[Frage] ssh / Dropbear

[thc09]

Hallo,

hat hier jemand Dropbear mit authorized_keys laufen im aktuellen BPImage ?
Und falls nicht, könnte das mal jemand ausprobieren bitte ?

Gruss!

[BPanther]

Ich denke mal, daß ein reines Key-Login kaum jemand benutzt, und da die Anleitungen recht verwirrend dazu sind, macht sich das auch mit dem testen schlecht. Ich habe da auch nicht wirklich bei durchgesehen, daher auch nur normales User/Pass Login bei den Tests. Ansonsten brauche ich das selbst garnicht, da ich lokal mich nur via Telnet/FTP einlogge. Nach außen hin würde ich eh weder das Login benötigen noch (aus Sicherheitsgründen, auch wenn SSL) aktivieren.

[thc09]

Hi..
Ich finde das sehr komfortabel mich überall ohne Passwort einloggen zu können. (intern für alle Geräte ein Schlüsselpaar)

Das ist im Prinzip voll simpel, man kann jetzt mit ssh-keygen rumhampeln und konvertieren (ev. geht das auch so, müsste ich mal probieren).
Ich benutze unter Android den Connectbot, der erstellt funktionierende Keys.
Dann kommt die .ssh ins Root und da die authorized_keys rein. Fertig. Nie wieder Passwort.
Nutze ich auf allen Geräten, man gewöhnt sich dran. Die Router mit dd-wrt wollen die authorized_keys im dropbearverzeichnis.
Das Image von @fs nimmt die keys in .ssh, so sollte das auch sein. Ich nutze symlinks auf den anderen Geräten.
Ich hab bei deinem Image auch authorized_keys im dropbearverzeichnis probiert.
Ich habe auch diverse Images probiert, auch das älteste was zum Download bereit liegt.(alle ohne Settingsübernahme)
Da sind einige Stunden ins Land gegangen. Ich würde jetzt davon ausgehen das dieses Problem nicht auf OSI8 liegt

Code: Alles auswählen

hd51:/.ssh# cat /.version
distro=FS
imagename=Neutrino
imageversion=3.x.x
homepage=https://github.com/fs-basis
creator=FS
docs=https://github.com/fs-basis
forum=https://github.com/fs-basis/neutrino-fs
version=020xxxxxxxxxxx
git=3xx
imagedir=hd51
hd51:/.ssh# dropbear -F
[2321] Apr 04 23:58:33 Failed loading /etc/dropbear/dropbear_rsa_host_key
[2321] Apr 04 23:58:33 Failed loading /etc/dropbear/dropbear_dss_host_key
[2321] Apr 04 23:58:33 Not backgrounding
[2324] Apr 04 23:58:39 Child connection from 192.168.2.28:59349
[2324] Apr 04 23:58:40 Pubkey auth succeeded for 'root' with key sha1!! a8:19:c1:c3:4f:da:7x.xx.xx from 192.168.2.28:59349
[2324] Apr 04 23:58:48 Exit (root) from <192.168.2.28:59349>: Terminated by signal
[2321] Apr 04 23:58:48 Early exit: Terminated by signal
hd51:/.ssh#

hd51:/.ssh# cat /.version
imagename=BPanther Image
creator=BPanther
homepage=https://forum.mbremer.de
docs=https://forum.mbremer.de
forum=https://forum.mbremer.de
version=1380202104020402
git=rev19135-ddt
hd51:/.ssh# dropbear -F
[2177] Apr 05 00:08:10 Failed loading /etc/dropbear/dropbear_rsa_host_key
[2177] Apr 05 00:08:10 Failed loading /etc/dropbear/dropbear_dss_host_key
[2177] Apr 05 00:08:10 Not backgrounding
[2180] Apr 05 00:08:23 Child connection from 192.168.2.28:59417
[2180] Apr 05 00:08:24 / must be owned by user or root, and not writable by others

Ich mach mal keys mit ssh-keygen und teste das mal. Dropbearconvert habe ich allerdings nur in einer alten Version.
Müsste dann ggf. nen NI installieren, da wäre was neues dabei, falls es beim konvertieren Probleme gibt.
Ich könnte dann auch ggf. ein funktionierendes Schlüsselpaar zur verfügung stellen.

Gruss!

[BPanther]

Hmm, also ein Sym von /.ssh nach /etc/dropbear geht garnicht - meckert dann auch, allerdings das Anlegen von /.ssh (Rechte 700) und ein ln -s /etc/dropbear/authorized_keys /.ssh/authorized_keys mit kopieren der Datei authorized_keys (Rechte 600) nach /etc/dropbear funktioniert.

Wenn Du:

1. chown root /
2. chmod 700 /

benutzt und obiges Verzeichnis mit Sym klappt der Login im reinen Keyverfahren - wobei dann bei SCP immernoch das Passwort des Keys erforderlich ist oder bei Putty brauchte ich User (root) und das KeyPass. Bringt also nicht wirklich eine Ersparnis.

