Выявление сессий по ключу SSH

Входы

Когда к одному логину на сервере приходится давать доступ нескольким персоналиям (например, разным разработчикам к логину webmaster для работы с сайтом), хотелось бы понимать, кто именно, откуда и когда входил.

И это далеко не столь сложно, как может представляться, поскольку в журнал SSHd сыплются в т.ч. сообщения формата:

<дата> <время> <хост назначения> <демон[пид]> Accepted publickey for <логин> from <IP-адрес> port <номер> ssh2: <алгоритм ключа> <контрольная сумма ключа>

В то же время, чек-суммы ключей для допущенных пользователей…

• можно получить командой ssh-keygen -E SHA256 -lf ~/.ssh/authorized_keys из указанного в ней файла, где они хранятся в виде:

  ssh-<алгоритм> <публичный ключ> <его владелец>

• и сопоставить их со входами этих пользователей.

Набросал для этих целей скриптец:

развернуть/usr/local/bin/sswho

#!/bin/bash USER=${1:-admin} # умолчальный юзер, если не задан иной. KEYS=`eval echo ~$USER`/.ssh/authorized_keys # ключ-файл. UNIT=ssh case `awk -F= '/^NAME/{gsub("\"","");print $2}' /etc/os-release` in ALT*) UNIT+=d;; esac case $LANG in ru*)printf " Дата Время Логин Откуда Чей ключ\n";; *) printf " Date Time Login Where from Key owner\n" esac ## В старых линуксах лучше делать так: readarray -t LOGINS < <(journalctl -o short-iso -u $UNIT | \ awk '/Accepted publickey/{sub("ROOT USER","");print $1,$7,$9,$14}') for ((i=0;i<${#LOGINS[@]};i++)); do LINE=(${LOGINS[$i]}) DATE=${LINE[0]%+*} OWNER=`ssh-keygen -E SHA256 -lf $KEYS | grep "${LINE[3]}" | cut -d' ' -f3` printf "${DATE/T/ } %-10s %-15s $OWNER\n" ${LINE[1]} ${LINE[2]} done

Вывод выглядит так:

     Дата     Время   Логин      Откуда          Чей ключ
год-мес-день ЧЧ:ММ:СС логин      ип.ад.ре.с      владелец@ключа
...
год-мес-день ЧЧ:ММ:СС логин      ип.ад.ре.с      владелец@ключа

Выходы

Куда сложней обстоит дело с завершением таких сеансов ввиду перманентной долбёжки ботами, войти которые не могут (не только ввиду отключённого парольного доступа, но их ещё и fail2ban за настырность блокирует), однако выходить после неудач вынуждены — что журналируется, забивая выходы «честных бродяг».

Посему длительность сессии приходится прикидывать наугад, выявляя глазами логауты, ближайшие под логином по ключу.

Можно ещё поискать awk '/Received disconnect/' по совпадающим адресу и номеру порта, но сколько времени займёт такой поиск — угадать крайне затруднительно.

Обратная связь

• @gbIMoBou
• Другие статьи