Come ottenere la passphrase della chiave SSH una volta e solo quando necessario?

(Ho letto molte delle domande su questo sito che sembrano correlate e credo che questa sia una domanda veramente nuova.)

Ho molte chiavi su molti server e sono tutte protette da passphrase.

Mi piace inserire passphrase tanto quanto mi piace inserire le password: è una vera perdita di produttività.

• I comandi ssh-agent + ssh-add possono essere utilizzati su una shell di login per indicare che è necessario inserire la passphrase solo una volta al login

• il portachiavi può essere usato per mantenere in vita un agente ssh oltre il logout, quindi ad esempio puoi averlo così devi solo inserire la passphrase una volta all'avvio, oppure puoi tenerlo in vita per circa un'ora.

Il problema che ho è che entrambe queste soluzioni vengono in genere avviate in un login shell (ad esempio .zshrc) basandosi sul fatto che inserisco la mia passphrase quando eseguo l'accesso, anche se non avrò bisogno di sbloccarlo. (Non sono contento che il portachiavi mantenga un agente in vita indefinitamente.)

Quello che mi piacerebbe ricevere una passphrase (per un agente) solo quando necessario .

Quindi posso accedere al server A, fare alcune cose, quindi ssh al server B e a quel punto chiedere la passphrase. Fare alcune cose sul server B, disconnettersi. Di nuovo su A, fai ancora un po 'di roba, di nuovo da ssh a B e non ho bisogno della mia passphrase (è trattenuta da un agente).

Noto che questo è possibile su desktop grafici come Gnome: si ottiene un pop-up che chiede la passphrase per sbloccare la chiave privata non appena si tenta di ssh. Quindi questo è quello che sto cercando, ma da una console.

Non aggiungere nulla a nessuno dei tuoi script di avvio della shell, questo è un hacker non necessario.

Invece, aggiungi

AddKeysToAgent yes

al tuo .ssh / config

In questo modo, ssh-add viene eseguito automaticamente la prima volta che si lancia in un'altra casella. Devi solo reinserire la chiave quando scade da ssh-agent o dopo il riavvio.

Zsh ha un preexechook che esegue una funzione prima dell'esecuzione di un comando immesso sulla riga di comando. Ecco un hook che cerca sshnella tua riga di comando e, se trovato, verifica l'esistenza di un agente ssh. Se questo non viene trovato, esegue il portachiavi.

Quindi, in questo modo, il portachiavi viene eseguito solo prima dei comandi ssh, e solo se necessario.

Metti questo nel tuo ~/.zshrc:

function check_ssh {
  [[ $3 =~ '\bssh\b' ]] || return
  [[ -n "$SSH_AGENT_PID" && -e "/proc/$SSH_AGENT_PID" ]] \
    && ssh-add -l >/dev/null && return
  eval `keychain --eval id_dsa --timeout 60`
}    
autoload -U add-zsh-hook
add-zsh-hook preexec check_ssh

Ciò che accade qui è ogni volta che viene digitato un comando, check_sshviene chiamato prima dell'esecuzione del comando.

La prima riga della funzione controlla il comando espanso per l' sshutilizzo di una regex Zsh. sshdeve avere confini di parole su \bentrambi i lati. Se questo non viene trovato, la funzione ritorna.

La riga successiva verifica l'esistenza di un processo dell'agente SSH nella variabile di ambiente e che tale processo esista ancora nella tabella dei processi, quindi che almeno una chiave è stata aggiunta all'agente. Se tutto ciò è OK, allora l'agente ssh è impostato e non abbiamo bisogno di fare nulla, quindi ritorna.

Finalmente iniziamo il portachiavi, con l'agente che deve rimanere in vita per un'ora.

Rimane ancora il problema con roba ssh incorporata, come gito rsynco scpcome quella che non attiverà la funzione (potresti aggiungerli a regex).

Per zsh, ho scritto una serie di utility e wrapper per fare più o meno quello che vuoi: https://www.vinc17.net/unix/index.en.html#zsh-ssh-utils

In realtà lo fa ancora di più, perché ssh-agentsarà condiviso da tutte le sessioni di accesso (desktop o tramite SSH, e anche lo schermo GNU è supportato se si avvia da esso shell di accesso, ad esempio con shell -zshnel ~/.screenrcfile), e si chiuderà solo dopo il l'ultima sessione termina.

Nota: utilizzo solo una passphrase per tutte le mie chiavi. Non sono sicuro del comportamento per diverse passphrase; potrebbero essere necessari alcuni cambiamenti.