Пытаясь решить некоторые проблемы с использованием Cygwin + SSH в Windows 8.1, я хотел бы знать, почему ssh-host-config сценарий создает два новые учетные записи, настраивающие OpenSSH с нуля? (Это необходимо?)
Эти две учетные записи: cyg_server и sshd, при использовании выбора по умолчанию + повышения привилегий и установки службы. Я понимаю, что первый используется только для запуска службы Cygwin SSHd, но я не понимаю функции второго. Я поискал в архивах Cygwin, и единственное объяснение разработчика было «потому что он был разработан для этого». Также не рекомендуется использовать их для фактического входа в систему.
Вот моя установка:
-----------------------------------------------------------
ssh-keygen: generating new host keys: RSA1 RSA DSA ECDSA ED25519
*** Info: Creating default /etc/ssh_config file
*** Info: Creating default /etc/sshd_config file
*** Info: Privilege separation is set to yes by default since OpenSSH 3.3.
*** Info: However, this requires a non-privileged account called 'sshd'.
*** Info: For more info on privilege separation read /usr/share/doc/openssh/README.privsep.
*** Query: Should privilege separation be used? (yes/no) yes
*** Info: Note that creating a new user requires that the current account have
*** Info: Administrator privileges. Should this script attempt to create a
*** Query: new local account 'sshd'? (yes/no) yes
*** Info: Updating /etc/sshd_config file
*** Query: Do you want to install sshd as a service?
*** Query: (Say "no" if it is already installed as a service) (yes/no) yes
*** Query: Enter the value of CYGWIN for the daemon: []
*** Info: On Windows Server 2003, Windows Vista, and above, the
*** Info: SYSTEM account cannot setuid to other users -- a capability
*** Info: sshd requires. You need to have or to create a privileged
*** Info: account. This script will help you do so.
*** Info: You appear to be running Windows XP 64bit, Windows 2003 Server,
*** Info: or later. On these systems, it's not possible to use the LocalSystem
*** Info: account for services that can change the user id without an
*** Info: explicit password (such as passwordless logins [e.g. public key
*** Info: authentication] via sshd).
*** Info: If you want to enable that functionality, it's required to create
*** Info: a new account with special privileges (unless a similar account
*** Info: already exists). This account is then used to run these special
*** Info: servers.
*** Info: Note that creating a new user requires that the current account
*** Info: have Administrator privileges itself.
*** Info: No privileged account could be found.
*** Info: This script plans to use 'cyg_server'.
*** Info: 'cyg_server' will only be used by registered services.
*** Query: Do you want to use a different name? (yes/no) no
*** Query: Create new privileged user account 'cyg_server'? (yes/no) yes
*** Info: Please enter a password for new user cyg_server. Please be sure
*** Info: that this password matches the password rules given on your system.
*** Info: Entering no password will exit the configuration.
*** Query: Please enter the password:
*** Query: Reenter:
*** Info: User 'cyg_server' has been created with password 'XXXXXXXXXX'.
*** Info: If you change the password, please remember also to change the
*** Info: password for the installed services which use (or will soon use)
*** Info: the 'cyg_server' account.
*** Info: Also keep in mind that the user 'cyg_server' needs read permissions
*** Info: on all users' relevant files for the services running as 'cyg_server'.
*** Info: In particular, for the sshd server all users' .ssh/authorized_keys
*** Info: files must have appropriate permissions to allow public key
*** Info: authentication. (Re-)running ssh-user-config for each user will set
*** Info: these permissions correctly. [Similar restrictions apply, for
*** Info: instance, for .rhosts files if the rshd server is running, etc].
*** Info: The sshd service has been installed under the 'cyg_server'
*** Info: account. To start the service now, call `net start sshd' or
*** Info: `cygrunsrv -S sshd'. Otherwise, it will start automatically
*** Info: after the next reboot.
*** Info: Host configuration finished. Have fun!
-----------------------------------------------------------
Кроме того, cyg_server - это видимая учетная запись, которую можно использовать для входа в Windows, но sshd кажется скрытым. Итак, я пришел к выводу, что мне придется добавить еще одну третью учетную запись, чтобы иметь возможность правильно использовать SSH, что кажется довольно безумным!
РЕДАКТИРОВАТЬ-1: Не только это, sshd У учетной записи также есть срок действия пароля, установленный через 40 дней с момента установки, и пароль (согласно WMIC). (Меня никогда не просили ввести пароль для этой учетной записи во время установки ssh.)
