OpenSSH 4.0

OpenBSD

Hamarosan kiadásra kerül az OpenSSH új verziója, legalábbis ez derül ki abból az OpenBSD CVS logból, amelyet Darren Tucker az imént commitolt a www modulba.Ez a kiadás javít jópár apró hibát és néhány új funkciót is tartalmaz. Egyik ezek közül az a feature, amelynek köszönhetően végre hashelve tárolhatók el a címek a known_hosts fileba. Ennek köszönhetően egy kompromitált rendszeren a támadó nehezebben tud 'ötleteket' szerezni arról, hogy milyen irányba próbálkozzon tovább. (Bár szerény véleményen szerint az IP címeket így is brute force megoldással kilehet majd deríteni, illetve dictionary attack segítségével a hostokat is).

A kiadásról bővebben itt.

A fileok már elérhetők az FTP-n:

openssh-4.0.tgz openssh-4.0.tgz.md5 openssh-4.0p1.tar.gz openssh-4.0p1.tar.gz.sig

ruczati wrote:
> viszont az ellen ved, hogy ha tobb hostod van ua cimmel, akkor ne tudd
> egyszeruen kidongetni a known_hosts-bol, ha mammog, hogy man-in-the-middle
> attakk.
Ezt mondjuk igazán kikapcsolhatóvá tehetnék.

Rendszeresen ssh-zok localhostra (port forward) és persze mindig más gép
van mögötte...

Gabucino wrote:
>>Ezt mondjuk igazán kikapcsolhatóvá tehetnék.
>>Rendszeresen ssh-zok localhostra (port forward) és persze mindig más gép
>>van mögötte...
> Jobb ssh kliensek (pl ssh.com) port-tal egyutt taroljak el.
Na és persze mindig ugyanarra a portra szoktam forwardolni :)

Azt hiszem megér egy hacket a forrásban, hogy localhostra ne csináljon
kulcs ellenőrzést...

In article <42.38975@c.hup.hu>, Nagy Attila wrote:
>> Jobb ssh kliensek (pl ssh.com) port-tal egyutt taroljak el.
> Na és persze mindig ugyanarra a portra szoktam forwardolni :)

Azert legalabb ennyi kreativitast elvarnek :)


> Azt hiszem megér egy hacket a forrásban, hogy localhostra ne csináljon
> kulcs ellen?rzést...

Nem-e egyszerubb ha inkabb kulon portokra forwardolsz 1-1 gepet, es ugy
legalabb +1 layer of prot.? :)

--
Bérczi Gábor
/Gabu/

Gabucino wrote:
>>Na és persze mindig ugyanarra a portra szoktam forwardolni :)
> Azert legalabb ennyi kreativitast elvarnek :)
Ezek "ad-hoc" jellegű dolgok.

Van mondjuk egy gép, amin keresztül el tudok érni egy másikat, azonban
nem bízom abban, amin keresztül megyek, így agent forwardingot nem
használok.

A megoldás az, hogy belépek rá, forwardolom a célgép 22-es portját
mondjuk localhost 1212-re és belépek arra. Életemben nem fogom tudni
megjegyezni, hogy x. gépre 1212-t, y. gépre 1213-at és így tovább
használjak :)

> Nem-e egyszerubb ha inkabb kulon portokra forwardolsz 1-1 gepet, es ugy
> legalabb +1 layer of prot.? :)
Nem, mert itt nem állandó, csak eseti dolgokról van szó.

Maradok a hackelésnél :)

Micskó Gábor wrote:
>>Maradok a hackelésnél :)
> Esetleg az nem jutott eszedbe, hogy az OpenBSD ``nagy forgalmu'' listajan
> felvesd ezt a dolgot megfeleloen megindokolva, es kerd oket ennek tukreben,
> hogy ki lehessen kapcsolni igeny szerint? :-)
Nem, még nem, de az ötlet teljesen szabadon felhasználható :)

( antiemes | 2005. 03. 09., sze – 17:31 )

Hi!

IP cimeknel a hasheles nem ved meg semmitol. Pl. egy 8 karakteres jelszot siman fel lehet torni brute-force-szal. Mondjuk legyen 64fele karakter. Ez 64^8=2^48 lehetoseg. IPv4-es IPcimeknel 2^32 lehetoseg van csak, ami nagysagrendekkel kevesebb. Mondjuk ha egy 8betus jelszo feltorese egy het (tul. keppen kb. 3 nap alatt megvan), akkor egy IPcim kitalalasa kb. 4 perc.

Szoval 'Azellen nem véd!'.

By(t)e

TBS::Antiemes