Re: Parametrer SSHD pour qu il refuses les identifications par mot de passe

[Marc PERRUDIN <debianNOSPAM@mp342.org>]

Bonjour,

Il y a un message concernant ton probleme lors de l'installation du
server ssh, tu devrais regarder de ce coté.
Voici le message (les accents s'affichent mal en francais, je te met
aussi la version anglaise. Tu peux le retrouver dans
/var/lib/dpkg/info/openssh-server.templates)


Template: ssh/disable_cr_auth
Type: boolean
Default: false
Description: Disable challenge-response authentication?
 Password authentication appears to be disabled in your current OpenSSH
 server configuration. In order to prevent users from logging in using
 passwords (perhaps using only public key authentication instead) with
 recent versions of OpenSSH, you must disable challenge-response
 authentication, or else ensure that your PAM configuration does not allow
 Unix password file authentication.
 .
 If you disable challenge-response authentication, then users will not be
 able to log in using passwords. If you leave it enabled (the default
 answer), then the 'PasswordAuthentication no' option will have no useful
 effect unless you also adjust your PAM configuration in /etc/pam.d/ssh.

Description-fr.UTF-8: Faut-il désactiver l'authentification par
défi-réponseÂ| ?
 L'authentification par mots de passe semble être désactivée dans la
 configuration actuelle de votre serveur OpenSSH. Afin de vraiment
 empêcher les utilisateurs de se connecter avec un mot de passe (par
 exemple en n'autorisant que l'authentification par clé publique), vous
 devez aussi désactiver l'authentification par défi-réponse dans les
 versions récentes d'OpenSSH, ou alors vous assurer que votre
 configuration de PAM n'autorise pas l'authentification avec le fichier de
 mots de passe.
 .
 Si vous désactivez l'authentification par défi-réponse, alors les
 utilisateurs ne pourront pas se connecter en entrant un mot de passe. Si
 vous la laissez active (ce qui est le défaut), alors l'option
 «Â| PasswordAuthentication noÂ| » n'aura d'effet que si vous ajustez
aussi
 la configuration de PAM dans /etc/pam.d/ssh.

A+

Alexandre Touret a écrit :

> Bonjour
> j essaye de parametrer SSHD afin qu il n accepte que les connexions
> par cles DSA.
> J arrive bien a me connecter par cle, mais l identification par mot de
> passe est toujours active. Je n arrive pas a la desactiver. J ai bien
> place le PasswordAuthentication a no mais ca n a eu aucun effet.
>
> Voici mon fichier sshd_config
> # Package generated configuration file
> # See the sshd(8) manpage for details
>
> # What ports, IPs and protocols we listen for
> Port 22
> # Use these options to restrict which interfaces/protocols sshd will
> bind to
> #ListenAddress ::
> #ListenAddress 0.0.0.0
> Protocol 2
> # HostKeys for protocol version 2
> HostKey /etc/ssh/ssh_host_rsa_key
> HostKey /etc/ssh/ssh_host_dsa_key
> #Privilege Separation is turned on for security
> UsePrivilegeSeparation yes
>
> # Lifetime and size of ephemeral version 1 server key
> KeyRegenerationInterval 3600
> ServerKeyBits 768
>
> # Logging
> SyslogFacility AUTH
> LogLevel INFO
>
> # Authentication:
> LoginGraceTime 600
> PermitRootLogin no
> StrictModes yes
>
> RSAAuthentication no
> PubkeyAuthentication yes
> AuthorizedKeysFile      %h/.ssh/authorized_keys2
>
> # Don't read the user's ~/.rhosts and ~/.shosts files
> IgnoreRhosts yes
> # For this to work you will also need host keys in /etc/ssh_known_hosts
> RhostsRSAAuthentication no
> # similar for protocol version 2
> HostbasedAuthentication no
> # Uncomment if you don't trust ~/.ssh/known_hosts for
> RhostsRSAAuthentication
> #IgnoreUserKnownHosts yes
>
> # To enable empty passwords, change to yes (NOT RECOMMENDED)
> PermitEmptyPasswords no
>
> # Change to no to disable s/key passwords
> #ChallengeResponseAuthentication yes
>
> # Change to yes to enable tunnelled clear text passwords
> PasswordAuthentication no
>
> # To change Kerberos options
> #KerberosAuthentication no
> #KerberosOrLocalPasswd yes
> #AFSTokenPassing no
> #KerberosTicketCleanup no
> # Kerberos TGT Passing does only work with the AFS kaserver
> #KerberosTgtPassing yes
> # Kerberos TGT Passing does only work with the AFS kaserver
> #KerberosTgtPassing yes
>
> X11Forwarding no
> X11DisplayOffset 10
> PrintMotd no
> PrintLastLog yes
> KeepAlive yes
> #UseLogin no
> #MaxStartups 10:30:60
> #Banner /etc/issue.net
>
> Subsystem       sftp    /usr/lib/sftp-server
> UsePAM yes
>
> # parametres personnalises
> AllowGroups     -----
> AllowUsers      -----
>
>
> Merci d avance de votre aide
>
>
> Alexandre
>
>