SSHD(8)                     System Manager's Manual                    SSHD(8)

NUME
     sshd - Demonul OpenSSH

SINOPSIS
     sshd [-46DdeGiqTtV] [-C specificare-conectare]
     [-c fi<?>ier-certificat-gazda] [-E fi<?>ier-jurnal]
     [-f fi<?>ier-configurare] [-g timp-de-gra<?>ie-autentificare]
     [-h fi<?>ier-cheie-gazda] [-o op<?>iune] [-p port] [-u lungime]

DESCRIERE
     sshd (Demonul OpenSSH) este programul demon pentru ssh(1).  Acesta ofera
     comunica<?>ii criptate sigure intre doua gazde ,,neincrezatoare" printr-o
     re<?>ea nesigura.

     sshd asculta conexiunile de la clien<?>i. In mod normal, este ini<?>iat
     la pornire din /etc/rc.  Acesta interconecteaza un nou demon pentru
     fiecare conexiune primita. Demonii bifurca<?>i gestioneaza schimbul de
     chei, criptarea, autentificarea, executarea comenzilor <?>i schimbul de
     date.

     sshd poate fi configurat folosind op<?>iuni din linia de comanda sau un
     fi<?>ier de configurare (implicit sshd_config(5)); op<?>iunile din linia
     de comanda prevaleaza asupra valorilor specificate in fi<?>ierul de
     configurare.  sshd i<?>i recite<?>te fi<?>ierul de configurare atunci
     cand prime<?>te un semnal de intrerupere, SIGHUP, executandu-se cu numele
     <?>i op<?>iunile cu care a fost pornit, de exemplu  /usr/sbin/sshd.

     Op<?>iunile sunt urmatoarele:

     -4      For<?>eaza sshd sa utilizeze numai adrese IPv4.

     -6      For<?>eaza sshd sa utilizeze numai adrese IPv6.

     -C specificare-conectare
             Specifica parametrii de conectare care urmeaza sa fie utiliza<?>i
             pentru modul de testare extinsa -T.  Daca sunt furnizate, orice
             directive Match din fi<?>ierul de configurare care s-ar aplica
             sunt aplicate inainte ca configura<?>ia sa fie scrisa la
             ie<?>irea standard. Parametrii conexiunii sunt furniza<?>i ca
             perechi cuvant cheie=valoare <?>i pot fi furniza<?>i in orice
             ordine, fie cu mai multe op<?>iuni -C, fie ca o lista separata
             prin virgule. Cuvintele-cheie sunt "addr", "user", "host",
             "laddr", "lport" <?>i "rdomain" <?>i corespund adresei sursa,
             utilizatorului, numelui gazdei sursa rezolvate, adresei locale,
             numarului portului local <?>i, respectiv, domeniului de rutare.
             In plus, fanionul "invalid-user" (care nu are un argument de
             valoare) poate fi specificat pentru a simula o conexiune de la un
             nume de utilizator nerecunoscut.

     -c fi<?>ier-certificat-gazda
             Specifica o ruta catre un fi<?>ier de certificat pentru a
             identifica sshd in timpul schimbului de chei. Fi<?>ierul de
             certificat trebuie sa corespunda unui fi<?>ier de cheie gazda
             specificat cu ajutorul op<?>iunii -h sau al directivei de
             configurare HostKey.

     -D      Cand este specificata aceasta op<?>iune, sshd nu se va deta<?>a
             <?>i nu va deveni un demon. Acest lucru permite monitorizarea
             u<?>oara a sshd.

     -d      Modul de depanare. Serverul trimite ie<?>irea de depanare
             detaliata la ie<?>irea de eroare standard <?>i nu se pune in
             fundal. De asemenea, serverul nu va executa fork(2) <?>i va
             procesa o singura conexiune. Aceasta op<?>iune este destinata
             numai pentru depanare pentru server. Op<?>iunile multiple -d
             maresc nivelul de depanare. Maximul este 3.

     -E fi<?>ier-jurnal
             Adauga jurnalele de depanare la fi<?>ierul- jurnal in loc de
             jurnalul de sistem.

     -e      Scrie jurnalele de depanare la ie<?>irea din eroare standard in
             loc de jurnalul de sistem.

     -f fi<?>ier-configurare
             Specifica numele fi<?>ierului de configurare. Valoarea implicita
             este /etc/ssh/sshd_config.  sshd refuza sa porneasca daca nu
             exista niciun fi<?>ier de configurare.

     -G      Analizeaza <?>i imprima fi<?>ierul de configurare. Verifica
             validitatea fi<?>ierului de configurare, emite configura<?>ia
             efectiva la ie<?>irea standard <?>i apoi iese. Op<?>ional,
             regulile Match pot fi aplicate prin specificarea parametrilor de
             conexiune folosind una sau mai multe op<?>iuni -C.

     -g timp-de-gra<?>ie-autentificare
             Acorda timp de gra<?>ie clien<?>ilor pentru a se autentifica
             (implicit 120 de secunde). Daca clientul nu reu<?>e<?>te sa
             autentifice utilizatorul in acest numar de secunde, serverul se
             deconecteaza <?>i iese. O valoare de zero indica lipsa unei
             limite.

     -h fi<?>ier-cheie-gazda
             Specifica un fi<?>ier din care este citita o cheie de gazda.
             Aceasta op<?>iune trebuie furnizata daca sshd nu este rulat ca
             root (deoarece fi<?>ierele de chei de gazda normale nu pot fi
             citite decat de root). Valoarea implicita este
             /etc/ssh/ssh_host_ecdsa_key, /etc/ssh/ssh_host_ed25519_key <?>i
             /etc/ssh/ssh_host_rsa_key.  Este posibil sa ave<?>i mai multe
             fi<?>iere de chei de gazda pentru diferi<?>i algoritmi de chei de
             gazda.

