[devel] Добавить новый пакет keychain в Sisyphus (fwd)

[devel] Добавить новый пакет keychain в Sisyphus (fwd)

[Andrei Bulava]

Hi!

Я недавно отсылал письмо в адрес incoming@ с просьбой добавить
новый пакет keychain.

keychain даёт совместно используемый на уровне хоста ssh-agent.
Очень пригодится тем, кому часто приходится работать в текстовой
консоли / через ssh, - для работающих в X обычно хватает
ssh-agent самого по себе.

Ещё одно полезное применение keychain - возможность запускать
задачи cron, использующие доступ через ssh, с _запароленными_
ключами.

Для желающих доступно:

http://esperanza.org.ua/altlinux/contrib/keychain-2.0.3-alt1.noarch.rpm
http://esperanza.org.ua/altlinux/contrib/keychain-2.0.3-alt1.src.rpm

Пока не вижу энтузиазма в рядах incoming@ ;-) Может, keychain'у
существует какая-то другая альтернатива и я не досмотрел?

// AB1002-UANIC

---------- Forwarded message ----------
Date: Tue, 2 Mar 2004 13:00:33 +0200 (EET)
From: Andrei Bulava <abulava@altlinux.ru>
To: incoming@altlinux.ru
Subject: Добавить новый пакет keychain в Sisyphus

Hi!

Я собрал (громко сказано, и всё же) для Sisyphus keychain и готов
его сопровождать.

Keychain - чрезвычайно удобное приложение для управления OpenSSH
и коммерческой версии SSH2-совместимыми RSA/DSA ключами. Оно
выполняет функции фронтенда к ssh-agent, позволяя легко иметь
один долгосрочный процесс ssh-agent на систему вместо одного на
сеанс. Это разительно сокращает количество раз, когда приходится
вводить ключевую фразу, с одного на каждый сеанс до одного на
каждую перезагрузку локального компьютера.

Источник - http://www.gentoo.org/proj/en/keychain.xml

Пока что не заливал собранное в Sisyphus/incoming/BTE, но оно у
меня уже наготове. Жду ваших инструкций/ответа.

Спасибо.

// AB1002-UANIC

Re: [devel] Добавить новый пакет keychain в Sisyphus (fwd)

[Alexander Bokovoy]

On Thu, Mar 04, 2004 at 03:01:10PM +0200, Andrei Bulava wrote:
> Hi!
> 
> Я недавно отсылал письмо в адрес incoming@ с просьбой добавить
> новый пакет keychain.
> 
> keychain даёт совместно используемый на уровне хоста ssh-agent.
> Очень пригодится тем, кому часто приходится работать в текстовой
> консоли / через ssh, - для работающих в X обычно хватает
> ssh-agent самого по себе.
> 
> Ещё одно полезное применение keychain - возможность запускать
> задачи cron, использующие доступ через ssh, с _запароленными_
> ключами.
> 
> Для желающих доступно:
> 
> http://esperanza.org.ua/altlinux/contrib/keychain-2.0.3-alt1.noarch.rpm
> http://esperanza.org.ua/altlinux/contrib/keychain-2.0.3-alt1.src.rpm
> 
> Пока не вижу энтузиазма в рядах incoming@ ;-) Может, keychain'у
> существует какая-то другая альтернатива и я не досмотрел?
Использует ли keychain опцию -u в нашем ssh-agent? 
-- 
/ Alexander Bokovoy
Samba Team                      http://www.samba.org/
ALT Linux Team                  http://www.altlinux.org/
Midgard Project Ry              http://www.midgard-project.org/

Re: [devel] Добавить новый пакет keychain в Sisyphus (fwd)

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1283 bytes --]

On Thu, Mar 04, 2004 at 03:01:10PM +0200, Andrei Bulava wrote:
> Hi!
> 
> Я недавно отсылал письмо в адрес incoming@ с просьбой добавить
> новый пакет keychain.
> 
> keychain даёт совместно используемый на уровне хоста ssh-agent.
> Очень пригодится тем, кому часто приходится работать в текстовой
> консоли / через ssh, - для работающих в X обычно хватает
> ssh-agent самого по себе.
> 
> Ещё одно полезное применение keychain - возможность запускать
> задачи cron, использующие доступ через ssh, с _запароленными_
> ключами.
> 
> Для желающих доступно:
> 
> http://esperanza.org.ua/altlinux/contrib/keychain-2.0.3-alt1.noarch.rpm
> http://esperanza.org.ua/altlinux/contrib/keychain-2.0.3-alt1.src.rpm
> 
> Пока не вижу энтузиазма в рядах incoming@ ;-) Может, keychain'у
> существует какая-то другая альтернатива и я не досмотрел?

