SSH з дозволеними ключами до системи Ubuntu із зашифрованим homedir?

Нещодавно я створив новий сервер з Ubuntu karmic 9.10, і коли я створив свій домашній каталог, вирішив зробити його зашифрованим. Тепер, після завантаження мого дозволеного файлу в ~ / .ssh, він не розпізнається, оскільки моя домашня директорія не розшифровується до моменту входу в систему. Чи є спосіб змусити ключі SSH працювати з зашифрованими домашніми каталогами під Ubuntu?

Змініть цей рядок у файлі sshd_config:

AuthorizedKeysFile /etc/ssh/%u/authorized_keys

А потім перемістіть файл дозволеного_кейса до / etc / ssh / ваше-ім’я користувача / санкціонований_keys

Ця публікація документує ще один спосіб вирішення цього питання.

Це рішення надихнуло цю посаду . IMHO це набагато краще, ніж змінювати / etc / ssh / sshd_config, оскільки він взагалі не потребує кореневого доступу.

# Make your public key accessible
mkdir -m 700 /home/.ecryptfs/$USER/.ssh
echo $YOUR_PUBLIC_KEY > /home/.ecryptfs/$USER/.ssh/authorized_keys
ln -s /home/.ecryptfs/$USER/.ssh/authorized_keys ~/.ssh/authorized_keys
ecryptfs-umount-private
chmod 700 $HOME
mkdir -m 700 ~/.ssh
ln -s /home/.ecryptfs/$USER/.ssh/authorized_keys ~/.ssh/authorized_keys

# Make it auto-mount with first login.
# Note: it can cause problems with automated login.
echo /usr/bin/ecryptfs-mount-private > ~/.profile
echo cd >> ~/.profile
echo source .profile >> ~/.profile
ecryptfs-mount-private

Я просто провів деякий час, воюючи з цим, і відповідь полягає в тому, що це в принципі неможливо. Це є можливість налаштувати беспарольному відкриті ключі з перевіркою справжністю логінів через SSH, так що вам не доведеться вводити свій пароль для входу в систему , але це не поїде, тому що ваш домашній каталог ще зашифрований.

Простий факт полягає в тому, що ваш зашифрований домашній каталог зашифрований паролем *, тому єдиний спосіб його розшифрувати - це за допомогою цього пароля.

Якщо ви думаєте, що теоретично слід використовувати ключ ssh для розшифрування парольної фрази для монтування під час входу, це не буде працювати, оскільки ваш приватний ключ взагалі ніколи не надсилається на сервер.

Отже, якщо ви хочете шифрувати, вам доведеться використовувати паролі. Зашифровані домашні каталоги несумісні з даними відбитків пальців з тієї ж причини.

* Я знаю, що це складніше, ніж один пароль, але давайте продовжимо його простотою.

Якщо вам не подобається змінювати налаштування за замовчуванням (мені не подобається, мені подобається, що мої файли є там, де я їх очікую), тоді ви, можливо, захочете поглянути на мій пост про те, як це зробити:

http://www.enetworkservices.net/wordpress/ssh-public-keys-with-encrypted-home-directory.html

Коротко. Ви кладете ваші ключі в зашифровану версію свого користувача ~/.sshі позначаєте зашифровану версію ~/.sshіншої. Таким чином, він завжди є.

Для ледачих людей, як я, ось сценарій, щоб зробити це за вас. Просто запустіть його як звичайний користувач. Не потрібен кореневий доступ або дозволи та не потрібні зміни конфігурації сервера. Чисті нормальні налаштування користувача.

#!/bin/bash
#
# Encrypted Home DIR SSH Key fix.
# Requires modification to sshd_config
#  AuthorizedKeys /etc/ssh/authorized_keys/%u/authorized_keys
# sudo mkdir /etc/ssh/authorized_keys -m 777
# for existing users run from home directory when login.
# for new users modify /etc/skel to include .bashrc to call script.
#
# Author: Benjamin Davis <bdavis@enetworkservices.net>

# Check if directory exists.
if [ ! -d "/etc/ssh/authorized_keys/$LOGNAME" ]
then
    # Make directory with restricted permissions.
    echo "Creating user ssh directory."
    mkdir /etc/ssh/authorized_keys/$LOGNAME -m 700
fi

# Check real users home .ssh folder
if [ -d "/home/$LOGNAME/.ssh" ]
then
    # Check if dir is symlink
    if [ ! -h /home/$LOGNAME/.ssh ]
    then
        echo "Moving configs."
        mv /home/$LOGNAME/.ssh/. /etc/ssh/authorized_keys/$LOGNAME/.
        rm -rf /home/$LOGNAME/.ssh/
        ln -s -T /etc/ssh/authorized_keys/$LOGNAME /home/$LOGNAME/.ssh
        clear
    fi
else
    # Does not exist so link it.
    if [[ $EUID -ne 0 ]]
    then
        echo "User ssh config folder does not exist. Creating."
        mkdir /home/$LOGNAME/.ssh -m 700
        ln -s -T /etc/ssh/authorized_keys/$LOGNAME /home/$LOGNAME/.ssh
    fi
fi

Ви можете використовувати більш захищений відкритий ключ для входу, а потім виконати наступне, щоб змонтувати каталог після введення пароля:

ecryptfs-mount-private

Прочитавши ~/README.txtфайл після входу через SSH, ви побачите, що у вас немає своїх файлів, оскільки зашифрований каталог не встановлений.

Ви не повинні використовувати відкриті ключі без паролів для входу в систему. Подивіться на ssh-агент для кращого способу.