     -i      Specifica faptul ca sshd este rulat din inetd(8).

     -o op<?>iune
             Poate fi utilizata pentru a oferi op<?>iuni in formatul utilizat
             in fi<?>ierul de configurare. Acest lucru este util pentru
             specificarea op<?>iunilor pentru care nu exista un indicator de
             linie de comanda separat. Pentru detalii complete privind
             op<?>iunile <?>i valorile acestora, consulta<?>i sshd_config(5).

     -p port
             Specifica portul pe care serverul asculta conexiunile (implicit
             22). Sunt permise mai multe op<?>iuni de port. Porturile
             specificate in fi<?>ierul de configurare cu op<?>iunea Port sunt
             ignorate atunci cand este specificat un port in linia de comanda.
             Porturile specificate cu ajutorul op<?>iunii ListenAddress
             prevaleaza asupra porturilor din linia de comanda.

     -q      Modul silen<?>ios. Nimic nu este trimis in jurnalul de sistem. In
             mod normal, inceputul, autentificarea <?>i incheierea fiecarei
             conexiuni sunt inregistrate.

     -T      Modul de testare extinsa. Verifica validitatea fi<?>ierului de
             configurare, emite configura<?>ia efectiva la ie<?>irea standard
             <?>i apoi iese. Op<?>ional, regulile Match pot fi aplicate prin
             specificarea parametrilor conexiunii folosind una sau mai multe
             op<?>iuni -C.  Aceasta este similara cu op<?>iunea -G, dar
             include testarea suplimentara efectuata de op<?>iunea -t.

     -t      Modul de testare. Verifica doar validitatea fi<?>ierului de
             configurare <?>i corectitudinea cheilor. Acest lucru este util
             pentru actualizarea fiabila a sshd, deoarece op<?>iunile de
             configurare se pot schimba.

     -u lungime
             Aceasta op<?>iune este utilizata pentru a specifica dimensiunea
             campului din structura utmp care con<?>ine numele gazdei la
             distan<?>a. Daca numele de gazda rezolvat este mai lung decat
             len, se va utiliza in schimb valoarea zecimala
             punctata.(XXX.XXX.XXX.XXX) Acest lucru permite gazdelor cu nume
             de gazda foarte lungi care depa<?>esc acest camp sa fie totu<?>i
             identificate in mod unic. Specificarea -u0 indica faptul ca in
             fi<?>ierul utmp ar trebui introduse numai adrese zecimale
             punctate.  -u0 poate fi utilizat <?>i pentru a impiedica sshd sa
             efectueze cereri DNS, cu excep<?>ia cazului in care mecanismul de
             autentificare sau configura<?>ia o solicita. Mecanismele de
             autentificare care pot necesita DNS includ
             HostbasedAuthentication <?>i utilizarea unei op<?>iuni
             from="lista-modele" intr-un fi<?>ier cheie. Op<?>iunile de
             configurare care necesita DNS includ utilizarea unui model
             UTILIZATOR@GAZDA in AllowUsers sau DenyUsers.

     -V      Afi<?>eaza numarul versiunii, <?>i iese.

AUTENTIFICARE
     Demonul SSH OpenSSH accepta numai protocolul SSH 2. Fiecare gazda are o
     cheie specifica gazdei, utilizata pentru identificarea gazdei. Ori de
     cate ori un client se conecteaza, demonul raspunde cu cheia sa publica de
     gazda. Clientul compara cheia gazdei cu propria sa baza de date pentru a
     verifica daca aceasta nu s-a modificat. Secretul de transmitere este
     asigurat prin intermediul unui acord de chei Diffie-Hellman. Acest acord
     de chei are ca rezultat o cheie de sesiune partajata. Restul sesiunii
     este criptat utilizand un cifru simetric. Clientul selecteaza algoritmul
     de criptare de utilizat dintre cele oferite de server. In plus,
     integritatea sesiunii este asigurata printr-un cod criptografic de
     autentificare a mesajului (,,Message Authentication Code": MAC).

     In final, serverul <?>i clientul intra intr-un dialog de autentificare.
     Clientul incearca sa se autentifice folosind autentificarea bazata pe
     gazda, autentificarea prin cheie publica, autentificarea prin provocare-
     raspuns sau autentificarea prin parola.

     Indiferent de tipul de autentificare, contul este verificat pentru a se
     asigura ca este accesibil. Un cont nu este accesibil daca este blocat,
     listat in DenyUsers sau grupul sau este listat in DenyGroups .
     Defini<?>ia unui cont blocat depinde de sistem. Unele platforme au
     propria baza de date a conturilor (de exemplu AIX), iar altele modifica
     campul passwd ( `*LK*' pe Solaris <?>i UnixWare, `*' pe HP-UX,
     con<?>inand `Nologin' pe Tru64, un `*LOCKED*' pe FreeBSD <?>i un `!' pe
     majoritatea Linux-urilor). Daca exista o cerin<?>a de a dezactiva
     autentificarea prin parola pentru cont, permi<?>and in acela<?>i timp
     utilizarea cheii publice, atunci campul passwd trebuie sa fie definit la
     altceva decat aceste valori (de exemplu `NP' sau `*NP*').

     Daca clientul se autentifica cu succes, se deschide un dialog pentru
     pregatirea sesiunii. In acest moment, clientul poate solicita lucruri
     precum alocarea unui pseudo-tty, redirec<?>ionarea conexiunilor X11,
     redirec<?>ionarea conexiunilor TCP sau redirec<?>ionarea conexiunii
     agentului de autentificare pe canalul securizat.

