Tại sao ssh-host-config tạo hai người dùng trong Cygwin trên Windows 8.1?


12

Khi cố gắng giải quyết một số vấn đề khi sử dụng Cygwin + SSH trên Windows 8.1, tôi muốn biết lý do tại sao ssh-host-configtập lệnh tạo hai tài khoản mới định cấu hình OpenSSH từ đầu? (Điều này có cần thiết không?)

Hai tài khoản là: cyg_serversshd, khi sử dụng lựa chọn mặc định + leo thang đặc quyền và cài đặt dịch vụ. Tôi hiểu cái đầu tiên chỉ được sử dụng để bắt đầu dịch vụ SSH Cygwin, nhưng tôi không hiểu chức năng của cái thứ hai. Tôi đã tìm kiếm tài liệu lưu trữ của Cygwin và lời giải thích duy nhất dành cho nhà phát triển là "bởi vì nó được thiết kế để làm như vậy". Bạn cũng không nên sử dụng những thứ này để đăng nhập thực tế.

Đây là cài đặt của tôi:

-----------------------------------------------------------
ssh-keygen: generating new host keys: RSA1 RSA DSA ECDSA ED25519
*** Info: Creating default /etc/ssh_config file
*** Info: Creating default /etc/sshd_config file
*** Info: Privilege separation is set to yes by default since OpenSSH 3.3.
*** Info: However, this requires a non-privileged account called 'sshd'.
*** Info: For more info on privilege separation read /usr/share/doc/openssh/README.privsep.
*** Query: Should privilege separation be used? (yes/no) yes
*** Info: Note that creating a new user requires that the current account have
*** Info: Administrator privileges.  Should this script attempt to create a
*** Query: new local account 'sshd'? (yes/no) yes
*** Info: Updating /etc/sshd_config file

*** Query: Do you want to install sshd as a service?
*** Query: (Say "no" if it is already installed as a service) (yes/no) yes
*** Query: Enter the value of CYGWIN for the daemon: []
*** Info: On Windows Server 2003, Windows Vista, and above, the
*** Info: SYSTEM account cannot setuid to other users -- a capability
*** Info: sshd requires.  You need to have or to create a privileged
*** Info: account.  This script will help you do so.

*** Info: You appear to be running Windows XP 64bit, Windows 2003 Server,
*** Info: or later.  On these systems, it's not possible to use the LocalSystem
*** Info: account for services that can change the user id without an
*** Info: explicit password (such as passwordless logins [e.g. public key
*** Info: authentication] via sshd).

*** Info: If you want to enable that functionality, it's required to create
*** Info: a new account with special privileges (unless a similar account
*** Info: already exists). This account is then used to run these special
*** Info: servers.

*** Info: Note that creating a new user requires that the current account
*** Info: have Administrator privileges itself.

*** Info: No privileged account could be found.

*** Info: This script plans to use 'cyg_server'.
*** Info: 'cyg_server' will only be used by registered services.
*** Query: Do you want to use a different name? (yes/no) no
*** Query: Create new privileged user account 'cyg_server'? (yes/no) yes
*** Info: Please enter a password for new user cyg_server.  Please be sure
*** Info: that this password matches the password rules given on your system.
*** Info: Entering no password will exit the configuration.
*** Query: Please enter the password:
*** Query: Reenter:

*** Info: User 'cyg_server' has been created with password 'XXXXXXXXXX'.
*** Info: If you change the password, please remember also to change the
*** Info: password for the installed services which use (or will soon use)
*** Info: the 'cyg_server' account.

*** Info: Also keep in mind that the user 'cyg_server' needs read permissions
*** Info: on all users' relevant files for the services running as 'cyg_server'.
*** Info: In particular, for the sshd server all users' .ssh/authorized_keys
*** Info: files must have appropriate permissions to allow public key
*** Info: authentication. (Re-)running ssh-user-config for each user will set
*** Info: these permissions correctly. [Similar restrictions apply, for
*** Info: instance, for .rhosts files if the rshd server is running, etc].


*** Info: The sshd service has been installed under the 'cyg_server'
*** Info: account.  To start the service now, call `net start sshd' or
*** Info: `cygrunsrv -S sshd'.  Otherwise, it will start automatically
*** Info: after the next reboot.