Я не улавливаю, зачем про каждый новый пакет спрашивать incoming@?

Что касается моего личного мнения, то я активно использую ssh agent и при
этом считаю keychain совершенно ненужным изобретением.

Что касается ввода пароля и подтверждения разрешения использования ключа,
то я настоятельно рекомендую ознакомиться с этим советом:
http://www.mindrot.org/pipermail/openssh-unix-dev/2004-February/020641.html


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Добавить новый пакет keychain в Sisyphus (fwd)

[Andrei Bulava]

On Thu, 4 Mar 2004, Alexander Bokovoy wrote:

<skip>

> Использует ли keychain опцию -u в нашем ssh-agent?

Нет. Если эта опция не конфликтует с -s и найдётся человек,
который объяснит мне её смысл, то добавить эту опцию будет делом
техники.

Увы, строчка из man

-u      Run the agent in unique mode.

явно не рассчитана на то, чтоб быть интуитивно понятной ;-(

// AB1002-UANIC

Re: [devel] Добавить новый пакет keychain в Sisyphus (fwd)

[Alexander Bokovoy]

On Thu, Mar 04, 2004 at 04:04:01PM +0200, Andrei Bulava wrote:
> On Thu, 4 Mar 2004, Alexander Bokovoy wrote:
> 
> <skip>
> 
> > Использует ли keychain опцию -u в нашем ssh-agent?
> 
> Нет. Если эта опция не конфликтует с -s и найдётся человек,
> который объяснит мне её смысл, то добавить эту опцию будет делом
> техники.
> 
> Увы, строчка из man
> 
> -u      Run the agent in unique mode.
> 
> явно не рассчитана на то, чтоб быть интуитивно понятной ;-(
Ну почему же? Последовательный запуск ssh-agent -u не приводит к
порождению новых процессов, все остальные просто реэкспортируют данные
первого запустившегося. Per-user, конечно.
-- 
/ Alexander Bokovoy
Samba Team                      http://www.samba.org/
ALT Linux Team                  http://www.altlinux.org/
Midgard Project Ry              http://www.midgard-project.org/

Re: [devel] Добавить новый пакет keychain в Sisyphus (fwd)

[Andrei Bulava]

On Thu, 4 Mar 2004, Dmitry V. Levin wrote:

<skip>

> Я не улавливаю, зачем про каждый новый пакет спрашивать
> incoming@?

:-))) ответ, на мой взгляд, должен быть занесен в fortunes-ALT,
но как его понимать мне?

Первое, что приходит в голову - истолковать ваш риторический
вопрос в свою пользу, т.е. залить keychain в
/incoming/Sisyphus/BTE несмотря на

> Что касается моего личного мнения, то я активно использую ssh
> agent и при этом считаю keychain совершенно ненужным
> изобретением.

Вот прямо сейчас у меня открыта ssh сессия на шлюз, с которого я
достаточно часто и в разные места хожу по ssh. Я не знаю, как мне
задействовать ssh-agent и при этом иметь возможность не держать
постоянно открытой сессию на шлюз. keychain позволяет мне не
задумываясь открывать / закрывать сессию на шлюз тогда, когда
мне это удобно.

> Что касается ввода пароля и подтверждения разрешения
> использования ключа, то я настоятельно рекомендую ознакомиться
> с этим советом:
> http://www.mindrot.org/pipermail/openssh-unix-dev/2004-February
> /020641.html

Если я правильно понял, то речь идёт о полезности использования
"ssh-add -c". На мой взгляд, вопросы о пользе keychain и пользе
"ssh-add -c" находятся в ортогональных плоскостях. ssh-agent, в
который добавлена identity с опцией "-c", ведёт себя точно также,
как если бы я просто не использовал ssh-agent, а держал
запароленный приватный ключ в домашней директории или в любом
другом месте файловой системы.