     Dupa aceasta, clientul solicita fie un shell interactiv, fie executarea
     unei comenzi non-interactive, pe care sshd o va executa prin intermediul
     shell-ului utilizatorului folosind op<?>iunea -c.  Cele doua par<?>i
     intra apoi in modul sesiune. In acest mod, fiecare parte poate trimite
     date in orice moment, iar aceste date sunt transmise catre/de la shell
     sau comanda pe partea serverului <?>i de la terminalul utilizatorului pe
     partea clientului.

     Atunci cand programul utilizatorului se incheie <?>i toate conexiunile
     X11 transmise <?>i alte conexiuni au fost inchise, serverul trimite
     starea de ie<?>ire a comenzii catre client <?>i ambele par<?>i ies.

PROCESUL DE AUTENTIFICARE
     Atunci cand un utilizator se autentifica cu succes, sshd face
     urmatoarele:

           1.   Daca autentificarea se face pe un tty <?>i nu a fost
                specificata nicio comanda, imprima ora ultimei autentificari
                <?>i /etc/motd (cu excep<?>ia cazului in care este impiedicata
                in fi<?>ierul de configurare sau prin ~/.hushlogin;
                consulta<?>i sec<?>iunea FILES).

           2.   Daca autentificarea se face pe un tty, inregistreaza ora
                autentificarii.

           3.   Verifica /etc/nologin; daca exista, imprima con<?>inutul <?>i
                iese (daca utilizatorul nu este root).

           4.   Modificari pentru a rula cu privilegii normale de utilizator.

           5.   Define<?>te un mediu bazic.

           6.   Cite<?>te fi<?>ierul ~/.ssh/environment, daca exista, iar
                utilizatorilor li se permite sa i<?>i schimbe mediul.
                Consulta<?>i op<?>iunea PermitUserEnvironment din
                sshd_config(5).

           7.   Se plaseaza in directorul personal al utilizatorului.

           8.   Daca ~/.ssh/rc exista <?>i op<?>iunea sshd_config(5)
                PermitUserRC este definita, il executa; altfel, daca
                /etc/ssh/sshrc exista, il executa; altfel, executa xauth(1).
                Fi<?>ierele "rc" primesc protocolul de autentificare X11 <?>i
                cookie-ul in intrarea standard. A se vedea SSHRC, mai jos.

           9.   Ruleaza shell-ul sau comanda utilizatorului. Toate comenzile
                sunt executate in shell-ul de conectare al utilizatorului,
                astfel cum este specificat in baza de date cu parole a
                sistemului.

SSHRC
     Daca fi<?>ierul ~/.ssh/rc exista, sh(1) il executa dupa citirea
     fi<?>ierelor de mediu, dar inainte de a porni shell-ul sau comanda
     utilizatorului. Acesta nu trebuie sa produca niciun rezultat la ie<?>irea
     standard (stdout); in schimb, trebuie utilizata ie<?>irea de erori
     standard (stderr). Daca este utilizata redirec<?>ionarea X11, acesta va
     primi perechea ,,proto cookie" in intrarea sa standard (<?>i DISPLAY in
     mediul sau). Scriptul trebuie sa apeleze xauth(1) deoarece sshd nu va
     rula xauth automat pentru a adauga cookie-uri X11.

     Scopul principal al acestui fi<?>ier este de a rula orice rutine de
     ini<?>ializare care pot fi necesare inainte ca directorul personal al
     utilizatorului sa devina accesibil; AFS este un exemplu particular al
     unui astfel de mediu.

     Acest fi<?>ier va con<?>ine probabil un cod de ini<?>ializare urmat de
     ceva similar cu:

        if read proto cookie && [ -n "$DISPLAY" ]; then
                if [ `echo $DISPLAY | cut -c1-10` = 'localhost:' ]; then
                        # X11UseLocalhost=yes
                        echo add unix:`echo $DISPLAY |
                            cut -c11-` $proto $cookie
                else
                        # X11UseLocalhost=no
                        echo add $DISPLAY $proto $cookie
                fi | xauth -q -
        fi

     Daca acest fi<?>ier nu exista, se executa /etc/ssh/sshrc, iar daca nici
     acesta nu exista, se utilizeaza xauth pentru a adauga cookie-ul.

FORMATUL FI<?>IERULUI AUTHORIZED_KEYS
     AuthorizedKeysFile specifica fi<?>ierele care con<?>in cheile publice
     pentru autentificarea cu cheie publica; daca aceasta op<?>iune nu este
     specificata, valoarea implicita este ~/.ssh/authorized_keys <?>i
     ~/.ssh/authorized_keys2.  Fiecare linie a fi<?>ierului con<?>ine o cheie
     (liniile goale <?>i liniile care incep cu un `#' sunt ignorate ca
     comentarii). Cheile publice sunt formate din urmatoarele campuri separate
     prin spa<?>ii: op<?>iuni, tipul cheii, cheia codificata in baza64,
     comentariu. Campul op<?>iuni este op<?>ional. Tipurile de chei acceptate
     sunt:

           sk-ecdsa-sha2-nistp256@openssh.com
           ecdsa-sha2-nistp256
           ecdsa-sha2-nistp384
           ecdsa-sha2-nistp521
           sk-ssh-ed25519@openssh.com
           ssh-ed25519
           ssh-rsa

     Campul de comentarii nu este utilizat pentru nimic (dar poate fi
     convenabil pentru utilizator sa identifice cheia).

