znaczacy > comp.* > comp.security

Tomasz Rojek (16.12.2003, 15:10)
Witam,

Na ile bezpieczne jest takie rozwiązanie jak w temacie? Jak mają się do ww
pomysłu dziury w ssh?
Rafal Skoczylas (16.12.2003, 15:53)
On Tue, 16 Dec 2003 14:10:57 +0100 Tomasz Rojek wrote:
> Na ile bezpieczne jest takie rozwiązanie jak w temacie?


Z punktu widzenia bezpieczenstwa rozumianego jako autoryzacja, zapewnienie
integralnosci sesji, itp. jest co najmniej tak samo bezpieczne jak
autoryzacja haslem.
Natomiast z punktu widzenia ewentualnych, nazwijmy to, przypadkow
losowych (np. zgubienie klucza, etc.) moze sie okazac, ze zamkniecie
innych drog dostepu nie bylo dobrym pomyslem.

> Jak mają się do ww pomysłu dziury w ssh?


W szczególnych przypadkach może się okazać, że np. blokując autoryzację za
pomocą haseł, unikasz jakichś dziur[1], ale w ogólności nie należy tego
traktować jako sposób na zabezpieczenie[2].

[1] akurat autoryzacja za pomoca hasel wydaje sie być tą częscią pakietu,
w której dziur bym się najmniej spodziewał, ale ciii, nie mów nikomu, bo
się wyprę że to mówiłem ;)
[2] ewentualnie jako dodatek.

nils.
Tomasz Rojek (16.12.2003, 17:37)
A co ograniczeniem logowania przez ssh tylko dla jednego usera (o jakiejś
tam nietypowej nazwie) - na ile jest to trudne do obejścia dla atakującego?
Tomek (16.12.2003, 18:22)
> A co ograniczeniem logowania przez ssh tylko dla jednego usera (o jakiejś
> tam nietypowej nazwie) - na ile jest to trudne do obejścia dla atakującego?


A jesteś pewien, że do Twojego komputera nie da się dostać inaczej niż
poprzez dziurę w ssh ???
Jesli ktos dostanei się przez dziurę w w2k lub Linuxie to całe
zabezpieczenia ssh padają.

Wiadomo, że jeśli nazwiesz uzytkownika xyz zamiast admin to masz już z głowy
80% głupich programów, które jadą po liście loginów + haseł i próbują się
logować (warto może jakieś blokady na IP lub usera zakładać po kilku
nieudanych próbach!). Pomysł z kluczem jest dobry, ale klucz+hasło jest
lepszy. No i trzymaj klucz prywatny zaszyfrowany.

Tą dziura w ssh nie zawracaj sobie głowy. Po prostu dbaj o uaktualnienia.
Jeśli przechowujesz na koncie dane wojskowe to i tak to nie wystarczy. Jeśli
jakieś istotne dane to po prostu rób backup. Chyba nie wymyślono jeszcze
metody na dziurawe oprogramowanie.

Pozdrawiam
Tomek
Artur M. Piwko (16.12.2003, 21:55)
[Adresy w nagłówkach to mielona pułapka. Jeśli chcesz odpisać,]
[odpisz via nntp, na cGlwZW4=(at)beast.tu.kielce.pl lub wcale.]

In the darkest hour on Tue, 16 Dec 2003 17:22:22 +0100,
Tomek <bazgrusPRoSZE_BeZ_SPAMeRSTWA> screamed:
> Tą dziura w ssh nie zawracaj sobie głowy. Po prostu dbaj o uaktualnienia.
> Jeśli przechowujesz na koncie dane wojskowe to i tak to nie wystarczy. Jeśli
> jakieś istotne dane to po prostu rób backup. Chyba nie wymyślono jeszcze
> metody na dziurawe oprogramowanie.


Pośrednio wymyślono. Przykład: lsm bądź grsec.

