En essayant de résoudre certains problèmes liés à l'utilisation de Cygwin + SSH sur Windows 8.1, j'aimerais savoir pourquoi le ssh-host-configscript crée deux nouveaux comptes configurant OpenSSH à partir de zéro? (Est-ce nécessaire?)

Les deux comptes sont: cyg_serveret sshd, lorsque vous utilisez la sélection par défaut + l'escalade de privilèges et l'installation du service. Je comprends que le premier n'est utilisé que pour démarrer le service Cygwin SSHd, mais je ne comprends pas la fonction du second. J'ai cherché dans les archives Cygwin et la seule explication du développeur était "parce qu'il a été conçu pour le faire". Il est également déconseillé de les utiliser pour une connexion réelle.

Voici mon installation:

-----------------------------------------------------------
ssh-keygen: generating new host keys: RSA1 RSA DSA ECDSA ED25519
*** Info: Creating default /etc/ssh_config file
*** Info: Creating default /etc/sshd_config file
*** Info: Privilege separation is set to yes by default since OpenSSH 3.3.
*** Info: However, this requires a non-privileged account called 'sshd'.
*** Info: For more info on privilege separation read /usr/share/doc/openssh/README.privsep.
*** Query: Should privilege separation be used? (yes/no) yes
*** Info: Note that creating a new user requires that the current account have
*** Info: Administrator privileges.  Should this script attempt to create a
*** Query: new local account 'sshd'? (yes/no) yes
*** Info: Updating /etc/sshd_config file

*** Query: Do you want to install sshd as a service?
*** Query: (Say "no" if it is already installed as a service) (yes/no) yes
*** Query: Enter the value of CYGWIN for the daemon: []
*** Info: On Windows Server 2003, Windows Vista, and above, the
*** Info: SYSTEM account cannot setuid to other users -- a capability
*** Info: sshd requires.  You need to have or to create a privileged
*** Info: account.  This script will help you do so.

*** Info: You appear to be running Windows XP 64bit, Windows 2003 Server,
*** Info: or later.  On these systems, it's not possible to use the LocalSystem
*** Info: account for services that can change the user id without an
*** Info: explicit password (such as passwordless logins [e.g. public key
*** Info: authentication] via sshd).

*** Info: If you want to enable that functionality, it's required to create
*** Info: a new account with special privileges (unless a similar account
*** Info: already exists). This account is then used to run these special
*** Info: servers.

*** Info: Note that creating a new user requires that the current account
*** Info: have Administrator privileges itself.

*** Info: No privileged account could be found.

*** Info: This script plans to use 'cyg_server'.
*** Info: 'cyg_server' will only be used by registered services.
*** Query: Do you want to use a different name? (yes/no) no
*** Query: Create new privileged user account 'cyg_server'? (yes/no) yes
*** Info: Please enter a password for new user cyg_server.  Please be sure
*** Info: that this password matches the password rules given on your system.
*** Info: Entering no password will exit the configuration.
*** Query: Please enter the password:
*** Query: Reenter:

*** Info: User 'cyg_server' has been created with password 'XXXXXXXXXX'.
*** Info: If you change the password, please remember also to change the
*** Info: password for the installed services which use (or will soon use)
*** Info: the 'cyg_server' account.

*** Info: Also keep in mind that the user 'cyg_server' needs read permissions
*** Info: on all users' relevant files for the services running as 'cyg_server'.
*** Info: In particular, for the sshd server all users' .ssh/authorized_keys
*** Info: files must have appropriate permissions to allow public key
*** Info: authentication. (Re-)running ssh-user-config for each user will set
*** Info: these permissions correctly. [Similar restrictions apply, for
*** Info: instance, for .rhosts files if the rshd server is running, etc].


*** Info: The sshd service has been installed under the 'cyg_server'
*** Info: account.  To start the service now, call `net start sshd' or
*** Info: `cygrunsrv -S sshd'.  Otherwise, it will start automatically
*** Info: after the next reboot.

*** Info: Host configuration finished. Have fun!
-----------------------------------------------------------

De plus, «cyg_server» est un compte visible, qui peut être utilisé pour la connexion Windows, mais «sshd» semble masqué. Je me retrouve donc avec la conclusion que je devrai ajouter encore un troisième compte pour pouvoir utiliser SSH correctement, ce qui semble plutôt fou!

EDIT-1 : Non seulement cela, le compte sshd a également une date d'expiration de mot de passe définie 40 jours après l'installation et a un mot de passe (selon WMIC ). (On ne m'a jamais demandé d'entrer un mot de passe pour ce compte, lors de la configuration de ssh.)

Faire wmic useraccount get AccountType,...,Status::

AccountType  Disabled  Lockout  Name           PasswordChangeable  PasswordExpires  PasswordRequired  Status    
512          FALSE     FALSE    cyg_server     TRUE                FALSE            TRUE              OK        
512          TRUE      FALSE    sshd           TRUE                TRUE             TRUE              Degraded  

et net user sshd:

User name                    sshd
Full Name                    sshd privsep
Comment                      
User's comment               
Country/region code          000 (System Default)
Account active               No
Account expires              Never
Password last set            2014-03-01 23:20:19
Password expires             2014-04-12 23:20:19
Password changeable          2014-03-01 23:20:19
Password required            Yes
User may change password     Yes
Workstations allowed         All
Logon script                 
User profile                 
Home directory               C:\cygwin64\var\empty
Last logon                   Never
Logon hours allowed          All
Local Group Memberships      *Users                
Global Group memberships     *None                 
The command completed successfully.