     Re<?>ine<?>i ca liniile din acest fi<?>ier pot fi lungi de cateva sute de
     octe<?>i (din cauza dimensiunii codificarii cheii publice) pana la o
     limita de 8 kiloocte<?>i, ceea ce permite chei RSA de pana la 16
     kilobi<?>i. Nu dori<?>i sa le introduce<?>i; in schimb, copia<?>i
     fi<?>ierul id_ecdsa.pub, id_ecdsa_sk.pub, id_ed25519.pub,
     id_ed25519_sk.pub sau id_rsa.pub <?>i edita<?>i-l.

     sshd impune o dimensiune minima a modulului cheii RSA de 1024 bi<?>i.

     Op<?>iunile (daca sunt prezente) constau in specifica<?>ii de op<?>iuni
     separate prin virgule. Nu sunt permise spa<?>iile, cu excep<?>ia celor
     intre ghilimele duble. Sunt acceptate urmatoarele specifica<?>ii ale
     op<?>iunilor (a se observa ca cuvintele cheie ale op<?>iunilor nu <?>in
     cont de majuscule <?>i minuscule):

     agent-forwarding
             Activeaza redirec<?>ionarea agentului de autentificare
             dezactivata anterior de op<?>iunea restrict.

     cert-authority
             Specifica faptul ca cheia listata este o autoritate de
             certificare (CA) de incredere pentru validarea certificatelor
             semnate pentru autentificarea utilizatorului.

             Certificatele pot codifica restric<?>ii de acces similare cu
             aceste op<?>iuni ale cheii. In cazul in care sunt prezente atat
             restric<?>ii ale certificatului, cat <?>i op<?>iuni ale cheii, se
             aplica cea mai restrictiva combina<?>ie dintre cele doua.

     command="comanda"
             Specifica faptul ca comanda este executata ori de cate ori
             aceasta cheie este utilizata pentru autentificare. Comanda
             furnizata de utilizator (daca exista) este ignorata. Comanda este
             executata pe un pty daca clientul solicita un pty; in caz
             contrar, este executata fara un tty. Daca este necesar un canal
             curat pe 8 bi<?>i, nu trebuie solicitat un pty sau trebuie
             specificat no-pty.  Un citat poate fi inclus in comanda prin
             citarea sa cu o bara inversa.

             Aceasta op<?>iune poate fi utila pentru a restric<?>iona anumite
             chei publice pentru a efectua doar o anumita opera<?>ie. Un
             exemplu ar putea fi o cheie care permite salvari de la
             distan<?>a, dar nimic altceva. Re<?>ine<?>i ca clientul poate
             specifica redirec<?>ionarea TCP <?>i/sau X11, cu excep<?>ia
             cazului in care acestea sunt interzise in mod explicit, de
             exemplu folosind op<?>iunea de cheie restrict.

             Comanda furnizata ini<?>ial de client este disponibila in
             variabila de mediu SSH_ORIGINAL_COMMAND.  Re<?>ine<?>i ca aceasta
             op<?>iune se aplica executarii shell-ului, comenzii sau
             subsistemului. De asemenea, re<?>ine<?>i ca aceasta comanda poate
             fi inlocuita de o directiva sshd_config(5) ForceCommand.

             Daca este specificata o comanda <?>i o comanda for<?>ata este
             incorporata intr-un certificat utilizat pentru autentificare,
             atunci certificatul va fi acceptat numai daca cele doua comenzi
             sunt identice.

     environment="NUME=valoare"
             Specifica faptul ca <?>irul de caractere trebuie adaugat mediului
             atunci cand va conecta<?>i utilizand aceasta cheie. Variabilele
             de mediu definite in acest mod prevaleaza asupra altor valori de
             mediu implicite. Sunt permise op<?>iuni multiple de acest tip.
             Procesarea mediului este dezactivata in mod implicit <?>i este
             controlata prin intermediul op<?>iunii PermitUserEnvironment.

     expiry-time="specificare-timp"
             Specifica un interval de timp dupa care cheia nu va fi acceptata.
             Ora poate fi specificata ca o data AAAALLZZ[Z] sau ca o ora
             AAAALLZZHHMM[SS][Z]. Datele <?>i orele vor fi interpretate in
             fusul orar al sistemului, cu excep<?>ia cazului in care sunt
             sufixate de un caracter Z, caz in care vor fi interpretate in
             fusul orar UTC.

     from="lista-modele"
             Specifica faptul ca, pe langa autentificarea prin cheie publica,
             fie numele canonic al gazdei de la distan<?>a, fie adresa IP a
             acesteia trebuie sa fie prezente in lista de modele separate prin
             virgule. Consulta<?>i MODELE in ssh_config(5) pentru mai multe
             informa<?>ii despre modele.

             In plus fa<?>a de potrivirea de tip caracter joker care poate fi
             aplicata numelor de gazda sau adreselor, o sec<?>iune from poate
             potrivi adresele IP utilizand nota<?>ia CIDR adresa/masklen.

