Bei dem Versuch, einige Probleme bei der Verwendung von Cygwin + SSH unter Windows 8.1 zu lösen, möchte ich wissen, warum das ssh-host-configSkript zwei neue Konten erstellt, mit denen OpenSSH von Grund auf neu konfiguriert wird. (Ist das notwendig?)

Die beiden Konten lauten: cyg_serverund sshdbei Verwendung der Standardauswahl + Eskalation von Berechtigungen und Installation von Diensten. Ich verstehe, dass der erste Dienst nur zum Starten des Cygwin SSHd-Dienstes verwendet wird, aber ich verstehe die Funktion des zweiten Dienstes nicht. Ich habe die Cygwin-Archive durchsucht und die einzige Erklärung für den Entwickler lautete "weil es dafür entworfen wurde". Es wird auch davon abgeraten, diese für die eigentliche Anmeldung zu verwenden.

Hier ist meine Installation:

-----------------------------------------------------------
ssh-keygen: generating new host keys: RSA1 RSA DSA ECDSA ED25519
*** Info: Creating default /etc/ssh_config file
*** Info: Creating default /etc/sshd_config file
*** Info: Privilege separation is set to yes by default since OpenSSH 3.3.
*** Info: However, this requires a non-privileged account called 'sshd'.
*** Info: For more info on privilege separation read /usr/share/doc/openssh/README.privsep.
*** Query: Should privilege separation be used? (yes/no) yes
*** Info: Note that creating a new user requires that the current account have
*** Info: Administrator privileges.  Should this script attempt to create a
*** Query: new local account 'sshd'? (yes/no) yes
*** Info: Updating /etc/sshd_config file

*** Query: Do you want to install sshd as a service?
*** Query: (Say "no" if it is already installed as a service) (yes/no) yes
*** Query: Enter the value of CYGWIN for the daemon: []
*** Info: On Windows Server 2003, Windows Vista, and above, the
*** Info: SYSTEM account cannot setuid to other users -- a capability
*** Info: sshd requires.  You need to have or to create a privileged
*** Info: account.  This script will help you do so.

*** Info: You appear to be running Windows XP 64bit, Windows 2003 Server,
*** Info: or later.  On these systems, it's not possible to use the LocalSystem
*** Info: account for services that can change the user id without an
*** Info: explicit password (such as passwordless logins [e.g. public key
*** Info: authentication] via sshd).

*** Info: If you want to enable that functionality, it's required to create
*** Info: a new account with special privileges (unless a similar account
*** Info: already exists). This account is then used to run these special
*** Info: servers.

*** Info: Note that creating a new user requires that the current account
*** Info: have Administrator privileges itself.

*** Info: No privileged account could be found.

*** Info: This script plans to use 'cyg_server'.
*** Info: 'cyg_server' will only be used by registered services.
*** Query: Do you want to use a different name? (yes/no) no
*** Query: Create new privileged user account 'cyg_server'? (yes/no) yes
*** Info: Please enter a password for new user cyg_server.  Please be sure
*** Info: that this password matches the password rules given on your system.
*** Info: Entering no password will exit the configuration.
*** Query: Please enter the password:
*** Query: Reenter:

*** Info: User 'cyg_server' has been created with password 'XXXXXXXXXX'.
*** Info: If you change the password, please remember also to change the
*** Info: password for the installed services which use (or will soon use)
*** Info: the 'cyg_server' account.

*** Info: Also keep in mind that the user 'cyg_server' needs read permissions
*** Info: on all users' relevant files for the services running as 'cyg_server'.
*** Info: In particular, for the sshd server all users' .ssh/authorized_keys
*** Info: files must have appropriate permissions to allow public key
*** Info: authentication. (Re-)running ssh-user-config for each user will set
*** Info: these permissions correctly. [Similar restrictions apply, for
*** Info: instance, for .rhosts files if the rshd server is running, etc].


