Dalam mencoba menyelesaikan beberapa masalah dengan menggunakan Cygwin + SSH pada Windows 8.1, saya ingin tahu mengapa ssh-host-configskrip membuat dua akun baru yang mengonfigurasi OpenSSH dari awal? (Apakah ini perlu?)

Kedua akun tersebut adalah: cyg_serverdan sshd, ketika menggunakan seleksi default + eskalasi hak istimewa dan instalasi layanan. Saya mengerti yang pertama hanya digunakan untuk memulai layanan Cygwin SSHd, tapi saya tidak mengerti fungsi yang kedua. Saya mencari arsip Cygwin dan satu-satunya penjelasan pengembang adalah "karena itu dirancang untuk melakukannya." Juga disarankan untuk tidak menggunakan ini untuk login yang sebenarnya.

Inilah instalasi saya:

-----------------------------------------------------------
ssh-keygen: generating new host keys: RSA1 RSA DSA ECDSA ED25519
*** Info: Creating default /etc/ssh_config file
*** Info: Creating default /etc/sshd_config file
*** Info: Privilege separation is set to yes by default since OpenSSH 3.3.
*** Info: However, this requires a non-privileged account called 'sshd'.
*** Info: For more info on privilege separation read /usr/share/doc/openssh/README.privsep.
*** Query: Should privilege separation be used? (yes/no) yes
*** Info: Note that creating a new user requires that the current account have
*** Info: Administrator privileges.  Should this script attempt to create a
*** Query: new local account 'sshd'? (yes/no) yes
*** Info: Updating /etc/sshd_config file

*** Query: Do you want to install sshd as a service?
*** Query: (Say "no" if it is already installed as a service) (yes/no) yes
*** Query: Enter the value of CYGWIN for the daemon: []
*** Info: On Windows Server 2003, Windows Vista, and above, the
*** Info: SYSTEM account cannot setuid to other users -- a capability
*** Info: sshd requires.  You need to have or to create a privileged
*** Info: account.  This script will help you do so.

*** Info: You appear to be running Windows XP 64bit, Windows 2003 Server,
*** Info: or later.  On these systems, it's not possible to use the LocalSystem
*** Info: account for services that can change the user id without an
*** Info: explicit password (such as passwordless logins [e.g. public key
*** Info: authentication] via sshd).

*** Info: If you want to enable that functionality, it's required to create
*** Info: a new account with special privileges (unless a similar account
*** Info: already exists). This account is then used to run these special
*** Info: servers.

*** Info: Note that creating a new user requires that the current account
*** Info: have Administrator privileges itself.

*** Info: No privileged account could be found.

*** Info: This script plans to use 'cyg_server'.
*** Info: 'cyg_server' will only be used by registered services.
*** Query: Do you want to use a different name? (yes/no) no
*** Query: Create new privileged user account 'cyg_server'? (yes/no) yes
*** Info: Please enter a password for new user cyg_server.  Please be sure
*** Info: that this password matches the password rules given on your system.
*** Info: Entering no password will exit the configuration.
*** Query: Please enter the password:
*** Query: Reenter:

*** Info: User 'cyg_server' has been created with password 'XXXXXXXXXX'.
*** Info: If you change the password, please remember also to change the
*** Info: password for the installed services which use (or will soon use)
*** Info: the 'cyg_server' account.

*** Info: Also keep in mind that the user 'cyg_server' needs read permissions
*** Info: on all users' relevant files for the services running as 'cyg_server'.
*** Info: In particular, for the sshd server all users' .ssh/authorized_keys
*** Info: files must have appropriate permissions to allow public key
*** Info: authentication. (Re-)running ssh-user-config for each user will set
*** Info: these permissions correctly. [Similar restrictions apply, for
*** Info: instance, for .rhosts files if the rshd server is running, etc].


*** Info: The sshd service has been installed under the 'cyg_server'
*** Info: account.  To start the service now, call `net start sshd' or
*** Info: `cygrunsrv -S sshd'.  Otherwise, it will start automatically
*** Info: after the next reboot.

*** Info: Host configuration finished. Have fun!
-----------------------------------------------------------

Selain itu, 'cyg_server' adalah akun yang terlihat, yang dapat digunakan untuk masuk Windows, tetapi 'sshd' tampaknya tersembunyi. Jadi saya pergi dengan kesimpulan saya harus menambahkan lagi akun ke-3 untuk dapat menggunakan SSH dengan benar, yang tampaknya agak gila!

EDIT-1 : Tidak hanya itu, akun sshd juga memiliki tanggal kedaluwarsa kata sandi yang ditetapkan 40 hari sejak instalasi dan memiliki kata sandi (sesuai dengan WMIC ). (Saya tidak pernah diminta memasukkan kata sandi untuk akun ini, selama pengaturan ssh.)

Melakukan wmic useraccount get AccountType,...,Status::

AccountType  Disabled  Lockout  Name           PasswordChangeable  PasswordExpires  PasswordRequired  Status    
512          FALSE     FALSE    cyg_server     TRUE                FALSE            TRUE              OK        
512          TRUE      FALSE    sshd           TRUE                TRUE             TRUE              Degraded  

dan net user sshd:

User name                    sshd
Full Name                    sshd privsep
Comment                      
User's comment               
Country/region code          000 (System Default)
Account active               No
Account expires              Never
Password last set            2014-03-01 23:20:19
Password expires             2014-04-12 23:20:19
Password changeable          2014-03-01 23:20:19
Password required            Yes
User may change password     Yes
Workstations allowed         All
Logon script                 
User profile                 
Home directory               C:\cygwin64\var\empty
Last logon                   Never
Logon hours allowed          All
Local Group Memberships      *Users                
Global Group memberships     *None                 
The command completed successfully.