             Scopul acestei op<?>iuni este de a spori op<?>ional securitatea:
             autentificarea cu cheie publica in sine nu are incredere in
             re<?>ea sau in serverele de nume sau in nimic altceva (in afara
             de cheie); cu toate acestea, daca cineva fura cumva cheia, cheia
             permite unui intrus sa se conecteze de oriunde din lume. Aceasta
             op<?>iune suplimentara face ca utilizarea unei chei furate sa fie
             mai dificila (serverele de nume <?>i/sau router-ele ar trebui sa
             fie compromise in plus fa<?>a de cheie).

     no-agent-forwarding
             Interzice redirec<?>ionarea agentului de autentificare atunci
             cand aceasta cheie este utilizata pentru autentificare.

     no-port-forwarding
             Interzice redirec<?>ionarea TCP atunci cand aceasta cheie este
             utilizata pentru autentificare. Orice solicitare de
             redirec<?>ionare a portului de catre client va returna o eroare.
             Aceasta poate fi utilizata, de exemplu, in combina<?>ie cu
             op<?>iunea command.

     no-pty  Impiedica alocarea tty (o cerere de alocare a unui pty va
             e<?>ua).

     no-user-rc
             Dezactiveaza executarea ~/.ssh/rc.

     no-X11-forwarding
             Interzice redirec<?>ionarea X11 atunci cand aceasta cheie este
             utilizata pentru autentificare. Orice solicitare de
             redirec<?>ionare X11 din partea clientului va returna o eroare.

     permitlisten="[gazda:]port"
             Limiteaza redirec<?>ionarea porturilor la distan<?>a cu
             op<?>iunea ssh(1) -R astfel incat sa poata asculta numai pe gazda
             (op<?>ional) <?>i portul specificate. Adresele IPv6 pot fi
             specificate prin includerea adresei intre paranteze drepte. Pot
             fi aplicate mai multe op<?>iuni permitlisten separate prin
             virgule. Numele de gazda pot include caractere joker, astfel cum
             sunt descrise in sec<?>iunea MODELE din ssh_config(5).  O
             specifica<?>ie de port * se potrive<?>te oricarui port.
             Re<?>ine<?>i ca op<?>iunea GatewayPorts poate restric<?>iona <?>i
             mai mult adresele de ascultare. Re<?>ine<?>i ca ssh(1) va trimite
             un nume de gazda "localhost" daca nu a fost specificata o gazda
             de ascultare atunci cand a fost solicitata redirec<?>ionarea <?>i
             ca acest nume este tratat diferit fa<?>a de adresele explicite de
             gazda locala "127.0.0.1" <?>i "::1".

     permitopen="gazda:port"
             Limiteaza redirec<?>ionarea porturilor locale cu op<?>iunea
             ssh(1) -L astfel incat sa se poata conecta numai la gazda <?>i
             portul specificate. Adresele IPv6 pot fi specificate prin
             includerea adresei intre paranteze drepte. Pot fi aplicate mai
             multe op<?>iuni permitopen separate prin virgule. Nu se
             efectueaza nicio potrivire de model sau cautare de nume pe numele
             de gazda specificate, acestea trebuie sa fie nume de gazda
             <?>i/sau adrese literale. O specifica<?>ie de port * se
             potrive<?>te oricarui port.

     port-forwarding
             Activeaza redirec<?>ionarea porturilor dezactivata anterior de
             op<?>iunea restrict.

     principals="principale"
             Pe o linie cert-authority, specifica principalii ,,principals"
             permise pentru autentificarea certificatului sub forma unei liste
             separate prin virgule. Cel pu<?>in un nume din lista trebuie sa
             apara in lista de principali a certificatului pentru ca
             certificatul sa fie acceptat. Aceasta op<?>iune este ignorata
             pentru cheile care nu sunt marcate ca semnatari de certificate de
             incredere utilizand op<?>iunea cert-authority.

     pty     Permite alocarea tty dezactivata anterior de op<?>iunea restrict.

     no-touch-required
             Nu solicita demonstrarea prezen<?>ei utilizatorului pentru
             semnaturile realizate utilizand aceasta cheie. Aceasta op<?>iune
             are sens numai pentru algoritmii de autentificare FIDO ecdsa-sk
             <?>i ed25519-sk.

     verify-required
             Solicita ca semnaturile realizate utilizand aceasta cheie sa
             ateste ca au verificat utilizatorul, de exemplu prin intermediul
             unui cod PIN. Aceasta op<?>iune are sens numai pentru algoritmii
             de autentificare FIDO ecdsa-sk <?>i ed25519-sk.

     restrict
             Activeaza toate restric<?>iile, adica dezactiveaza
             redirec<?>ionarea porturilor, agen<?>ilor <?>i X11, precum <?>i
             dezactivarea alocarii PTY <?>i a executarii ~/.ssh/rc.  Daca in
             viitor vor fi adaugate capacita<?>i de restric<?>ionare la
             fi<?>ierele authorized_keys, acestea vor fi incluse in acest set.

     tunnel="n"
             For<?>eaza un dispozitiv tun(4) pe server. Fara aceasta
             op<?>iune, urmatorul dispozitiv disponibil va fi utilizat daca
             clientul solicita un tunel.

     user-rc
             Activeaza executarea ~/.ssh/rc dezactivata anterior de op<?>iunea
             restrict.

     X11-forwarding
             Permite redirec<?>ionarea X11 dezactivata anterior de op<?>iunea
             restrict.

     Un exemplu de fi<?>ier authorized_keys:

        # Comentariile sunt permise la inceputul liniei. Sunt permise liniile goale.
        # Cheie simpla, fara restric<?>ii
        ssh-rsa ...
        # Comanda for<?>ata, dezactiveaza PTY <?>i toate redirec<?>ionarile
        restrict,command="dump /home" ssh-rsa ...
        # Restric<?>ionarea destina<?>iilor de redirec<?>ionare ssh -L
        permitopen="192.0.2.1:80",permitopen="192.0.2.2:25" ssh-rsa ...
        # Restric<?>ionarea ascultatorilor ssh -R forwarding
        permitlisten="localhost:8080",permitlisten="[::1]:22000" ssh-rsa ...
        # Configura<?>ie pentru redirec<?>ionarea prin tunel
        tunnel="0",command="sh /etc/netstart tun0" ssh-rsa ...
        # Anularea restric<?>iei pentru a permite alocarea PTY
        restrict,pty,command="nethack" ssh-rsa ...
        # Permite utilizarea cheii FIDO fara a fi necesara interac<?>ionarea cu utilizatorul
        no-touch-required sk-ecdsa-sha2-nistp256@openssh.com ...
        # Solicita verificarea utilizatorului (de exemplu, PIN sau biometric)
        # pentru cheia FIDO
        verify-required sk-ecdsa-sha2-nistp256@openssh.com ...
        # Cheie CA de incredere, permite FIDO fara interac<?>ionarea cu utilizatorul daca
        # este solicitat in certificat
        cert-authority,no-touch-required,principals="user_a" ssh-rsa ...