Делаю: wmic useraccount get AccountType,...,Status:
AccountType Disabled Lockout Name PasswordChangeable PasswordExpires PasswordRequired Status
512 FALSE FALSE cyg_server TRUE FALSE TRUE OK
512 TRUE FALSE sshd TRUE TRUE TRUE Degraded
и net user sshd:
User name sshd
Full Name sshd privsep
Comment
User's comment
Country/region code 000 (System Default)
Account active No
Account expires Never
Password last set 2014-03-01 23:20:19
Password expires 2014-04-12 23:20:19
Password changeable 2014-03-01 23:20:19
Password required Yes
User may change password Yes
Workstations allowed All
Logon script
User profile
Home directory C:\cygwin64\var\empty
Last logon Never
Logon hours allowed All
Local Group Memberships *Users
Global Group memberships *None
The command completed successfully.
Это открывает еще два вопроса по этому поводу:
РЕДАКТИРОВАТЬ-2: Поскольку я не смог добраться до списка разработчиков Cygwin, мне пришлось провести дополнительное расследование самостоятельно. Пока у меня нет ответа на вопрос 1, но есть несколько других проблем со сценарием ssh-host-config, используемым для настройки. Суть в том, что вы всегда можете удалить обе учетные записи sshd и cyg_server и настроить одну правильную учетную запись администратора, используя их настройки в качестве справки.
вопрос 2: В Windows 8.1 срок действия пароля по умолчанию установлен на 42 дня. Это необходимо либо изменить, либо отключить с помощью обычных инструментов Windows (UI, WMIC, net user и т. Д.).
Что касается почему ssh-host-config создает две учетные записи пользователей, в основном отвечает Дэн. Подробнее о том, почему нужна отдельная учетная запись для setuid может быть найден здесь это сложный процесс.
Что касается вашего первого подвопроса, я считаю, что он тоже по умолчанию, как и срок действия пароля - в /usr/share/csih/cygwin-service-installation-helper, используемый ssh-host-config, пользователь создается (с помощью команды Windows net) следующим образом, где ${unpriv_user} это имя, например sshd, которое вы выбрали, и ${dos_var_empty} это путь в стиле Windows / DOS к /var/empty:
net user "${unpriv_user}" /add /fullname:"${unpriv_user} privsep" \
"/homedir:${dos_var_empty}" /active:no
Документация Microsoft говорит, что значение по умолчанию для /passwordreq, если требуется пароль, это да, и кажется, что Windows затем назначает пароль по умолчанию (вероятно, потому что пароль не указан, возможно, в частности, потому что /active:no).
И для вашего второго подвопроса, как вы сказали во втором редактировании, значение по умолчанию, по крайней мере для Windows 8.1 Pro, похоже, истекает через 42 дня, хотя он, конечно же, не включен в моей учетной записи ИЛИ в новом cyg_server учетная запись. Вероятно, это из-за той же комбинации - cyg_server указывает пароль и активен, но sshd не указывает пароль и не активен (возможно, это сделано для принудительного назначения пароля, если / когда учетная запись активирована). Если вы хотите узнать точные данные, я бы, вероятно, попытался создать больше похожих учетных записей с истечением срока действия / указанием пароля и посмотреть, что произойдет.
Обновление 2019: этот ответ и вопрос устарели. См. Ответ Билла Стюарта.
Из man 5 sshd_config
UsePrivilegeSeparation
Specifies whether sshd separates privileges by creating an
unprivileged child process to deal with incoming network traffic.
After successful authentication, another process will be created
that has the privilege of the authenticated user. The goal of
privilege separation is to prevent privilege escalation by con-
taining any corruption within the unprivileged processes. The
default is "yes".
Таким образом, sshd требует двух типов учетных записей:
setuid.Сценарий установки объясняет, что обычная учетная запись SYSTEM не имеет setuid привилегия, следовательно, необходимость в дополнительной привилегированной учетной записи.
Отдельные инвалиды sshd аккаунт фактически не используется в Cygwin (за одним исключением; см. ниже). Я спросил об этом в списке рассылки Cygwin:
Требуется ли по-прежнему отключенная учетная запись пользователя sshd?
Коринна Виншен (сопровождающая Cygwin) ответила следующим образом:
Нет, на самом деле это не так. В наши дни сервер sshd проверяет, следует ли использовать среду privsep chrrot [sic], и что процесс запускается от имени "root: root". Это никогда не соответствует Cygwin, поэтому мы можем отказаться от требования пользователя sshd.
(Видеть https://cygwin.com/ml/cygwin/2019-01/msg00120.html)
Вышесказанное верно в том смысле, что sshd аккаунт строго не требуется. Единственный раз, когда он вам все еще понадобится, это если вы хотите использовать ChrootDirectory установка в sshd_config чтобы ограничить учетную запись только SFTP.
FWIW, я создал пакет, который предоставляет простой в использовании установщик, который настраивает версию Cygwin OpenSSH (и пару других инструментов, включая rsync). На GitHub, если кому интересно:
https://github.com/Bill-Stewart/CygSSH
В документации в пакете описаны обстоятельства, при которых sshd аккаунт используется.