如何设置SSH，这样就不必键入密码并且无需使用公共密钥？

我知道这里有很多问题，涉及如何在不每次都输入密码的情况下连接SSH服务器，答案总是“使用公钥”。好吧，我发现自己处在罕见的情况下，这实际上是不可行的。由于某些莫名其妙的原因，我尝试连接的服务器上的OpenSSH守护程序配置为

RSAAuthentication no
PubkeyAuthentication no

在/etc/ssh/sshd_config。我在服务器上没有任何管理权限，因此无法更改这些或任何其他服务器配置选项。（我当然可以完全控制客户端配置：Linux上的OpenSSH 5.8。）

我有哪些选择，尤其是最安全的选择是什么，以避免每次我想通过SSH进入该服务器时都必须输入密码？我将自己的计算机保持得相当安全，因此，如果确实有必要，让我们假设将密码存储在客户端文件中的安全风险较低。

服务器可以接受的其他身份验证方法显然是GSS API（我一无所知），键盘交互（我也一无所知）和密码。以下是一些相关的配置选项：

#ChallengeResponseAuthentication yes

#KerberosAuthentication no

GSSAPIAuthentication yes
GSSAPICleanupCredentials yes

#UsePAM no

这是一条debug（-vv）跟踪：

debug1: Authentications that can continue: gssapi-with-mic,password,keyboard-interactive
debug1: Next authentication method: gssapi-with-mic
debug1: Unspecified GSS failure.  Minor code may provide more information
Credentials cache file '/tmp/krb5cc_1000' not found
debug1: Unspecified GSS failure.  Minor code may provide more information
Credentials cache file '/tmp/krb5cc_1000' not found
debug1: Unspecified GSS failure.  Minor code may provide more information

debug1: Unspecified GSS failure.  Minor code may provide more information

debug2: we did not send a packet, disable method
debug1: Next authentication method: keyboard-interactive
debug2: userauth_kbdint
debug2: we sent a keyboard-interactive packet, wait for reply
debug1: Authentications that can continue: gssapi-with-mic,password,keyboard-interactive
debug2: we did not send a packet, disable method
debug1: Next authentication method: password

在这种情况下，编写（或更好地记录）期望脚本将是您的选择之一。

每个系统都不相同，因此不会有脚本，但是使用自动预期功能可以很容易地为此录制一个脚本。

根据到目前为止收集到的信息，服务器sftp.pass.psu.edu支持Kerberos 5（GSSAPI）身份验证，并且处于dce.psu.edu领域中。

Kerberos 在具有许多服务器和工作站的网络上非常普遍；许多大型教育机构都建立了它。如果它比公钥身份验证有优势，那么一个优点就是一个可以kinit自动向Kerberos领域中的所有计算机提供凭据，而不必将公钥复制到每台机器。另一个是协议支持–相同的Kerberos凭据可用于30多种协议（邮件，文件系统，数据库...），而不仅仅是SSH。

^{（关于“仅Windows的笨拙管理员”：该域dce.psu.edu实际上似乎基于Active Directory并由Windows服务器托管。）}

请尝试执行以下步骤：

1. 登录到Kerberos。（kinit和klist工具可能位于“ krb5-user”或类似的软件包中，如果系统尚未附带的话。）

   使用kinit your_username @ dce.psu.edu
   

   如果未显示任何错误，则表明登录成功。klist应该显示一个“ krbtgt/dce.psu.edu@...”项目。

2. 现在，使用-vv选项连接到SSH服务器；如果身份验证成功，那就很好。

   如果不是，则可能必须编辑/etc/krb5.conf文件。在该[domain_realm]部分下，添加以下内容：

   [domain_realm]
       .psu.edu = dce.psu.edu
   

3. 使用默认的Krb5设置，在＃1中获得的票证应有效期为10个小时，并且可以续签长达一周。但是，我无法验证设置。

   如果您希望将密码保存在文件中kinit your_principal < password.txt，则尽管它并不完全可靠，但应该可以使用简单的密码。

   有了ktutil它，可以使一个“密钥表”的使用，而不是密码。

   $ ktutil
   ktutil：附加-password -p your_principal -k 1 -e aes256-cts-hmac-sha1-96your_principal的 
   密码：*********
   ktutil：wkt keytab_file 
   ktutil：  CtrlD
   

   并使用以下方式登录：

   $ kinit -kt keytab_file  your_principal
   

我会考虑一种混合解决方案，您只需输入一次密码，然后计算机就会维护远程SSH服务器的套接字。出于这个原因，您可以按照以下步骤进行设置ControlMaster。