Newsgroup: it.comp.os.linux.sys
Titolo: ssh, known_hosts e IP dinamici

Saluti.
Devo collegarmi in SSH ad un server che ha un IP dinamico (tramite dyndns).
Ogni volta che l'indirizzo IP cambia ssh memorizza il nuovo indirizzo in
known_hosts, riempendolo quindi di spazzatura.
E' possibile disabilitare questa feature?
Ovviamente non sempre, ma solo per il server con IP dinamico.
Grazie  Manlio Perillo

 Saluti.
Ave a te!

Utilizzare qualcosa come no-ip o dyndns?
Cheers,
David
-- 
Linux Registered User #334216
Get FireFox! >> 
http://www.spreadfirefox.com/?q=affiliates&id=48183&t=1
Staff >> 
http://www.debianizzati.org
 <<

 
E' quello che sto facendo, lo avevo scritto.
Il dominio è lo stesso, ma ssh memorizza l'indirizzo IP.
Saluti  Manlio Perillo

 David
P.S.: stavo già scrivendo prima che rispondessi tu ;)


 Il dominio è lo stesso, ma ssh memorizza l'indirizzo IP.
mmm...  "man ssh" dice:
     The StrictHostKeyChecking option can be used to control logins to
     machines whose host key is not known or has changed.
e "man ssh_config":
     StrictHostKeyChecking
             If this flag is set to "yes", ssh will never
             automatically add host keys to the ~/.ssh/known_hosts
             file, and refuses to connect to hosts whose host key has
             changed.  This provides maximum protection against
             trojan horse attacks, however, can be annoying when the
             /etc/ssh/ssh_known_hosts file is poorly maintained, or
             connections to new hosts are frequently made.  This
             option forces the user to manually add all new hosts.  If
             this flag is set to "no", ssh will automatically add new
             host keys to the user known hosts files.  If this flag is
             set to "ask", new host keys will be added to the user
             known host files only after the user has confirmed that
             is what they really want to do, and ssh will refuse to
             connect to hosts whose host key has changed.  The host
             keys of known hosts will be verified automatically in all
             cases.  The argument must be "yes", "no" or "ask".  The
             default is "ask".
(devo dire pero' che non l'ho mai usato).
-- 
  Maurizio Loreti    
ROT13:ybe...@cq.vasa.vg
    |  (@_
Un. of Padova, Dept. of Physics, Padova, Italy  |  //\
 
http://www.pd.infn.it/~loreti/mlo.html
      |  V_/_

Manlio Perillo ha scritto:

http://wi-fizzle.com/article.php?id=61

 
Oppure in /etc/ssh/ssh_config metti una sezione con il nome (sempre
come risolto da dyndns) e con le opzioni di configurazione (come ad
esempio StrictHostKeyChecking=no come ti hanno suggerito. In questo
modo saranno riferite solo a quel server.
HTH
-- 
Mario 'Reliant' Pascucci
Indirizzo di posta camuffato. Per scrivermi:
http://www.ismprofessional.net/pascucci/

 esempio StrictHostKeyChecking=no come ti hanno suggerito.
attento...  StrictHostKeyChecking no (senza '=').


 
Giusto. Se non consulto il man tutte le volte non ci azzecco mai...
sarà l'età...


              If this flag is set to "yes", ssh will never
Credo che l'opzione che mi interessa è
CheckHostIP.
Comunque c'è qualcosa che non mi è chiaro.
Io uso le impostazione di default.
La prima volta che mi sono connesso al server in questione, ssh mi ha
chiesto conferma per inserirlo in known_hosts.
Tuttavia ora, ogni volta che mi collego e l'indirizzo IP cambia, ssh mi da
semplicemente un warning: "IP xxx.xxx.xxx.xxx aggiunto in known_hosts).
Io voglio conservare le opzioni di default, semplicemente voglio poter
dire a ssh che per il dominio 
x.homedns.org
 non deve fare caso al fatto
che l'IP cambia e non deve inserirlo nel known_hosts.
Mi sembra che non sia possibile.
Saluti e grazie   Manlio Perillo

 
Questo credo (a intuito) serva a non mettere in chiaro, in known_hosts, gli
host noti.
Saluti  Manlio Perillo


Sarà che non esiste un minimo di standard per tutti questi files di
configurazione?
Saluti  Manlio Perillo

 Saluti  Manlio Perillo
Cheers²,
David


 
A ME, ME piace expect!
Dentro lo script expect avevo una riga cosi:
exec > $env(HOME)/.ssh/known_hosts
-- 
echo onailimissaM | awk 'BEGIN { FS = "" }
{ for (i = NF; i >= 1; i-- )
  printf $i }'; echo

 
No, anzi, è una cosa che volevo approfondire.
Nell'esempio trovato su 
http://wi-fizzle.com/article.php?id=61
, un entry
è del tipo:
thatmachine.example.com
,32.202.200.108 ssh-rsa hash
Invece io ho
hash1 ssh-rsh hash2
Per quali motivi viene fatto l'hash del dominio/indirizzo del server?
Posso disabilitarlo senza problemi?
Uso Debian Etch.


 Uso Debian Etch.
se temi che qualcuno butti l'occhio sul tuo known_hosts usa
HashKnownHosts, altrimenti lo puoi settare a no.
oltretutto se è impostato in seguito, non fa l'hash delle chiavi già
presenti.
quindi potresti disattivarlo, fare in modo che venga aggiunta la riga
che ti interessa in chiaro e poi riattivarlo.

 HashKnownHosts, altrimenti lo puoi settare a no.
Io intendevo quali rischi comporta rilevare il contenuto di questo file.
Un attacker che conosca i miei known hosts, in che modo può approfittarne?
Saluti  Manlio Perillo

 Saluti e grazie   Manlio Perillo
come non si puo' fare?
allora devo aver equivocato il manuale..
Host
Restricts the following declarations (up to the next Host keyword) to be
only for those hosts that match one of the patterns given after the
keyword.  '*' and '?' can be used as wildcards in the patterns.  A
single '*' as a pattern can be used to provide global defaults for all
hosts.  The host is the hostname argument given on the command line (i.e.,
the name is not converted to a canonicalized host name before
matching).
CheckHostIP
If this flag is set to ``yes'', ssh will additionally check the host IP
address in the known_hosts file.  This allows ssh to detect if a
host key changed due to DNS spoofing.  If the option is set to ``no'', the
check will not be executed.  The default is ``yes''.
direi..
Host 
x.homedns.org
CheckHostIP no
Host *
-- 
www.iuz-lab.info

 Un attacker che conosca i miei known hosts, in che modo può approfittarne?
Che un attacker possa leggere il tuo known_hosts è già preoccupante
in sè.
Se poi ha a disposizione altri indirizzi mirati sui quali divertirsi,
è seccante.
Non è che gli hai fornito le chiavi per entrare, però ha l'indirizzo.
Ma, più che ad un attaccante esterno, potresti voler tener nascosti i
tuoi indirizzi IP all'amministratore del sistema o a chiunque abbia
accesso, legittimamente o casualmente, alla tua home.
Vedila più come una questione di privacy che di sicurezza.