Windows SSH: Berechtigungen für 'Private-Key' sind zu offen

Ich habe OpenSSH 7.6 in Windows 7 zu Testzwecken installiert. SSH-Client und -Server funktionieren einwandfrei, bis ich über dieses Fenster versucht habe, auf eine meiner AWS EC2-Boxen zuzugreifen.

Anscheinend muss ich die Berechtigung für die private Schlüsseldatei ändern. Dies kann einfach unter Unix / Linux mit chmodBefehl erfolgen.

Was ist mit Fenstern?

private-key.ppm wird direkt von AWS kopiert und ich denke, die Erlaubnis auch.

C:\>ssh -V
OpenSSH_7.6p1, LibreSSL 2.5.3

C:\>ver

Microsoft Windows [Version 6.1.7601]

C:\>


C:\>ssh ubuntu@192.168.0.1 -i private-key.ppk
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@         WARNING: UNPROTECTED PRIVATE KEY FILE!          @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
Permissions for 'private-key.ppk' are too open.
It is required that your private key files are NOT accessible by others.
This private key will be ignored.
Load key "private-key.ppk": bad permissions
ubuntu@192.168.0.1: Permission denied (publickey).

C:\>
C:\>
C:\>ssh ubuntu@192.168.0.1 -i private-key.ppm
Warning: Identity file private-key.ppm not accessible: No such file or directory.
ubuntu@192.168.0.1: Permission denied (publickey).

C:\>

Suchen Sie die Datei im Windows Explorer, klicken Sie mit der rechten Maustaste darauf und wählen Sie "Eigenschaften". Navigieren Sie zur Registerkarte "Sicherheit" und klicken Sie auf "Erweitert".

Ändern Sie den Eigentümer in Sie, deaktivieren Sie die Vererbung und löschen Sie alle Berechtigungen. Gewähren Sie sich dann "Vollzugriff" und speichern Sie die Berechtigungen. Jetzt beschwert sich SSH nicht mehr über zu offene Dateiberechtigungen.

Es sollte am Ende so aussehen:

Schlüssel dürfen nur für den Benutzer zugänglich sein, für den sie bestimmt sind, und es dürfen keine anderen Konten, Dienste oder Gruppen vorhanden sein.

• GUI:
  • [Datei] Eigenschaften - Sicherheit - Erweitert
    1. Setzen Sie Owner auf den Benutzer des Schlüssels
    2. Entfernen Sie alle Benutzer, Gruppen und Dienste mit Ausnahme des Schlüssels unter Berechtigungseinträge
    3. Stellen Sie den Benutzer des Schlüssels auf Vollzugriff ein

• CLI:

  :: Set Variable ::
  set key="C:\Path\to\key"
  
  :: Remove Inheritance ::
  cmd /c icacls %key% /c /t /inheritance:d
  
  :: Set Ownership to Owner ::
  cmd /c icacls %key% /c /t /grant %username%:F
  
  :: Remove All Users, except for Owner ::
  cmd /c icacls %key%  /c /t /remove Administrator "Authenticated Users" BUILTIN\Administrators BUILTIN Everyone System Users
  
  :: Verify ::
  cmd /c icacls %key%

Neben der Antwort von ibug. Da ich das Ubuntu-System in Windows verwendet habe, um den Befehl ssh auszuführen. Es hat immer noch nicht funktioniert. So tat ich

sudo ssh ...

und dann hat es geklappt

Ich hatte das gleiche Problem und es scheint mit der Version von SSH zu tun zu haben, die Sie verwenden.

Wenn ich tippe

where ssh

Ich bekomme...

C:\Windows\System32\OpenSSH\ssh.exe
C:\Program Files\Git\usr\bin\ssh.exe

Wenn ich ssh -Van beiden Orten renne, bekomme ich

OpenSSH_7.5p1, without OpenSSL
OpenSSH_7.3p1, OpenSSL 1.0.2k  26 Jan 2017

...beziehungsweise

Also, wenn ich sshaus dem git / bin-Verzeichnis rufe, funktioniert es einwandfrei und beschwert sich nicht über die Berechtigungen, aber wenn ich dieselbe Befehlszeile mit der früheren Installation von SSH laufen lasse, kehrt es damit zurück.