*** Info: The sshd service has been installed under the 'cyg_server'
*** Info: account.  To start the service now, call `net start sshd' or
*** Info: `cygrunsrv -S sshd'.  Otherwise, it will start automatically
*** Info: after the next reboot.

*** Info: Host configuration finished. Have fun!
-----------------------------------------------------------

Außerdem ist "cyg_server" ein sichtbares Konto, das für die Windows-Anmeldung verwendet werden kann, "sshd" jedoch ausgeblendet zu sein scheint. Also bleibt mir die Schlussfolgerung, dass ich noch einen dritten Account hinzufügen muss, um SSH richtig nutzen zu können, was ziemlich verrückt zu sein scheint!

EDIT-1 : Darüber hinaus ist für das sshd- Konto ein Kennwort-Ablaufdatum festgelegt, das 40 Tage nach der Installation festgelegt wurde, und es verfügt über ein Kennwort (gemäß WMIC ). (Ich wurde bei der Einrichtung von ssh nie aufgefordert, ein Kennwort für dieses Konto einzugeben.)

Tun wmic useraccount get AccountType,...,Status:

AccountType  Disabled  Lockout  Name           PasswordChangeable  PasswordExpires  PasswordRequired  Status    
512          FALSE     FALSE    cyg_server     TRUE                FALSE            TRUE              OK        
512          TRUE      FALSE    sshd           TRUE                TRUE             TRUE              Degraded  

und net user sshd:

User name                    sshd
Full Name                    sshd privsep
Comment                      
User's comment               
Country/region code          000 (System Default)
Account active               No
Account expires              Never
Password last set            2014-03-01 23:20:19
Password expires             2014-04-12 23:20:19
Password changeable          2014-03-01 23:20:19
Password required            Yes
User may change password     Yes
Workstations allowed         All
Logon script                 
User profile                 
Home directory               C:\cygwin64\var\empty
Last logon                   Never
Logon hours allowed          All
Local Group Memberships      *Users                
Global Group memberships     *None                 
The command completed successfully.

Das wirft also noch zwei Fragen dazu auf:

1. Wie ist das Passwort festgelegt und warum wurde der Benutzer nicht darüber informiert?
2. Warum hat dieses Passwort ein Ablaufdatum?

EDIT-2 : Da ich nicht in der Lage war, die Cygwin-Entwicklerliste zu erreichen, musste ich selbst weitere Nachforschungen anstellen. Bisher habe ich keine Antwort auf Frage 1, aber es gibt einige andere Probleme mit dem für die Einrichtung verwendeten Skript ssh-host-config. Fazit ist, dass Sie immer beide sshd & cyg_server-Konten entfernen und ein richtiges Administratorkonto einrichten können, indem Sie deren Einstellungen als Referenz verwenden.

Frage 2 : In Windows 8.1 ist der Standard-Kennwortablauf auf 42 Tage festgelegt. Dies muss mit normalen Windows-Tools (Benutzeroberfläche, WMIC, Netzbenutzer usw.) entweder geändert oder deaktiviert werden.

Update 2019: Diese Antwort und Frage ist veraltet. Siehe die Antwort von Bill_Stewart.

Von man 5 sshd_config

 UsePrivilegeSeparation
     Specifies whether sshd separates privileges by creating an
     unprivileged child process to deal with incoming network traffic.
     After successful authentication, another process will be created
     that has the privilege of the authenticated user.  The goal of
     privilege separation is to prevent privilege escalation by con-
     taining any corruption within the unprivileged processes.  The
     default is "yes".

Sshd benötigt also zwei Arten von Konten:

1. Einer mit der Fähigkeit zu setuid.
2. Ein nicht privilegierter Account.

Das Setup-Skript erklärt, dass das übliche SYSTEM-Konto keine setuidBerechtigungen hat, weshalb das zusätzliche privilegierte Konto erforderlich ist.

