pam_ssh i kdm

Sidan august har eg lagra eposten min på ein servar og lasta ned derifrå.

For å utveksle epost må eg ha eit forholdsvis robust system. Sidan eg er vimsete er det lett å danna konfliktar. Opne ein klient på ei maskin, og lese epost med den andre til dømes. Gjennom søking på Internet fann eg ut offline-imap ikkje var effektivt nok i tilfelle konfliktar.

Sidan eg ikkje har tilgang på denne tenaren heile døgnet og eg liker oppsettet eg får frå dovecot + epostklient har eg ein servar og ein epostklient per maskin.

Eposten vert administrert av git over ssh. Tenaren hentar epost til eit git-repository og dyttar endringane til eit bare-bone-repository(enkelt forklart eit repository som ikkje viser innhaldet i noka mappestruktur).

Bruksmaskinene dyttar endringane(lest, markert viktig, osb.) til same bare-bone repository. Då får eg historie som eg brukar dersom eg slettar epost eg ikkje vil slette eller epost forsvinn. Eg har rulla tilbake sletta epost eit par gongar.

Sidan oppsettsfilene mine kontaktar tenaren over ssh to gonger per nedlasting er det praktisk å sleppe å skriva inn passord kvar gong. Nei, passordlause nøklar er ikkje noka alternativ. Derimot er ssh-agent eit godt alternativ. Problemet er at den ikkje køyrer når eg loggar ut. Difor starta eg med keychain.

Dette såg fint ut og fungerte ok ein stund. Etter kvart fungerte ikkje oppsettet lenger og eg måtte likevel skriva inn passord for ssh-nøklane mine kvar gong. Eg kunne sannsynlegvis funne ut kvifor det ikkje fungerte, men eg hadde ikkje spesielt lyst.

Til slutt fann eg ut at eg skulle prøva pam_ssh.so. Dette er ein modul til pam som prøver å dekryptere ssh-nøklane til ein brukar. Dersom det er mogleg å dekryptera ein nøkkel er identifiseringa(authentication) vellukka og ein kan gå vidare. Dersom det ikkje er velluka seier modulen nei, og avhengig av konfigurasjon kan pam prøva fleire modular(t.d. pam_unix.so som er standard på unix og linux), eller gje opp.

Dette fungerte med ein gong med su. Diverre takla ikkje dovecot innlogging lenger. Då reduserte eg tilgangen til pam_ssh.so til kdm, xdm, og diverse andre filer i /etc/pam.d. No fungerte dovecot, men eg hadde framleis ikkje passordlaus ssh i KDE. Eg leitte gjennom pam-dokumentasjon og kdm-dokument, men alt såg riktig ut.

Til slutt tenkte eg: Kanskje det er ei automatisk oppstartsfil som skapar problem. Ganske riktig så hadde eg sett opp ei fil som starta ssh-agent ved innlogging. Dette er viktig for keychain, men ikkje for pam_ssh. Denne erstatta den pam sette opp og var tom for nøklar. Då fekk eg ikkje logga inn utan passord.

Lærdom: Hugs kva ein gjer når ein set opp ein ikkje-standard løysing, dokumenter ho, eller vis til anna dokumentasjon slik at ein veit kva ein har gjort utan å leita alle stader