SSH con claves_autorizadas a un sistema Ubuntu con homedir encriptado?

Recientemente configuré un nuevo servidor con Ubuntu karmic 9.10, y cuando creé mi directorio de inicio elegí hacerlo encriptado. Ahora, después de cargar mi archivo autorizado_keys en ~ / .ssh, no se reconoce porque mi directorio de inicio no se descifra hasta después de iniciar sesión. ¿Hay alguna manera de hacer que las claves SSH funcionen con directorios de inicio cifrados en Ubuntu?

Cambie esta línea en su archivo sshd_config:

AuthorizedKeysFile /etc/ssh/%u/authorized_keys

Y luego mueva su archivo autorizado_claves a / etc / ssh / su-nombre de usuario / autorizado_claves

Esta publicación documenta otra forma de resolver esto.

Esta solución fue inspirada por esta publicación . En mi humilde opinión, es mucho mejor que modificar su / etc / ssh / sshd_config ya que no requiere acceso root en absoluto.

# Make your public key accessible
mkdir -m 700 /home/.ecryptfs/$USER/.ssh
echo $YOUR_PUBLIC_KEY > /home/.ecryptfs/$USER/.ssh/authorized_keys
ln -s /home/.ecryptfs/$USER/.ssh/authorized_keys ~/.ssh/authorized_keys
ecryptfs-umount-private
chmod 700 $HOME
mkdir -m 700 ~/.ssh
ln -s /home/.ecryptfs/$USER/.ssh/authorized_keys ~/.ssh/authorized_keys

# Make it auto-mount with first login.
# Note: it can cause problems with automated login.
echo /usr/bin/ecryptfs-mount-private > ~/.profile
echo cd >> ~/.profile
echo source .profile >> ~/.profile
ecryptfs-mount-private

Acabo de pasar un tiempo jugando con esto, y la respuesta es que es básicamente fundamentalmente imposible. Que es posible establecer inicios de sesión sin contraseña autentificados de clave pública a través de SSH, por lo que no tiene que escribir su contraseña para entrar , pero eso no lleva a ninguna parte, debido a su directorio principal todavía está cifrada.

El simple hecho es que su directorio de inicio encriptado está encriptado con una contraseña *, por lo que la única forma de descifrarlo es con esa contraseña.

Y si está pensando que, en teoría, debería ser posible usar su clave ssh para descifrar la frase de contraseña de montaje al iniciar sesión, eso no funcionará porque su clave privada nunca se envía al servidor.

Básicamente, si quieres encriptar, debes usar contraseñas. Los directorios principales cifrados son incompatibles con los inicios de sesión de huellas digitales por el mismo motivo.

* Sé que es más complicado que una sola contraseña, pero hagámoslo simple por ahora.

Si no le gusta modificar la configuración predeterminada (no lo hago, me gusta que mis archivos estén donde espero que estén), entonces puede echarle un vistazo a mi publicación sobre cómo hacerlo:

http://www.enetworkservices.net/wordpress/ssh-public-keys-with-encrypted-home-directory.html

En breve. Pones tus claves en la versión encriptada de tu usuario ~/.sshy enlazas simbólicamente la versión encriptada ~/.ssha la otra. De esta manera siempre está ahí.

Para la gente perezosa como yo, aquí hay un guión para hacerlo por usted. Simplemente ejecútelo como el usuario normal. No se necesitan permisos ni acceso root y no se requieren cambios en la configuración del servidor. Configuración de usuario normal pura.

#!/bin/bash
#
# Encrypted Home DIR SSH Key fix.
# Requires modification to sshd_config
#  AuthorizedKeys /etc/ssh/authorized_keys/%u/authorized_keys
# sudo mkdir /etc/ssh/authorized_keys -m 777
# for existing users run from home directory when login.
# for new users modify /etc/skel to include .bashrc to call script.
#
# Author: Benjamin Davis <[email protected]>

# Check if directory exists.
if [ ! -d "/etc/ssh/authorized_keys/$LOGNAME" ]
then
    # Make directory with restricted permissions.
    echo "Creating user ssh directory."
    mkdir /etc/ssh/authorized_keys/$LOGNAME -m 700
fi

# Check real users home .ssh folder
if [ -d "/home/$LOGNAME/.ssh" ]
then
    # Check if dir is symlink
    if [ ! -h /home/$LOGNAME/.ssh ]
    then
        echo "Moving configs."
        mv /home/$LOGNAME/.ssh/. /etc/ssh/authorized_keys/$LOGNAME/.
        rm -rf /home/$LOGNAME/.ssh/
        ln -s -T /etc/ssh/authorized_keys/$LOGNAME /home/$LOGNAME/.ssh
        clear
    fi
else
    # Does not exist so link it.
    if [[ $EUID -ne 0 ]]
    then
        echo "User ssh config folder does not exist. Creating."
        mkdir /home/$LOGNAME/.ssh -m 700
        ln -s -T /etc/ssh/authorized_keys/$LOGNAME /home/$LOGNAME/.ssh
    fi
fi

Puede usar la clave pública más segura para iniciar sesión y luego ejecutar lo siguiente para montar su directorio después de escribir su contraseña:

ecryptfs-mount-private

Lea el ~/README.txtarchivo después de iniciar sesión a través de SSH, encontrará que no tiene sus archivos porque el directorio encriptado no está montado.

No debe utilizar claves públicas sin contraseña para iniciar sesión de todos modos. Mira ssh-agent para una mejor manera.