*** Info: Host configuration finished. Have fun!
-----------------------------------------------------------

Ngoài ra, 'cyg_server' là một tài khoản hiển thị, có thể được sử dụng để đăng nhập Windows, nhưng 'sshd' dường như bị ẩn. Vì vậy, tôi để lại kết luận tôi sẽ phải thêm một tài khoản thứ 3 khác để có thể sử dụng SSH đúng cách, điều này có vẻ khá điên rồ!


EDIT-1 : Không chỉ vậy, tài khoản sshd còn có ngày hết hạn mật khẩu được đặt 40 ngày kể từ khi cài đặt và có mật khẩu (theo WMIC ). (Tôi chưa bao giờ được yêu cầu nhập mật khẩu cho tài khoản này, trong khi thiết lập ssh.)

Làm wmic useraccount get AccountType,...,Status::

AccountType  Disabled  Lockout  Name           PasswordChangeable  PasswordExpires  PasswordRequired  Status    
512          FALSE     FALSE    cyg_server     TRUE                FALSE            TRUE              OK        
512          TRUE      FALSE    sshd           TRUE                TRUE             TRUE              Degraded  

net user sshd:

User name                    sshd
Full Name                    sshd privsep
Comment                      
User's comment               
Country/region code          000 (System Default)
Account active               No
Account expires              Never
Password last set            2014-03-01 23:20:19
Password expires             2014-04-12 23:20:19
Password changeable          2014-03-01 23:20:19
Password required            Yes
User may change password     Yes
Workstations allowed         All
Logon script                 
User profile                 
Home directory               C:\cygwin64\var\empty
Last logon                   Never
Logon hours allowed          All
Local Group Memberships      *Users                
Global Group memberships     *None                 
The command completed successfully.

Vì vậy, điều này mở ra thêm hai câu hỏi về điều này:

  1. Mật khẩu được đặt là gì và tại sao người dùng không được thông báo về điều này?
  2. Tại sao mật khẩu này có ngày hết hạn?

EDIT-2 : Không thể truy cập vào danh sách nhà phát triển Cygwin, tôi phải tự mình điều tra thêm. Cho đến nay tôi không có câu trả lời cho câu hỏi 1, nhưng có một số vấn đề khác với tập lệnh ssh-host-config được sử dụng để thiết lập. Điểm mấu chốt là, bạn luôn có thể xóa cả tài khoản sshd & cyg_server và thiết lập một tài khoản quản trị viên phù hợp bằng cách sử dụng cài đặt của chúng làm tham chiếu.

Câu hỏi 2 : Windows 8.1 có thời hạn hết hạn mật khẩu mặc định được đặt thành 42 ngày. Điều này phải được thay đổi hoặc vô hiệu hóa, sử dụng các công cụ Windows bình thường (UI, WMIC, người dùng mạng, v.v.)

Câu trả lời:


4

Cập nhật 2019: Câu trả lời và câu hỏi này đã lỗi thời. Xem câu trả lời của Bill_Stewart.

Từ man 5 sshd_config

 UsePrivilegeSeparation
     Specifies whether sshd separates privileges by creating an
     unprivileged child process to deal with incoming network traffic.
     After successful authentication, another process will be created
     that has the privilege of the authenticated user.  The goal of
     privilege separation is to prevent privilege escalation by con-
     taining any corruption within the unprivileged processes.  The
     default is "yes".

Vì vậy, sshd yêu cầu hai loại tài khoản:

  1. Một với khả năng setuid.
  2. Một tài khoản không có đặc quyền.

Tập lệnh thiết lập giải thích rằng tài khoản HỆ THỐNG thông thường không có setuidđặc quyền, do đó cần có tài khoản đặc quyền bổ sung.


Tôi chấp nhận điều này như một câu trả lời mặc dù nó hơi tầm thường và tôi rất muốn thấy ai đó trả lời 2 câu hỏi khác của tôi.
not2qubit

1
Cảm ơn. Tôi chỉ đơn giản là không biết câu trả lời cho những câu hỏi phụ đó mà muốn chia sẻ những gì tôi biết.
Dan Garthwaite

Ssh có bị vỡ trên windows 8.1 sau 42 ngày không?
Dan Garthwaite

Các sshdtài khoản không còn được sử dụng trong Cygwin (xem cygwin.com/ml/cygwin/2019-01/msg00120.html ).
Bill_Stewart

4

Về lý do tại sao ssh-host-configtạo hai tài khoản người dùng chủ yếu được trả lời bởi Dan. Thông tin thêm về lý do tại sao cần phải setuidtìm một tài khoản riêng ở đây, đây là một quá trình phức tạp .

