librtpkcs11ecp.so и openssh-7.5_p1-r1 (Страница 2 из 3)

мы, *nix пользователи – не в приоритете. готов поспорить, за эту проблему за истекший год никто просто не брался.

Вы совершенно случайно исключили третий вариант: кэширование PIN-кода приложением в сеансе.
Как компромисс между безопасностью и удобством.
Хотя бы потому что необходимость слишком частого ввода PIN-кода создаёт практически непреодолимые соблазны использования «простых» комбинаций. И необходимость учёта вероятности ошибок ввода. Особенно после замены заученного долгим регулярным использованием PIN-кода.

P.S. Именно такая логика (ввод passphrase ключа один раз при его загрузке) реализована в практически стандартном приложении PAGEANT.EXE.
Вы утверждаете, что она неправильна?

Добрый день, Бравлинъ.

Ваши аргументы понятны. Поддержка ssh-add в планах есть, но четких сроков по этой задачи сейчас нет. Как только будет реализовано - напишем в эту тему. Если для Вас это критично, то мы можем форсировать задачу, если Вы готовы обсуждать условия.

P.S. замечу, что нет никакой проблемы с "простыми комбинациями". PIN-код это не пароль и политики на него не нужны. Токен аппаратно блокирует попытки перебора. И стандартная установка в 10 попыток делает невероятной удачей успешный перебор даже PIN кода из 5-6 цифр.

На Debian 11 c openssh 8.4p1 снова не работает. Что делать?

Debian 10 и openssh 7.x  - работает "ssh -o ..." с последней версией библиотеки, однако "ssh-add" возвращает только "Could not add card "/usr/lib/librtpkcs11ecp.so": agent refused operation" на запрос PIN.

В связи с этим решено было обновиться до Debian 11 c openssh 8.4p1 - под впечатлением от комментария #22 в данной теме.
В итоге - "Could not add card "/usr/lib/librtpkcs11ecp.so": agent refused operation", тогда как обычное ssh подключение работает по-прежнему.

Токен  ЭЦП 3.0 NFC 3100, ключ RSA 4096 bit

Запускаю агент:

ssh-agent -d                  
SSH_AUTH_SOCK=/tmp/ssh-D1lkqt0YYNTl/agent.16159; export SSH_AUTH_SOCK;
echo Agent pid 16159;
debug2: fd 3 setting O_NONBLOCK

В параллельной консоли:

┌─[root@arm] - [/home/ilmarranen] - [Пн окт 24, 13:01]
└─[$]> ps -ax | grep ssh-agent
  16047 pts/1    S+     0:00 ssh-agent -d
┌─[root@arm] - [/home/ilmarranen] - [Пн окт 24, 13:01]
└─[$]> ssh-add -v -s /usr/lib/librtpkcs11ecp.so 
Could not open a connection to your authentication agent.
┌─[root@arm] - [/home/ilmarranen] - [Пн окт 24, 13:01]
└─[$]> SSH_AUTH_SOCK=/tmp/ssh-D1lkqt0YYNTl/agent.16159; export SSH_AUTH_SOCK;
┌─[root@arm] - [/home/ilmarranen] - [Пн окт 24, 13:03]
└─[$]> ssh-add -v -s /usr/lib/librtpkcs11ecp.so                              
Enter passphrase for PKCS#11: 
Could not add card "/usr/lib/librtpkcs11ecp.so": agent refused operation

После этого полный отладочный лог ssh-agent'а:

ssh-agent -d                  
SSH_AUTH_SOCK=/tmp/ssh-D1lkqt0YYNTl/agent.16159; export SSH_AUTH_SOCK;
echo Agent pid 16159;
debug2: fd 3 setting O_NONBLOCK
debug2: fd 4 setting O_NONBLOCK
debug1: process_message: socket 1 (fd=4) type 20
refusing PKCS#11 add of "/opt/aktivco/rutokenecp/amd64/librtpkcs11ecp.so": provider not allowed

Как это проверить?

Думаю, что не совсем. Там обсуждают проблему повторного добавления ключа после его удаления (видимо вместе с провайдером). Я же не могу добавить и первый раз.

Такого процесса при запущенном ssh-agent нет.

Библиотека итак находится по указанному пути, точнее ссылка на неё:

┌─[root@arm] - [/home/ilmarranen] - [Пн окт 24, 14:13]
└─[$]> ls -lah /usr/lib/librtpkcs11ecp.so 
lrwxrwxrwx 1 root root 47 сен  7 18:31 /usr/lib/librtpkcs11ecp.so -> /opt/aktivco/rutokenecp/amd64/librtpkcs11ecp.so

Об этом же говорит лог из моего предыдущего сообщения - обращение к библиотеке идет по полному пути, однако добавление ключа отклонено:

refusing PKCS#11 add of "/opt/aktivco/rutokenecp/amd64/librtpkcs11ecp.so": provider not allowed

Обратите также внимание вот на какой косвенный признак - при попытке ssh-add запрос PIN выглядит следующим образом:

Enter passphrase for PKCS#11:

Тогда как при успешной попытке применения ключа с обычным ssh по-другому:

Enter PIN for 'CardName':