Cela ouvre donc deux autres questions à ce sujet:

1. Quel est le mot de passe défini et pourquoi l'utilisateur n'en a-t-il pas été informé?
2. Pourquoi ce mot de passe a-t-il une date d'expiration?

EDIT-2 : N'étant pas en mesure d'accéder à la liste des développeurs Cygwin, j'ai dû faire des recherches supplémentaires par moi-même. Jusqu'à présent, je n'ai pas de réponse à la question 1, mais il y a plusieurs autres problèmes avec le script ssh-host-config utilisé pour la configuration. En fin de compte, vous pouvez toujours supprimer les comptes sshd et cyg_server et configurer un compte administrateur approprié en utilisant leurs paramètres comme référence.

Question 2 : Windows 8.1 a une expiration de mot de passe par défaut définie sur 42 jours. Cela doit être changé ou désactivé, en utilisant les outils Windows normaux (UI, WMIC, net user, etc.)

Mise à jour 2019: cette réponse et cette question sont obsolètes. Voir la réponse de Bill_Stewart.

De man 5 sshd_config

 UsePrivilegeSeparation
     Specifies whether sshd separates privileges by creating an
     unprivileged child process to deal with incoming network traffic.
     After successful authentication, another process will be created
     that has the privilege of the authenticated user.  The goal of
     privilege separation is to prevent privilege escalation by con-
     taining any corruption within the unprivileged processes.  The
     default is "yes".

Donc sshd nécessite deux types de comptes:

1. Un avec la capacité de setuid.
2. Un compte non privilégié.

Le script de configuration explique que le compte SYSTEM habituel n'a pas de setuidprivilège, d'où la nécessité d'un compte privilégié supplémentaire.

Quant à savoir pourquoi ssh-host-configcrée deux comptes d'utilisateurs est principalement répondu par Dan. Plus d'informations sur la raison pour laquelle un compte séparé est nécessaire setuidpeuvent être trouvées ici, c'est un processus compliqué .

Quant à votre première sous-question, je pense que ce sont aussi des valeurs par défaut, comme l'expiration du mot de passe - dans /usr/share/csih/cygwin-service-installation-helper, utilisé par ssh-host-config, l'utilisateur est créé (à l'aide de la commande Windows net) comme ceci, où ${unpriv_user}est le nom, comme sshd, vous avez sélectionné et ${dos_var_empty}est le chemin d'accès de style Windows / DOS pour /var/empty:

net user "${unpriv_user}" /add /fullname:"${unpriv_user} privsep" \
"/homedir:${dos_var_empty}" /active:no

La documentation de Microsoft indique que la valeur par défaut de /passwordreq, si un mot de passe est requis, est oui, et il semble que Windows attribue ensuite un mot de passe par défaut (probablement parce qu'un mot de passe n'est pas spécifié, peut-être en particulier parce que /active:no).

Et pour votre deuxième sous-question, comme vous l'avez dit dans votre deuxième édition, la valeur par défaut, au moins pour Windows 8.1 Pro, semble être une expiration de mot de passe après 42 jours, bien qu'elle ne soit certainement pas activée sur mon compte OU sur le nouveau cyg_servercompte. C'est probablement à cause de la même combinaison - cyg_serverspécifie un mot de passe et est actif, mais sshd ne spécifie pas de mot de passe et n'est pas actif (peut-être pour forcer l'attribution d'un mot de passe si / quand le compte est activé). Si vous voulez connaître les détails exacts, j'essaierais probablement de créer des comptes similaires avec l'expiration désactivée / en spécifiant le mot de passe et en voyant ce qui se passe.

Réponse originale

Le sshdcompte désactivé séparé n'est en fait pas utilisé dans Cygwin (à une exception près: voir ci-dessous). J'ai posé des questions à ce sujet sur la liste de diffusion Cygwin:

Le compte utilisateur désactivé sshd est-il toujours requis?

Corinna Vinschen (mainteneur Cygwin) a répondu par ce qui suit:

Non, ce n'est pas le cas. De nos jours, le serveur sshd vérifie si l'environnement privsep chrrot [sic] doit être utilisé et que le processus est démarré sous "root: root". Cela ne correspond jamais sous Cygwin afin que nous puissions supprimer l'exigence utilisateur sshd.

(Voir https://cygwin.com/ml/cygwin/2019-01/msg00120.html )

Mise à jour concernant sftp uniquement

Ce qui précède est correct dans la mesure où le sshdcompte n'est pas strictement requis. Le seul moment où vous en aurez encore besoin est si vous souhaitez utiliser le ChrootDirectoryparamètre dans sshd_configpour restreindre un compte à SFTP uniquement.

FWIW, j'ai créé un package qui fournit un programme d'installation facile à utiliser qui configure la version Cygwin d'OpenSSH (et quelques autres outils, y compris rsync). C'est sur GitHub si quelqu'un est intéressé:

https://github.com/Bill-Stewart/CygSSH

La documentation du package décrit les circonstances dans lesquelles le sshdcompte est utilisé.