Windows SSH: дозволи для приватного ключа занадто відкриті

У тесті для мене тестування OpenSSH 7.6 встановлена ​​в Windows 7. Клієнт і сервер SSH працюють чудово, поки я не спробував отримати доступ до одного зі своїх вікон AWS EC2 з цього вікна.

Здається, мені потрібно змінити дозвіл на файл приватного ключа. Це можна легко зробити на unix / linux за допомогою chmodкоманди.

А що з вікнами?

private-key.ppm копіюється безпосередньо з AWS, і я думаю, що дозвіл теж.

C:\>ssh -V
OpenSSH_7.6p1, LibreSSL 2.5.3

C:\>ver

Microsoft Windows [Version 6.1.7601]

C:\>


C:\>ssh ubuntu@192.168.0.1 -i private-key.ppk
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@         WARNING: UNPROTECTED PRIVATE KEY FILE!          @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
Permissions for 'private-key.ppk' are too open.
It is required that your private key files are NOT accessible by others.
This private key will be ignored.
Load key "private-key.ppk": bad permissions
ubuntu@192.168.0.1: Permission denied (publickey).

C:\>
C:\>
C:\>ssh ubuntu@192.168.0.1 -i private-key.ppm
Warning: Identity file private-key.ppm not accessible: No such file or directory.
ubuntu@192.168.0.1: Permission denied (publickey).

C:\>

Ви знаходите файл у Windows Explorer, клацніть на ньому правою кнопкою миші та вибираєте "Властивості". Перейдіть на вкладку "Безпека" і натисніть "Додатково".

Змініть власника до вас, відключіть спадщину та видаліть усі дозволи. Потім надайте собі "Повний контроль" і збережіть дозволи. Тепер SSH більше не буде скаржитися на занадто відкритий дозвіл файлів.

Це повинно виглядати так:

Ключі повинні бути доступні лише тому користувачеві, якому вони призначені, і жоден інший обліковий запис, послугу чи групу.

• GUI:
  • [Файл] Властивості - Безпека - Додатково
    1. Встановити власника для користувача ключа
    2. Видаліть усіх користувачів, груп та служб, за винятком користувача ключа , у розділі Дозволи на запити
    3. Встановіть для користувача ключа повний контроль

• CLI:

  :: Set Variable ::
  set key="C:\Path\to\key"
  
  :: Remove Inheritance ::
  cmd /c icacls %key% /c /t /inheritance:d
  
  :: Set Ownership to Owner ::
  cmd /c icacls %key% /c /t /grant %username%:F
  
  :: Remove All Users, except for Owner ::
  cmd /c icacls %key%  /c /t /remove Administrator "Authenticated Users" BUILTIN\Administrators BUILTIN Everyone System Users
  
  :: Verify ::
  cmd /c icacls %key%

Окрім відповіді, наданої ibug. Оскільки я використовував систему ubuntu всередині Windows, щоб запустити команду ssh. Це все ще не працювало. Так я і зробив

sudo ssh ...

і тоді це спрацювало

У мене була така ж проблема, і вона, схоже, пов’язана з версією SSH, яку ви працюєте.

Якщо я набираю

where ssh

Я отримав...

C:\Windows\System32\OpenSSH\ssh.exe
C:\Program Files\Git\usr\bin\ssh.exe

Коли я біжу ssh -Vв обох місцях, я отримую

OpenSSH_7.5p1, without OpenSSL
OpenSSH_7.3p1, OpenSSL 1.0.2k  26 Jan 2017

... відповідно

Отже, коли я запускаю sshз каталогу git / bin, він працює добре і не скаржиться на дозволи, але запускаючи той самий командний рядок, використовуючи попередню установку SSH, він повертається з цим.

Load key "t:\\mykeys\\rich-private.ppk": invalid format
banana@127.0.0.127: Permission denied (publickey).

пс. дозволи на файл - це лише повний доступ для мене, і більше нічого.