Đối với câu hỏi phụ đầu tiên của bạn, tôi tin rằng nó cũng mặc định, như hết hạn mật khẩu - trong /usr/share/csih/cygwin-service-installation-helper, được sử dụng bởi ssh-host-config, người dùng được tạo (sử dụng lệnh Windows net) như thế này, ${unpriv_user}tên là như thế nào sshd, bạn đã chọn và ${dos_var_empty}là đường dẫn kiểu Windows / DOS tới /var/empty:

net user "${unpriv_user}" /add /fullname:"${unpriv_user} privsep" \
"/homedir:${dos_var_empty}" /active:no

Tài liệu của Microsoft nói rằng giá trị mặc định cho /passwordreq, nếu cần mật khẩu, là có, và có vẻ như Windows sau đó gán một số mật khẩu mặc định (có thể vì mật khẩu không được chỉ định, cụ thể là vì /active:no).

Và đối với câu hỏi phụ thứ hai của bạn, như bạn đã nói trong lần chỉnh sửa thứ hai, mặc định, ít nhất là đối với Windows 8.1 Pro, dường như là hết hạn mật khẩu sau 42 ngày, mặc dù chắc chắn nó không được kích hoạt trên tài khoản của tôi HOẶC cyg_servertài khoản mới . Điều này có thể là do cùng một kết hợp - cyg_serverchỉ định mật khẩu và đang hoạt động, nhưng sshd không chỉ định mật khẩu và không hoạt động (có lẽ điều này là buộc mật khẩu được gán nếu / khi tài khoản được kích hoạt). Nếu bạn muốn biết chi tiết chính xác, có lẽ tôi nên thử tạo thêm các tài khoản tương tự khi hết hạn / chỉ định mật khẩu và xem điều gì xảy ra.


1

sshdTài khoản bị vô hiệu hóa thực sự không được sử dụng trong Cygwin (ít nhất, không còn nữa). Tôi đã hỏi về điều này trong danh sách gửi thư của Cygwin:

Tài khoản người dùng bị vô hiệu hóa sshd vẫn được yêu cầu?

Corinna Vinschen (người bảo trì Cygwin) đã trả lời như sau:

Không, thực tế không phải vậy. Ngày nay, máy chủ sshd kiểm tra xem có nên sử dụng môi trường chrrot [sic] hay không và quá trình này được bắt đầu trong "root: root". Điều này không bao giờ khớp với Cygwin vì vậy chúng tôi có thể bỏ yêu cầu người dùng sshd.

(Xem https://cygwin.com/ml/cygwin/2019-01/msg00120.html )

Do đó, câu trả lời được đánh dấu cho câu hỏi này là không chính xác cho Cygwin.

(Có thể ai đó sẽ cập nhật ssh-host-configtập lệnh tại một số điểm để bỏ việc tạo sshdtài khoản.)

Cập nhật ngày 18 tháng 4 năm 2019

Trên đây là chính xác trong đó sshdtài khoản không được yêu cầu nghiêm ngặt. Lần duy nhất bạn vẫn sẽ cần là nếu bạn muốn sử dụng ChrootDirectorycài đặt sshd_configđể chỉ giới hạn tài khoản ở SFTP.

FWIW, tôi đã tạo một gói cung cấp trình cài đặt dễ sử dụng để định cấu hình phiên bản Cygwin của OpenSSH (và một vài công cụ khác, bao gồm rsync). Đó là trên GitHub nếu có ai quan tâm:

https://github.com/Bill-Stewart/Cygwin-OpenSSH

Tài liệu trong gói mô tả các trường hợp sshdsử dụng tài khoản.

Khi sử dụng trang web của chúng tôi, bạn xác nhận rằng bạn đã đọc và hiểu Chính sách cookieChính sách bảo mật của chúng tôi.
Licensed under cc by-sa 3.0 with attribution required.