SSH key in Seahorse ?

[aawe mwan]

Ik wil over op Ubuntu 20.04 LTS met een re-install, maar hoe zet ik deze feature van Ubuntu 16.04 LTS over?

Als ik via SSH wil inloggen op een andere computer, krijg ik de eerste keer na mijn reboot altijd deze pop-up:

Onder de twee bovenste groene blokken staat de naam van de lokale computer waar ik op werk, onder het laatste groene blok natuurlijk de naam van de computer waar ik via SSH heen wil.

Ik typ dan mijn wachtwoord in het witte window en mag gewoon in het zwarte window binnen op het systeem dankzij de SSH key. Als ik in het witte window op Cancel klik, dan gaat het feest met de key niet door en krijg ik in het zwarte window de loginprompt van het systeem aan de andere kant en kan ik daar eventueel nog inloggen met een wachtwoord.

Dit heb ik blijkbaar bij de installatie van Ubuntu in 2015 zo ingesteld, maar hoe heb ik dat toen gedaan?
Ik denk dat dit extra wachtwoord extra veiligheid geeft. Klopt dat?

In mijn speurtocht tot nu toe kwam ik de naam seahorse tegen, wat blijkbaar een tool is die hier mee te maken heeft. In Seahorse zie ik op mijn computer inderdaad dit:



Onder het kopje "OpenSSH keys" zie ik 1 entry staan, met de naam van mijn eigen computer. Deze heeft het vinkje "The owner of this key is authorized to connect to this computer" uit staan. Er is een knop "Change Passphrase", maar ik kan me niet herinneren dat ik ooit een passphrase op SSH keys ingesteld zou hebben.

Verder zie ik een entry "Gnome2 Key Storage" staan die op slot is, maar deze krijg ik niet open met mijn wachtwoord. Het schijnt dat dit een bug is, dat het wachtwoord hierop het wachtwoord is van de initiele installatie. Er zit waarschijnlijk niks in en men zegt dat als je het bijbehorende bestand weggooit, dat hij een nieuwe aanmaakt met dezelfde naam en het wachtwoord van nu. Dit heb ik niet uitgeprobeerd, voor het geval dat dit iets met mijn SSH keys te maken heeft.

Naar welke trefwoorden moet ik zoeken om het hoe-en-waarom achter het beveiligen van je SSH keys met Seahorse te vinden?

[amx]

seahorse is de wachtwoordmanager van Ubuntu, ook wel de keyring. Als je automatisch inloggen hebt ingeschakeld op je gebruikersaccount, wordt de wachtwoordmanager niet automatisch mee ontgrendeld.

Dat is het zo'n beetje.

Een veiliger alternatief is automatisch inloggen uitschakelen. Je moet dan wel inloggen bij het opstarten van de computer, maar de keyring wordt dan mee ontgrendeld.

Fun fact: Linux heeft flexibele login modules, PAM

Je kan verschillende PAM modules instellen om het inloggen makkelijker of juist moeilijker te maken, bijvoorbeeld zonder wachtwoord inloggen als je computer op je eigen wifi netwerk zit, inloggen als een bluetooth apparaat in de buurt is, enzovoorts

[aawe mwan]

Ik log normaal in op mijn eigen computer met een wachtwoord, maar als ik de SSH keys wil gebruiken, dan moet ik een tweede wachtwoord ingeven. Dit is de gewenste situatie.

Hoe krijg ik dat voor elkaar in Ubuntu 20.04 ?

Het kan ook nog zijn dat dit niet gewoon meer werkt; bijvoorbeeld de eCryptfs "Private" versleutelde directory die Ubuntu 16.04 heeft, is er niet meer in 20.04, omdat dit niet veilig genoeg zou zijn.

[ Voor 3% gewijzigd door aawe mwan op 23-04-2021 16:28 ]

[amx]

Probeer na een reboot eens nog voordat je de sah sessie hebt gestart Seahorse te starten. Is de login keyring dan al ontgrendeld? Ik vermoed dat je login bij je systeem om nog onduidelijke redenen alsnog niet de keyring unlockt.

