SSH - PasswordAuthentication não tem nenhum efeito

Question

Estou tentando configurar meu servidor para desativar a autenticação de senha. Estou usando as chaves agora. O problema é que PasswordAuthentication no está definido, mas não teve efeito. Ainda estou pedindo uma senha, mesmo que esteja definido. Estou me conectando ao Ubuntu Server 14.04 do PuTTY no Windows 10. ssh -v shows usa a minha chave primeiro e depois a segunda interativa com o teclado. Certifiquei-me de que eu editei sshd_config , não ssh_config . Eu reiniciei o ssh após aplicar as alterações, quando isso não teve efeito reiniciei todo o servidor, ainda sem efeito. Eu tenho este exatamente o mesmo arquivo de configuração em outro servidor 14.04 com essa mesma chave , mas ele não tem problemas e a senha auth está desabilitada lá.

Por que a senha não é desativada como deveria e como posso corrigi-la?

Este é o arquivo sshd_config inteiro menos todas as linhas comentadas por brevidade.

Port 612
Protocol 2
HostKey /etc/ssh/ssh_host_ed25519_key
HostKey /etc/ssh/ssh_host_rsa_key

KexAlgorithms [email protected],diffie-hellman-group-exchange-sha256,diffie-hellman-group1-sha1
Ciphers [email protected],[email protected],[email protected],aes256-ctr,aes192-ctr,aes128-ctr
MACs [email protected],[email protected],[email protected],[email protected],hmac-sha2-512,hmac-sha2-256,hmac-ripemd160,[email protected]

UsePrivilegeSeparation yes

KeyRegenerationInterval 3600
ServerKeyBits 1024

SyslogFacility AUTH
LogLevel INFO

LoginGraceTime 120
PermitRootLogin no
StrictModes yes

RSAAuthentication yes
PubkeyAuthentication yes

IgnoreRhosts yes
RhostsRSAAuthentication no
HostbasedAuthentication no

PermitEmptyPasswords no

PasswordAuthentication no

X11Forwarding yes
X11DisplayOffset 10
PrintMotd no
PrintLastLog yes
TCPKeepAlive yes

AcceptEnv LANG LC_*

Subsystem sftp /usr/lib/openssh/sftp-server

UsePAM yes

    

Answer 1

O problema é que a autenticação de senha usando PAM (como em todos os sistemas modernos) é tratada pela opção ChallengeResponseAuthentication , que é yes por padrão.

ChallengeResponseAuthentication

Specifies whether challenge-response authentication is allowed (e.g. via PAM). The default is “yes”.

Isso é mencionado várias vezes no exemplo sshd_config .

# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.

Adicione ao seu sshd_config com o valor no , reinicie e funcionará para você:

ChallengeResponseAuthentication no