升級到 Ubuntu 10.04 後，發生無法使用公私錀登入問題

Ubuntu 10.04 對我而言，最大的優點是內建了家目錄加密的功能。然而在實際使用上，才發現這與我預期的有一段落差，只是這個落差是當初我沒想清楚所造成的。

原本，我以為用了家目錄加密後，一般使用者可以不怕檔案被 root 看光光，但這是錯的，創建帳號的管理員一開始就可以備份「加密錀匙」，所以就算一般使用者登入後更換密碼，也不會重新製作一把「加密錀匙」，所以更換密碼的動作，只把「加密錀匙」用另一組密碼保存起來，帳號管理員一樣可用之前所保存的「加密錀匙」還原檔案。除非，使用者更換「加密錀匙」(但很麻煩，也需要系統權限)，或是一開始，就不要帳號管理員設定「家目錄加密」功能，而是使用者自己作「目錄加密」的動作。

原本，我以為不打「登入密碼」，就看不到家目錄，但這是錯的，只要該使用者登入後有掛載該目錄，其他人就可以透過權限驗證方式來觀看，因為該使用者已將目錄解密了。

原本，我以為一般人可以在自己的家目錄執行網頁程式而不被其他人知道他搞了什麼網站，只要 apache 設定檔有設定 Include /home/xxx/self.conf 之類的語法即可，但這是錯的。家目錄既然已加密，那 apache daemon 就沒辦法進到網頁程式的目錄，又如何執行它們。

嚴格的說，這個家目錄加密功能，只能用在其他人無法使用光碟開機或是重灌系統來獲取硬碟資料，就只是這樣而已，而這功能，我的 IBM Thinkpad 用硬碟密碼就作到了，我白玩了。但這一切都是我自己先想錯了呀!

而且在使用此功能還發生一件非常烏龍的鳥事，就是無法使用公私錀登入，因為公錀資料夾是放在家目錄的，既然它被加密了，那 ssh daemon 又如何拿到公錀來驗證呢! 解法很簡單，在 /etc/ssh/sshd_config 中，設定

AuthorizedKeysFile /home/ssh-keys/%u/authorized_keys2

即可，也就是將使用者公錀放到沒被加密的資料夾。解法很簡單，但我卻搞了兩天，因為我在 sshd_config 中寫的是

AuthorizedKeysFile /home/ssh-keys/%u/authorized_keys

，但在資料夾中放的是 authorized_keys2 。一個 2 ，我看了 2 天，才發現不一樣。這就是人生呀!