Hur kan jag köra ssh-add automatiskt utan en lösenordsfråga?

Detta är ett typiskt exempel på en avvägning mellan säkerhet och bekvämlighet. Lyckligtvis finns det ett antal alternativ. Den lämpligaste lösningen beror på användningsscenariot och önskad säkerhetsnivå.

ssh-key med lösenfras, ingen ssh-agent

Nu måste lösenfrasen anges varje gång nyckeln används för autentisering. Även om detta är det bästa alternativet ur säkerhetssynpunkt, erbjuder det den sämsta användbarheten. Detta kan också leda till att en svag lösenfras väljs i ordning för att minska bördan med att ange den upprepade gånger.

ssh-tangent med lösenfras, med ssh-agent

Att lägga till följande i ~/.bash_profile startar automatiskt ssh-agent och ladda ssh-nycklarna vid inloggning:

if [ -z "$SSH_AUTH_SOCK" ] ; then eval `ssh-agent -s` ssh-add fi 

Nu måste lösenfrasen anges varje gång logga in. Även om det är lite bättre ur ett användbarhetsperspektiv har detta den nackdelen att ssh-agent uppmanar till lösenfrasen oavsett om nyckeln ska användas eller inte under inloggningssessionen. Varje ny inloggning skapar också en distinkt ssh-agent -instans som förblir igång med de tillagda nycklarna i minnet även efter utloggning, såvida det inte uttryckligen dödas. ”e880c8eccc”>

Lägg till detta i din ~/.bashrc och logga sedan ut och åter in för att träda i kraft.

 if [ ! -S ~/.ssh/ssh_auth_sock ]; then eval `ssh-agent` ln -sf "$SSH_AUTH_SOCK" ~/.ssh/ssh_auth_sock fi export SSH_AUTH_SOCK=~/.ssh/ssh_auth_sock ssh-add -l > /dev/null || ssh-add  

Detta bör bara be om ett lösenord första gången du loggar in efter varje omstart. Det kommer att fortsätta att återanvända samma ssh-agent så länge det fortsätter att fungera.

Kommentarer

• mycket snyggt , så har du bara en ssh-agent igång (: Flera agenter som i @thomasNyman ’ s andra lösning verkar vara en säkerhetsrisk för mig …
• Efter att ha forskat på olika webbplatser och läst olika lösningar verkar den här vara den tydligaste, rakt på sak. Mycket trevligt. +1
• bättre att göra detta: `alias ssh = ssh-check-agent ”, och låt kontrollagentversionen göra ovanstående. på det sättet: a) du får bara en agent och b) du får bara agenten om du behöver det
• Jag tror -s är standard, så vi ’ gör det redan.
• Observera att ssh-add utan argument lägger till ~/.ssh/id_rsa. Du kanske vill skicka ssh-add argument om dina privata nycklar finns i en annan fil.

ssh-agent cachar olika olåsta ssh-nycklar, så att du kan ha ssh-nycklar skyddade med lösenord, men utan att behöva skriva dem varje gång.

För att cache-låsa upp olåsta nycklar måste det självklart låsa upp dessa nycklar. För att låsa upp nycklar som är låsta med en lösenfras måste den uppenbarligen känna till dessa lösenfraser.

Alla metoder som inte kräver auktorisation från en människa (t.ex. ”skriva in ett lösenord”) gör inte bara din osäkra system; det kommer också att göra hela syftet med ssh-agenten meningslöst.

Med detta sagt kan du helt enkelt använda ssh-nycklar som inte är lösenordsskyddade (tryck Enter när du blir ombedd för ett lösenord under nyckelgenerering). Eftersom det inte finns något lösenord behöver ssh-agent inte be dig om ett för att (inte) cacha det.

Kommentarer

• Jag håller med, så länge dina nycklar är korrekt användarbehöriga, är det liten fördel med ssh-agent jämfört med behörighetslösa nycklar. Jag gillar att ssh till en inloggningsserver och sedan har den servern en massa permssionless nycklar, som alla kan användas för att låsa upp en annan server. inloggningsservern gör ingenting annat, så det ’ är mycket svårare att hacka / spoofa osv … de andra servrarna har ingen åtkomst till lösenord, är bara nycklar.

Här är en lösning för att automatisera din SSH-lösenfras.

1. Skapa ett one-liner-skript som skriver ut din lösenfras till standardutdata, t.ex.:

    echo "echo MY_SSH_PASSWORD" > ~/.print_ssh_password && chmod 700 ~/.print_ssh_password 

   Viktigt: Se till du kopierar det ledande utrymmet till förhindrar att ditt lösenord lagras i din historik .

Och använd någon av metoderna nedan.

• med en standardinmatningsmetod:

  cat ~/.ssh/id_rsa | SSH_ASKPASS=~/.print_ssh_password ssh-add - 

• eller namngivna rör tillvägagångssätt:

  1. Skapa en namngivet rör (du kan också prova en processersättning ):

     mkfifo --mode 0600 ~/.ssh_fifo 

  2. Kör ssh-add genom att ange det program som används för autentisering:

     cat ~/.ssh/id_rsa >~/.ssh_fifo | SSH_ASKPASS=~/.print_ssh_password ssh-add ~/.ssh_fifo 

  Se: man ssh-add för att läsa mer om SSH_ASKPASS.