Случай "ssh-add -c" даёт мне возможность не держать приватный
ключ на ФС, а загнать его в память. Ещё раз: при использовании
keychain я смогу добавить ключ через "ssh-add -c" и спрятать
носитель с приватным ключом до тех пор, пока не будет остановлен
keychain.

cron задачи - отдельная история, для них, как правило, заводятся
ключи, помещаемые в authorized_keys[2] с опцией command. Тем не
менее, это ещё не повод для того, чтоб делать такие ключи
беспарольными. Есть некоторая разница в уровне квалификации,
необходимом для получения прав root с перезагрузкой системы или
без таковой. Во втором случае, конечно, проблема при
использовании keychain проявится. С беспарольным ключом она
проявится в обоих.

Есть ещё и третий случай - смотреть
http://www.kde.org/history/rms.php по ключевому слову passwords.

Лично я не до конца разделяю оптимизм Столлмэна и предпочитаю при
использовании cvs over ssh висящий в памяти ssh-agent с
расшифрованным ключом, а не забивать пароль в услужливую среду
разработки. А вводить пароль при каждом обращении к cvs мне бы
пришлось слишком часто.

// AB1002-UANIC

Re: [devel] Добавить новый пакет keychain в Sisyphus (fwd)

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 2161 bytes --]

On Thu, Mar 04, 2004 at 06:59:29PM +0200, Andrei Bulava wrote:
> On Thu, 4 Mar 2004, Dmitry V. Levin wrote:
> 
> <skip>
> 
> > Я не улавливаю, зачем про каждый новый пакет спрашивать
> > incoming@?
> 
> :-))) ответ, на мой взгляд, должен быть занесен в fortunes-ALT,
> но как его понимать мне?
> 
> Первое, что приходит в голову - истолковать ваш риторический
> вопрос в свою пользу, т.е. залить keychain в
> /incoming/Sisyphus/BTE несмотря на

Лучше в /incoming/Sisyphus/.

> > Что касается моего личного мнения, то я активно использую ssh
> > agent и при этом считаю keychain совершенно ненужным
> > изобретением.
> 
> Вот прямо сейчас у меня открыта ssh сессия на шлюз, с которого я
> достаточно часто и в разные места хожу по ssh. Я не знаю, как мне
> задействовать ssh-agent и при этом иметь возможность не держать
> постоянно открытой сессию на шлюз. keychain позволяет мне не
> задумываясь открывать / закрывать сессию на шлюз тогда, когда
> мне это удобно.

Что-то я не совсем понял: вы часто ходите со шлюза по ssh, но при этом не
заходите на шлюз?

> > Что касается ввода пароля и подтверждения разрешения
> > использования ключа, то я настоятельно рекомендую ознакомиться
> > с этим советом:
> > http://www.mindrot.org/pipermail/openssh-unix-dev/2004-February
> > /020641.html
> 
> Если я правильно понял, то речь идёт о полезности использования
> "ssh-add -c". На мой взгляд, вопросы о пользе keychain и пользе
> "ssh-add -c" находятся в ортогональных плоскостях. ssh-agent, в
> который добавлена identity с опцией "-c", ведёт себя точно также,
> как если бы я просто не использовал ssh-agent, а держал
> запароленный приватный ключ в домашней директории или в любом
> другом месте файловой системы.

В анонсе keychain'а, присланного в incoming@, было сказано, что
"Это разительно сокращает количество раз, когда приходится
вводить ключевую фразу, с одного на каждый сеанс до одного на
каждую перезагрузку локального компьютера."

Да, это не связано непосредственно с подтверждением использования.

С другой стороны, процитированного можно легко добиться и без keychain'а.

Возможно, я просто не понимаю, чего на самом деле даёт keychain.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Добавить новый пакет keychain в Sisyphus (fwd)

[Andrei Bulava]

On Thu, 4 Mar 2004, Dmitry V. Levin wrote:

<skip>

> Лучше в /incoming/Sisyphus/.

Хорошо.

<skip>

> Что-то я не совсем понял: вы часто ходите со шлюза по ssh, но
> при этом не заходите на шлюз?

Я часто хожу со шлюза во внешний мир по ssh, предварительно зайдя
на шлюз из локальной сети по ssh.

<skip>

> В анонсе keychain'а, присланного в incoming@, было сказано, что
> "Это разительно сокращает количество раз, когда приходится
> вводить ключевую фразу, с одного на каждый сеанс до одного на
> каждую перезагрузку локального компьютера."
>
> Да, это не связано непосредственно с подтверждением
> использования.

Можно с этого места поподробнее?

>
> С другой стороны, процитированного можно легко добиться и без
> keychain'а.

