Al tratar de resolver algunos problemas con el uso de Cygwin + SSH en Windows 8.1, me gustaría saber por qué el ssh-host-configscript crea dos nuevas cuentas que configuran OpenSSH desde cero. (¿Es esto necesario?)

Las dos cuentas son: cyg_servery sshd, cuando se utiliza la selección predeterminada + escalada de privilegios e instalación del servicio. Entiendo que el primero se usa solo para iniciar el servicio Cygwin SSHd, pero no entiendo la función del segundo. Busqué en los archivos de Cygwin y la única explicación del desarrollador fue "porque fue diseñado para hacerlo". También se recomienda no usarlos para el inicio de sesión real.

Aquí está mi instalación:

-----------------------------------------------------------
ssh-keygen: generating new host keys: RSA1 RSA DSA ECDSA ED25519
*** Info: Creating default /etc/ssh_config file
*** Info: Creating default /etc/sshd_config file
*** Info: Privilege separation is set to yes by default since OpenSSH 3.3.
*** Info: However, this requires a non-privileged account called 'sshd'.
*** Info: For more info on privilege separation read /usr/share/doc/openssh/README.privsep.
*** Query: Should privilege separation be used? (yes/no) yes
*** Info: Note that creating a new user requires that the current account have
*** Info: Administrator privileges.  Should this script attempt to create a
*** Query: new local account 'sshd'? (yes/no) yes
*** Info: Updating /etc/sshd_config file

*** Query: Do you want to install sshd as a service?
*** Query: (Say "no" if it is already installed as a service) (yes/no) yes
*** Query: Enter the value of CYGWIN for the daemon: []
*** Info: On Windows Server 2003, Windows Vista, and above, the
*** Info: SYSTEM account cannot setuid to other users -- a capability
*** Info: sshd requires.  You need to have or to create a privileged
*** Info: account.  This script will help you do so.

*** Info: You appear to be running Windows XP 64bit, Windows 2003 Server,
*** Info: or later.  On these systems, it's not possible to use the LocalSystem
*** Info: account for services that can change the user id without an
*** Info: explicit password (such as passwordless logins [e.g. public key
*** Info: authentication] via sshd).

*** Info: If you want to enable that functionality, it's required to create
*** Info: a new account with special privileges (unless a similar account
*** Info: already exists). This account is then used to run these special
*** Info: servers.

*** Info: Note that creating a new user requires that the current account
*** Info: have Administrator privileges itself.

*** Info: No privileged account could be found.

*** Info: This script plans to use 'cyg_server'.
*** Info: 'cyg_server' will only be used by registered services.
*** Query: Do you want to use a different name? (yes/no) no
*** Query: Create new privileged user account 'cyg_server'? (yes/no) yes
*** Info: Please enter a password for new user cyg_server.  Please be sure
*** Info: that this password matches the password rules given on your system.
*** Info: Entering no password will exit the configuration.
*** Query: Please enter the password:
*** Query: Reenter:

*** Info: User 'cyg_server' has been created with password 'XXXXXXXXXX'.
*** Info: If you change the password, please remember also to change the
*** Info: password for the installed services which use (or will soon use)
*** Info: the 'cyg_server' account.

*** Info: Also keep in mind that the user 'cyg_server' needs read permissions
*** Info: on all users' relevant files for the services running as 'cyg_server'.
*** Info: In particular, for the sshd server all users' .ssh/authorized_keys
*** Info: files must have appropriate permissions to allow public key
*** Info: authentication. (Re-)running ssh-user-config for each user will set
*** Info: these permissions correctly. [Similar restrictions apply, for
*** Info: instance, for .rhosts files if the rshd server is running, etc].


*** Info: The sshd service has been installed under the 'cyg_server'
*** Info: account.  To start the service now, call `net start sshd' or
*** Info: `cygrunsrv -S sshd'.  Otherwise, it will start automatically
*** Info: after the next reboot.

*** Info: Host configuration finished. Have fun!
-----------------------------------------------------------

Además, 'cyg_server' es una cuenta visible, que se puede usar para iniciar sesión en Windows, pero 'sshd' parece oculto. Así que me queda la conclusión de que tendré que agregar otra tercera cuenta para poder usar SSH correctamente, ¡lo que parece bastante loco!

EDIT-1 : no solo eso, la cuenta sshd también tiene una fecha de caducidad de contraseña establecida 40 días después de la instalación y tiene una contraseña (según WMIC ). (Nunca se me solicitó ingresar una contraseña para esta cuenta, durante la configuración de ssh).

Haciendo wmic useraccount get AccountType,...,Status:

AccountType  Disabled  Lockout  Name           PasswordChangeable  PasswordExpires  PasswordRequired  Status    
512          FALSE     FALSE    cyg_server     TRUE                FALSE            TRUE              OK        
512          TRUE      FALSE    sshd           TRUE                TRUE             TRUE              Degraded  

y net user sshd:

User name                    sshd
Full Name                    sshd privsep
Comment                      
User's comment               
Country/region code          000 (System Default)
Account active               No
Account expires              Never
Password last set            2014-03-01 23:20:19
Password expires             2014-04-12 23:20:19
Password changeable          2014-03-01 23:20:19
Password required            Yes
User may change password     Yes
Workstations allowed         All
Logon script                 
User profile                 
Home directory               C:\cygwin64\var\empty
Last logon                   Never
Logon hours allowed          All
Local Group Memberships      *Users                
Global Group memberships     *None                 
The command completed successfully.

