Nel tentativo di risolvere alcuni problemi con l'utilizzo di Cygwin + SSH su Windows 8.1, vorrei sapere perché lo ssh-host-configscript crea due nuovi account che configurano OpenSSH da zero? (È necessario?)

I due account sono: cyg_servere sshd, quando si utilizza la selezione predefinita + escalation di privilegi e installazione del servizio. Comprendo che il primo viene utilizzato solo per avviare il servizio SSHd di Cygwin, ma non capisco la funzione del secondo. Ho cercato negli archivi Cygwin e l'unica spiegazione per gli sviluppatori era "perché è stata progettata per farlo". Si consiglia inoltre di non utilizzarli per l'accesso effettivo.

Ecco la mia installazione:

-----------------------------------------------------------
ssh-keygen: generating new host keys: RSA1 RSA DSA ECDSA ED25519
*** Info: Creating default /etc/ssh_config file
*** Info: Creating default /etc/sshd_config file
*** Info: Privilege separation is set to yes by default since OpenSSH 3.3.
*** Info: However, this requires a non-privileged account called 'sshd'.
*** Info: For more info on privilege separation read /usr/share/doc/openssh/README.privsep.
*** Query: Should privilege separation be used? (yes/no) yes
*** Info: Note that creating a new user requires that the current account have
*** Info: Administrator privileges.  Should this script attempt to create a
*** Query: new local account 'sshd'? (yes/no) yes
*** Info: Updating /etc/sshd_config file

*** Query: Do you want to install sshd as a service?
*** Query: (Say "no" if it is already installed as a service) (yes/no) yes
*** Query: Enter the value of CYGWIN for the daemon: []
*** Info: On Windows Server 2003, Windows Vista, and above, the
*** Info: SYSTEM account cannot setuid to other users -- a capability
*** Info: sshd requires.  You need to have or to create a privileged
*** Info: account.  This script will help you do so.

*** Info: You appear to be running Windows XP 64bit, Windows 2003 Server,
*** Info: or later.  On these systems, it's not possible to use the LocalSystem
*** Info: account for services that can change the user id without an
*** Info: explicit password (such as passwordless logins [e.g. public key
*** Info: authentication] via sshd).

*** Info: If you want to enable that functionality, it's required to create
*** Info: a new account with special privileges (unless a similar account
*** Info: already exists). This account is then used to run these special
*** Info: servers.

*** Info: Note that creating a new user requires that the current account
*** Info: have Administrator privileges itself.

*** Info: No privileged account could be found.

*** Info: This script plans to use 'cyg_server'.
*** Info: 'cyg_server' will only be used by registered services.
*** Query: Do you want to use a different name? (yes/no) no
*** Query: Create new privileged user account 'cyg_server'? (yes/no) yes
*** Info: Please enter a password for new user cyg_server.  Please be sure
*** Info: that this password matches the password rules given on your system.
*** Info: Entering no password will exit the configuration.
*** Query: Please enter the password:
*** Query: Reenter:

*** Info: User 'cyg_server' has been created with password 'XXXXXXXXXX'.
*** Info: If you change the password, please remember also to change the
*** Info: password for the installed services which use (or will soon use)
*** Info: the 'cyg_server' account.

*** Info: Also keep in mind that the user 'cyg_server' needs read permissions
*** Info: on all users' relevant files for the services running as 'cyg_server'.
*** Info: In particular, for the sshd server all users' .ssh/authorized_keys
*** Info: files must have appropriate permissions to allow public key
*** Info: authentication. (Re-)running ssh-user-config for each user will set
*** Info: these permissions correctly. [Similar restrictions apply, for
*** Info: instance, for .rhosts files if the rshd server is running, etc].


*** Info: The sshd service has been installed under the 'cyg_server'
*** Info: account.  To start the service now, call `net start sshd' or
*** Info: `cygrunsrv -S sshd'.  Otherwise, it will start automatically
*** Info: after the next reboot.

*** Info: Host configuration finished. Have fun!
-----------------------------------------------------------

Inoltre, "cyg_server" è un account visibile, che può essere utilizzato per l'accesso a Windows, ma "sshd" sembra nascosto. Quindi sono rimasto con la conclusione che dovrò aggiungere un altro terzo account per essere in grado di utilizzare correttamente SSH, che sembra piuttosto folle!

EDIT-1 : Non solo, l' account sshd ha anche una data di scadenza della password impostata a 40 giorni dall'installazione e ha una password (secondo WMIC ). (Non mi è mai stato chiesto di inserire una password per questo account, durante l'installazione di ssh.)

Fare wmic useraccount get AccountType,...,Status::

AccountType  Disabled  Lockout  Name           PasswordChangeable  PasswordExpires  PasswordRequired  Status    
512          FALSE     FALSE    cyg_server     TRUE                FALSE            TRUE              OK        
512          TRUE      FALSE    sshd           TRUE                TRUE             TRUE              Degraded  

e net user sshd:

User name                    sshd
Full Name                    sshd privsep
Comment                      
User's comment               
Country/region code          000 (System Default)
Account active               No
Account expires              Never
Password last set            2014-03-01 23:20:19
Password expires             2014-04-12 23:20:19
Password changeable          2014-03-01 23:20:19
Password required            Yes
User may change password     Yes
Workstations allowed         All
Logon script                 
User profile                 
Home directory               C:\cygwin64\var\empty
Last logon                   Never
Logon hours allowed          All
Local Group Memberships      *Users                
Global Group memberships     *None                 
The command completed successfully.

