Как я могу заблокировать свою учетную запись от удаленного входа в SSH с паролем?

Я не хочу вообще отключать удаленный вход с паролем, но я хочу сделать так, чтобы моя учетная запись была доступна только при аутентификации пары ключей (есть другие пользователи, которые хотят использовать пароли для входа в систему). Можно ли изменить это для каждого пользователя, в идеале без изменения системных настроек?

И чтобы было ясно, моя учетная запись имеет доступ sudo, поэтому я не хочу блокировать пароль.

ssh authentication key-authentication phunehehe
источник

Ответы:

Вы можете использовать опцию Match в sshd_config

Соответствие Вводит условный блок. Если все критерии в строке соответствия удовлетворены, ключевые слова в следующих строках переопределяют те, которые установлены в глобальном разделе файла конфигурации, до другой строки соответствия или конца файла. [1]

Итак, в конце этого файла вы можете указать:

Match User yourusername
PasswordAuthentication no

Смотрите man 5 sshd_configдля всех доступных вариантов.

[1] http://www.openbsd.org/cgi-bin/man.cgi?query=sshd_config&sektion=5

jasonwryan
источник

Это уже хорошо, но я хочу посмотреть, смогу ли я обойтись без редактирования sshd_config.

phunehehe

Учитывая, что вы хотите внести системное изменение, то есть такое , которое не повлияет на других пользователей, это маловероятно ...

jasonwryan

а как насчет ~ / .ssh / config? Вы пробовали включить там настройки?

ttyS0

AFAK ~ / .ssh / config для клиента, а не для сервера.

Адам Быртек

Ответ от jasonwryan будет правильный способ сделать это изменение. Единственное добавление, которое я хотел бы сделать, состоит в том, что вы можете установить соответствие на основе группы, так что любой пользователь в группе колеса должен будет использовать аутентификацию по ключу, а другие могут использовать пароли.

Я знаю, что вы хотите сделать это без изменения системных конфигурационных файлов, но есть веская причина, почему это будет невозможно. В вашей голове есть смысл, чтобы ваш пользователь мог установить более безопасную политику входа в систему, но только потому, что, по вашему мнению, это более безопасный вариант, это не меняет того факта, что он все еще является изменением требований входа в систему для удаленный пользователь.

Чтобы понять, почему это проблема, представьте сценарий наоборот. Системный администратор (который может изменять файлы конфигурации системы) устанавливает систему только для входа в систему на основе ключей. Затем какой-то пользователь приходит и получает доступ только к своему собственному пользовательскому файлу и устанавливает свою учетную запись, чтобы разрешить аутентификацию по паролю, переопределяя системную политику. BEEEEEEP . Проблема безопасности!

Это объясняет, почему изменения, которые вы хотите сделать, возможны только из системного конфигурационного файла?

Калеб
источник

Сложно так думать, так как, если бы я был обычным пользователем, который не использует sudo, я мог бы с радостью настроить свои ключи, а затем заблокировать пароль, таким образом делая мою учетную запись «аутентификацией только по ключу».

phunehehe

С другой стороны, я мог заблокировать свой пароль каждый раз, когда я собираюсь выйти из системы, что должно запретить вход в систему для всех паролей моей учетной записи. Затем, как только я вошел в систему с моими ключами, я мог бы снова включить пароль для sudo. Очевидно, что это не очень хорошее решение, но оно заставляет меня думать, что это возможно.

phunehehe

Вы можете сделать это только потому, что системный администратор разрешил аутентификацию по ключу, а вы только добавляете ограничения для себя, ничего не меняя. Отключение вашего пароля просто устанавливает его в неверное значение, оно не меняет аутентификацию, которую разрешает системный демон.

Калеб

«добавление ограничений для себя, ничего не меняя», это именно то, что я хочу сделать.

phunehehe

@Caleb: не было бы проблем с безопасностью, если бы разрешить authorized_keysустанавливать больше ограничений, как этого хочет phunehehe. Например, authorized_keysможно ограничить определенные ключи определенными командами.

Жиль "ТАК - перестань быть злым"

Добавляя ограничения для себя, ничего не меняя

Почему бы не на стороне клиента, если он уверен, что ssh будет клиентом, который будет использоваться для попыток входа в систему? Если да, попробуйте внести изменения в ssh_config вместо sshd_config. Проверьте параметр «PasswordAuthentication No» и PreferredAuthentications

Никхил Мулли
источник