Entonces esto abre dos preguntas más sobre esto:

1. ¿Cuál es la contraseña establecida y por qué no se informó al usuario sobre esto?
2. ¿Por qué esta contraseña tiene una fecha de vencimiento?

EDIT-2 : Al no poder acceder a la lista de desarrolladores de Cygwin, tuve que investigar más por mi cuenta. Hasta ahora no tengo una respuesta a la pregunta 1, pero hay varios otros problemas con el script ssh-host-config utilizado para la configuración. La conclusión es que siempre puede eliminar las cuentas sshd y cyg_server y configurar una cuenta de administrador adecuada utilizando su configuración como referencia.

Pregunta 2 : Windows 8.1 tiene una caducidad de contraseña predeterminada establecida en 42 días. Esto tiene que ser cambiado o deshabilitado, usando herramientas normales de Windows (UI, WMIC, usuario de red, etc.)

Actualización 2019: esta respuesta y pregunta es obsoleta. Ver la respuesta de Bill_Stewart.

Desde man 5 sshd_config

 UsePrivilegeSeparation
     Specifies whether sshd separates privileges by creating an
     unprivileged child process to deal with incoming network traffic.
     After successful authentication, another process will be created
     that has the privilege of the authenticated user.  The goal of
     privilege separation is to prevent privilege escalation by con-
     taining any corruption within the unprivileged processes.  The
     default is "yes".

Entonces sshd requiere dos tipos de cuentas:

1. Uno con la capacidad de setuid.
2. Una cuenta sin privilegios.

El script de configuración explica que la cuenta habitual de SYSTEM no tiene setuidprivilegios, por lo tanto, la necesidad de una cuenta con privilegios adicional.

En cuanto a por qué ssh-host-configcrea dos cuentas de usuario, Dan responde principalmente. Más acerca de por qué se necesita una cuenta separada a setuidse puede encontrar aquí, es un proceso complicado .

En cuanto a su primera subpregunta, creo que también son los valores predeterminados, como la expiración de la contraseña: en /usr/share/csih/cygwin-service-installation-helperssh-host-config, el usuario se crea (usando el comando net de Windows) de esta manera, donde ${unpriv_user}está el nombre, como sshd, seleccionó, y ${dos_var_empty}es la ruta de estilo de Windows / DOS para /var/empty:

net user "${unpriv_user}" /add /fullname:"${unpriv_user} privsep" \
"/homedir:${dos_var_empty}" /active:no

La documentación de Microsoft dice que el valor predeterminado para /passwordreq, si se requiere una contraseña, es sí, y parece que Windows luego asigna una contraseña predeterminada (probablemente porque no se especifica una contraseña, tal vez en particular porque /active:no).

Y para su segunda subpregunta, como dijo en su segunda edición, el valor predeterminado, al menos para Windows 8.1 Pro, parece ser el vencimiento de una contraseña después de 42 días, aunque ciertamente no está habilitado en mi cuenta O en la nueva cyg_servercuenta. Esto probablemente se deba a la misma combinación: cyg_serverespecifica una contraseña y está activa, pero sshd no especifica una contraseña y no está activa (quizás esto es para forzar que se asigne una contraseña si / cuando la cuenta está activada). Si desea conocer los detalles exactos, probablemente intente crear cuentas más similares con la caducidad / especificación de la contraseña y ver qué sucede.

La sshdcuenta deshabilitada por separado en realidad no se usa en Cygwin (al menos, ya no más). Pregunté sobre esto en la lista de correo de Cygwin:

¿Todavía se requiere la cuenta de usuario deshabilitada sshd?

Corinna Vinschen (mantenedora de Cygwin) respondió con lo siguiente:

No, en realidad no lo es. En estos días, el servidor sshd comprueba si se debe usar el entorno privsep chrrot [sic] y si el proceso se inicia en "root: root". Esto nunca coincide con Cygwin, por lo que podríamos eliminar el requisito de usuario sshd.

(Ver https://cygwin.com/ml/cygwin/2019-01/msg00120.html )

Por lo tanto, la respuesta marcada a esta pregunta no es correcta para Cygwin.

(Probablemente alguien actualizará el ssh-host-configscript en algún momento para descartar la creación de la sshdcuenta).

Actualización 18/04/2019

Lo anterior es correcto porque la sshdcuenta no es estrictamente requerida. El único momento en que lo necesitará es si desea utilizar la ChrootDirectoryconfiguración sshd_configpara restringir una cuenta solo a SFTP.

FWIW, creé un paquete que proporciona un instalador fácil de usar que configura la versión Cygwin de OpenSSH (y un par de otras herramientas, incluidas rsync). Está en GitHub si alguien está interesado:

https://github.com/Bill-Stewart/Cygwin-OpenSSH

La documentación en el paquete describe las circunstancias en las que sshdse utiliza la cuenta.