Próbując rozwiązać niektóre problemy z używaniem Cygwin + SSH w systemie Windows 8.1, chciałbym wiedzieć, dlaczego ssh-host-configskrypt tworzy dwa nowe konta konfigurujące OpenSSH od zera? (Czy to konieczne?)

Te dwa konta to: cyg_serveroraz sshd, gdy używany jest wybór domyślny + eskalacja uprawnień i instalacja usługi. Rozumiem, że pierwszy służy tylko do uruchomienia usługi Cygwin SSHd, ale nie rozumiem funkcji drugiego. Przeszukałem archiwa Cygwin, a jedynym wyjaśnieniem dla programistów było „ponieważ zostało to zaprojektowane”. Odradza się również używanie ich do rzeczywistego logowania.

Oto moja instalacja:

-----------------------------------------------------------
ssh-keygen: generating new host keys: RSA1 RSA DSA ECDSA ED25519
*** Info: Creating default /etc/ssh_config file
*** Info: Creating default /etc/sshd_config file
*** Info: Privilege separation is set to yes by default since OpenSSH 3.3.
*** Info: However, this requires a non-privileged account called 'sshd'.
*** Info: For more info on privilege separation read /usr/share/doc/openssh/README.privsep.
*** Query: Should privilege separation be used? (yes/no) yes
*** Info: Note that creating a new user requires that the current account have
*** Info: Administrator privileges.  Should this script attempt to create a
*** Query: new local account 'sshd'? (yes/no) yes
*** Info: Updating /etc/sshd_config file

*** Query: Do you want to install sshd as a service?
*** Query: (Say "no" if it is already installed as a service) (yes/no) yes
*** Query: Enter the value of CYGWIN for the daemon: []
*** Info: On Windows Server 2003, Windows Vista, and above, the
*** Info: SYSTEM account cannot setuid to other users -- a capability
*** Info: sshd requires.  You need to have or to create a privileged
*** Info: account.  This script will help you do so.

*** Info: You appear to be running Windows XP 64bit, Windows 2003 Server,
*** Info: or later.  On these systems, it's not possible to use the LocalSystem
*** Info: account for services that can change the user id without an
*** Info: explicit password (such as passwordless logins [e.g. public key
*** Info: authentication] via sshd).

*** Info: If you want to enable that functionality, it's required to create
*** Info: a new account with special privileges (unless a similar account
*** Info: already exists). This account is then used to run these special
*** Info: servers.

*** Info: Note that creating a new user requires that the current account
*** Info: have Administrator privileges itself.

*** Info: No privileged account could be found.

*** Info: This script plans to use 'cyg_server'.
*** Info: 'cyg_server' will only be used by registered services.
*** Query: Do you want to use a different name? (yes/no) no
*** Query: Create new privileged user account 'cyg_server'? (yes/no) yes
*** Info: Please enter a password for new user cyg_server.  Please be sure
*** Info: that this password matches the password rules given on your system.
*** Info: Entering no password will exit the configuration.
*** Query: Please enter the password:
*** Query: Reenter:

*** Info: User 'cyg_server' has been created with password 'XXXXXXXXXX'.
*** Info: If you change the password, please remember also to change the
*** Info: password for the installed services which use (or will soon use)
*** Info: the 'cyg_server' account.

*** Info: Also keep in mind that the user 'cyg_server' needs read permissions
*** Info: on all users' relevant files for the services running as 'cyg_server'.
*** Info: In particular, for the sshd server all users' .ssh/authorized_keys
*** Info: files must have appropriate permissions to allow public key
*** Info: authentication. (Re-)running ssh-user-config for each user will set
*** Info: these permissions correctly. [Similar restrictions apply, for
*** Info: instance, for .rhosts files if the rshd server is running, etc].


*** Info: The sshd service has been installed under the 'cyg_server'
*** Info: account.  To start the service now, call `net start sshd' or
*** Info: `cygrunsrv -S sshd'.  Otherwise, it will start automatically
*** Info: after the next reboot.

*** Info: Host configuration finished. Have fun!
-----------------------------------------------------------

Ponadto „cyg_server” jest widocznym kontem, którego można użyć do logowania do systemu Windows, ale „sshd” wydaje się ukryty. Pozostaje mi zatem wniosek, że muszę dodać kolejne trzecie konto, aby móc prawidłowo korzystać z SSH, co wydaje się dość szalone!

EDYCJA 1 : Nie tylko to, konto sshd ma również datę ważności hasła ustawioną 40 dni od instalacji i ma hasło (zgodnie z WMIC ). (Nigdy nie proszono mnie o podanie hasła do tego konta podczas instalacji ssh).

Robiąc wmic useraccount get AccountType,...,Status:

AccountType  Disabled  Lockout  Name           PasswordChangeable  PasswordExpires  PasswordRequired  Status    
512          FALSE     FALSE    cyg_server     TRUE                FALSE            TRUE              OK        
512          TRUE      FALSE    sshd           TRUE                TRUE             TRUE              Degraded  

i net user sshd:

User name                    sshd
Full Name                    sshd privsep
Comment                      
User's comment               
Country/region code          000 (System Default)
Account active               No
Account expires              Never
Password last set            2014-03-01 23:20:19
Password expires             2014-04-12 23:20:19
Password changeable          2014-03-01 23:20:19
Password required            Yes
User may change password     Yes
Workstations allowed         All
Logon script                 
User profile                 
Home directory               C:\cygwin64\var\empty
Last logon                   Never
Logon hours allowed          All
Local Group Memberships      *Users                
Global Group memberships     *None                 
The command completed successfully.

