Newsgroup: it.comp.os.linux.iniziare
Titolo: ssh

Ciao,
vorrei configurare un server in modo che accetti connessioni in ingresso
tramite ssh solo ed esclusivamente da un altro pc (il portatile) e neghi
l'accesso a chiunque altro si presenti.
sapete se č possibile/come farlo?
10x
Lestat de Lioncourt
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 sapete se č possibile/come farlo?
Configurati il firewall in modo acconcio.
Davide
-- 
| Where do you want Bill Gates to go today?     -- From a Slashdot.org
| post 

> Configurati il firewall in modo acconcio.
ehm, probl il mio post non era completo:
server con ip dinamico (ADSL) e notebook anche (pstn, gprs, proxy
aziendale o altro)
più che filtraggio IP avevo in mente qualcosa tipo "registrare" la chiave
ssh del portatile sul server (e viceversa) e configurare il server in modo
da accettare solo la chiave del portatile. su quest'ultimo invece posso
verificare che la chiave del server sia corratta (per evitare intrusioni
tipo man in the middle o altro).
sto leggendo la domentazione ma se non è realizzabile cambio strada...
Lestat


 aziendale o altro)
Forse è una cavolata, ma ti potrebbe funzionare: sul portatile ti 
registri un dominio tipo su 
www.dyndns.org
 e fai in modo che si aggiorni 
automaticamnte con il tuo ip dinamico con programmini tipo ez-ipupdate. 
A questo punto configuri il firewall del tuo server in modo che accetti 
connessioni solo dal domnio da te creato. Dovrebbe funzionare!
-- 
Ciao, Torre
Happy SuSE User
Linux Registered User #340153
http://www.torre.homelinux.net

la verifica sul nome di dominio mi sembra un po' debole... quella coi
certificati di ssh credo sia più sicura, se solo riuscissi a
implementarla...


 implementarla...
Innanzitutto  penso  che un  nome  di  dominio  tipo dyndns  ti  serva
comunque, ma non sul portatile,  bensi' sull'ADSL di casa.  Se no come
speri di  contattarla, tutte le volte  che esci ti segni  l'IP e speri
che non cambi nel frattempo?  ;-)
E  comunque, per  ssh il  discorso  e' abbastanza  semplice.  (ora  ti
scrivero' i  comandi senza verificare esattamente  i parametri, dovrai
poi verificare e correggere aiutandoti con le manpage)
Portatile:
ssh-keygen -type dsa
(scegli una  passphrase -nulla- se  non vuoi digitarla tutte  le volte
che ti connetti)
Quindi ti viene creata la chiave pubblica in ~/.ssh/id_dsa.pub
Copi la chiave pubblica appena generata sul server e la ``appendi'' al
file ~/.ssh/authorized_keys (o authorized_keys2, ora non ricordo).
L'autenticazione a  chiave pubblica dovrebbe gia'  funzionare, se vuoi
disabilitare  gli  altri  metodi  di autenticazione  agisci  sul  file
/etc/ssh/sshd_config (vedi il suo manuale).
HTH, ciao.
-- 
Vuoi fare colpo su di lei con me?
Fai colpo su di lei con me! Fai colpo su di lei con me!
[Dr. Gonzo : Paura e delirio a Las Vegas]

  ssh-keygen -type dsa
ci sono motivi in particolare per preferire dsa a rsa?
IIRC sulla doc non ho triovato nessun motivo eclatante...
Semplice curiosita`, eh :)
-- 
Francesco Romani - Ikitt   (signature under [re]construction)

 ci sono motivi in particolare per preferire dsa a rsa?
Uhm,  stiamo parlando di  crittografia, se  avessi fatto  l'esame ieri
penso  che potrei  spiegarti  decisamente  meglio la  cosa,  ma ne  e'
passato di tempo...
Ho trovato questi link, se ti interessa l'argomento:
http://snipurl.com/3rso
http://snipurl.com/3rt0
In pratica  (cioe' se non hai  segreti militari da  proteggere) non ci
sono  differenze.  Quello  che ho  visto  ora cercando  con google  e'
questo: DSA ha  alcuni vantaggi tipo velocita' di  criptazione e firme
piu' piccole.  Pero'  e' anche piu' pericoloso visto  che la sua forza
e' la stessa forza della  capacita' del sistema operativo che utilizzo
di creare numeri  veramente casuali.  [1] Se hai  un sistema operativo
forte nella generazione di numeri pseudo casuali usa dsa, se invece il
sistema fa pena (vedi alcuni windows e alcuni unix [2]).
AFAIK l'algoritmo di generazione  di numeri (pseudo)casuali di OpenBSD
e' il  migliore (e  in fatti  molte delle feature  di grsec  in questo
senso vengono prese direttamente da OpenBSD).
[1] Anche qui mi aiuta grsec ;-)
CONFIG_GRKERNSEC_RANDNET:                   
  If you say Y here, the entropy pools used for many features of Linux
  and grsecurity will be doubled in size.  Since several grsecurity
  features use additional randomness, it is recommended that you say Y
  here.  Saying Y here has a similar effect as modifying
  /proc/sys/kernel/random/poolsize.
[2] Anche se non e' proprio la stassa cosa il discorso e' molto simile
alla capacita'  dei sistemi operativi di generare  l' Initial Sequence
Number di una connessione TCP (e  il fatto di prevederlo porta a tutti
gli attacchi  di tipo man in  the middle); questo e'  uno dei migliori
link che ho:
 
http://razor.bindview.com/publish/papers/tcpseq.html


  Uhm,  stiamo parlando di  crittografia,[snip]
intervento prezioso, grazie per i link e a buon rendere :)