FORMATUL FI<?>IERULUI SSH_KNOWN_HOSTS
     Fi<?>ierele /etc/ssh/ssh_known_hosts <?>i ~/.ssh/known_hosts con<?>in
     cheile publice ale gazdelor pentru toate gazdele cunoscute. Fi<?>ierul
     global trebuie pregatit de administrator (op<?>ional), iar fi<?>ierul per
     utilizator este men<?>inut automat: ori de cate ori utilizatorul se
     conecteaza la o gazda necunoscuta, cheia acesteia este adaugata la
     fi<?>ierul per utilizator.

     Fiecare linie din aceste fi<?>iere con<?>ine urmatoarele campuri: marcaj
     (op<?>ional), nume de gazda, tip de cheie, cheie codificata in baza 64,
     comentariu. Campurile sunt separate prin spa<?>ii.

     Marcajul este op<?>ional, dar daca este prezent, atunci trebuie sa fie
     unul dintre "@cert-authority", pentru a indica faptul ca linia con<?>ine
     o cheie de autoritate de certificare (CA), sau "@revoked", pentru a
     indica faptul ca cheia con<?>inuta pe linie este revocata <?>i nu trebuie
     acceptata niciodata. Pe o linie de cheie trebuie utilizat un singur
     marcaj.

     Numele de gazde este o lista de modele separate prin virgule (`*' <?>i
     `?' ac<?>ioneaza ca jokeri); fiecare model in parte este comparat cu
     numele de gazda. Atunci cand sshd autentifica un client, cum ar fi atunci
     cand utilizeaza HostbasedAuthentication, acesta va fi numele canonic al
     gazdei clientului. Atunci cand ssh(1) autentifica un server, acesta va fi
     numele de gazda dat de utilizator, valoarea ssh(1) HostkeyAlias daca a
     fost specificata, sau numele de gazda canonic al serverului daca a fost
     utilizata op<?>iunea ssh(1) CanonicalizeHostname.

     Un model poate fi, de asemenea, precedat de `!' pentru a indica negarea:
     daca numele de gazda se potrive<?>te cu un model negat, acesta nu este
     acceptat (de linia respectiva) chiar daca se potrive<?>te cu un alt model
     de pe linie. Un nume de gazda sau o adresa poate fi inclusa op<?>ional
     intre parantezele `[' <?>i `]', urmate apoi de `:' <?>i un numar de port
     nestandard.

     Alternativ, numele de gazde pot fi stocate intr-o format de suma de
     control care ascunde numele de gazde <?>i adresele in cazul in care
     con<?>inutul fi<?>ierului ar fi divulgat. Numele de gazde in format de
     suma de control incep cu un caracter `|'.  Un singur nume de gazda in
     format de suma de control poate aparea pe o singura linie <?>i nu poate
     fi aplicat niciunul dintre operatorii de negare sau de caractere joker de
     mai sus.

     Tipul de cheie <?>i cheia codificata in baza64 sunt preluate direct din
     cheia gazdei; acestea pot fi ob<?>inute, de exemplu, din
     /etc/ssh/ssh_host_rsa_key.pub.  Campul de comentariu op<?>ional continua
     pana la sfar<?>itul liniei <?>i nu este utilizat.

     Liniile care incep cu `#' <?>i liniile goale sunt ignorate ca comentarii.

     Atunci cand se efectueaza autentificarea gazdei, autentificarea este
     acceptata daca orice linie corespunzatoare are cheia corespunzatoare; fie
     una care corespunde exact, fie, daca serverul a prezentat un certificat
     pentru autentificare, cheia autorita<?>ii de certificare care a semnat
     certificatul. Pentru ca o cheie sa fie de incredere ca autoritate de
     certificare, aceasta trebuie sa utilizeze marcajul "@cert-authority"
     descris mai sus.

     Fi<?>ierul de gazde cunoscute ofera, de asemenea, posibilitatea de a
     marca cheile ca fiind revocate, de exemplu atunci cand se <?>tie ca cheia
     privata asociata a fost furata. Cheile revocate sunt specificate prin
     includerea marcajului "@revoked" la inceputul liniei cheii <?>i nu sunt
     niciodata acceptate pentru autentificare sau ca autorita<?>i de
     certificare, ci vor produce un avertisment din partea ssh(1) atunci cand
     sunt intalnite.

     Este permis (dar nu recomandat) sa existe mai multe linii sau chei de
     gazda diferite pentru acelea<?>i nume. Acest lucru se va intampla in mod
     inevitabil atunci cand formele scurte ale numelor de gazda din domenii
     diferite sunt introduse in fi<?>ier. Este posibil ca fi<?>ierele sa
     con<?>ina informa<?>ii contradictorii; autentificarea este acceptata daca
     pot fi gasite informa<?>ii valide in oricare dintre fi<?>iere.

