probleem met ssh en chroot

[Huub Reuver]

Hallo,
Ik loop tegen een probleem aan met ssh en chroot.

Situatie: ik heb een server waarop ik al tijden ssh met authorized keys
gebruik. Op die server heb ik ook een chroot voor enkele gasten. Die
kunnen daarbij bij een beetje data, maar verder niet.

De hele chroot is opgebouwd rond een aparte directory "./jail" met
daarin een eigen /bin, /home, /usr, /etc, etc.. In hoofdlijnen de
minimale files/programma's om te kunnen inloggen en enkele
toepassingen.

Met een challenge-response werkte deze account met ssh. Nu ik naar
volledig authorized keys wil, werken alle accounts behalve die in de
chroot omgeving. Moet er voor de keys nog een programma gestart worden
dat ontbreekt binnen de chroot-jail?

Kan iemand mij vertellen of ik nog een stap mis?

Met vriendelijke groet,
Huub Reuver

PS:
Een gewone sessie ziet eruit als:
~$ ssh -v host
OpenSSH, OpenSSL
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: Connecting to host [192.168.1.1] port 22.
debug1: Connection established.
debug1: identity file /home/user/.ssh/identity type -1
debug1: identity file /home/user/.ssh/id_rsa type 1
debug1: Checking blacklist file /usr/share/ssh/blacklist.RSA-2048
debug1: Checking blacklist file /etc/ssh/blacklist.RSA-2048
debug1: identity file /home/user/.ssh/id_dsa type -1
debug1: Remote protocol version 2.0, remote software version OpenSSH
debug1: match: OpenSSH pat OpenSSH*
debug1: Enabling compatibility mode for protocol 2.0
debug1: Local version string SSH-2.0-OpenSSH
debug1: SSH2_MSG_KEXINIT sent
debug1: SSH2_MSG_KEXINIT received
debug1: kex: server->client aes128-cbc hmac-md5 none
debug1: kex: client->server aes128-cbc hmac-md5 none
debug1: SSH2_MSG_KEX_DH_GEX_REQUEST(1024<1024<8192) sent
debug1: expecting SSH2_MSG_KEX_DH_GEX_GROUP
debug1: SSH2_MSG_KEX_DH_GEX_INIT sent
debug1: expecting SSH2_MSG_KEX_DH_GEX_REPLY
debug1: Host 'host' is known and matches the RSA host key.
debug1: Found key in /home/user/.ssh/known_hosts:1
debug1: ssh_rsa_verify: signature correct
debug1: SSH2_MSG_NEWKEYS sent
debug1: expecting SSH2_MSG_NEWKEYS
debug1: SSH2_MSG_NEWKEYS received
debug1: SSH2_MSG_SERVICE_REQUEST sent
debug1: SSH2_MSG_SERVICE_ACCEPT received
debug1: Authentications that can continue: publickey
debug1: Next authentication method: publickey
debug1: Trying private key: /home/user/.ssh/identity
debug1: Offering public key: /home/user/.ssh/id_rsa
debug1: Server accepts key: pkalg ssh-rsa blen 277
debug1: read PEM private key done: type RSA
debug1: Authentication succeeded (publickey).
debug1: channel 0: new [client-session]
debug1: Requesting no-more-***@openssh.com
debug1: Entering interactive session.
debug1: Sending environment.
debug1: Sending env LANG = en_US
/home/user $

