Пытаясь решить некоторые проблемы с использованием Cygwin + SSH в Windows 8.1, я хотел бы знать, почему ssh-host-configсценарий создает две новые учетные записи, конфигурирующие OpenSSH с нуля? (Это необходимо?)

Две учетные записи: cyg_serverи sshd, при использовании выбора по умолчанию + повышение привилегий и установка службы. Я понимаю, что первый используется только для запуска службы Cygwin SSHd, но я не понимаю функцию второго. Я искал в архивах Cygwin, и единственное объяснение разработчика было «потому что оно было разработано для этого». Также рекомендуется не использовать их для фактического входа в систему.

Вот моя установка:

-----------------------------------------------------------
ssh-keygen: generating new host keys: RSA1 RSA DSA ECDSA ED25519
*** Info: Creating default /etc/ssh_config file
*** Info: Creating default /etc/sshd_config file
*** Info: Privilege separation is set to yes by default since OpenSSH 3.3.
*** Info: However, this requires a non-privileged account called 'sshd'.
*** Info: For more info on privilege separation read /usr/share/doc/openssh/README.privsep.
*** Query: Should privilege separation be used? (yes/no) yes
*** Info: Note that creating a new user requires that the current account have
*** Info: Administrator privileges.  Should this script attempt to create a
*** Query: new local account 'sshd'? (yes/no) yes
*** Info: Updating /etc/sshd_config file

*** Query: Do you want to install sshd as a service?
*** Query: (Say "no" if it is already installed as a service) (yes/no) yes
*** Query: Enter the value of CYGWIN for the daemon: []
*** Info: On Windows Server 2003, Windows Vista, and above, the
*** Info: SYSTEM account cannot setuid to other users -- a capability
*** Info: sshd requires.  You need to have or to create a privileged
*** Info: account.  This script will help you do so.

*** Info: You appear to be running Windows XP 64bit, Windows 2003 Server,
*** Info: or later.  On these systems, it's not possible to use the LocalSystem
*** Info: account for services that can change the user id without an
*** Info: explicit password (such as passwordless logins [e.g. public key
*** Info: authentication] via sshd).

*** Info: If you want to enable that functionality, it's required to create
*** Info: a new account with special privileges (unless a similar account
*** Info: already exists). This account is then used to run these special
*** Info: servers.

*** Info: Note that creating a new user requires that the current account
*** Info: have Administrator privileges itself.

*** Info: No privileged account could be found.

*** Info: This script plans to use 'cyg_server'.
*** Info: 'cyg_server' will only be used by registered services.
*** Query: Do you want to use a different name? (yes/no) no
*** Query: Create new privileged user account 'cyg_server'? (yes/no) yes
*** Info: Please enter a password for new user cyg_server.  Please be sure
*** Info: that this password matches the password rules given on your system.
*** Info: Entering no password will exit the configuration.
*** Query: Please enter the password:
*** Query: Reenter:

*** Info: User 'cyg_server' has been created with password 'XXXXXXXXXX'.
*** Info: If you change the password, please remember also to change the
*** Info: password for the installed services which use (or will soon use)
*** Info: the 'cyg_server' account.

*** Info: Also keep in mind that the user 'cyg_server' needs read permissions
*** Info: on all users' relevant files for the services running as 'cyg_server'.
*** Info: In particular, for the sshd server all users' .ssh/authorized_keys
*** Info: files must have appropriate permissions to allow public key
*** Info: authentication. (Re-)running ssh-user-config for each user will set
*** Info: these permissions correctly. [Similar restrictions apply, for
*** Info: instance, for .rhosts files if the rshd server is running, etc].


*** Info: The sshd service has been installed under the 'cyg_server'
*** Info: account.  To start the service now, call `net start sshd' or
*** Info: `cygrunsrv -S sshd'.  Otherwise, it will start automatically
*** Info: after the next reboot.

*** Info: Host configuration finished. Have fun!
-----------------------------------------------------------

Кроме того, «cyg_server» является видимой учетной записью, которую можно использовать для входа в Windows, но «sshd» кажется скрытым. Таким образом, я остаюсь с выводом, что мне придется добавить еще одну третью учетную запись, чтобы иметь возможность правильно использовать SSH, что выглядит довольно сумасшедшим!

РЕДАКТИРОВАТЬ-1 : Мало того, учетная запись sshd также имеет срок действия пароля, установленный на 40 дней с момента установки, и имеет пароль (в соответствии с WMIC ). (Меня никогда не просили ввести пароль для этой учетной записи во время установки ssh.)

Делать wmic useraccount get AccountType,...,Status:

AccountType  Disabled  Lockout  Name           PasswordChangeable  PasswordExpires  PasswordRequired  Status    
512          FALSE     FALSE    cyg_server     TRUE                FALSE            TRUE              OK        
512          TRUE      FALSE    sshd           TRUE                TRUE             TRUE              Degraded  

и net user sshd:

User name                    sshd
Full Name                    sshd privsep
Comment                      
User's comment               
Country/region code          000 (System Default)
Account active               No
Account expires              Never
Password last set            2014-03-01 23:20:19
Password expires             2014-04-12 23:20:19
Password changeable          2014-03-01 23:20:19
Password required            Yes
User may change password     Yes
Workstations allowed         All
Logon script                 
User profile                 
Home directory               C:\cygwin64\var\empty
Last logon                   Never
Logon hours allowed          All
Local Group Memberships      *Users                
Global Group memberships     *None                 
The command completed successfully.