Das funktioniert allerdings so nicht bei SH4 (NOR-Flash), da / nicht beschreibbar und somit auch der User nicht global auf root veränderbar. Irgendwas stimmt doch da nicht, das muß doch auch anders gehen.

EDIT;
Habe mal was geändert und ein Testimage ins Experimentell hochgeladen.
- /.ssh angelegt mit Rechte 700
- Symlink /.ssh/authorized_keys -> /etc/dropbear/authorized_keys erstellt, d.h. einfach die authorized_keys nach /etc/dropbear kopieren und Rechte 600 vergeben

Wobei die Rechte auf der Box eigentlich egal sind, da man eh nur root benutzt. Daher habe ich auch was an DropbearMulti selbst noch gemacht damit das richtig funktioniert.

[thc09]

Hi.

Probier ich nach her.
Du hast dein Keypaar aber ohne Passphrase angelegt oder ?
Wo da die authoryzed_keys sind ist schlussendlich egal, zumindest auf der Box.
Der Rest ist halt Linux spezifisch. .ssh ist ja im Home des Users. Folgt halt alles der Rechtevergabe, oder probiert es
Zwecks sh4, eventuell geht ja als Workaround ein verzeichnis .ssh mit file authorized_keys drin und dann ein Symlink, ggf. mit nem Fakeschlüssel im keyfile
Weiß nicht ob man das so geregelt bekommt. Theoretisch sollte der Dropbear das Keyfile aber auch im Dropbearverzeichnis nehmen. Geht hier aber nicht.
Simplesshd regelt das so unter Android.

Gruss!

[BPanther]

Habs halt nun anders gelöst. Zum einen mit dem .ssh im Root mit Symlink der authorized_keys nach /etc/dropbear und zum anderen steigt dropbear nicht mehr aus, auch wenn die Rechte falsch sind. Dropbear wird das in der nächsten Version nur noch melden, die Experimentelle meldet diesbezüglich nichts dazu. Die Box nutzt eh nur root als Benutzer, daher ist das mit den Rechten auf 600 (so auch bei lcd4linux) unsinnig auf der Box.

Und ja, habe die Schlüssel mit Passwort generiert, ansonsten kann man auch gleich Telnet nehmen. Und beim FTP braucht man user/pass eh nicht mehr eingeben wenn man das einmal gemacht hat. Daher erschließt sich mir dann auch der Sinn nicht wirklich mit DB - schon garnicht lokal.

[thc09]

Hi..

Naja, man sollte sich seinen privaten Schlüssel nicht klauen lassen
Also zuhause brauche ich keine Passphrase. Also doppelte Sicherheit.

Hab mit puttykeygen neue Schlüssel erzeugt, dropbearconvert ist garnicht nötig. Sehr schön. Hatte ich anders verstanden.

Gruss!

[BPanther]

Ich habe den Key unter Linux mit

openssl genrsa -des3 -out <dateiname>

generieren - verlangt Passwort zwischen 4..1023 Zeichen - und dann mit

ssh-keygen -y -f <dateiname> > authorized_keys

dann die andere Datei erstellen lassen. Mit puttygen wollte das nicht funktionieren - wahrscheinlich die falschen Optionen genommen.

[thc09]

Hi.

Asche auf mein Haupt, hab das unter Windows gemacht.
Schön soweit. Musste dann nur für Android mit Puttygen umwandeln, weil ich *.ppk hatte.
Falls das jemand mal braucht:

Code: Alles auswählen

puttygen putty.ppk -o id_rsa.pub -O public-openssh
puttygen putty.ppk -o id_rsa -O private-openssh

Das Image läuft wie erwartet. Sehr schön.

Mal unter deb-emu probiert , geht auch.

Code: Alles auswählen

puttygen -t rsa -b 2048 -C uschi -O private-openssh -o private-openssh
puttygen private-ssh -O public-openssh -o public-openssh

Danke.

Gruss!

[BPanther]

Danke für die Rückmeldung, dann kann ich das ja auch so verbauen in den nächsten Images und auch SH4 mit NOR-Flash sollte so funktionieren.

[thc09]

Hi,

Gerne. Danke das es jetzt ohne Stress funktioniert.
Wird dann wohl irgendwie am Buildsystem liegen, da @fs ja auch aus dem ddt baut.

Komisch isses ...

[BPanther]

Jo, wundert mich auch dabei, denn auch bei ihm wird das Image mit usernamen gepackt und nicht als root wie z.B. bei den SH4 Boxen.

[thc09]

Ja, na vielleicht sagt er ja noch was dazu.
User müsste ja auch gehen, solange kein anderer schreiben darf. Sofern ich das richtig verstanden habe.
Verrückt

[thc09]

Das mit dem User mag gehen, aber dann mußt Du dich auch als eben dieser User (bei mir bpanther) theoretisch einloggen. Aber in der Regel unterstützen Boximages keine separaten User, ist ja da auch nicht notwendig, daher gibt es nur den User root, also den Vollzugriff. Deswegen war es am Ende einfacher, in Dropbear das einfach auszuhebeln.