     Re<?>ine<?>i ca liniile din aceste fi<?>iere sunt de obicei lungi de sute
     de caractere <?>i cu siguran<?>a nu dori<?>i sa introduce<?>i cheile de
     gazda de mana. Mai degraba, genera<?>i-le printr-un script,
     ssh-keyscan(1) sau luand, de exemplu, /etc/ssh/ssh_host_rsa_key.pub <?>i
     adaugand numele de gazda in fa<?>a.  ssh-keygen(1) ofera, de asemenea, o
     editare automata de baza pentru ~/.ssh/known_hosts, inclusiv eliminarea
     gazdelor care corespund unui nume de gazda <?>i convertirea tuturor
     numelor de gazda in reprezentarile lor de suma de control.

     Un exemplu de fi<?>ier ssh_known_hosts:

        # Comentarii permise la inceputul liniei
        cvs.example.net,192.0.2.10 ssh-rsa AAAA1234.....=
        # Un nume de gazda in format suma de control
        |1|JfKTdBh7rNbXkVAQCRp4OQoPfmI=|USECr3SWf1JUPsms5AqfD5QfxkM= ssh-rsa
        AAAA1234.....=
        # O cheie revocata
        @revoked * ssh-rsa AAAAB5W...
        # O cheie CA, acceptata pentru orice gazda din *.mydomain.com sau *.mydomain.org
        @cert-authority *.mydomain.org,*.mydomain.com ssh-rsa AAAAB5W...

FI<?>IERE
     ~/.hushlogin
             Acest fi<?>ier este utilizat pentru a suprima imprimarea ultimei
             autentificari <?>i /etc/motd, daca sunt activate PrintLastLog
             <?>i, respectiv, PrintMotd.  Aceasta nu suprima afi<?>area
             anun<?>ului specificat de Banner.

     ~/.rhosts
             Acest fi<?>ier este utilizat pentru autentificarea bazata pe
             gazda (consulta<?>i ssh(1) pentru mai multe informa<?>ii). Pe
             unele ma<?>ini, este posibil ca acest fi<?>ier sa trebuiasca sa
             poata fi citit de toata lumea daca directorul personal al
             utilizatorului este pe o parti<?>ie NFS, deoarece sshd il
             cite<?>te ca root. In plus, acest fi<?>ier trebuie sa fie
             de<?>inut de utilizator <?>i nu trebuie sa aiba permisiuni de
             scriere pentru nimeni altcineva. Permisiunea recomandata pentru
             majoritatea ma<?>inilor este de citire/scriere pentru utilizator
             <?>i neaccesibila altor persoane.

     ~/.shosts
             Acest fi<?>ier este utilizat exact in acela<?>i mod ca .rhosts,
             dar permite autentificarea bazata pe gazda fara a permite
             autentificarea cu rlogin/rsh.

     ~/.ssh/
             Acest director este loca<?>ia implicita pentru toate
             informa<?>iile de configurare <?>i autentificare specifice
             utilizatorului. Nu exista nicio cerin<?>a generala de a pastra
             secret intregul con<?>inut al acestui director, dar permisiunile
             recomandate sunt de citire/scriere/executare pentru utilizator
             <?>i neaccesibil pentru al<?>ii.

     ~/.ssh/authorized_keys
             Listeaza cheile publice (ECDSA, Ed25519, RSA) care pot fi
             utilizate pentru conectarea ca utilizator. Formatul acestui
             fi<?>ier este descris mai sus. Con<?>inutul fi<?>ierului nu este
             extrem de sensibil, dar permisiunile recomandate sunt de
             citire/scriere pentru utilizator <?>i neaccesibile altor
             persoane.

             Daca acest fi<?>ier, directorul ~/.ssh sau directorul personal al
             utilizatorului pot fi scrise de al<?>i utilizatori, fi<?>ierul
             poate fi modificat sau inlocuit de utilizatori neautoriza<?>i. In
             acest caz, sshd nu va permite utilizarea acestuia decat daca
             op<?>iunea StrictModes a fost stabilita la "no".

     ~/.ssh/environment
             Acest fi<?>ier este citit in mediu la autentificare (daca
             exista). Acesta poate con<?>ine numai linii goale, linii de
             comentariu (care incep cu `#') <?>i linii de atribuire de forma
             nume=valoare. Fi<?>ierul trebuie sa poata fi scris numai de catre
             utilizator; nu trebuie sa poata fi citit de nimeni altcineva.
             Procesarea mediului este dezactivata implicit <?>i este
             controlata prin intermediul op<?>iunii PermitUserEnvironment.

     ~/.ssh/known_hosts
             Con<?>ine o lista de chei de gazda pentru toate gazdele la care
             utilizatorul s-a conectat <?>i care nu sunt deja in lista de chei
             de gazda cunoscute la nivel de sistem. Formatul acestui fi<?>ier
             este descris mai sus. Acest fi<?>ier ar trebui sa poata fi scris
             numai de catre root/proprietar <?>i poate, dar nu este necesar,
             sa poata fi citit de toata lumea.

     ~/.ssh/rc
             Con<?>ine rutinele de ini<?>ializare care trebuie executate
             inainte ca directorul personal al utilizatorului sa devina
             accesibil. Acest fi<?>ier trebuie sa poata fi scris numai de
             catre utilizator <?>i nu trebuie sa poata fi citit de nimeni
             altcineva.

     /etc/hosts.equiv
             Acest fi<?>ier este pentru autentificarea bazata pe gazda (a se
             vedea ssh(1)).  Ar trebui sa poata fi scris numai de catre root.

     /etc/ssh/moduli
             Con<?>ine grupurile Diffie-Hellman utilizate pentru metoda de
             schimb de chei ,,Diffie-Hellman Group Exchange". Formatul
             fi<?>ierului este descris in moduli(5).  Daca nu se gasesc
             grupuri utilizabile in acest fi<?>ier, atunci se vor utiliza
             grupurile interne fixe.