Quindi questo apre altre due domande su questo:

1. Qual è la password impostata e perché l'utente non è stato informato di questo?
2. Perché questa password ha una data di scadenza?

EDIT-2 : Non potendo accedere all'elenco degli sviluppatori di Cygwin, ho dovuto fare ulteriori indagini da solo. Finora non ho una risposta alla domanda 1, ma ci sono molti altri problemi con lo script ssh-host-config usato per l'installazione. La linea di fondo è che puoi sempre rimuovere sia gli account sshd che cyg_server e configurare un account amministratore appropriato usando le loro impostazioni come riferimento.

Domanda 2 : Windows 8.1 ha una scadenza password predefinita impostata su 42 giorni. Questo deve essere modificato o disabilitato, usando i normali strumenti di Windows (UI, WMIC, net user, ecc.)

Aggiornamento 2019: questa risposta e questa domanda sono obsolete. Vedi la risposta di Bill_Stewart.

A partire dal man 5 sshd_config

 UsePrivilegeSeparation
     Specifies whether sshd separates privileges by creating an
     unprivileged child process to deal with incoming network traffic.
     After successful authentication, another process will be created
     that has the privilege of the authenticated user.  The goal of
     privilege separation is to prevent privilege escalation by con-
     taining any corruption within the unprivileged processes.  The
     default is "yes".

Quindi sshd richiede due tipi di account:

1. Uno con la capacità di setuid.
2. Un account senza privilegi.

Lo script di installazione spiega che il solito account SYSTEM non ha setuidprivilegi, quindi la necessità di un account privilegiato aggiuntivo.

Per quanto riguarda il motivo per cui ssh-host-configcrea due account utente, Dan risponde principalmente. Maggiori informazioni sul perché è necessario setuidtrovare un account separato qui, è un processo complicato .

Per quanto riguarda la tua prima sottointerrogazione, credo che siano anche i valori predefiniti, come la scadenza della password /usr/share/csih/cygwin-service-installation-helper, utilizzata da ssh-host-config, l'utente viene creato (usando il comando net di Windows) in questo modo, dov'è ${unpriv_user}il nome, come sshd, hai selezionato, ed ${dos_var_empty}è il percorso di stile Windows / DOS per /var/empty:

net user "${unpriv_user}" /add /fullname:"${unpriv_user} privsep" \
"/homedir:${dos_var_empty}" /active:no

La documentazione di Microsoft afferma che il valore predefinito per /passwordreq, se è richiesta una password, è sì e sembra che Windows assegni una password predefinita (probabilmente perché non è stata specificata una password, forse in particolare perché /active:no).

E per la tua seconda domanda secondaria, come hai detto nella seconda modifica, l'impostazione predefinita, almeno per Windows 8.1 Pro, sembra essere una scadenza della password dopo 42 giorni, sebbene non sia certamente abilitata sul mio account O sul nuovo cyg_serveraccount. Ciò è probabilmente dovuto alla stessa combinazione: cyg_serverspecifica una password ed è attiva, ma sshd non specifica una password e non è attiva (forse questo è per forzare l'assegnazione di una password se / quando l'account è attivato). Se vuoi conoscere i dettagli esatti, probabilmente proverei a creare account più simili con la scadenza disattivata / specificando la password e vedendo cosa succede.

Risposta originale

L' sshdaccount disabilitato separato non è in realtà utilizzato in Cygwin (con una sola eccezione; vedere di seguito). Ho chiesto questo sulla mailing list di Cygwin:

L'account utente disabilitato per sshd è ancora richiesto?

Corinna Vinschen (manutentore di Cygwin) ha risposto con il seguente:

No, in realtà non lo è. In questi giorni il server sshd verifica se l'ambiente privsep chrrot [sic] dovrebbe essere usato e che il processo sia avviato sotto "root: root". Questo non corrisponde mai a Cygwin, quindi potremmo eliminare il requisito utente sshd.

(Vedi https://cygwin.com/ml/cygwin/2019-01/msg00120.html )

Aggiornamento riguardante solo sftp

Quanto sopra è corretto in quanto l' sshdaccount non è strettamente richiesto. L'unica volta che sarà ancora necessario è se si desidera utilizzare l' ChrootDirectoryimpostazione sshd_configper limitare un account solo a SFTP.

FWIW, ho creato un pacchetto che fornisce un programma di installazione facile da usare che configura la versione Cygwin di OpenSSH (e un paio di altri strumenti, incluso rsync). È su GitHub se qualcuno è interessato:

https://github.com/Bill-Stewart/CygSSH

La documentazione nel pacchetto descrive le circostanze in cui sshdviene utilizzato l' account.