Мне нужно, чтоб между двумя моими удалёнными входами на шлюз на
нём висел ssh-agent. Если есть более другой способ это сделать -
не томите душу ;-)

<skip>

// AB1002-UANIC

Re: [devel] Добавить новый пакет keychain в Sisyphus (fwd)

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1181 bytes --]

On Thu, Mar 04, 2004 at 08:02:54PM +0200, Andrei Bulava wrote:
> On Thu, 4 Mar 2004, Dmitry V. Levin wrote:
[...]
> > Что-то я не совсем понял: вы часто ходите со шлюза по ssh, но
> > при этом не заходите на шлюз?
> 
> Я часто хожу со шлюза во внешний мир по ssh, предварительно зайдя
> на шлюз из локальной сети по ssh.

Так я и думал.

[...]
> > В анонсе keychain'а, присланного в incoming@, было сказано, что
> > "Это разительно сокращает количество раз, когда приходится
> > вводить ключевую фразу, с одного на каждый сеанс до одного на
> > каждую перезагрузку локального компьютера."
> >
> > Да, это не связано непосредственно с подтверждением
> > использования.
> 
> Можно с этого места поподробнее?

Так вы сами всё уже рассказали достаточно подробно. :)

[...]
> > С другой стороны, процитированного можно легко добиться и без
> > keychain'а.
> 
> Мне нужно, чтоб между двумя моими удалёнными входами на шлюз на
> нём висел ssh-agent. Если есть более другой способ это сделать -
> не томите душу ;-)

Если вам нужно, чтобы на шлюзе висел ssh-agent в то время, пока вас там
нет, то мне непонятно, кто будет подтверждать запросы на ключи,
добавленные "ssh-add -c"?


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

FIN (WAS: Re: [devel] Добавить новый пакет keychain в Sisyphus (fwd))

[Andrei Bulava]

On Thu, 4 Mar 2004, Dmitry V. Levin wrote:

> On Thu, Mar 04, 2004 at 08:02:54PM +0200, Andrei Bulava wrote:

<skip>

> > Мне нужно, чтоб между двумя моими удалёнными входами на шлюз
> > на нём висел ssh-agent. Если есть более другой способ это
> > сделать - не томите душу ;-)

Отвечаю сам себе, сворачивая дискуссию о добавлении keychain в
Sisyphus. keychain в Sisyphus не будет.

Для моих задач keychain - действительно ненужное изобретение
(спасибо Dmitry V. Levin & Alexander Bokovoy). То, что мне нужно
(см. выше), достигается добавлением в .bash_profile строчки

eval `ssh-agent -u 2> /dev/null`

Т.е. 10-тикилобайтный скрипт keychain с энным количеством
зависимостей на другие пакеты практически воспроизводится одной
строкой.

<skip>

// AB1002-UANIC

Re: FIN (WAS: Re: [devel] Добавить новый пакет keychain в Sisyphus (fwd))

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 773 bytes --]

On Fri, Mar 05, 2004 at 09:53:44AM +0200, Andrei Bulava wrote:
> On Thu, 4 Mar 2004, Dmitry V. Levin wrote:
> > On Thu, Mar 04, 2004 at 08:02:54PM +0200, Andrei Bulava wrote:
> 
> <skip>
> 
> > > Мне нужно, чтоб между двумя моими удалёнными входами на шлюз
> > > на нём висел ssh-agent. Если есть более другой способ это
> > > сделать - не томите душу ;-)
> 
> Отвечаю сам себе, сворачивая дискуссию о добавлении keychain в
> Sisyphus. keychain в Sisyphus не будет.
> 
> Для моих задач keychain - действительно ненужное изобретение
> (спасибо Dmitry V. Levin & Alexander Bokovoy). То, что мне нужно
> (см. выше), достигается добавлением в .bash_profile строчки
> 
> eval `ssh-agent -u 2> /dev/null`

Или
. /etc/X11/profile.d/ssh-agent.sh


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: FIN (WAS: [devel] Добавить новый пакет keychain в Sisyphus (fwd))

[Денис Смирнов]

On Fri, Mar 05, 2004 at 01:42:39PM +0300, Dmitry V. Levin wrote:

 DVL> Или
 DVL> . /etc/X11/profile.d/ssh-agent.sh

Для тех, кто пользуется исключительно консолью (как я дома) в
/etc/profile.d/ssh-agent.sh

-- 
С уважением, Денис

http://dimline.ru/