Warum ssh-host-configzwei Benutzerkonten angelegt werden, wird meistens von Dan beantwortet. Weitere Informationen dazu, warum ein separates Konto erforderlich setuidist, finden Sie hier. Dies ist ein komplizierter Vorgang .

Was Ihre erste Unterfrage angeht, so glaube ich, sind es auch die Standardeinstellungen, wie das Ablaufen des Kennworts. In /usr/share/csih/cygwin-service-installation-helperder von ssh-host-config verwendeten Version wird der Benutzer (mit dem Windows-Befehl net) wie folgt erstellt, wobei ${unpriv_user}der Name wie lautet sshd, Sie haben ausgewählt, und ${dos_var_empty}ist der Windows / DOS-Pfad zu /var/empty:

net user "${unpriv_user}" /add /fullname:"${unpriv_user} privsep" \
"/homedir:${dos_var_empty}" /active:no

In der Dokumentation von Microsoft heißt es, dass der Standardwert für " /passwordreqJa" lautet, wenn ein Kennwort erforderlich ist, und dass Windows dann ein Standardkennwort zuweist (wahrscheinlich, weil kein Kennwort angegeben wurde, möglicherweise insbesondere, weil /active:no).

Und für Ihre zweite Unterfrage, wie Sie in Ihrer zweiten Bearbeitung gesagt haben, scheint der Standardwert, zumindest für Windows 8.1 Pro, nach 42 Tagen ein Kennwortablauf zu sein, obwohl er auf meinem Konto ODER dem neuen cyg_serverKonto mit Sicherheit nicht aktiviert ist . Dies ist wahrscheinlich auf die gleiche Kombination zurückzuführen - cyg_servergibt ein Kennwort an und ist aktiv, aber sshd gibt kein Kennwort an und ist nicht aktiv (möglicherweise, um die Zuweisung eines Kennworts zu erzwingen, wenn / wenn das Konto aktiviert ist). Wenn Sie die genauen Details erfahren möchten, würde ich wahrscheinlich versuchen, ähnliche Konten zu erstellen, ohne das Kennwort einzugeben, und nachzusehen, was passiert.

Das separate deaktivierte sshdKonto wird in Cygwin tatsächlich nicht verwendet (zumindest nicht mehr). Ich habe auf der Cygwin-Mailingliste danach gefragt:

Ist das mit sshd deaktivierte Benutzerkonto noch erforderlich?

Corinna Vinschen (Cygwin-Betreuerin) antwortete mit:

Nein, eigentlich ist es nicht. In diesen Tagen prüft der sshd-Server, ob die Umgebung privsep chrrot [sic] verwendet werden soll und dass der Prozess unter "root: root" gestartet wird. Dies ist unter Cygwin nie der Fall, sodass wir die Benutzeranforderung für sshd fallen lassen können.

(Siehe https://cygwin.com/ml/cygwin/2019-01/msg00120.html )

Daher ist die markierte Antwort auf diese Frage für Cygwin nicht korrekt.

(Wahrscheinlich wird irgendwann jemand das ssh-host-configSkript aktualisieren , um die Erstellung des sshdKontos zu beenden.)

Update 18.04.2013

Das oben Gesagte ist insofern richtig, als das sshdKonto nicht unbedingt erforderlich ist. Sie benötigen es nur noch, wenn Sie die ChrootDirectoryEinstellung in verwenden möchten, um sshd_configein Konto nur auf SFTP zu beschränken.

FWIW habe ich ein Paket erstellt, das ein einfach zu verwendendes Installationsprogramm enthält, mit dem die Cygwin-Version von OpenSSH (und einige andere Tools, einschließlich rsync) konfiguriert werden können . Es ist auf GitHub, wenn jemand interessiert ist:

https://github.com/Bill-Stewart/Cygwin-OpenSSH

Die Dokumentation im Paket beschreibt die Umstände, unter denen das sshdKonto verwendet wird.