En daarmee een succesvolle prompt.
Met een chroot daarentegen:
~$ ssh -v host
OpenSSH, OpenSSL
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: Connecting to host [192.168.1.1] port 22.
debug1: Connection established.
debug1: identity file /home/user2/.ssh/identity type -1
debug1: identity file /home/user2/.ssh/id_rsa type -1
debug1: identity file /home/user2/.ssh/id_dsa type -1
debug1: Remote protocol version 2.0, remote software version OpenSSH
debug1: match: OpenSSH pat OpenSSH*
debug1: Enabling compatibility mode for protocol 2.0
debug1: Local version string SSH-2.0-OpenSSH
debug1: SSH2_MSG_KEXINIT sent
debug1: SSH2_MSG_KEXINIT received
debug1: kex: server->client aes128-cbc hmac-md5 none
debug1: kex: client->server aes128-cbc hmac-md5 none
debug1: SSH2_MSG_KEX_DH_GEX_REQUEST(1024<1024<8192) sent
debug1: expecting SSH2_MSG_KEX_DH_GEX_GROUP
debug1: SSH2_MSG_KEX_DH_GEX_INIT sent
debug1: expecting SSH2_MSG_KEX_DH_GEX_REPLY
debug1: Host 'host' is known and matches the RSA host key.
debug1: Found key in /home/user2/.ssh/known_hosts:1
debug1: ssh_rsa_verify: signature correct
debug1: SSH2_MSG_NEWKEYS sent
debug1: expecting SSH2_MSG_NEWKEYS
debug1: SSH2_MSG_NEWKEYS received
debug1: SSH2_MSG_SERVICE_REQUEST sent
debug1: SSH2_MSG_SERVICE_ACCEPT received
debug1: Authentications that can continue: publickey
debug1: Next authentication method: publickey
debug1: Trying private key: /home/user2/.ssh/identity
debug1: Trying private key: /home/user2/.ssh/id_rsa
debug1: read PEM private key done: type RSA
debug1: Authentications that can continue: publickey
debug1: Trying private key: /home/user2/.ssh/id_dsa
debug1: No more authentication methods to try.
Permission denied (publickey).
~$

En voor de volledigheid: ik heb even voor de test een "user" en "user2"
aangemaakt op 2 pc's. "user" werkt zonder chroot op beide pc's. "user2"
probeert naar een chroot op de server te connecten. Beide connecties
van van dezelfde pc naar dezelfde server.

Dezelfde server en terminal, dus dezelfde software-versies.

[Joost de Heer]

Post by Huub Reuver
debug1: Trying private key: /home/user2/.ssh/identity
debug1: Trying private key: /home/user2/.ssh/id_rsa

Wat zijn de rechten van de .ssh directory in de chroot en van deze twee
files? SSH weigert te authenticeren als de rechten verkeerd zijn.

[Huub Reuver]

Post by Joost de Heer

Post by Huub Reuver
debug1: Trying private key: /home/user2/.ssh/identity
debug1: Trying private key: /home/user2/.ssh/id_rsa

Wat zijn de rechten van de .ssh directory in de chroot en van deze twee
files? SSH weigert te authenticeren als de rechten verkeerd zijn.

De rechten voor de directories:
# ls -al ~user/.ssh/
total 32
drwx------ 3 user user 4096 2009-11-28 21:00 .
drwx--x--x 48 user user 8192 2009-11-28 22:43 ..
-rw-r--r-- 1 user user 780 2009-11-28 20:59 authorized_keys
-rw------- 1 user user 1675 2008-05-21 19:47 id_rsa
-rw-r--r-- 1 user user 393 2008-05-21 19:47 id_rsa.pub
-rw-r--r-- 1 user user 1768 2009-07-20 23:47 known_hosts
# ls -al ~user2/.ssh/
total 20
drwx------ 2 user2 user2 4096 2009-11-28 22:44 .
drwxrwxr-x 7 user2 user2 4096 2009-11-28 22:43 ..
-rw-r--r-- 1 user2 user2 390 2009-11-28 20:57 authorized_keys
-rw------- 1 user2 user2 1675 2009-11-28 22:43 id_rsa
-rw-r--r-- 1 user2 user2 390 2009-11-28 22:43 id_rsa.pub

[richard lucassen]

On 28 Nov 2009 21:53:07 GMT

Post by Huub Reuver

Post by Joost de Heer

Post by Huub Reuver
debug1: Trying private key: /home/user2/.ssh/identity
debug1: Trying private key: /home/user2/.ssh/id_rsa

Wat zijn de rechten van de .ssh directory in de chroot en van deze
twee files? SSH weigert te authenticeren als de rechten verkeerd
zijn.

# ls -al ~user/.ssh/
total 32
drwx------ 3 user user 4096 2009-11-28 21:00 .
drwx--x--x 48 user user 8192 2009-11-28 22:43 ..
-rw-r--r-- 1 user user 780 2009-11-28 20:59 authorized_keys
-rw------- 1 user user 1675 2008-05-21 19:47 id_rsa
-rw-r--r-- 1 user user 393 2008-05-21 19:47 id_rsa.pub
-rw-r--r-- 1 user user 1768 2009-07-20 23:47 known_hosts
# ls -al ~user2/.ssh/
total 20
drwx------ 2 user2 user2 4096 2009-11-28 22:44 .
drwxrwxr-x 7 user2 user2 4096 2009-11-28 22:43 ..
-rw-r--r-- 1 user2 user2 390 2009-11-28 20:57 authorized_keys
-rw------- 1 user2 user2 1675 2009-11-28 22:43 id_rsa
-rw-r--r-- 1 user2 user2 390 2009-11-28 22:43 id_rsa.pub

chmod 600 authorized_keys

R.
--
___________________________________________________________________
It is better to remain silent and be thought a fool, than to speak
aloud and remove all doubt.