[aawe mwan]

Met de informatie die ik tot nu toe gevonden heb, lijkt het de bedoeling dat je een passphrase zet op de SSH key en vervolgens die passphrase in de keyring opslaat. Dus dat zal zijn wat ik in 2015 gedaan heb.

Ik krijg het intussen voor elkaar om een passphrase toe te voegen aan de "Login" keyring (ssh-add commando of in seahorse), maar dat is dus niet de bedoeling want die unlockt automatisch bij het inloggen.

[amx]

amx schreef op vrijdag 23 april 2021 @ 19:12:
Probeer na een reboot eens nog voordat je de ssh sessie hebt gestart Seahorse te starten. Is de login keyring dan al ontgrendeld? Ik vermoed dat je login bij je systeem om nog onduidelijke redenen alsnog niet de keyring unlockt.

[aawe mwan]

amx schreef op vrijdag 23 april 2021 @ 19:12:
Probeer na een reboot eens nog voordat je de sah sessie hebt gestart Seahorse te starten. Is de login keyring dan al ontgrendeld? Ik vermoed dat je login bij je systeem om nog onduidelijke redenen alsnog niet de keyring unlockt.

Direct na een reboot ziet Seahorse er precies zo uit als op het plaatje in de openingspost:

De keyring met de naam "Login" is unlocked en de keyring met de naam "Gnome2 Key Storage" is gelockt.
Als ik verbinding maak met een cifs server, dan kan hij de credentials die in de keyring "Login" zitten gebruiken.

[amx]

Voor zover ik kan zien is het legen van de passphrase cache bij reboots standaard gedrag,
https://unix.stackexchang...assphrase-between-reboots

In de Arch Wiki staat ook dat er standaard om de passphrase gevraagd wordt, tenzij je het hokje aanvinkt dat Seahorse deze automatisch unlockt
https://wiki.archlinux.org/index.php/GNOME/Keyring#SSH_keys

When you connect to a server that uses a loaded key with a password, a dialog will popup asking you for the passphrase. It has an option to automatically unlock the key when you log in. If you check this, you will not need to enter your passphrase again!

To permanently save the a passphrase in the keyring, use ssh-askpass from package seahorse

In de Issue Tracker van Seahorse wordt trouwens ook geklaagd dat dit proces niet goed gedocumenteerd is
https://gitlab.gnome.org/GNOME/seahorse/-/issues/314

Nu je aanvankelijke vraag:

Dit heb ik blijkbaar bij de installatie van Ubuntu in 2015 zo ingesteld, maar hoe heb ik dat toen gedaan?

https://unix.stackexchang...assphrase-between-reboots

If you're using Seahorse, you can call the command-line executable ssh-askpass, which will prompt you for the passphrase for a given SSH key and then save that passphrase in GNOME Keyring
...
If you execute the command successfully, it will pop up a dialogue box listing the name of the SSH key and asking for your password.

ideetje: probeer voor de ssh logins zo nodig een aparte keyring te maken en gebruik ssh-askpass om te prompten voor een wachtwoord? Houd er wel rekening mee dat seahorse mogelijk een eigen binary gebruikt, bijvoorbeeld in /usr/libexec/seahorse/ssh-askpass


offtopic:
https://superuser.com/que...phrase-from-gnome-keyring
hier wordt beschreven hoe je het wachtwoord van Gnome2-key-storage kan proberen te achterhalen, mocht je dat willen

[Hero of Time]

Zoals ik het zie en gedrag een beetje ken, wordt er gewoon een ssh-add uitgevoerd om je ssh-key aan de gnome-keyring toe te voegen. Seahorse is niets meer dan een manager voor je gnome-keyring zodat je kan zien wat er in staat en oude meuk eruit kan gooien. Wanneer je een ssh verbinding wilt maken, wordt er ssh-add uitgevoerd of aan de ssh-agent gevraagd of er keys zijn om te gebruiken. En omdat gnome-keyring ook een ssh-agent kan zijn, zal die je gaan vragen om de passphrase. De key is al toegevoegd, alleen nog niet ontgrendeld.

