無需任何身份驗證的SSH會話

Question

我有一個特殊的用戶，稱為udpate，其外殼程序是一個特殊命令，用於獲取系統的所有未決更新。

我希望能夠與該用戶打開ssh會話而無需任何身份驗證（密碼或ppk或任何其他方式），因此，如果有人想更新系統，他們可以執行“ ssh update @ <>”，而無需必須知道密碼，或在包裝盒上預共享了公用密鑰。

我知道這是不安全的，但這是通過VPN進行的，因此這不是問題，它們只會運行更新，然后被丟棄。

能做到嗎？

Answer 1

使用ssh時，VPN不是避免進行身份驗證的好理由。 即使有辦法做到這一點，也不應該使用它。 使用ssh-key是最好的方法。 如果您確實想做這樣的事情，請使用相同的密鑰並將其分發到每個盒子上。

如果您的盒子的本地網絡受到攻擊，您怎么辦？ 您只是有一個安全漏洞。

Answer 2

正如該rfc指出的那樣，它支持基於主機的身份驗證https://www.ietf.org/rfc/rfc4252.txt

因此，請按照本教程https://en.wikibooks.org/wiki/OpenSSH/Cookbook/Host-based_Authentication#Server_Configuration_for_host-based_authentication進行認真使用。

那可能不是最終的解決方案，但可以幫助找到一個解決方案。

但是實際上，您不應該針對此用例進行操作……只需提供一個基本的Web終結點，該終結點僅在下一次cron運行時才啟動更新過程。 我知道，它不是那么“簡單”，而是更加安全。

或者，如果他們仍然可以訪問此服務器，則添加設置了超級用戶位的腳本，該腳本將觸發更新。

另外，如果您的公司中有一個中央服務器，每個人也都可以訪問，則可以在這之間作為托管密鑰對的步驟，因此您不需要為每個人管理X密鑰。

或者您將更現代的設置與puppet或其他任何東西一起使用，或者只是將服務器配置為始終更新，而無需用戶交互。