SSH en DSM 6.2

[Briolet]

Twee-Faktor-Autentikatie (2FA)

[TopGear_1542]

Ok, ja die staat bij mij standaard aan. Dus dat kan inderdaad het geval zijn geweest bij mij.

[Birdy]

Ik weet niet hoe het komt maar, ik had geen enkel probleem met SSH, alleen even /etc/sudoers (voor WinSCP) moeten aanpassen maar, dat is niets nieuws bij grote updates of upgrades.
Maar goed, dat had ik al eerder aangegeven.

[Briolet]

Ik heb net de beta op mijn 212j gezet. Inloggen met SSH geeft inderdaad een foutmelding:

Code: [Selecteer]

$ ssh briolet@nas2
briolet@nas2's password:
Could not chdir to home directory /var/services/homes/briolet: Permission denied
-sh: /var/services/homes/briolet/.profile: Permission denied

briolet@BackupNas:/$ exit
logout
-sh: /var/services/homes/briolet/.bash_logout: Permission denied
Connection to nas2 closed.


Dit is een probleem die er ook bij de 5.0, 6.0 en de 6.1 beta was. Een administrator heeft geen toegang tot "/var/services/homes" Na de betas was dit steeds opgelost.

sudo -i werkt echter wel en dan kun je wel overal bij. Ze dwingen je gewoon om alles via root te doen en niet via een administrator. Alleen storend dat je nu steeds langs die foutmeldingen heen moet.

[Birdy]

Klopt, die meldingen krijg ik ook als ik inlog echter, bij @TopGear_1542 was het een SSH inlog probleem.

[Briolet]

En na aanzetten van 2FA:

Code: [Selecteer]

$ ssh briolet@nas2
briolet@nas2's password:
Permission denied, please try again.
briolet@nas2's password:

Ik kom er inderdaad niet meer in, zoals het Engelse forum aangeeft. Die bug is gemeld. Voorlopig 2FA uit laten als je SSH gebruikt. Of de daar genoemde fix toepassen.

Edit: Uit het Engelse forum:

For me I edited /etc/ssh/sshd_config and changed the ChallengeResponseAuthentication setting from no to yes. Then I did a "killall -1 sshd".

For some reason ChallengeResponseAuthentication was off, but that needs to be on if you have 2FA on now in 6.2 because it'll prompt for your 2FA code after entering the password.

Met deze fix loopt de inlog:

Code: [Selecteer]

$ ssh briolet@nas2
Password:
Enter 6-digit code:

Voelt toch vreemd dat je een 2FA toevoegt aan een SSH inlog, maar dit niet test voor een release.

[Briolet]

Ik las dat de default waarde van ChallengeResponseAuthentication yes is. Op de mac staat die waarde ook op yes.

Op de nas is er no van gemaakt. Na wat zoeken vond is een reden waarom dat vaak in no veranderd wordt. Als je er niets mee doet, kan dit een achterdeurtje voor een andere aanvullende authenticatie worden.

Omdat DSM 6.1 ook al 2FA kent, heb ik daar ook eens de ChallengeResponseAuthentication op yes gezet. Daar heeft het geen effect. Het is dus echt iets nieuws dat SSH in 6.2 ook 2FA kan gebruiken. Alleen staat hierover niets in de releasenotes. Dit is blijkbaar een feature waar ze mee geëxperimenteerd hebben, maar nog niet beslist hebben om in te bouwen.

Het ssh commando kent ook de optie "ChallengeResponseAuthentication". Misschien kun je dan ook binnenkomen als het in de config op no staat (Heb geen zin dit te testen  ):

Code: [Selecteer]

ssh -o ChallengeResponseAuthentication=yes briolet@nas2