Je kan je passphrase in de gnome-keyring laten opslaan door het vinkje aan te zetten in het dialoogvenster waar je de passphrase invult. Zolang je dat niet doet, zal het om de passphrase blijven vragen wanneer het gebruikt wordt.

Ik denk dus niet dat je veel hebt ingesteld, maar check eens of je iets in je startup hebt staat ($HOME/.config/autostart) of in $HOME/.xsessionrc e.d.

[aawe mwan]

Hero of Time schreef op zaterdag 24 april 2021 @ 11:17:
Ik denk dus niet dat je veel hebt ingesteld, maar check eens of je iets in je startup hebt staat ($HOME/.config/autostart) of in $HOME/.xsessionrc e.d.

Op die plekken vind ik niks, maar ik denk wel dat dit een beter spoor is. Op Ubuntu 16.04 zie ik namelijk:

$ echo $SSH_AUTH_SOCK 
/run/user/1000/keyring/ssh

Die variabele heeft een vers geïnstalleerde Ubuntu 20.04 niet.
Ik denk dus dat er inderdaad een ssh-agent draait op mijn Ubuntu 16.04, maar welke?


Tot nu toe ontdekt op Ubuntu 20.04:

• Om te experimenteren heb ik op Ubuntu 20.04 heb ik een passphrase op de SSH key gezet;
• Deze passphrase kan je in een keyring opslaan, echter:
  • De enige keyring waarin dit kan is de keyring met de naam "Login",
    deze is alleen met het login-wachtwoord te openen
    en dat gebeurt automatisch als je op de grafische desktop inlogt;
  • Gebruik je dit, dan vraagt het systeem dus nooit meer om een wachtwoord speciaal voor SSH keys en dat is dus niet de bedoeling;
• Een alternatieve methode is de passphrase te bewaren in een ssh-agent:
  eval `ssh-agent -s`
  ssh-add
  Er verschijnt geen pop-up: hij vraagt om de passphrase op de prompt. Vanaf dat moment is de SSH key onbeschermd tot de volgende reboot. Met het volgende statements kan je de passphrase eerder opnieuw beschermen:
  eval `ssh-agent -k`

Misschien dat ik op zoek ben naar een soort grafische ssh-agent, die pas om het wachtwoord vraagt als je de key echt gebruikt.

[aawe mwan]

Hero of Time schreef op zaterdag 24 april 2021 @ 11:17:
Zoals ik het zie en gedrag een beetje ken, wordt er gewoon een ssh-add uitgevoerd om je ssh-key aan de gnome-keyring toe te voegen.

"gnome-keyring" was het sleutelwoord. Ik vond op de Ubuntu 16 computer een bestand gnome-keyring-ssh.log en toen ik verder ging zoeken, vond ik /etc/xdg/autostart/gnome-keyring-ssh.desktop met daarin dit statement:

/usr/bin/gnome-keyring-daemon --start --components=ssh

Ik heb de instructies in deze alinea opgevolgd en ik denk dat hij daardoor is gaan werken, want ik krijg nu in Ubuntu 20 de gewenste popup (die er iets anders uitziet, maar precies hetzelfde werkt):


Onder de groene balk staat nu username@hostname. Deze popup krijg ik elke sessie 1 keer, in deze popup moet ik de passphrase van de SSH key intoetsen en daarna kan ik die SSH key onbeperkt gebruiken. Ik zie dat nu de gnome-keyring-daemon draait op het Ubuntu 20 systeem, wat eerst nog niet zo was.

In Seahorse zie je hier niks van terug.

[aawe mwan]

De machine waarop het allemaal niet wilde werken, was Ubuntu 20.04 (Focal) geupgrade van 18.04 (Bionic).

Intussen heb ik op een vers geïnstalleerde 20.04 (Focal) en 20.10 (Groovy) een passphrase gezet op een bestaande SSH key (dat kan met Seahorse) en dan draait de gnome-keyring-daemon gewoon vanzelf.

[ Voor 3% gewijzigd door aawe mwan op 25-04-2021 17:33 ]