SSH avec des clés authorised_keys sur un système Ubuntu avec un répertoire personnel chiffré?

J'ai récemment configuré un nouveau serveur avec Ubuntu Karmic 9.10 et, lorsque j'ai créé mon répertoire personnel, j'ai choisi de le chiffrer. Maintenant, après le chargement de mon fichier allowed_keys dans ~ / .ssh, il n'est pas reconnu car mon répertoire personnel n'est décrypté qu'après ma connexion. Existe-t-il un moyen de faire en sorte que les clés SSH fonctionnent avec des répertoires personnels chiffrés sous Ubuntu?

Modifiez cette ligne dans votre fichier sshd_config:

AuthorizedKeysFile /etc/ssh/%u/authorized_keys

Et déplacez ensuite votre fichier registered_keys vers / etc / ssh / votre-nom d'utilisateur / authorised_keys

Cet article documente une autre façon de résoudre ce problème.

Cette solution a été inspirée par ce post . IMHO c'est bien mieux que de modifier votre / etc / ssh / sshd_config puisqu'il ne nécessite pas d'accès root.

# Make your public key accessible
mkdir -m 700 /home/.ecryptfs/$USER/.ssh
echo $YOUR_PUBLIC_KEY > /home/.ecryptfs/$USER/.ssh/authorized_keys
ln -s /home/.ecryptfs/$USER/.ssh/authorized_keys ~/.ssh/authorized_keys
ecryptfs-umount-private
chmod 700 $HOME
mkdir -m 700 ~/.ssh
ln -s /home/.ecryptfs/$USER/.ssh/authorized_keys ~/.ssh/authorized_keys

# Make it auto-mount with first login.
# Note: it can cause problems with automated login.
echo /usr/bin/ecryptfs-mount-private > ~/.profile
echo cd >> ~/.profile
echo source .profile >> ~/.profile
ecryptfs-mount-private

Je viens de passer un peu de temps à jouer avec cela, et la réponse est que c'est à peu près fondamentalement impossible. Il est possible de configurer des connexions avec ssh authentifiées par une clé publique authentifiée sans mot de passe. Vous n'avez donc pas besoin de saisir votre mot de passe pour vous connecter , mais cela ne vous mènera nulle part, car votre répertoire personnel est toujours chiffré.

Le fait est que votre répertoire personnel crypté est crypté avec un mot de passe *. Le seul moyen de le décrypter est donc avec ce mot de passe.

Et si vous pensez qu'en théorie, il devrait être possible d'utiliser votre clé ssh pour déchiffrer la phrase secrète de montage lors de la connexion, cela ne fonctionnera pas car votre clé privée n'est jamais du tout envoyée au serveur.

Donc, fondamentalement, si vous voulez un cryptage, vous devez utiliser des mots de passe. Les répertoires de départ cryptés sont incompatibles avec les connexions par empreinte digitale pour la même raison.

* Je sais que c'est plus compliqué qu'un seul mot de passe, mais restons simple pour l'instant.

Si vous n'aimez pas modifier la configuration par défaut (je n'aime pas, j'aime que mes fichiers soient là où je m'attendais), alors vous voudrez peut-être jeter un coup d'œil à mon article sur la façon de le faire:

http://www.enetworkservices.net/wordpress/ssh-public-keys-with-encrypted-home-directory.html

En bref. Vous placez vos clés dans la version chiffrée de votre utilisateur ~/.sshet reliez la version chiffrée de façon symbolique ~/.ssh. De cette façon, c'est toujours là.

Pour les paresseux comme moi, voici un script à faire pour vous. Il suffit de l'exécuter en tant qu'utilisateur normal. Aucun accès root ou autorisations nécessaires et aucune modification de la configuration du serveur requise. Paramètres utilisateur normaux purs.

#!/bin/bash
#
# Encrypted Home DIR SSH Key fix.
# Requires modification to sshd_config
#  AuthorizedKeys /etc/ssh/authorized_keys/%u/authorized_keys
# sudo mkdir /etc/ssh/authorized_keys -m 777
# for existing users run from home directory when login.
# for new users modify /etc/skel to include .bashrc to call script.
#
# Author: Benjamin Davis <bdavis@enetworkservices.net>

# Check if directory exists.
if [ ! -d "/etc/ssh/authorized_keys/$LOGNAME" ]
then
    # Make directory with restricted permissions.
    echo "Creating user ssh directory."
    mkdir /etc/ssh/authorized_keys/$LOGNAME -m 700
fi

# Check real users home .ssh folder
if [ -d "/home/$LOGNAME/.ssh" ]
then
    # Check if dir is symlink
    if [ ! -h /home/$LOGNAME/.ssh ]
    then
        echo "Moving configs."
        mv /home/$LOGNAME/.ssh/. /etc/ssh/authorized_keys/$LOGNAME/.
        rm -rf /home/$LOGNAME/.ssh/
        ln -s -T /etc/ssh/authorized_keys/$LOGNAME /home/$LOGNAME/.ssh
        clear
    fi
else
    # Does not exist so link it.
    if [[ $EUID -ne 0 ]]
    then
        echo "User ssh config folder does not exist. Creating."
        mkdir /home/$LOGNAME/.ssh -m 700
        ln -s -T /etc/ssh/authorized_keys/$LOGNAME /home/$LOGNAME/.ssh
    fi
fi

Vous pouvez utiliser la clé publique plus sécurisée pour vous connecter, puis exécuter les opérations suivantes pour monter votre répertoire après avoir saisi votre mot de passe:

ecryptfs-mount-private

Lisez le ~/README.txtfichier après vous être connecté via SSH. Vous constaterez que vous n’avez pas vos fichiers car le répertoire crypté n’est pas monté.

De toute façon, vous ne devriez pas utiliser de clé publique sans mot de passe pour vous connecter. Regardez ssh-agent pour une meilleure solution.