To otwiera dwa kolejne pytania na ten temat:

1. Jakie jest ustawione hasło i dlaczego użytkownik nie został o tym poinformowany?
2. Dlaczego to hasło ma datę ważności?

EDYCJA-2 : Nie mogąc dostać się do listy programistów Cygwin, musiałem sam przeprowadzić dalsze dochodzenie. Jak dotąd nie mam odpowiedzi na pytanie 1, ale istnieje kilka innych problemów ze skryptem ssh-host-config używanym do instalacji. Najważniejsze jest to, że zawsze możesz usunąć oba konta sshd i cyg_server i skonfigurować jedno właściwe konto administratora, używając ich ustawień jako odniesienia.

Pytanie 2 : Domyślny okres ważności hasła systemu Windows 8.1 wynosi 42 dni. Należy to zmienić lub wyłączyć za pomocą zwykłych narzędzi systemu Windows (interfejs użytkownika, WMIC, użytkownik sieci itp.)

Aktualizacja 2019: Ta odpowiedź i pytanie są nieaktualne. Zobacz odpowiedź Bill_Stewart.

Od man 5 sshd_config

 UsePrivilegeSeparation
     Specifies whether sshd separates privileges by creating an
     unprivileged child process to deal with incoming network traffic.
     After successful authentication, another process will be created
     that has the privilege of the authenticated user.  The goal of
     privilege separation is to prevent privilege escalation by con-
     taining any corruption within the unprivileged processes.  The
     default is "yes".

Tak więc sshd wymaga dwóch rodzajów kont:

1. Jeden z możliwością setuid.
2. Jedno nieuprzywilejowane konto.

Skrypt instalacyjny wyjaśnia, że ​​zwykłe konto SYSTEM nie ma setuiduprawnień, a więc potrzeba dodatkowego konta uprzywilejowanego.

Co do tego, dlaczego ssh-host-configtworzy dwa konta użytkowników, w większości odpowiada Dan. Więcej o tym, dlaczego potrzebne jest oddzielne konto, setuidmożna znaleźć tutaj, to skomplikowany proces .

Jeśli chodzi o twoje pierwsze pytanie cząstkowe, uważam, że jest ono również domyślne, podobnie jak wygaśnięcie hasła /usr/share/csih/cygwin-service-installation-helper, używane przez ssh-host-config, użytkownik jest tworzony (za pomocą polecenia net systemu Windows) w ten sposób, gdzie ${unpriv_user}jest nazwa, taka jak sshd, wybrano i ${dos_var_empty}jest ścieżką stylu Windows / DOS do /var/empty:

net user "${unpriv_user}" /add /fullname:"${unpriv_user} privsep" \
"/homedir:${dos_var_empty}" /active:no

Dokumentacja Microsoftu mówi, że domyślną wartością /passwordreq, jeśli wymagane jest hasło, jest tak, i wydaje się, że Windows przypisuje następnie jakieś domyślne hasło (prawdopodobnie dlatego, że hasło nie zostało określone, może w szczególności dlatego /active:no).

I w przypadku drugiego pytania cząstkowego, jak powiedziałeś w drugiej edycji, domyślnym, przynajmniej dla Windows 8.1 Pro, wydaje się wygaśnięcie hasła po 42 dniach, chociaż z pewnością nie jest włączone na moim koncie LUB na nowym cyg_serverkoncie. Jest to prawdopodobnie spowodowane tą samą kombinacją - cyg_serverokreśla hasło i jest aktywne, ale sshd nie określa hasła i nie jest aktywne (być może jest to wymuszenie przypisania hasła, jeśli / kiedy konto jest aktywowane). Jeśli chcesz poznać dokładne szczegóły, prawdopodobnie spróbowałbym utworzyć więcej podobnych kont z wygaśnięciem / podaniem hasła i sprawdzeniem, co się stanie.

Oryginalna odpowiedź

Oddzielne wyłączone sshdkonto nie jest faktycznie używane w Cygwin (z jednym wyjątkiem; patrz poniżej). Zapytałem o to na liście mailingowej Cygwin:

Czy konto użytkownika wyłączone sshd jest nadal wymagane?

Corinna Vinschen (opiekunka Cygwin) odpowiedziała następująco:

Nie, tak naprawdę nie jest. Obecnie serwer sshd sprawdza, czy należy użyć środowiska privsep chrrot [sic] i czy proces jest uruchamiany w „root: root”. To nigdy nie pasuje do Cygwina, więc możemy porzucić wymagania użytkownika sshd.

(Zobacz https://cygwin.com/ml/cygwin/2019-01/msg00120.html )

Aktualizacja dotycząca tylko sftp

Powyższe jest prawidłowe, ponieważ sshdkonto nie jest bezwzględnie wymagane. Jedyny raz będziesz go potrzebować, jeśli chcesz użyć tego ChrootDirectoryustawienia, sshd_configaby ograniczyć konto tylko do SFTP.

FWIW, stworzyłem pakiet, który zapewnia łatwy w użyciu instalator, który konfiguruje wersję OpenSSH Cygwin (i kilka innych narzędzi, w tym rsync). Jest na GitHub, jeśli ktoś jest zainteresowany:

https://github.com/Bill-Stewart/CygSSH

Dokumentacja w pakiecie opisuje okoliczności, w których sshdkonto jest używane.