Newsgroup: it.comp.os.linux.iniziare
Titolo: ssh supersicuro

Vorrei mettere una ulteriore protezione alla mia connessione.
E' noto che con ssh i dati passano criptati anche e soprattutto la
password.
E' vero anche che pero' qualcuno potrebbe venire a conoscerla in altri
modi (magari perche' e' riuscito a vederti mentre la digitavi o
chissache'. Insomma, diamo per buono che qualcuno sia riuscito a
scoprirla.
Cio' si puo' evitare con l'autenticazione rsa/dsa.
Genero una chiave sul mio pc e la metto nell'authorized file.
Fin qui ok, se qualcuno scopre la password non potra' accedere se non si
trova dalla mia macchina.
Pero' con questo tipo di autenticazione non mi chiede password; cosa
succede se qualcuno riesca ad impossessarsi della mia workstation per
qualche minuto?
Chiaro, entra tranquillamente.
Mi ribbatterete che se non sono stupido locchero' sempre la mia WS,
mettero' sia al server che alla ws delle password decenti...
Si, ma un momento di distrazione succede (e poi diglielo ai
programmatori di non usare password come pippo o nomeutente e di non
comunicarle via e-mail).
Si puo' allora configurare l'sshd in modo di accettare non
O rsa/dsa O password, ma solo
E rsa/dsa E password. 
In pratica l'autenticazione avverrebbe se e solo se mi trovo sul mio pc
e conosco la password.
(certo che se poi scoprono SIA la password del server, SIA quella della
ws e riescono ad impossessarsi della postazione... allora sono veramente
troppo stupido io)
Si puo'?
Matteo
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 Cio' si puo' evitare con l'autenticazione rsa/dsa.
No. Cio' e' peggio perche' non autentichi la persona, ma il computer.
L'assoluta sicurezza non esiste. Scegliti una buona password e
cambiala spesso.
Davide

 Matteo
Quando generi la tua chiave privata ti viene chiesto di inserire una
password, in questo modo solo se ti trovi sul tuo PC cioč se hai la tua
chiave privata e conosci la chianěve privata puoi accedere.
Se al momento della generazione della tua chiave privata non inserisci
nessuna pwd allora puoi incorrere nel problema descritto
Ciao 
Giuseppe
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 e conosco la password.
Non e` esattamente quel che chiedi, ma butta un'occhio sull'opzione -p
(e -N e -P) di ssh-keygen.
-- 
 Francesco Romani - Ikitt  | Describe your vision, the meaning is missing |
*** mailserver: 
freemail.it
| Won't anybody listen?                        |

 password.


Grazie dei consigli sulla passphrase, in effetti ci ho pensato poco
dopo.
Le chiavi le costruisco ormai meccanicamente con l'opzione -N "", poi ci
ho pensato.
Per quanto riguarda la scelta delle password, per far capire agli utenti
di non mettere pippo come password, di non mettere "remember password" 
sul suo terminale windows, di non usare windows 98... a un centinaio di
persone, bisognerebbe fare solo un bel trapianto di cervello.
A proposito di chiave pubblica/privata. Se io genero una chiave, se
questa
viene messa su un'altra macchina, funziona o la chiave privata e' legata
alla macchina (per evitare furti di chiavi...)?
E a proposito di login sicuri, possono avvenir cryptati i login di samba
e di squid?


 persone, bisognerebbe fare solo un bel trapianto di cervello.
Posso consigliarti 
http://soft-land.org/storie/2002/story12.html
 ?
Davide

 alla macchina (per evitare furti di chiavi...)?
AFAIK la chiave privata che sta sul client vale ovunque la si sposti.
Ma non ho esperienza diretta in merito


 
gia' letto e straletto (non vedo l'ora che viene il lunedi' per leggere
le
altre) e mentre scrivevo il primo post lo scrivevo propio pensando a
quella storia... o almeno non ho controllato, ma credo che ti riferisca
a quella del furto del portatile, giusto?)


> AFAIK la chiave privata che sta sul client vale ovunque la si sposti.
Peccato.


 a quella del furto del portatile, giusto?)
Esatto.
Davide

 Ma non ho esperienza diretta in merito
Mmmh, secondo me bisognerebbe anche cambiare il nome della macchina e
dell'utente per riflettere quelli insiti nella chiave, ma anch'io non
ho esperienz... aspetta che provo
...
No, senza cambiare nome non va... ora non ho voglio di cambiare nome
alla macchina (e l'utente nel mio caso ha lo stesso nome), chissa' se
basta quello?
-- 
Sono un servitore del Fuoco Segreto, e reggo la fiamma di Anor.
A nulla ti servira' il fuoco oscuro, fiamma di Udun.
Torna nell'Ombra! Non puoi passare.