Kommentarer

• echo my_passphrase är ett stort säkerhetshål. Först efter att du har skrivit det finns lösenordet i klartext i historikfilen för vad som helst skal du använder. Och andra kommandoradsargument är världsläsbara på Unix (ps -ef). Lägg aldrig lösenord i kommandoradsargument!
• @ceving Att lägga till extra ledande utrymme löser problemet med historikfilen. Lagt till extra info.
• @kenorb: Det löser inte ’ det större problemet med lösenordet som syns i ps produktion. Historikfilen är vanligtvis bara läsbar av den ägande användaren ändå, men kommandoraderna är läsbara för alla användare i ett system.

if [ ! -S ${HOME}/.ssh/ssh_auth_sock ]; then eval $(ssh-agent) ln -sf "${SSH_AUTH_SOCK}" ${HOME}/.ssh/ssh_auth_sock fi export SSH_AUTH_SOCK=${HOME}/.ssh/ssh_auth_sock ssh_keys=$(find -E ~/.ssh -type f -regex ".*(rsa$|pem)") ssh_agent_keys=$(ssh-add -l | awk "{key=NF-1; print $key}") for k in "${ssh_keys}"; do for l in "${ssh_agent_keys}"; do if [[ ! "${k}" = "${l}" ]]; then ssh-add "${k}" > /dev/null 2>&1 fi done done 

Jag brukade använda skriptet som nämns av steampowered, jag har gjort nedanstående nu, eftersom det inte lämnar filer ligger runt.

Arbetar på zsh endast skal.

#!/usr/bin/env zsh AGENT_BIN=`which ssh-agent` AGENT_ADD_BIN=`which ssh-add` AGENT_PID=`ps -fe | grep ${AGENT_BIN} | awk -vuser=$USER -vcmd="$AGENT_BIN" "$1==user && $8==cmd{print $2;exit;}"` if [ -z "$AGENT_BIN" ]; then echo "no ssh agent found!"; return fi if [ "" -eq "$AGENT_PID" ]; then if read -sq "YN?Do you want to unlock your ssh keys?"; then echo "" output=`$AGENT_BIN | sed "s/echo/#echo/g"` eval $output $AGENT_ADD_BIN fi else for f in "/proc/"* do cmdline=`cat "$f/cmdline"` if [ "${AGENT_BIN}" -ef "${cmdline}" ]; then export SSH_AUTH_SOCK=`cat $f/net/unix | grep --binary-file=text -oP "((/[^/]*?)+/ssh-[^/]+/agent\.\d+$)"` export SSH_AGENT_PID=${f##*/} break; fi done fi 

Kommentarer

• ” Arbetar med endast zsh-skal ”, okej men varför anger din shebang-linje att endast kräva ” sh ”?

Om du kör sjöhäst som din lösenordshanterare … Vilket du förmodligen är; D

En annan lösning som uppnår det mål du söker är att helt enkelt lägga till ssh-tangenterna till sjöhäst för automatisk upplåsning vid inloggning . Den största fördelen med detta är att du aldrig behöver ange ett lösenord för nycklarna efter att du loggat in via gdm, eller vad du än loggar in med, även om nycklarna har ett lösenord. Detta KRÄVER både den privata och den offentliga nyckeln. De MÅSTE också följa en namngivningskonvention för sjöhäst. Standardvärdet är acceptabelt (id_rsa för privat nyckel och id_rsa.pub för offentlig nyckel … Egentligen allt som är privatnamnnamn och privatekeynamn.pub )

För att lägga till din ssh-nyckel till sjöhäst för automatisk upplåsning vid inloggning; (på fedora25 är jag inte säker på var sökvägen är på andra distroer men det är troligtvis mycket lika)

/lib64/seahorse/seahorse-ssh-askpass /path/to/keys/here 

För mig var det

/lib64/seahorse/seahorse-ssh-askpass ~/.ssh/id_rsa 

(sjöhäst antar automatiskt att den offentliga nyckeln i mitt fall var id_rsa.pub)

Efter att ha utfört kommandot öppnar sjöhäst en söta lilla gtk-lösenordsfältet för att ange lösenordet för den privata nyckeln. eller bara lämna det tomt om du skapade nyckeln utan lösenord. Du måste försöka ssh in i målmaskinen.Då kommer sjöhäst att uppmana dig att låsa upp nyckeln med ett lösenord grafiskt (DETTA HÄNDER ENDAST) igen men det borde se lite annorlunda ut denna gång; P (det här är också den del där sjöhäst gör lite sjöhäst för att ssh-add magi tror jag ) och erbjuda OPTION för att låsa upp nyckeln vid inloggning, du måste markera det här alternativet för att uppnå ditt mål.

Bara för att jag inte läste alla svaren skulle jag rekommendera att ångra vad alla sa till dig att göra med ssh-add innan jag försökte svara. Om du gör det annars kan det leda till att något dåligt händer till dina nycklar, idk.

Enkel inloggningslösning för SSH kan leda mig till pam_ssh .