Так что это открывает еще два вопроса по этому поводу:

1. Какой пароль установлен и почему пользователь не был проинформирован об этом?
2. Почему этот пароль имеет срок годности?

РЕДАКТИРОВАТЬ-2 : Не имея возможности попасть в список разработчиков Cygwin, мне пришлось провести дополнительное расследование самостоятельно. Пока у меня нет ответа на вопрос 1, но есть несколько других проблем со сценарием ssh-host-config, используемым для установки. Суть в том, что вы всегда можете удалить обе учетные записи sshd и cyg_server, а также настроить одну учетную запись администратора, используя их настройки в качестве справочных.

Вопрос 2 : в Windows 8.1 срок действия пароля по умолчанию установлен на 42 дня. Это необходимо изменить или отключить, используя обычные инструменты Windows (пользовательский интерфейс, WMIC, сетевой пользователь и т. Д.)

Обновление 2019: этот ответ и вопрос устарели. Смотрите ответ Bill_Stewart.

Из man 5 sshd_config

 UsePrivilegeSeparation
     Specifies whether sshd separates privileges by creating an
     unprivileged child process to deal with incoming network traffic.
     After successful authentication, another process will be created
     that has the privilege of the authenticated user.  The goal of
     privilege separation is to prevent privilege escalation by con-
     taining any corruption within the unprivileged processes.  The
     default is "yes".

Итак, sshd требует двух типов учетных записей:

1. Один со способностью setuid.
2. Один непривилегированный аккаунт.

Сценарий установки объясняет, что обычная учетная запись SYSTEM не имеет setuidпривилегий, поэтому необходима дополнительная привилегированная учетная запись.

Что касается того, почему ssh-host-configсоздает две учетные записи пользователей, в основном отвечает Дэн. Подробнее о том, зачем нужен отдельный аккаунт, setuidможно найти здесь, это сложный процесс .

Что касается вашего первого подвопроса, я полагаю, что это также значения по умолчанию, такие как истечение срока действия пароля - при /usr/share/csih/cygwin-service-installation-helperиспользовании ssh-host-config пользователь создается (с помощью команды Windows net) примерно так, где ${unpriv_user}это имя, например sshd, вы выбрали, и ${dos_var_empty}это путь в стиле Windows / DOS к /var/empty:

net user "${unpriv_user}" /add /fullname:"${unpriv_user} privsep" \
"/homedir:${dos_var_empty}" /active:no

В документации Microsoft говорится, что значением по умолчанию для /passwordreq, если требуется пароль, является «да», и кажется, что Windows затем назначает некоторый пароль по умолчанию (возможно, потому что пароль не указан, может быть, в частности, потому что /active:no).

И для вашего второго подвопроса, как вы сказали во втором редактировании, по умолчанию, по крайней мере для Windows 8.1 Pro, срок действия пароля истекает через 42 дня, хотя он, конечно, не включен в моей учетной записи ИЛИ новой cyg_serverучетной записи. Вероятно, это из-за той же комбинации - cyg_serverзадает пароль и активен, но sshd не задает пароль и не активен (возможно, это для принудительного назначения пароля, если / когда активирована учетная запись). Если вы хотите узнать точные детали, я бы, вероятно, попытался создать больше подобных учетных записей с истечением срока действия / указанием пароля и посмотреть, что произойдет.

Оригинальный ответ

Отдельная отключенная sshdучетная запись фактически не используется в Cygwin (за одним исключением; см. Ниже). Я спросил об этом в списке рассылки Cygwin:

Требуется ли отключенная учетная запись пользователя sshd?

Коринна Виншен (сопровождающий Cygwin) ответила следующим:

Нет, на самом деле это не так. В эти дни сервер sshd проверяет, следует ли использовать среду privsep chrrot [sic] и запускается ли этот процесс в режиме «root: root». Это никогда не совпадает с Cygwin, поэтому мы можем отменить требование пользователя sshd.

(См. Https://cygwin.com/ml/cygwin/2019-01/msg00120.html ).

Обновление только для sftp

Вышесказанное является правильным в том, что sshdучетная запись не является строго обязательной. Единственный раз, когда он вам все еще нужен, это если вы хотите использовать ChrootDirectoryнастройку, sshd_configчтобы ограничить учетную запись только SFTP.

FWIW, я создал пакет, который предоставляет простой в использовании установщик, который настраивает версию Cygwin OpenSSH (и несколько других инструментов, в том числе rsync). Это на GitHub, если кому-то интересно:

https://github.com/Bill-Stewart/CygSSH

Документация в пакете описывает обстоятельства, при которых используется sshdучетная запись.