Nie można utworzyć użytkownika z hasłem przez ssh [zamknięte]

Próbowałem utworzyć użytkownika z hasłem za pośrednictwem ssh (z uprawnieniami roota) w następujący sposób:

ssh [email protected] useradd -p $(openssl passwd -1 1234) newuser

W ten sposób mogłem pomyślnie utworzyć konto o nazwie newuser, ale nie mogłem zalogować się przy użyciu oczekiwanego hasła (które jest 1234)

Nie ma znaczenia, jeśli dodam podwójne cudzysłowy:

ssh [email protected] "useradd -p $(openssl passwd -1 1234) newuser"

A potem zastanawiałem się, czy mogę wygenerować zaszyfrowane hasło i zapisać je jako zmienną lokalnie, ale nadal bez powodzenia.

password=$(openssl passwd -1 1234)
ssh [email protected] "useradd -p $password newuser"

Czy jest coś, za czym tęsknię? Z góry dziękuję!

Jest to klasyczny problem cytowania.

Problem: Bez cudzysłowu lub podwójnego cudzysłowu zastępowanie poleceń ( $()) i rozwijanie zmiennych ( $zwrócony hasłem s opensslsą traktowane jako wskaźnik zmiennej) są wykonywane w środowisku lokalnym, a nie w zdalnej powłoce.

Rozwiązanie: użyj pojedynczych cudzysłowów wokół useraddpolecenia używanego z sshlokalną powłoką, aby zapobiec zastępowaniu komend i rozszerzaniu zmiennych w środowisku lokalnym, pozwól, aby ekspansje odbywały się w zdalnej nie-logującej się, nieinteraktywnej powłoce:

ssh [email protected] 'useradd -p "$(openssl passwd -1 1234)" newuser'

Zwróć uwagę na cytaty.

Problemy z bezpieczeństwem:

• rootLogowanie SSH powinno być wyłączone, jeśli musisz je włączyć, dozwolone powinno być tylko uwierzytelnianie oparte na kluczach

• MD5 jest już zepsuty i bez soli zostajesz poddany prostemu atakowi na tęczową tablicę (nawet nie wymaga brutalnego forsowania / ataku słownikowego); openssl passwdjednak generuje losową sól. W każdym razie powinieneś naprawdę rozważyć użycie SHA-2 z soleniem

• Hasła przekazywane jako argumenty do poleceń mogą być widoczne dla innych procesów w (zdalnym) systemie; zależy to od sposobu procfszamontowania twojego (spójrz na hidepid), i jeśli polecenie przepisuje się samo (prawdopodobnie w tym przypadku tak nie jest)

Jak zauważył @heemayl, algorytm skrótu hasła MD5 jest przestarzały, a obecne systemy mają nowsze skróty hasła oparte na SHA-2, które mają konfigurowalny współczynnik pracy. Ale narzędzie wiersza poleceń OpenSSL nie obsługuje tych.

chpasswdNarzędzie , jednak pozwoli Ci zmienić hasło użytkownika w zależności od ustawień systemowych.

Powinno to pozwolić Ci utworzyć nowego użytkownika i zmienić jego hasło na zdalnym końcu.

echo "newuser:newpass" | ssh [email protected] 'useradd newuser; chpasswd' 

chpasswdpobiera nazwę użytkownika i hasło ze standardowego wejścia, a nie z wiersza poleceń. Jest to w rzeczywistości zaleta, ponieważ argumenty wiersza poleceń są widoczne dla wszystkich innych procesów w systemie, więc jeśli zostaną uruchomione openssl passwdna pilocie, hasło będzie na chwilę widoczne dla wszystkich procesów w systemie.

Nie jestem pewien, czy istnieje gotowe narzędzie wiersza poleceń do generowania skrótów haseł znane z crypt(3)funkcji systemowej . Perl ma wbudowaną cryptfunkcję , ale nadal trzeba wygenerować odpowiednią sól.