kein SSH Login möglich

[SirSydom]

FreeBSD 5.3
Minimal Installation
SSHD läuft

# ssh root@localhost
root@localhost's password:
Permission denied, please try aggain.
root@localhost's password:
Permission denied, please try aggain.
root@localhost's password:
Permission denied (publickey,password,keyboard-interactive).

sshd_config:

Port 22
PermitRootLogin no
PasswordAuthentification yes
UsePam no
AllowUsers root

Das password ist sicher richtig getippt. Das Problem tritt auch beim Versuch aus dem LAN mit Putty auf.

Das Studium von sshd_config(5) hat mich auch nicht weitergebracht, die Forumsuche und google waren leider auch erfolslos

Kann einer von euch helfen?

 

[[moR-pH-euS]]

erstell dir einen user der in der gruppe wheel ist (damit du per su root werden kannst), dann kannst du dich anmelden (da PermitRootLogin auf no ist kann sich root folglich auch nicht anmelden).
oder du änderst PermitRootLogin auf yes, was allerdings nicht zu empfehlen ist.

 

[SirSydom]

Ich könnte mich ohrfeigen.
Ich dachte die ganze Zeit über Permit hieße "verbiete" LOL
Irgendwie war ich verwirrt weil sonst immer Allow verwendet wird.
Aber klar.. MAN!

warum ist PermitRootLogin yes nicht zu empfehlen?
So leicht hackbar?

 

[[moR-pH-euS]]

Ich könnte mich ohrfeigen.
Ich dachte die ganze Zeit über Permit hieße "verbiete" LOL
Irgendwie war ich verwirrt weil sonst immer Allow verwendet wird.
Aber klar.. MAN!

warum ist PermitRootLogin yes nicht zu empfehlen?
So leicht hackbar?

wenn du ein richtiges passwort verwendest für root (also mit sonderzeichen, zahlen etc.) bzw. dich über keys anmeldest ist es schon sicher, aber ich fühle mich doch irgendwie sicherer wenn ich mich "nur" als normaler user anmelde und per su bzw. sudo die root-aufgaben erledige...

 

[SirSydom]

Hm, im Moment ist er ja eh nur aus dem LAN erreichbar - wird sich aber ändern.
Das Kennwort besteht aus Zahlen und Klein-Großbuchstaben. Naja.

Aber wenn man das root Passwort knacken kann, kann man auch erst das User Passwort, und dann das root passwort knacken und drinn is man, also verlängert es höchstens.

Mein Ziel ist es halt, mich von jedem Rechner weilweit ( ) per zB Putty einloggen zu können.

Vielleicht sollte ich einfach ein 16 Zeichen Passwort auch mit %&§$ verwenden - muss ich mir nur merken können.

 

[Elessar]

Für "kein root login" gibt es verschiedene Gründe, unter anderem:

- der Nutzername muss nicht erst geraten werden
- wenn root@ sich nicht anmelden darf, kann man einfach alle root Versuche aus dem auth.log grep'en ohne einen "echten" login zu verlieren
- wenn mehrere Leute (2+) root Zugang haben, wer von den beiden war dann eingelogt?

 

[docvalde]

Desweiteren verdoppelt man damit den Aufwand für eine brute-force-root-ssh-Attacke. Deshalb halte ich auch sudo auf einer öffentlich erreichbaren Kiste für nicht empfehlenswert - man macht den Nutzen der doppelten Sicherheit wieder zunichte, und so groß ist der Aufwand nun auch nicht, sich per su zu root zu machen - wenn man sich bzgl. des normalen Users mit Zertifikaten einloggt, muß man auch wieder nur ein Passwort eintippen und hat eine zweistufige Sicherheit.

Gruß,

-doc