Enligt denna artikel , konceptet är:

Om du arbetar med flera * nix-baserade maskiner via ssh är du förmodligen trött på nackdelar måste du alltid ange ditt lösenord varje gång du vill komma åt en annan ruta. Det finns ett säkert sätt att låta dig komma åt varje maskin som du har ssh-åtkomst till utan att behöva ange ett annat lösenord (annat än det du ursprungligen loggade på.)

Det här är faktiskt ganska enkelt att göra, du skapar i princip bara ett offentligt / privat nyckelpar för att autentisera dig själv för dina andra maskiner och har sedan PAM skapar en agent för att ladda dina nycklar när du loggar in, vilket ger en enda inloggningslösning för åtkomst till alla dina fjärrmaskiner. Den här guiden guidar dig genom att ställa in detta.

Jag har inte verifierat att detta faktiskt skulle fungera.

Lägg till detta i din ~/.bashrc -fil:

ssh-add -L|grep identities > /dev/null && ssh-add /path/to/ssh/private/key 

Kommentarer

• Jag förstår inte ’ hur detta relaterar till frågan, som handlar om att inte bli ombedd att lösenordet vid efterföljande inloggningar.

För att lägga till en (eventuellt lösenordslös) nyckel och se till att ssh-add kommer inte att be om ett lösenord, oavsett vad, inte ens när du kör under X :

DISPLAY= ssh-add -k /path/to/key </dev/null &>/dev/null 

Utgångsstatus indikerar framgång eller misslyckande.

Här är den definitiva manus.

Uppdatera $ PASSW och kopiera och klistra sedan in den i din terminal

# <sshpass> via typinator # Updated: 2017-01-18_21h36 # # apt-get update -y; apt-get install expect -qy # Pass this value to ssh-add PASSW="myfancypass123" # Define a name for this script THIS_SCRIPT="$(date +%Y-%m-%d_%H-%M-%S-%N)".sh # Create a fresh directory to work from / Clean up rm -rf ~/temp; mkdir -p ~/temp; cd ~/temp; ls -la # Output our bash script file - BEGIN cat <<< " #!/bin/bash set -u # Stop if an unbound variable is referenced set -e # Stop on first error export HISTIGNORE="expect*"; # Normal CMDs echo && echo "The process should take about 10 seconds:" && echo eval "$(ssh-agent -s)"; sleep 0.5; # Define VAR passed when this bash-script was launched password="$@" # Launch the expect magic expect -c " spawn ssh-add /root/.ssh/id_rsa expect "?assword:" send \"$password\r\" expect "?password:" send \"$password\r\" expect eof" export HISTIGNORE=""; export password=""; " > $THIS_SCRIPT # Output our bash script file - END # Ensure we are in the right path cd ~/temp; ls -la; sleep 1; # Run the bash script chmod +x ./$THIS_SCRIPT; ./$THIS_SCRIPT "$PASSW"; unset password; # Clean up rm -rf ~/temp; mkdir -p ~/temp; cd ~/temp; ls -la 

Mitt installationen på macOS är som följer (i .zshrc eller .bash_profile för bash-folk):

|| [[ $SSH_AUTH_SOCK == *"/private/tmp/"* ]] -delen är nödvändig på macOS eftersom standardvärdet är /private/tmp/com.apple.launchd.SOMETHINGHERE/Listeners. Annars misslyckas @Thomas Nymans omfattande svar eftersom $SSH_AUTH_SOCK alltid är inställt på något.

Sedan i .zlogout (eller .bash_logout för bash-folk):

if [ -n "$SSH_AUTH_SOCK" ] ; then eval `/usr/bin/ssh-agent -k` fi 

Testat på macOS Mojave 10.14.5

Detta har förklarats mycket bra av GitHub på Auto-startar ssh-agent på Git för Windows , vilket i sin tur fungerar även för Linux.

Du kan köra ssh-agent automatiskt när du öppnar bash eller Git shell. Kopiera följande rader och klistra in dem i din ~/.profile eller ~/.bashrc -fil i Git-skal:

 env=~/.ssh/agent.env agent_load_env () { test -f "$env" && . "$env" >| /dev/null ; } agent_start () { (umask 077; ssh-agent >| "$env") . "$env" >| /dev/null ; } agent_load_env # agent_run_state: 0=agent running w/ key; 1=agent w/o key; 2= agent not running agent_run_state=$(ssh-add -l >| /dev/null 2>&1; echo $?) if [ ! "$SSH_AUTH_SOCK" ] || [ $agent_run_state = 2 ]; then agent_start ssh-add elif [ "$SSH_AUTH_SOCK" ] && [ $agent_run_state = 1 ]; then ssh-add fi unset env  

Om din privata nyckel inte är lagrad på en av standardplatserna (som ~/.ssh/id_rsa) måste du tala om för din SSH-autentiseringsagent var du hittar den. Om du vill lägga till din nyckel till ssh-agent skriver du ssh-add ~/path/to/my_key.

Tips: Om du vill att ssh-agent ska glömma din nyckel efter en tid kan du konfigurera den för att göra det genom att köra ssh-add -t <seconds>.