     /etc/motd
             A se vedea motd(5).

     /etc/nologin
             Daca acest fi<?>ier exista, sshd refuza sa permita oricarei
             persoane, cu excep<?>ia utilizatorului root, sa se conecteze.
             Con<?>inutul fi<?>ierului este afi<?>at oricarei persoane care
             incearca sa se conecteze, iar conexiunile non-root sunt refuzate.
             Fi<?>ierul trebuie sa poata fi citit de toata lumea.

     /etc/ssh/shosts.equiv
             Acest fi<?>ier este utilizat exact in acela<?>i mod ca
             hosts.equiv, dar permite autentificarea pe baza de gazda fara a
             permite autentificarea cu rlogin/rsh.

     /etc/ssh/ssh_host_ecdsa_key
     /etc/ssh/ssh_host_ed25519_key
     /etc/ssh/ssh_host_rsa_key
             Aceste fi<?>iere con<?>in par<?>ile private ale cheilor de gazda.
             Aceste fi<?>iere ar trebui sa fie de<?>inute numai de root, sa
             poata fi citite numai de root <?>i sa nu fie accesibile altor
             persoane. Re<?>ine<?>i ca sshd nu porne<?>te daca aceste
             fi<?>iere sunt accesibile grupului/ lumii.

     /etc/ssh/ssh_host_ecdsa_key.pub
     /etc/ssh/ssh_host_ed25519_key.pub
     /etc/ssh/ssh_host_rsa_key.pub
             Aceste fi<?>iere con<?>in par<?>ile publice ale cheilor gazdei.
             Aceste fi<?>iere ar trebui sa poata fi citite de toata lumea, dar
             sa poata fi scrise numai de catre root. Con<?>inutul lor trebuie
             sa corespunda par<?>ilor private respective. Aceste fi<?>iere nu
             sunt utilizate cu adevarat pentru nimic; ele sunt furnizate
             pentru confortul utilizatorului, astfel incat con<?>inutul lor sa
             poata fi copiat in fi<?>iere gazda cunoscute. Aceste fi<?>iere
             sunt create utilizand ssh-keygen(1).

     /etc/ssh/ssh_known_hosts
             Lista la nivel de sistem a cheilor de gazda cunoscute. Acest
             fi<?>ier trebuie pregatit de administratorul sistemului pentru a
             con<?>ine cheile publice de gazda ale tuturor echipamentelor din
             organiza<?>ie. Formatul acestui fi<?>ier este descris mai sus.
             Acest fi<?>ier trebuie sa poata fi scris numai de catre
             root/proprietar <?>i trebuie sa poata fi citit de toata lumea.

     /etc/ssh/sshd_config
             Con<?>ine date de configurare pentru sshd.  Formatul fi<?>ierului
             <?>i op<?>iunile de configurare sunt descrise in sshd_config(5).

     /etc/ssh/sshrc
             Similar cu ~/.ssh/rc, acesta poate fi utilizat pentru a specifica
             ini<?>ializarile de conectare specifice ma<?>inii la nivel
             global. Acest fi<?>ier ar trebui sa poata fi scris numai de catre
             root <?>i ar trebui sa poata fi citit de toata lumea.

     /usr/share/empty.sshd
             Directorul chroot(2) utilizat de sshd in timpul separarii
             privilegiilor in faza de pre-autentificare. Directorul nu trebuie
             sa con<?>ina niciun fi<?>ier <?>i trebuie sa fie de<?>inut de
             root <?>i sa nu poata fi scris de grup sau de al<?>ii.

     /run/sshd.pid
             Con<?>ine ID-ul procesului sshd care asculta conexiunile (in
             cazul in care exista mai mul<?>i demoni care ruleaza concomitent
             pentru porturi diferite, acesta con<?>ine ID-ul procesului celui
             pornit ultima data). Con<?>inutul acestui fi<?>ier nu este
             sensibil; el poate fi citit de toata lumea.

CONSULTA<?>I <?>I
     scp(1), sftp(1), ssh(1), ssh-add(1), ssh-agent(1), ssh-keygen(1),
     ssh-keyscan(1), chroot(2), login.conf(5), moduli(5), sshd_config(5),
     inetd(8), sftp-server(8)

AUTORI
     OpenSSH este un derivat al versiunii originale <?>i libere ssh 1.2.12 de
     Tatu Ylonen. Aaron Campbell, Bob Beck, Markus Friedl, Niels Provos, Theo
     de Raadt <?>i Dug Song au eliminat multe erori, au adaugat caracteristici
     noi <?>i au creat OpenSSH. Markus Friedl a contribuit la suportul pentru
     versiunile 1.5 <?>i 2.0 ale protocolului SSH. Niels Provos <?>i Markus
     Friedl au contribuit la suportul pentru separarea privilegiilor.

TRADUCERE
     Traducerea in limba romana a acestui manual a fost facuta de Remus-
     Gabriel Chelu <remusgabriel.chelu@disroot.org>

     Aceasta traducere este documenta<?>ie gratuita; citi<?>i Licen<?>a
     publica generala GNU Versiunea 3:
     https://www.gnu.org/licenses/gpl-3.0.html sau o versiune ulterioara cu
     privire la condi<?>ii privind drepturile de autor.  NU se asuma NICIO
     RESPONSABILITATE.

     Daca gasi<?>i erori in traducerea acestui manual, va rugam sa trimite<?>i
     un e-mail la translation-team-ro@lists.sourceforge.net

Linux 6.18.6-arch1-1    $Mdocdate: 15 septembrie 2024 $   Linux 6.18.6-arch1-1