Jadi ini membuka dua pertanyaan lagi tentang ini:

1. Apa kata sandi yang diatur dan mengapa pengguna tidak diberitahu tentang ini?
2. Mengapa kata sandi ini memiliki tanggal kedaluwarsa?

EDIT-2 : Tidak dapat masuk ke daftar pengembang Cygwin, saya harus melakukan penyelidikan lebih lanjut sendiri. Sejauh ini saya tidak memiliki jawaban untuk pertanyaan 1, tetapi ada beberapa masalah lain dengan skrip ssh-host-config yang digunakan untuk pengaturan. Intinya adalah, Anda selalu dapat menghapus akun sshd & cyg_server, dan mengatur satu akun admin yang tepat menggunakan pengaturannya sebagai referensi.

Pertanyaan 2 : Windows 8.1 memiliki kedaluwarsa kata sandi default diatur ke 42 hari. Ini harus diubah atau dinonaktifkan, menggunakan alat Windows normal (UI, WMIC, pengguna net, dll)

Pembaruan 2019: Jawaban dan pertanyaan ini sudah usang. Lihat jawaban Bill_Stewart.

Dari man 5 sshd_config

 UsePrivilegeSeparation
     Specifies whether sshd separates privileges by creating an
     unprivileged child process to deal with incoming network traffic.
     After successful authentication, another process will be created
     that has the privilege of the authenticated user.  The goal of
     privilege separation is to prevent privilege escalation by con-
     taining any corruption within the unprivileged processes.  The
     default is "yes".

Jadi sshd memerlukan dua jenis akun:

1. Satu dengan kemampuan setuid.
2. Satu akun yang tidak terjangkau.

Skrip pengaturan menjelaskan bahwa akun SISTEM yang biasa tidak memiliki setuidhak istimewa, sehingga kebutuhan untuk akun istimewa tambahan.

Adapun mengapa ssh-host-configmembuat dua akun pengguna sebagian besar dijawab oleh Dan. Lebih lanjut tentang mengapa akun terpisah diperlukan untuk setuiddapat ditemukan di sini, ini adalah proses yang rumit .

Adapun sub-pertanyaan pertama Anda, saya percaya itu adalah default juga, seperti kata sandi kadaluwarsa - in /usr/share/csih/cygwin-service-installation-helper, digunakan oleh ssh-host-config, pengguna dibuat (menggunakan perintah Windows net) seperti ini, di mana ${unpriv_user}namanya, seperti sshd, Anda memilih, dan ${dos_var_empty}merupakan jalur gaya Windows / DOS ke /var/empty:

net user "${unpriv_user}" /add /fullname:"${unpriv_user} privsep" \
"/homedir:${dos_var_empty}" /active:no

Dokumentasi oleh Microsoft mengatakan bahwa nilai default untuk /passwordreq, jika kata sandi diperlukan, adalah ya, dan tampaknya Windows kemudian menetapkan beberapa kata sandi standar (mungkin karena kata sandi tidak ditentukan, mungkin karena kata sandinya /active:no).

Dan untuk sub-pertanyaan kedua Anda, seperti yang Anda katakan di edit kedua Anda, default, setidaknya untuk Windows 8.1 Pro, tampaknya menjadi kata sandi kedaluwarsa setelah 42 hari, meskipun tentu saja tidak diaktifkan di akun saya ATAU cyg_serverakun baru . Ini mungkin karena kombinasi yang sama - cyg_servermenentukan kata sandi dan aktif, tetapi sshd tidak menentukan kata sandi dan tidak aktif (mungkin ini untuk memaksa kata sandi ditugaskan jika / ketika akun diaktifkan). Jika Anda ingin mengetahui detail pastinya, saya mungkin akan mencoba membuat lebih banyak akun serupa dengan masa berlaku / menentukan kata sandi dan melihat apa yang terjadi.

Terpisah dinonaktifkan sshdAkun yang sebenarnya tidak digunakan di Cygwin (setidaknya, tidak lagi). Saya bertanya tentang ini di milis Cygwin:

Apakah akun pengguna sshd yang dinonaktifkan masih diperlukan?

Corinna Vinschen (pemelihara Cygwin) merespons dengan yang berikut:

Tidak, sebenarnya tidak. Saat ini server sshd memeriksa apakah lingkungan privsep chrrot [sic] harus digunakan dan bahwa prosesnya dimulai di bawah "root: root". Ini tidak pernah cocok dengan Cygwin sehingga kami dapat membatalkan kebutuhan pengguna sshd.

(Lihat https://cygwin.com/ml/cygwin/2019-01/msg00120.html )

Karena itu jawaban yang ditandai untuk pertanyaan ini tidak benar untuk Cygwin.

(Mungkin seseorang akan memperbarui ssh-host-configskrip di beberapa titik untuk menghentikan pembuatansshd akun.)

Pembaruan 4/18/2019

Hal di atas benar karena sshdakun tidak sepenuhnya diperlukan. Satu-satunya waktu Anda masih membutuhkannya adalah jika Anda ingin menggunakan ChrootDirectorypengaturan sshd_configuntuk membatasi akun hanya untuk SFTP.

FWIW, saya membuat paket yang menyediakan installer yang mudah digunakan yang mengonfigurasi versi Cygwin dari OpenSSH (dan beberapa alat lainnya, termasuk rsync). Ada di GitHub jika ada yang tertarik:

https://github.com/Bill-Stewart/Cygwin-OpenSSH

Dokumentasi dalam paket menggambarkan keadaan di mana sshdakun digunakan.