Artur
Tomasz Rojek (17.12.2003, 09:39)
> A jesteś pewien, że do Twojego komputera nie da się dostać inaczej niż
> poprzez dziurę w ssh ??? A jeśli jestem pewien? :-)


> Jesli ktos dostanei się przez dziurę w w2k lub Linuxie to całe
> zabezpieczenia ssh padają.

Rozważ przypadek, kiedy ssh jest _jedyną_ widoczną dla świata usługą z kompa
"siedzącego" w internecie.

> Wiadomo, że jeśli nazwiesz uzytkownika xyz zamiast admin to masz już z głowy
> 80% głupich programów, które jadą po liście loginów + haseł i próbują się
> logować (warto może jakieś blokady na IP lub usera zakładać po kilku
> nieudanych próbach!). Pomysł z kluczem jest dobry, ale klucz+hasło jest
> lepszy. No i trzymaj klucz prywatny zaszyfrowany. Tak też robię - klucz to jedno, ale hasło na niego to dwa.


> Tą dziura w ssh nie zawracaj sobie głowy. Po prostu dbaj o uaktualnienia.

Właśnie o to pytam - czy były takie dziury (nie mam zielonego pojęcia...),
które umożliwiałyby włam na serwer przez ssh, które byłoby skonfigurowane
tak jak proponuję: login dla jednego niestandardowego (jeśli chodzi o nazwę)
usera tylko po kluczu (a klucz chroniony hasłem)?

> Jeśli przechowujesz na koncie dane wojskowe to i tak to nie wystarczy.

Nie pracuję w wojsku :-) ale też nie chcę żadnych nadprogramowych gości na
tej maszynie.
Konrad Stepien (17.12.2003, 16:13)
Tomasz Rojek <tiroy> napisał(a):
[..]
Mariusz Czopinski (17.12.2003, 17:52)
Użytkownik "Konrad Stepien" <konrad> napisał :
> >> Tą dziura w ssh nie zawracaj sobie głowy. Po prostu dbaj o uaktualnienia.

> > Właśnie o to pytam - czy były takie dziury (nie mam zielonego pojęcia...),
> > które umożliwiałyby włam na serwer przez ssh, które byłoby skonfigurowane
> > tak jak proponuję: login dla jednego niestandardowego (jeśli chodzi o nazwę)
> > usera tylko po kluczu (a klucz chroniony hasłem)?

> Tak były. Powiem więcej, większość była właśnie taka.

Bardzo czesto sa wypuszczane patch'e na openssh latajace nowo odkryte
dziury.

___________________________________
Pozdrawiam
Mariusz Czopinski
Tomek (17.12.2003, 20:14)
> > Tą dziura w ssh nie zawracaj sobie głowy. Po prostu dbaj o uaktualnienia.
> Właśnie o to pytam - czy były takie dziury (nie mam zielonego pojęcia...),
> które umożliwiałyby włam na serwer przez ssh, które byłoby skonfigurowane
> tak jak proponuję: login dla jednego niestandardowego (jeśli chodzi o nazwę)
> usera tylko po kluczu (a klucz chroniony hasłem)?


Z tego, co pamiętam to były jakieś dziury i to nawet poważne. Ale jakoś nie
widze, zeby wszyscy się przerzucali na inne oprogramowanie. Z tego wniosek,
że oprogramowanie jest łatane na bieżąco. Zawsze możesz zajrzeć na
i przejrzeć co piszą o ssh.

Pozdrawiam
Tomek
Konrad Stepien (17.12.2003, 20:39)
Mariusz Czopinski <mczopins> napisał(a):
> Użytkownik "Konrad Stepien" <konrad> napisał :
> uaktualnienia.
> pojęcia...),
> skonfigurowane
> nazwę)
> Bardzo czesto sa wypuszczane patch'e na openssh latajace nowo odkryte
> dziury.

Konkretnie są wypuszczane tak często, jak często znajdują dziurę.
Czyli swego czasu bardzo często :-)
Tomasz Rojek (18.12.2003, 16:58)
> Konkretnie są wypuszczane tak często, jak często znajdują dziurę.
Podobne wątki