Вам потрібно jsut 2 речі:

1) Вимкнути спадщину

2) Перетворення успадкованих дозволів у явні дозволи

3) Видалити групу користувачів

4) У вас виявиться, що користувачі не можуть отримати доступ до приватних файлів, цього має бути достатньо, щоб додати id_rsa.

У мене була схожа проблема, але я працював і не маю можливості змінювати дозволи на файл на своєму робочому комп'ютері. Що потрібно зробити, це встановити WSL, а потім скопіювати ваш ключ у приховану директорію ssh у WSL:

cp <path to your key> ~/.ssh/<name of your key>

Тепер ви маєте змогу нормально змінювати дозволи.

sudo chmod 600 ~/.ssh/<your key's name>

Потім ssh за допомогою WSL:

ssh -i ~/.ssh/<name of your key> <username>@<ip address>

Використовуйте команду нижче на вашому ключі, вона працює у Windows

icacls .\private.key /inheritance:r
icacls .\private.key /grant:r "%username%":"(R)"

Ви можете використовувати icacls у Windows замість chmod для налаштування дозволу на файл. Щоб надати поточному користувачеві дозвіл на читання та видалити все інше,

icacls <file name> /inheritance:r
icacls <file name> /grant:r "%username%":"(R)"

Це лише сценарій версії відповіді CLI @ JW0914, тому зверніть його насамперед. Крім того, це мій перший сценарій PowerShell, тому пропозиції вітаються.

# DO the following in powerhsell if not already done:
# Set-ExecutionPolicy RemoteSigned


# NOTE: edit the path in this command if needed
$sshFiles=Get-ChildItem -Path C:\DevContainerHome\.ssh -Force

$sshFiles | % {
  $key = $_
  & icacls $key /c /t /inheritance:d
  & icacls $key /c /t /grant %username%:F
  & icacls $key  /c /t /remove Administrator "Authenticated Users" BUILTIN\Administrators BUILTIN Everyone System Users
}

# Verify:
$sshFiles | % {
  icacls $_
}

Використовуйте Mingw-w64 .

Інформація: http://mingw-w64.org/doku.php

Завантажте за допомогою Git для Windows або безпосередньо.

Доступно тут: https://github.com/mirror/mingw-w64

git clone https://github.com/mirror/mingw-w64

Він також має і інші корисні команди Linux , як tarі gzip.

Я користувач Window, використовуючи bash Windows і виконую всі кроки для встановлення дозволу за допомогою GUI Windows, і він все ще не працює, і він скаржиться:

Permissions 0555 for 'my_ssh.pem' are too open.
It is required that your private key files are NOT accessible by others.

Я додав sudoв передній частині команди ssh і він просто працює. Сподіваюся, що це корисно для інших.

Відповідь iBug працює чудово! Ви можете слідувати за цим і позбутися цього питання.

Але є кілька речей, які потрібно усунути, коли я стикався з проблемами під час налаштування дозволів, і мені знадобилося кілька хвилин, щоб розібратися в проблемі!

Після відповіді iBug ви видалите всі дозволи, але як встановити дозвіл Повного контролю для себе? ось де я спочатку застряг, бо не знав, як це зробити.

Після відключення спадкування ви зможете видалити всіх дозволених користувачів або груп.

Колись зробив це,

Натисніть Addі натисніть Set a Principalпотім введіть Systemі Administratorsі your email addreddв поле в нижній частині натиснітьcheck names .

Він завантажить ім'я, якщо користувач існує. Потім натисніть OK> Тип Allow> Основні дозволи Full Control>Okay

Це дозволить налаштувати дозвіл на повний контроль для системи, адміністраторів та вашого користувача.

Після цього спробуйте ssh за допомогою цього ключа. Це слід вирішити зараз.

У мене була така ж проблема, і я вирішив це за допомогою цього методу. Якщо є якийсь користувач або група з таким ім'ям, він завантажить це.

-Скриншоти-

Записи дозволу Виберіть головного / Виберіть користувача або групи