1

Не могу понять никак, как работает SSH-авторизация. Везде написано, как она устроена, ее механизм. Но везде упускается то, что для меня самое главное - "а почему"? А почему она работает, как она распознает юзера, как нужного юзера?

Вот есть Сервер "сервак", и на нем есть два пользователя "админ" (с рут-правами) и "юзер" (который бесправный холоп). И есть два человека: Вася и Игорь. Игорь - админ "сервака", а Вася - простой пользователь.

Они оба хотят войти со своих домашних компов на сервер. В начале известно только адрес сервера. Ничего другого нет.

Что должна сделать каждая из сторон - Игорь, Вася и "сервак" - чтобы люди авторизовались со своими правами на сервер? То есть кто, что и когда должен генерировать?

То есть мне как раз непонятен этот момент: как удаленный пользователь опознается, как верифицированный пользователь, обладающий нужным набором прав? И что нужно сделать, чтобы зайти под другим пользователем (Васе стать админом)?

18
  • Имя пользователя да пароль. За набор прав SSH в целом не отвечает
    – andreymal
    17 дек 2018 в 21:13
  • @andreymal мне нужно безпарольную авторизацию. 17 дек 2018 в 21:14
  • сейчас я делаю так: генерирую ключ ssh-keygen. Потом утилитой ssh-copy-id (ей?) раздаю ключи серверам. После чего подключаюсь к ним без пароля. При этом я не понимаю, как SSH определяет, под каким пользователем меня нужно впустить на сервер. 17 дек 2018 в 21:16
  • Всё, чем занимается ssh-copy-id — это помещает публичную часть ключа в файл /home/username/.ssh/authorized_keys на сервере, соответственно пользователь для этого ключа серверу известен. А при следующем подключении ключ проверяется сложным матаном асимметричной криптографии (и это не специфично для SSH, в основе того же HTTPS те же алгоритмы, и некоторые веб-сайты позволяют аутентификацию по ключу)
    – andreymal
    17 дек 2018 в 21:26
  • вот как раз часть, которая по ссылке мне известна - не раз читал об этом алгоритме. А часть "соответственно пользователь для этого ключа серверу известен" мне не понятна. Как и когда пользователь стал известен? Вот как мне "чистого" пользователя (например, мой домашний компьютер) сделать известным серверу? Вот именно на это я и ищу ответ. 17 дек 2018 в 21:28

1 ответ 1

2

это практически дубликат другого вопроса: Как поэтапно происходит SSH-аутентификация?


остальная часть вопроса, не раскрытая по ссылке выше:

как удаленный пользователь опознается, как верифицированный пользователь, обладающий нужным набором прав?
В начале известно только адрес сервера. Ничего другого нет.

неправильно! обязательно передаётся имя учётной записи на сервере. то самое, что указывается либо непосредственно в url (имя@сервер), либо опцией -l имя, а если не указано ни там ни там, то будет передано имя локального пользователя.

И что нужно сделать, чтобы зайти под другим пользователем (Васе стать админом)?

очевидно: указать нужное имя пользователя сервера (любым из двух перечисленных выше способов)

Что должна сделать каждая из сторон - Игорь, Вася и "сервак" - чтобы люди авторизовались со своими правами на сервер?

если Игорю надо авторизоваться на сервере под именем имярек, то, во-первых, пользователь с таким именем должен существовать на сервере, во-вторых, в файле ~/.ssh/authorized_keys этого пользователя должна быть вписана отдельной строкой публичная часть ключа, секретной частью которой обладает этот самый Игорь.


p.s. для краткости изложения описаны только общие концепции, без множества оговорок и уточнений.


ответы на связанные вопросы в комментариях:

в какой момент можно передавать имя_пользователя?

имя пользователя, под которым следует авторизоваться, указывается в аргументах программе ssh. программа ssh передаёт его программе sshd (работающей на удалённом компьютере) во втором поле запроса на аутентификацию.

что содержит файл ключа - разве он содержит имя, а не просто сам ключ?

файл с публичной частью ключа содержит публичную часть ключа, а файл с секретной частью ключа содержит секретную часть ключа (технически в этой части ключа содержится в том числе и публичная часть). да, в файле, содержащем публичную часть ключа может присутствовать опциональный комментарий, в который программа, создающая этот файл, заносят имя пользователя, запустившего эту программу. данный комментарий предназначен для человека, и игнорируется программами ssh/sshd.

2
  • спасибо. Но как раз по ссылке указано все то, что я итак знаю. Я не знал, как передается имя пользователя. Кстати, я так и не понял, в какой момент можно передавать имя_пользователя? И что содержит файл ключа - разве он содержит имя, а не просто сам ключ? 18 дек 2018 в 6:01
  • дополнил ответ. 18 дек 2018 в 7:19

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.