+------------------------------------------------------------------+
| Richard Lucassen, Utrecht |
| Public key and email address: |
| http://www.lucassen.org/mail-pubkey.html |
+------------------------------------------------------------------+

[Huub Reuver]

Post by richard lucassen
On 28 Nov 2009 21:53:07 GMT

Post by Huub Reuver

Post by Joost de Heer

Post by Huub Reuver
debug1: Trying private key: /home/user2/.ssh/identity
debug1: Trying private key: /home/user2/.ssh/id_rsa

Wat zijn de rechten van de .ssh directory in de chroot en van deze
twee files? SSH weigert te authenticeren als de rechten verkeerd
zijn.

# ls -al ~user/.ssh/
total 32
drwx------ 3 user user 4096 2009-11-28 21:00 .
drwx--x--x 48 user user 8192 2009-11-28 22:43 ..
-rw-r--r-- 1 user user 780 2009-11-28 20:59 authorized_keys
-rw------- 1 user user 1675 2008-05-21 19:47 id_rsa
-rw-r--r-- 1 user user 393 2008-05-21 19:47 id_rsa.pub
-rw-r--r-- 1 user user 1768 2009-07-20 23:47 known_hosts
# ls -al ~user2/.ssh/
total 20
drwx------ 2 user2 user2 4096 2009-11-28 22:44 .
drwxrwxr-x 7 user2 user2 4096 2009-11-28 22:43 ..
-rw-r--r-- 1 user2 user2 390 2009-11-28 20:57 authorized_keys
-rw------- 1 user2 user2 1675 2009-11-28 22:43 id_rsa
-rw-r--r-- 1 user2 user2 390 2009-11-28 22:43 id_rsa.pub

chmod 600 authorized_keys

Ik snap de hint. Ik heb ook e.e.a. aangepast, maar uit bovenstaande
blijkt al dat het niet de oplossing is van dit probleem.

Desalnietemin, dank je.

Met vriendelijke groet,
Huub Reuver

[Huub Reuver]

Post by richard lucassen
On 28 Nov 2009 21:53:07 GMT

Post by Huub Reuver

Post by Joost de Heer

Post by Huub Reuver
debug1: Trying private key: /home/user2/.ssh/identity
debug1: Trying private key: /home/user2/.ssh/id_rsa

Wat zijn de rechten van de .ssh directory in de chroot en van deze
twee files? SSH weigert te authenticeren als de rechten verkeerd
zijn.

# ls -al ~user/.ssh/
total 32
drwx------ 3 user user 4096 2009-11-28 21:00 .
drwx--x--x 48 user user 8192 2009-11-28 22:43 ..
-rw-r--r-- 1 user user 780 2009-11-28 20:59 authorized_keys
-rw------- 1 user user 1675 2008-05-21 19:47 id_rsa
-rw-r--r-- 1 user user 393 2008-05-21 19:47 id_rsa.pub
-rw-r--r-- 1 user user 1768 2009-07-20 23:47 known_hosts
# ls -al ~user2/.ssh/
total 20
drwx------ 2 user2 user2 4096 2009-11-28 22:44 .
drwxrwxr-x 7 user2 user2 4096 2009-11-28 22:43 ..
-rw-r--r-- 1 user2 user2 390 2009-11-28 20:57 authorized_keys
-rw------- 1 user2 user2 1675 2009-11-28 22:43 id_rsa
-rw-r--r-- 1 user2 user2 390 2009-11-28 22:43 id_rsa.pub

chmod 600 authorized_keys
R.

Uiteindelijk heb ik gevonden hoe het geregeld moet worden.

Aan het eind van de /etc/ssh/sshd_config staat nu iets als:
Match user user2
ChrootDirectory /jail

De shell is vervangen van een chroot-script naar "gewoon" bash
en het lijkt te werken.

De gewone gebruikers (ik) kunnen gewoon om de jail heenwerken.

Met vriendelijke groet,
Huub Reuver