[Comm] p7: ssh-agent

[Comm] p7: ssh-agent

[Michael A. Kangin]

Добрый день, извините, что я про P7 всё еще.

После обновления до openssh до 6.7p1-alt1.M70P.2 что-то сломалось в 
ssh-агенте.

у меня два ключа - dsa и ed25519.
При попытке сказать ssh-add происходит следующий диалог:
$ ssh-add
Enter passphrase for /home/mak/.ssh/id_dsa:
Identity added: /home/mak/.ssh/id_dsa (/home/mak/.ssh/id_dsa)
Enter passphrase for /home/mak/.ssh/id_ed25519:
ssh-add: Error reading response length from authentication socket.
Could not add identity: /home/mak/.ssh/id_ed25519

Т.е. для DSA-ключа идентификация как бы запоминается (как бы - потому 
что реально нет, и при ssh-логине спрашивается опять), а для ed25519 
происходит ошибка общения с агентом.

Так же у меня в xfce при попытке входа на удалённый хост выскакивает 
окошко какого-то графического ask_pass, и эта идентификация уже через 
него нормально запоминается для DSA-ключа. А для ed25519 окошка ask_pass 
и не выскакивает.

При загрузке компьютера какой-то агент запускается:
mak       3896  0.0  0.0  13688   304 ?        Ss   02:10   0:00 
ssh-agent -u

Переменные среды:
SSH_AGENT_PID=3896
SSH_ASKPASS=/usr/lib/openssh/ssh-askpass
SSH_AUTH_SOCK=/run/user/500/keyring-ZRiNWN/ssh

При этом этот же агент без всякого перезапуска начинает волшебным 
образом всё запоминать, если сделать такую вот ссылочку:

ln -sf ~/.ssh/agent /run/user/500/keyring-ZRiNWN/ssh

Однако, при этом совершенно перестаёт появляться графический ask_pass.


Я, признаться, имею очень смутное представление как все эти части между 
собой соотносятся и кто кого запускает.
И буду благодарен за указание направлений, куда копать, чего менять.

Re: [Comm] p7: ssh-agent

[Mikhail Efremov]

On Thu, 16 Jun 2016 21:38:35 +0200 Michael A. Kangin wrote:
> Добрый день, извините, что я про P7 всё еще.
> 
> После обновления до openssh до 6.7p1-alt1.M70P.2 что-то сломалось в 
> ssh-агенте.
> 
> у меня два ключа - dsa и ed25519.
> При попытке сказать ssh-add происходит следующий диалог:
> $ ssh-add
> Enter passphrase for /home/mak/.ssh/id_dsa:
> Identity added: /home/mak/.ssh/id_dsa (/home/mak/.ssh/id_dsa)
> Enter passphrase for /home/mak/.ssh/id_ed25519:
> ssh-add: Error reading response length from authentication socket.
> Could not add identity: /home/mak/.ssh/id_ed25519
> 
> Т.е. для DSA-ключа идентификация как бы запоминается (как бы - потому 
> что реально нет, и при ssh-логине спрашивается опять), а для ed25519 
> происходит ошибка общения с агентом.
> 
> Так же у меня в xfce при попытке входа на удалённый хост выскакивает 
> окошко какого-то графического ask_pass, и эта идентификация уже через 
> него нормально запоминается для DSA-ключа. А для ed25519 окошка
> ask_pass и не выскакивает.
> 
> При загрузке компьютера какой-то агент запускается:
> mak       3896  0.0  0.0  13688   304 ?        Ss   02:10   0:00 
> ssh-agent -u
> 
> Переменные среды:
> SSH_AGENT_PID=3896
> SSH_ASKPASS=/usr/lib/openssh/ssh-askpass
> SSH_AUTH_SOCK=/run/user/500/keyring-ZRiNWN/ssh

Это gnome-keyring, который ed25519 не умеет, видимо.
Отключите Диспетчер настроек-> Сеансы и запуск -> Запускать службы
GNOME

-- 
WBR, Mikhail Efremov

Re: [Comm] p7: ssh-agent

[Michael A. Kangin]

16.06.2016 23:01, Mikhail Efremov пишет:

> Это gnome-keyring, который ed25519 не умеет, видимо.
> Отключите Диспетчер настроек-> Сеансы и запуск -> Запускать службы
> GNOME

Попробовал отключить их, так же снёс всё из xfce'шного автозапуска.

