być dostępne tylko dla użytkownika, dla którego są przeznaczone, a nie dla żadnego innego konta, usługi lub grupy.

• GUI:
  • [Plik] Właściwości - Bezpieczeństwo - Zaawansowane
    1. Ustaw właściciela na użytkownika klucza
    2. Usuń wszystkich użytkowników, grupy i usługi, z wyjątkiem użytkownika klucza , w obszarze Wpisy uprawnień
    3. Ustaw użytkownika klucza na Pełna kontrola

• CLI:

  :: Set Variable ::
  set key="C:\Path\to\key"
  
  :: Remove Inheritance ::
  cmd /c icacls %key% /c /t /inheritance:d
  
  :: Set Ownership to Owner ::
  cmd /c icacls %key% /c /t /grant %username%:F
  
  :: Remove All Users, except for Owner ::
  cmd /c icacls %key%  /c /t /remove Administrator "Authenticated Users" BUILTIN\Administrators BUILTIN Everyone System Users
  
  :: Verify ::
  cmd /c icacls %key%
  

Oprócz odpowiedzi udzielonej przez ibug. Ponieważ używałem systemu Ubuntu w systemie Windows do uruchomienia polecenia ssh. To wciąż nie działało. Więc zrobiłem

sudo ssh ...

i wtedy zadziałało

Miałem ten sam problem i wydaje się, że jest on związany z wersją SSH, którą prowadzisz.

Jeśli piszę

where ssh

Dostaję...

C:\Windows\System32\OpenSSH\ssh.exe
C:\Program Files\Git\usr\bin\ssh.exe

Kiedy biegam ssh -Vw obu lokalizacjach, dostaję

OpenSSH_7.5p1, without OpenSSL
OpenSSH_7.3p1, OpenSSL 1.0.2k  26 Jan 2017

...odpowiednio

Kiedy więc uruchamiam sshz katalogu git / bin, działa dobrze i nie narzeka na uprawnienia, ale uruchamia ten sam wiersz poleceń, używając poprzedniej instalacji SSH, wraca z tym.

Load key "t:\\mykeys\\rich-private.ppk": invalid format
[email protected]: Permission denied (publickey).

ps. uprawnienia do pliku mają dla mnie pełny dostęp i nic więcej.

Potrzebujesz jsut 2 rzeczy:

1) Wyłącz dziedziczenie

2) Konwertuj odziedziczone uprawnienia na uprawnienia jawne

3) Usuń grupę użytkowników

4) Skończysz, że użytkownicy nie będą mieli dostępu do prywatnych plików, powinno to wystarczyć, aby dodać id_rsa.

Miałem podobny problem, ale byłem w pracy i nie mam możliwości zmiany uprawnień do plików na moim komputerze roboczym. Co musisz zrobić, to zainstalować WSL, a następnie skopiować klucz do ukrytego katalogu ssh w WSL:

cp <path to your key> ~/.ssh/<name of your key>

Teraz powinieneś być w stanie normalnie modyfikować uprawnienia.

sudo chmod 600 ~/.ssh/<your key's name>

Następnie ssh przy użyciu WSL:

ssh -i ~/.ssh/<name of your key> <username>@<ip address>

użyj poniżej polecenia na swoim klawiszu, to działa w systemie Windows

icacls .\private.key /inheritance:r
icacls .\private.key /grant:r "%username%":"(R)"

Możesz użyć icacls w Windows zamiast chmod, aby dostosować uprawnienia do plików. Aby dać bieżącemu użytkownikowi uprawnienia do odczytu i usunąć wszystko inne,

icacls <file name> /inheritance:r
icacls <file name> /grant:r "%username%":"(R)"

To jest tylko skryptowa wersja odpowiedzi CLI @ JW0914, więc proszę go głosować przede wszystkim. Jest to także mój pierwszy skrypt PowerShell, więc sugestie są mile widziane.

# DO the following in powerhsell if not already done:
# Set-ExecutionPolicy RemoteSigned


# NOTE: edit the path in this command if needed
$sshFiles=Get-ChildItem -Path C:\DevContainerHome\.ssh -Force

$sshFiles | % {
  $key = $_
  & icacls $key /c /t /inheritance:d
  & icacls $key /c /t /grant %username%:F
  & icacls $key  /c /t /remove Administrator "Authenticated Users" BUILTIN\Administrators BUILTIN Everyone System Users
}

# Verify:
$sshFiles | % {
  icacls $_
}

Zastosowanie Mingw-w64.

Informacje: http://mingw-w64.org/doku.php

Pobierz za pomocą Git na Windows lub bezpośrednio.

Dostępne tutaj: https://github.com/mirror/mingw-w64

git clone https://github.com/mirror/mingw-w64

Posiada również inne przydatne polecenia systemu Linux, takie jak tari gzip.

Odpowiedź od iBug działa dobrze! Możesz to zrobić i pozbyć się tego problemu.

Ale jest kilka rzeczy, które należy usunąć, ponieważ napotkałem problemy podczas konfigurowania uprawnień i zajęło mi to kilka minut, aby znaleźć problem!

Po odpowiedzi iBuga usuniesz wszystkie uprawnienia, ale jak sam sobie ustawiasz uprawnienia Pełna kontrola? właśnie tam utknąłem, ponieważ nie wiedziałem, jak to zrobić.

Po wyłączeniu dziedziczenia będziesz mógł usunąć wszystkich dozwolonych użytkowników lub grupy.

Gdy to zrobisz,

Kliknij Addnastępnie kliknij Set a Principalnastępnie wprowadzić Systemi Administratorsi your email addreddw polu na dole a następnie kliknij check names.

Załaduje nazwę, jeśli użytkownik istnieje. Następnie kliknij OK> Typ Allow> Podstawowe uprawnienia Full Control>Okay

Spowoduje to skonfigurowanie uprawnienia Pełna kontrola dla SYSTEMU, administratorów i Twojego użytkownika.

Następnie spróbuj ssh używając tego klucza. To powinno być teraz rozwiązane.

Miałem ten sam problem i rozwiązałem go za pomocą tej metody. Jeśli istnieje jakikolwiek użytkownik lub grupa o takiej nazwie, załaduje to.

-Zrzuty ekranu-

Wpisy uprawnień Wybierz głównego / Wybierz użytkownika lub grupy