Mam serwer, do którego muszę często uzyskiwać dostęp przez ssh, ponieważ na nim obliczam. Teraz centrum komputerowe wyraźnie zabrania kluczy SSH, ponieważ są „niepewne”. Uważają, że wpisanie mojego hasła na klawiaturze za każdym razem, możliwe przed innymi ludźmi, jest znacznie bezpieczniejszym sposobem logowania.

Teraz; Nie mogę zmienić ich zdania (próbowałem).

Czy istnieje sposób na przynajmniej tymczasowe przechowywanie haseł SSH, tak jak GIT może przechowywać hasła w pamięci podręcznej przez określony czas?

Ponowne użycie połączenia

SSHv2 pozwala temu samemu uwierzytelnionemu połączeniu na ustanowienie wielu „kanałów” - powłoki interaktywnej, polecenia wsadowego, SFTP, wraz z dodatkowymi, takimi jak przekazywanie agentów lub przekazywanie TCP. Twój serwer prawdopodobnie domyślnie obsługuje multipleksowanie połączeń. (Jeśli Twoi administratorzy narzekają, nigdzie nie buforuje Twojego hasła - buforuje całe połączenie).

Z OpenSSH masz ControlMasteri ControlPathopcje (-M i -S), aby skorzystać z tego:

1. Uruchom „główne” połączenie SSH za pomocą -M. (Ponieważ nie masz jeszcze ścieżki ControlPath w konfiguracji, musisz ją określić w wierszu polecenia, używając -S. Musi długo działać , więc dodam -fNopcje, aby przejść do tła; w przeciwnym razie są one opcjonalne).

   $ ssh foo@bar.example.com -fNMS ~/.ssh/bar.socket
   foo@bar.example.com's password:
   

   Wróciłeś do lokalnej powłoki.

2. Rozpocznij nowe połączenie przez master:

   $ ssh foo@bar.example.com -S ~/.ssh/bar.socket
   

   Jesteś w.

3. Aby było to przydatne dla Git / rsync / SFTP, musisz skonfigurować ControlPathw swojej konfiguracji, ponieważ nie będziesz w stanie określić -Scały czas:

   Host *
       ControlPath ~/.ssh/S.%r@%h:%p
   

Możesz to zautomatyzować - najnowsze wersje OpenSSH mają również tę, ControlPersistktóra automatycznie ustanawia połączenie główne w tle, jeśli jeszcze go nie ma. Pozwala to pominąć krok 1 i po prostu użyć ssh, jak zwykle.

1. Konfiguracja w ~/.ssh/config:

   Host *
       ControlPath ~/.ssh/S.%r@%h:%p
       ControlMaster auto
       ControlPersist 15m
   

2. Pierwsze połączenie wymaga podania hasła:

   $ ssh foo@bar.example.com
   foo@bar.example.com's password:
   [foo@bar:~]$ exit
   

3. Drugi nie:

   $ ssh foo@bar.example.com
   [foo@bar:~]$ yay
   

Aby kontrolować multiplekser (zatrzymaj go lub skonfiguruj przekazywanie TCP), użyj -Oopcji.

Podobną metodę obsługują najnowsze wersje PuTTY .

Posługiwać się sshpass

sshpass ( github , strona man ) to narzędzie, które automatycznie podaje hasło do ssh. Bezpiecznym sposobem korzystania z niego jest:

% echo 'correct horse battery staple' > ~/.ssh/compute_password
% chmod go-rw ~/.ssh/compute_password

% sshpass -f ~/.ssh/compute_password ssh foo@host

Spowoduje to odczytanie hasła ~/.ssh/compute_password, podobnie jak pliku klucza prywatnego bez hasła. Możesz umieścić sshpasspolecenie w małym skrypcie powłoki lub w aliasie powłoki, aby uniknąć wpisywania pełnego polecenia. Niestety nie znalazłem sposobu, aby to zrobić ~/.ssh/config.

(Możliwe jest również określenie hasła bezpośrednio w wierszu polecenia sshpass, ale należy tego unikać, ponieważ wycieka ono hasło każdemu, kto może to zrobić ps)

Porównanie z innymi metodami

Takie podejście jest oczywiście mniej bezpieczne niż prawidłowe skonfigurowanie uwierzytelniania za pomocą klucza publicznego, ale prawdopodobnie już o tym wiesz.

Jest również mniej bezpieczny niż odpowiedź @ grawity na temat ponownego użycia połączenia, ale ma tę zaletę, że wcale nie musi wprowadzać hasła interaktywnie.

Można rozważyć odpowiedź @ grawity jako alternatywę dla uwierzytelniania klucza publicznego za pomocą hasła i buforowania klucza prywatnego (tj ssh-agent.). Wtedy moja odpowiedź byłaby alternatywą dla uwierzytelniania klucza publicznego bez hasła w pliku klucza prywatnego.

Użyj menedżera haseł.

Niektóre menedżery haseł (np. KeePassXC) mają funkcję „automatycznego wpisywania”. Przechowujesz hasło w menedżerze haseł, odblokowujesz bazę danych po uruchomieniu menedżera i za każdym razem, gdy sshmonitujesz o hasło, naciskasz kombinację klawiszy, która powoduje, że menedżer haseł zapisuje twoje długie hasło do konsoli.

Nie musisz kopiować, zapamiętaj cokolwiek (oprócz hasła do odblokowania bazy danych) i możesz mieć silne hasło bez mashowania tych 30 znaków przy każdej próbie logowania.

Możesz wybrać swój ulubiony z tej listy: https://en.wikipedia.org/wiki/List_of_password_managers

Inną alternatywą jest użycie klienta ssh z GUI. W systemie Windows oczywistym wyborem byłby PuTTY . Istnieje również wersja PuTTY na Linuksa, zwłaszcza większość dystrybucji opartych na Debianie, takich jak Ubuntu, zwykle zawierają PuTTY w swoich repozytoriach.

Kolejnym naprawdę dobrym klientem jest Termius . Obsługuje nie tylko Windows i Linux, ale także OSX, iOS i Android. Chociaż została zaprojektowana przede wszystkim na telefony, wersja komputerowa jest całkiem dobra.

Jeśli się nie mylę, czcigodny Hyperterminal w systemie Windows również ma / miał wbudowanego klienta ssh, ale nie używałem systemu Windows od bardzo dawna, więc nie jestem do końca pewien.

Wszyscy klienci GUI mają możliwość zapisywania ustawień połączenia, które obejmują nazwę użytkownika i hasło.