Load key "t:\\mykeys\\rich-private.ppk": invalid format
banana@127.0.0.127: Permission denied (publickey).

ps. Die Berechtigungen für die Datei sind nur der volle Zugriff für mich und sonst nichts.

Sie brauchen nur 2 Dinge:

1) Deaktivieren Sie die Vererbung

2) Konvertieren Sie geerbte Berechtigungen in explizite Berechtigungen

3) Benutzergruppe entfernen

4) Sie werden am Ende keine Benutzer haben, die auf private Dateien zugreifen können. Dies sollte ausreichen, um id_rsa hinzuzufügen.

Ich hatte ein ähnliches Problem, war aber auf der Arbeit und konnte die Dateiberechtigungen auf meinem Arbeitscomputer nicht ändern. Sie müssen WSL installieren und dann Ihren Schlüssel in das versteckte ssh-Verzeichnis in WSL kopieren:

cp <path to your key> ~/.ssh/<name of your key>

Jetzt sollten Sie in der Lage sein, die Berechtigungen normal zu ändern.

sudo chmod 600 ~/.ssh/<your key's name>

Dann ssh mit WSL:

ssh -i ~/.ssh/<name of your key> <username>@<ip address>

Verwenden Sie den folgenden Befehl für Ihre Taste, er funktioniert unter Windows

icacls .\private.key /inheritance:r
icacls .\private.key /grant:r "%username%":"(R)"

Sie können icacls in Windows anstelle von chmod verwenden, um die Dateiberechtigung anzupassen. Um dem aktuellen Benutzer Leseberechtigung zu erteilen und alles andere zu entfernen,

icacls <file name> /inheritance:r
icacls <file name> /grant:r "%username%":"(R)"

Dies ist nur eine geskriptete Version der CLI-Antwort von @ JW0914. Es ist auch mein erstes PowerShell-Skript, daher sind Vorschläge willkommen.

# DO the following in powerhsell if not already done:
# Set-ExecutionPolicy RemoteSigned


# NOTE: edit the path in this command if needed
$sshFiles=Get-ChildItem -Path C:\DevContainerHome\.ssh -Force

$sshFiles | % {
  $key = $_
  & icacls $key /c /t /inheritance:d
  & icacls $key /c /t /grant %username%:F
  & icacls $key  /c /t /remove Administrator "Authenticated Users" BUILTIN\Administrators BUILTIN Everyone System Users
}

# Verify:
$sshFiles | % {
  icacls $_
}

Verwenden Sie Mingw-w64.

Infos: http://mingw-w64.org/doku.php

Mit Git für Windows oder direkt herunterladen.

Verfügbar hier: https://github.com/mirror/mingw-w64

git clone https://github.com/mirror/mingw-w64

Es hat auch andere nützliche Linux-Befehle wie tarund gzip.

Antwort von iBug funktioniert gut! Sie können dem folgen und dieses Problem loswerden.

Es gibt jedoch einige Dinge, die geklärt werden müssen, da ich beim Einrichten der Berechtigungen auf Probleme gestoßen bin, und es dauerte einige Minuten, bis ich das Problem herausgefunden hatte!

Nach der Antwort von iBug entfernen Sie alle Berechtigungen, aber wie stellen Sie die Vollzugriffsberechtigung auf sich selbst ein? Das war der Punkt, an dem ich zuerst feststeckte, da ich nicht wusste, wie ich das machen sollte.

Nach dem Deaktivieren der Vererbung können Sie alle zulässigen Benutzer oder Gruppen löschen.

Sobald Sie damit fertig sind,

Klicken Sie auf, Addklicken Sie auf, Set a Principalgeben Sie ein Systemund Administratorsund your email addreddklicken Sie im unteren Feld auf check names.

Der Name wird geladen, wenn der Benutzer existiert. Klicken Sie anschließend auf OK> Typ Allow> Grundlegende Berechtigungen Full Control>Okay

Dadurch wird die Vollzugriffsberechtigung für SYSTEM, Administratoren und Ihren Benutzer eingerichtet.

Versuchen Sie anschließend, mit diesem Schlüssel ssh auszuführen. Es sollte jetzt gelöst werden.

Ich hatte das gleiche Problem und löste es mit dieser Methode. Wenn es einen Benutzer oder eine Gruppe mit diesem Namen gibt, wird dieser geladen.

-Screenshots-

Berechtigungseinträge Prinzipal auswählen / Benutzer oder Gruppen auswählen