SSH do Windows: as permissões para 'chave privada' estão muito abertas

Eu tenho o OpenSSH 7.6 instalado no Windows 7 para fins de teste. O cliente e servidor SSH funcionam bem até que eu tentei acessar uma das minhas caixas do AWS EC2 a partir desta janela.

Parece que preciso alterar a permissão no arquivo de chave privada. Isso pode ser feito facilmente no unix / linux com o chmodcomando

E as janelas?

private-key.ppm é copiado diretamente da AWS e acho que também a permissão.

C:\>ssh -V
OpenSSH_7.6p1, LibreSSL 2.5.3

C:\>ver

Microsoft Windows [Version 6.1.7601]

C:\>


C:\>ssh [email protected] -i private-key.ppk
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@         WARNING: UNPROTECTED PRIVATE KEY FILE!          @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
Permissions for 'private-key.ppk' are too open.
It is required that your private key files are NOT accessible by others.
This private key will be ignored.
Load key "private-key.ppk": bad permissions
[email protected]: Permission denied (publickey).

C:\>
C:\>
C:\>ssh [email protected] -i private-key.ppm
Warning: Identity file private-key.ppm not accessible: No such file or directory.
[email protected]: Permission denied (publickey).

C:\>

Você localiza o arquivo no Windows Explorer, clique com o botão direito do mouse e selecione "Propriedades". Navegue até a guia "Segurança" e clique em "Avançado".

Mude o proprietário para você, desative a herança e exclua todas as permissões. Em seguida, conceda a si mesmo "Controle total" e salve as permissões. Agora, o SSH não vai mais reclamar da permissão de arquivo aberta.

Ele deve ficar assim:

As chaves devem estar acessíveis apenas ao usuário a que se destinam e nenhuma outra conta, serviço ou grupo.

• GUI:
  • [Arquivo] Propriedades - Segurança - Avançado
    1. Defina Proprietário como o usuário da chave
    2. Remova todos os usuários, grupos e serviços, exceto o usuário da chave , em Entradas de permissão
    3. Defina o usuário da chave como Controle total

• CLI:

  :: Set Variable ::
  set key="C:\Path\to\key"
  
  :: Remove Inheritance ::
  cmd /c icacls %key% /c /t /inheritance:d
  
  :: Set Ownership to Owner ::
  cmd /c icacls %key% /c /t /grant %username%:F
  
  :: Remove All Users, except for Owner ::
  cmd /c icacls %key%  /c /t /remove Administrator "Authenticated Users" BUILTIN\Administrators BUILTIN Everyone System Users
  
  :: Verify ::
  cmd /c icacls %key%

Além da resposta fornecida pelo ibug. Desde que eu estava usando o sistema ubuntu dentro do windows para executar o comando ssh. Ainda não estava funcionando. Então eu fiz

sudo ssh ...

e então funcionou

Eu tive o mesmo problema e parece estar relacionado à versão do SSH que você está executando.

Se eu digitar

where ssh

Eu recebo...

C:\Windows\System32\OpenSSH\ssh.exe
C:\Program Files\Git\usr\bin\ssh.exe

Quando corro ssh -Vnos dois locais, recebo

OpenSSH_7.5p1, without OpenSSL
OpenSSH_7.3p1, OpenSSL 1.0.2k  26 Jan 2017

...respectivamente

Portanto, quando corro sshdo diretório git / bin, ele funciona bem e não reclama das permissões, mas executando a mesma linha de comando, usando a instalação anterior do SSH, ele volta com isso.

Load key "t:\\mykeys\\rich-private.ppk": invalid format
[email protected]: Permission denied (publickey).

ps. as permissões no arquivo são apenas acesso total para mim e nada mais.

Você precisa do jsut 2 coisas:

1) Desativar herança

2) Converter permissões herdadas em permissões explícitas

3) grupo Remover usuários

4) Você terminará sem que os usuários possam acessar arquivos particulares, isso deve ser suficiente para adicionar id_rsa.

Eu tive um problema semelhante, mas estava no trabalho e não tenho a capacidade de alterar as permissões de arquivo no meu computador de trabalho. O que você precisa fazer é instalar o WSL e copiar a sua chave para o diretório ssh oculto no WSL:

cp <path to your key> ~/.ssh/<name of your key>

Agora você deve poder modificar as permissões normalmente.

sudo chmod 600 ~/.ssh/<your key's name>

Então ssh usando WSL:

ssh -i ~/.ssh/<name of your key> <username>@<ip address>

use o comando abaixo na sua chave que funciona no Windows

icacls .\private.key /inheritance:r
icacls .\private.key /grant:r "%username%":"(R)"

Você pode usar icacls no Windows em vez do chmod para ajustar a permissão do arquivo. Para dar ao usuário atual permissão de leitura e remover todo o resto,

icacls <file name> /inheritance:r
icacls <file name> /grant:r "%username%":"(R)"

Esta é apenas uma versão com script da resposta da CLI do @ JW0914, portanto, vote-o primeiro e acima de tudo. Além disso, é o meu primeiro script do PowerShell, portanto, sugestões são bem-vindas.

# DO the following in powerhsell if not already done:
# Set-ExecutionPolicy RemoteSigned


# NOTE: edit the path in this command if needed
$sshFiles=Get-ChildItem -Path C:\DevContainerHome\.ssh -Force

$sshFiles | % {
  $key = $_
  & icacls $key /c /t /inheritance:d
  & icacls $key /c /t /grant %username%:F
  & icacls $key  /c /t /remove Administrator "Authenticated Users" BUILTIN\Administrators BUILTIN Everyone System Users
}

# Verify:
$sshFiles | % {
  icacls $_
}

Use Mingw-w64.

Informações: http://mingw-w64.org/doku.php

Faça o download com o Git for Windows ou diretamente.

Disponível aqui: https://github.com/mirror/mingw-w64

git clone https://github.com/mirror/mingw-w64

Ele também possui outros comandos úteis do Linux, como tare gzip.

Eu sou um usuário do Windows, usando o bash do Windows e segui todas as etapas para definir permissões usando a GUI do Windows, e ainda não funciona e reclama:

Permissions 0555 for 'my_ssh.pem' are too open.
It is required that your private key files are NOT accessible by others.

O que eu adicionei sudona frente do comando ssh e simplesmente funciona. Espero que isso seja útil para os outros.

Responder por iBug funciona bem! Você pode seguir isso e se livrar desse problema.

Mas há algumas coisas que precisam ser esclarecidas quando eu enfrentei problemas durante a configuração de permissões e demorei alguns minutos para descobrir o problema!

Após a resposta do iBug, você removerá todas as permissões, mas como definir a permissão Controle Total para si mesmo? foi aí que fiquei preso no começo porque não sabia como fazer isso.

Após desativar a herança, você poderá excluir todos os usuários ou grupos permitidos.

Feito isso,

Clique em Addseguida, clique em Set a Principalseguida, introduza Systeme Administratorse your email addreddno campo, no fundo, em seguida, clique em check names.

Carregará o nome se o usuário existir. Em seguida, clique em OK> Tipo Allow> Permissões básicas Full Control>Okay

Isso configurará a permissão Controle total para SYSTEM, Administrators e Your User.

Depois disso, tente ssh usando essa chave. Deve ser resolvido agora.

Eu tive o mesmo problema e resolvi isso usando esse método. Se houver algum usuário ou grupo com esse nome, ele será carregado.

-Screenshots-

Entradas de permissão Selecione um Principal / Selecionar Usuário ou Grupos