Dropbear -> Openssh：为什么现在要求输入密码？答案

【问题标题】：Dropbear -> Openssh: Why does it ask for a password now?Dropbear -> Openssh：为什么现在要求输入密码？
【发布时间】：2016-09-20 03:05:19
【问题描述】：

我正在使用基于 Yocto 的嵌入式 Linux 开发嵌入式板 (i.MX6)。到目前为止，我使用 Dropbear 作为 SSH 服务器。但是，Dropbear 不提供我需要的 SFTP 服务器。因此我从 Dropbear 切换到 OpenSSH（从标准 Poky 源构建它，并通过 opkg 安装它）。

但是，从那以后，我无法再通过 SSH 登录到开发板，因为服务器要求输入我不知道的密码。唯一的用户是root，并且没有配置密码（这仍然是真的，因为我可以通过RS232在本地登录没有问题）。为什么 OpenSSH 要求输入密码？我怎样才能删除它？

我认为/etc/ssh 中的一个私钥中可能设置了密码：

/etc/ssh/ssh_host_dsa_key
/etc/ssh/ssh_host_ecdsa_key
/etc/ssh/ssh_host_ed25519_key
/etc/ssh/ssh_host_rsa_key

所以我分别为他们每个人做了ssh-keygen -p -f /etc/ssh/ssh_host_rsa_key，但没有帮助。

这是 sshd_config 文件的基本部分：

# grep '^[^#]' /etc/ssh/sshd_config
Protocol 2
PermitRootLogin yes
AuthorizedKeysFile .ssh/authorized_keys
UsePrivilegeSeparation sandbox # Default for new installations.
Compression no
ClientAliveInterval 15
ClientAliveCountMax 4
Subsystem       sftp    /usr/lib/openssh/sftp-server

有什么想法吗？

【问题讨论】：

标签： ssh embedded openssh yocto dropbear

【解决方案1】：

您确定您的IMAGE_FEATURES 或EXTRA_IMAGE_FEATURES 中有debug-tweaks？

如果是这样，ROOTFS_POSTPROCESS_COMMAND 应该包括ssh_allow_empty_password();，而PermitEmptyPasswords yes 应该在/etc/ssh/sshd_config 和/etc/ssh/sshd_config_readonly 中设置。这应该允许您在 OpenSSH 中使用空密码。

【讨论】：

是的，我的 conf/local.conf 中有 EXTRA_IMAGE_FEATURES = "debug-tweaks"。但是安装可能出现了其他问题，因为未设置PermitEmptyPasswords yes。我现在在两个配置文件中手动设置它，现在它可以工作了。非常感谢！
好的，很好！您能否尝试通过运行bitbake -C rootfs <image-name> 来强制重新生成图像并验证它是否有效？如果还是不行，那就是奇怪的事情发生了。
嗯，问题是，OpenSSH 不是基础映像的一部分，因此它也不包含在 rootfs 中。我只需要它用于开发目的（因为我暂时需要 SFTP），所以我只是用 bitbake 将它构建为一个单独的 ipk 包并用 opkg 安装它。
啊，这就解释了。 IMAGE_FEATURES 中的 debug-tweaks 仅影响映像创建步骤，而不影响单个包。
我认为debug-tweaks 只会从控制台中删除密码。

【解决方案2】：

如果您的EXTRA_IMAGE_FEATURES 中有“debug-tweaks”，那么密码将为空：这对于开发图像来说可能没问题。

如果您想获得一些安全性，您可以添加一个将公钥安装到 /root/.ssh/authorized_keys 的配方，或者在图像配方中使用 extrausers 类，或者本地配置设置密码。

【讨论】：

是的，我确实设置了debug-tweaks。这只是开发阶段，因此还不需要（或不需要）安全性。不过，我不明白为什么ssh 要求我输入密码。那个密码是什么......
我建议预先设置一定程度的安全性。如果它是从一开始就做好的，那么在产品发货之前您就不会有一个必须塞住的洞。