Стало еще веселее.
При входе в xfce всё равно появляются окошки ввода паролей к ключам и 
запускаются процессы

  4130 ?        SLl    0:00 /usr/bin/mate-keyring-daemon --start 
--foreground --components=secrets
  4501 ?        SLl    0:00 /usr/bin/mate-keyring-daemon --start 
--foreground --components=secrets
  4864 ?        SLl    0:00 /usr/bin/mate-keyring-daemon --start 
--foreground --components=secrets
  5037 ?        Sl     0:00 /usr/bin/gnome-keyring-daemon --daemonize 
--login
  5331 ?        SLl    0:00 /usr/bin/mate-keyring-daemon --start 
--foreground --components=secrets

(хотя в автостарте всё отключено)

Если пароль в этих окошках не вводить:
он в агенте не появляется, при ssh-логине запрашивается пароль только 
для этой сессии (никакого запоминания идентификации агентом), ssh-add 
работает нормально.

Если ввести правильный пароль для какого-нибудь ключа:
при ssh-логине появляется еще одно окошко с запросом пароля, с титлом 
OpenSSH. Если ввести туда любой (правильный, неправильный) пароль, или 
нажать отмену - появляется строка "Agent admitted failure to sign using 
the key." и логина не происходит.
Если ввести просто пустую строку, то агент очевидно вдруг вспоминает 
пароль введенный в окошко при входе в систему, и ssh-соединение 
устанавливается.

Как-то очень напоминает старые добрые квесты :)

В переменных сокет теперь другой:
SSH_AGENT_PID=5096
SSH_ASKPASS=/usr/lib/openssh/ssh-askpass
SSH_AUTH_SOCK=/home/mak/.ssh/agent

Re: [Comm] p7: ssh-agent

[Mikhail Efremov]

On Fri, 17 Jun 2016 10:19:53 +0200 Michael A. Kangin wrote:
> 16.06.2016 23:01, Mikhail Efremov пишет:
> 
> > Это gnome-keyring, который ed25519 не умеет, видимо.
> > Отключите Диспетчер настроек-> Сеансы и запуск -> Запускать службы
> > GNOME  
> 
> Попробовал отключить их, так же снёс всё из xfce'шного автозапуска.
> 
> Стало еще веселее.
> При входе в xfce всё равно появляются окошки ввода паролей к ключам и 
> запускаются процессы
> 
>   4130 ?        SLl    0:00 /usr/bin/mate-keyring-daemon --start 
> --foreground --components=secrets
>   4501 ?        SLl    0:00 /usr/bin/mate-keyring-daemon --start 
> --foreground --components=secrets
>   4864 ?        SLl    0:00 /usr/bin/mate-keyring-daemon --start 
> --foreground --components=secrets
>   5037 ?        Sl     0:00 /usr/bin/gnome-keyring-daemon --daemonize 
> --login
>   5331 ?        SLl    0:00 /usr/bin/mate-keyring-daemon --start 
> --foreground --components=secrets
> 
> (хотя в автостарте всё отключено)

Убедитесь, что у вас не запускается какой-нибудь mate-session, это все
может запускать он. Xfce4-session точно не умеет запускать mate-keyring.

> Если пароль в этих окошках не вводить:
> он в агенте не появляется, при ssh-логине запрашивается пароль только 
> для этой сессии (никакого запоминания идентификации агентом), ssh-add 
> работает нормально.
> 
> Если ввести правильный пароль для какого-нибудь ключа:
> при ssh-логине появляется еще одно окошко с запросом пароля, с титлом 
> OpenSSH. Если ввести туда любой (правильный, неправильный) пароль, или 
> нажать отмену - появляется строка "Agent admitted failure to sign using 
> the key." и логина не происходит.
> Если ввести просто пустую строку, то агент очевидно вдруг вспоминает 
> пароль введенный в окошко при входе в систему, и ssh-соединение 
> устанавливается.

Кажется, вы путаете добавление ключа в агент и запрос подтверждения на
использование ключа от агента. Окошко ssh-askpass в обоих случаях одно
и то же, но во втором случае не надо вводить никаких паролей, нужно
просто подтвердить использование ключа (предварительно убедившись, что
запрос идет от того процесса, который нужен).

-- 
WBR, Mikhail Efremov