主页 / computer / 问题 / 1418706
Accepted
user11273346
Asked: 2019-03-29 08:24:31 +0800 CST

为什么 chown 600 id_rsa 修复权限问题？

  • 772

我最近将我的密钥导入到一台新机器 (Mac) 并忘记将权限修改为 600。这样做时，我不小心写了chown而不是chmod. 奇怪的是，这解决了权限问题，如下所示：

% git pull origin develop
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@         WARNING: UNPROTECTED PRIVATE KEY FILE!          @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
Permissions 0644 for '/Users/m/.ssh/id_rsa' are too open.
It is required that your private key files are NOT accessible by others.
This private key will be ignored.
Load key "/Users/m/.ssh/id_rsa": bad permissions
git@<redacted>: Permission denied (publickey,gssapi-keyex,gssapi-with-mic).
fatal: Could not read from remote repository.

Please make sure you have the correct access rights
and the repository exists.
%
% sudo chown 600 ~/.ssh/id_rsa
Password:
%
% ls -l ~/.ssh/id_rsa
-rw-r--r--@ 1 600  staff  1679 Mar 25 15:14 /Users/m/.ssh/id_rsa
%
% git pull origin develop
From <redacted>
 * branch            develop    -> FETCH_HEAD
Already up to date.
%
% ssh <redacted>
The authenticity of host '<redacted> (<redacted>)' can't be established.
ECDSA key fingerprint is <redacted>.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '<redacted>' (ECDSA) to the list of known hosts.
Warning: your password will expire in 5 days
Last login: Fri Jul 27 19:51:32 2018 from <redacted>
-bash-4.2$

为什么会这样？

ssh permissions

2 个回答

  1. Best Answer

    根据OpenSSH源代码，ssh如果文件的所有者是运行的用户，则只检查私钥文件的权限ssh。如果该文件属于另一个用户，则 ssh 将允许任何可以读取该文件的人使用它。

    if ((st.st_uid == getuid()) && (st.st_mode & 077) != 0) {
     ^^^^^^^^^^^^^^^^^^^--owner ^^^^^^^^^^^^^^^^--permissions
    error("@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@");
    error("@         WARNING: UNPROTECTED PRIVATE KEY FILE!          @");
    error("@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@");
    ...

    这似乎没有在手册页中详细说明。

    源代码包含此注释，表明该行为是故意的：

    /*
 * if a key owned by the user is accessed, then we check the
 * permissions of the file. if the key owned by a different user,
 * then we don't care.
 */

    实际上，检查属于另一个用户的密钥文件的权限不会提高安全性。如果您可以读取该文件，则可以通过制作该文件的副本并限制对该副本的权限来绕过权限检查。

    • 2

  2. chmod 命令代表“更改模式”，允许更改文件和文件夹的权限，在 UNIX 中也称为“模式”。chown 命令代表“更改所有者”，并允许更改给定文件或文件夹的所有者，可以是用户和组。

    • -2

相关问题