Co oznacza „bez hasła” w pliku sshd_config?

Właśnie zainstalowałem Ubuntu 14.04 na moim serwerze i konfigurowałem wszystkie moje pliki konfiguracyjne, gdy natknąłem się na to w moim sshd_configpliku:

# Authentication:
LoginGraceTime 120
PermitRootLogin without-password
StrictModes yes

To mnie bardzo martwiło. Pomyślałem, że możliwe jest, że ktoś zaloguje się na mój serwer jako root bez hasła.

Próbowałem połączyć się z moim serwerem jako root przez:

johns-mbp:~ john$ ssh [email protected]
The authenticity of host '192.168.1.48 (192.168.1.48)' can't be established.
RSA key fingerprint is 40:7e:28:f1:a8:36:28:da:eb:6f:d2:d0:3f:4b:4b:fe.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '192.168.1.48' (RSA) to the list of known hosts.
[email protected]'s password:  

Podałem puste hasło i nie wpuściło mnie, co było ulgą. Więc moje pytanie brzmi: co oznacza bez hasła i dlaczego jest to domyślne w Ubuntu 14.04?

Z strony podręcznika :

PermitRootLogin

Określa, czy root może się zalogować przy użyciu ssh (1). Argumentem musi być „tak”, „bez hasła”, „tylko wymuszone polecenia” lub „nie”. Domyślnie jest to „tak”.

Jeśli ta opcja jest ustawiona na „bez hasła”, uwierzytelnianie za pomocą hasła jest wyłączone dla użytkownika root.

Jeśli ta opcja jest ustawiona na „tylko wymuszone polecenia”, logowanie do katalogu głównego z uwierzytelnianiem za pomocą klucza publicznego będzie dozwolone, ale tylko wtedy, gdy commandopcja zostanie określona (co może być przydatne do wykonywania zdalnych kopii zapasowych, nawet jeśli logowanie do katalogu głównego zwykle nie jest dozwolone) . Wszystkie inne metody uwierzytelniania są wyłączone dla użytkownika root.

Jeśli ta opcja jest ustawiona na „nie”, root nie będzie mógł się zalogować.

W ten sposób without-passwordumożliwia logowanie roota tylko z uwierzytelniania klucza publicznego. Jest to często używane w skryptach powłoki i automatycznych zadaniach.

W rzeczywistości to ustawienie praktycznie nie działa, jeśli używasz uwierzytelniania PAM. Na dole sshd_configpliku konfiguracyjnego znajdziesz:

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication.  Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.

Domyślnym ustawieniem w Ubuntu jest użycie uwierzytelnienia PAM:

UsePAM yes

Należy pamiętać, że istnieją uzasadnione powody, aby zalogować się przez root (ale przy użyciu kluczy kryptograficznych i nigdy hasła). Typowym przykładem jest zdalna synchronizacja dwóch serwerów (aby jeden z nich był używany jako tryb failover). Ponieważ struktura musi być identyczna, często wymagane jest hasło roota.

Oto przykład użycia unison do synchronizacji: https://serverfault.com/questions/341985/remotely-use-root-over-ssh-for-unison

W nowszych wersjach sshd zmieniono „bez hasła” na „zabrania hasła”.

Obie wersje działają, prawdopodobnie najlepiej użyć „zabroń hasła”, jeśli możesz: lepiej się tłumaczy.