Newsgroup: it.comp.os.dibattiti
Titolo: {open}SSH: una soluzione veramente di merda

OpenSSH nel mondo aziendale:
vi siete mai chiesto perche' nel 2006 esistono ancora tante aziende, di
grandi dimensioni, che fanno ancora uso degli r-tools e che non hanno
nessuna intenzione di migrare in fretta ad ssh? E non e' vero che le
aziende sono conservatrici: ho visto migrazioni attraverso tutte le
versioni di windows, migrazioni da netware a windows e viceversa, ma,
stranamente, non ho mai visto grandi aziende migrare dagli r-tools a
ssh....
SSH e' un bel progetto a livello estetico, ma allo stesso tempo in
termini di usabiliita' e' un cesso, che va bene al massimo per i CED
negli scantinati bui e umidi dove lavora wieland.
La patche LPK e' nata ieri, dopo anni e anni di sviluppo di openssh ed
ancora oggi compila solo su pochissimi sistemi (su HP-UX non ci sono
cazzi e su Solaris sono cazzi).
Esistono degli script in python per copiare le chiavi (una soluzione
veramente di Merda creata da Eric Raymond).
Se il numero di macchine e' superiore a 10 il sistema delle chiavi
inizia a diventare ingestibile, se il numero di macchine e' superiore a
30 il sistema delle chiavi e' inimmaginabile.
Io non credo che questo progetto sia di grande aiuto nello sviluppo
dell'IT aziendale e non vedo la ragione per cui le aziende dovrebbero
sostenere una fondazione che fa un lavoro che non gli torna utile.
-- 
Massimiliano

 OpenSSH nel mondo aziendale:
IMHO
Nel mondo aziendale ci sono molti inconpetenti che fanno uso smodato di 
r*un_sacco_di_cose perchè non sono capaci di consildare decenmente la 
struttura che governano.

 ...
Vogliate scusare l'itagliacano, andavo di fretta.


no prob per gli errori di digitazione.
E' vero quello che dici: la competenza nelle aziende non e' sempre al
top.
E' anche verissimo che SSH e' una soluzione incompleta. Che le chiavi
sono ingestibili lo si sta iniziando a capire, come lo hanno gia'
capito, molto tempo fa, gli autori di sudo.
Il tentativo di "far parlare" SSH con LDAP arriva solo oggi (LPK), dopo
anni e anni e dopo aver visto che le aziende non migravano.
Ad oggi questa patch lavora su pochissime distro linux (sulla mia
gentoo funziona).
-- 
Massimiliano

 nessuna intenzione di migrare in fretta ad ssh?
Stai parlando di Sun, per caso?
-- Suleiman

 sostenere una fondazione che fa un lavoro che non gli torna utile.
Io non vedo la ragione del tuo bisogno di scrivere simili cavolate.
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4


Non sarei autorizzato a risponderti. Comunque non parlo di xxx.
-- 
Massimiliano

 macchine senza problemi.
Io ho detto che non lo so usare?
Cerchiamo di distinguere le cose e capire bene.
1) il CED con qualche decina di macchine e un piccolo CED. Li' puoi
usare le chiavi, puoi scriverti la password sun pezzo di carta, puoi
usare key-agent. Tutto e niente vanno bene lo stesso.
2) il CED con piu' di cento server e' un CED grande. In questo caso
tutte le soluzioni che sono banali per un piccolo CED non vanno piu'
bene.... cosi' come non va bene sudoers sparsi su centinaia di
macchine. Pertanto dopo anni e' stata tirata fuori una patch, che allo
stato delle attuale delle mie conoscenze compila su Gentoo, su Solaris
(but they are acid dicks!).
-- 
Massimiliano


cmq non sorprendetevi se esistono posti dove si usa NIS invece di LDAP
over SSL (si lo so che con ypcat fai il grab dell'hash. Ma e' cosi' che
funziona). Non sorprendetevi se il 90% delle grandi aziende usa rlogin,
rcp.
Se siete sorpresi, e' perche' siete effettivamente dei nerds senza
contatto alcuno con il mondo che vi circonda.
-- 
Massimiliano.

 
Allora continua ad usare gli r tool .... e non chiedere sempre 
all'opensource di essere corporate .

 scaricare ssh?
Veramente ssh lo scarico e installo con apt-get Non facevi prima ad 
aprire il link?
Ciao ... Dino

 l'amministrazione centralizzata .
mi riferico sempre a openssh. mi spiace se ho digitato male.
fra l'altro HP-UX (che ho citato) usa openssh e non ssh.
-- 
Massimiliano


si apt e' pure portabile, ma su solaris mi pare un po' desueto.
-- 
Massimiliano


mo' ... vabbe, ti avrei citato a sproposito in quanto tu non sei un
utente solaris.
Ma cavoli, mi sembra di essere in un circo. Vuoi che non sappia cos'e'
sunfreeware, quando ho un collegamenti in nfs a quel sito sulle nostre
macchine....
-- 
Massimiliano


Fai disinformazione e dici solo cazzate.
Conosci ssh + kerberos?
conosci ssh + passw one time?
comunque certo tu ne capisci tanto davvero da ritenere un "progettino"
openssh.
Dai max vai torna nei campi

<a cavoli, mi sembra di essere in un circo. Vuoi che non sappia cos'e'
<sunfreeware, quando ho un collegamenti in nfs a quel sito sulle nostre
<macchine.... 
alla faccia della  sicurezza....


The optimist thinks this is the best of all possible worlds.
The pessimist fears it is true.      [J. Robert Oppenheimer]

 openssh.
OpenSSH e` un progettino. Non e` mica un intero OS!


 OpenSSH e` un progettino. Non e` mica un intero OS!
per l'esattezza 900 Kb.
Ma lo stesso discorso si potrebbe applicare anche a openssl e chissa' a
quanti altri progetti(ni).
-- 
Massimiliano

 esperienza è vero il contrario
STOP.
Tipico ragionamento nerd, di un pseudo-sistemista che lavora per la
Under-stair Ltd.
-- 
Massimiliano

 quanti altri progetti(ni).
SSL, di cui openssl e` UNA implementazione, esiste. LDAP di cui 
openldap ne e` UNA implementazione, esiste.
Se quel progetto morira`, ci saranno altre alternative per quei 
poveracci che come me non si possono permettere altro che openssh.


 Under-stair Ltd.
IBM nel luglio del 2001 (anno in cui ancora lavoravo per loro) ha
emanato una disposizione interna che prevedeva che non dovessero essere
installati nuovi sistemi con r-tools o telnet (salvo giustificati
motivi) e che per tutti i sistemi già installati doveva essere
effettuata la migrazione di tutti i servizi r ai corrispondenti servizi
sicuri.
Adesso telefono a Samuel e gli comunico che è CEO di un'azienda del
cazzo, visto che Max Adamo ha detto che nessuna grande azienda fa queste
migrazioni.


 poveracci che come me non si possono permettere altro che openssh.
Io credo che c'e' molto spazio per poter aggiungere altre
caratteristiche a openssh. Penso anche che puo' anche "morire" un team,
ma il codice e' sempre li' e verra rielaborato da altri (Openssl, ad
esempio, e' un team a se stante).
Premetto che non conosco la versione commerciale di SSH (non so quali
caratteristiche abbia), ma visto che tu hai citato OpenLDAP, mi viene in
mente che esistono altre implementazioni di LDAP che sono molto piu'
ricche di caratteristiche di openldap.... al contenpo sono anche free
(tutte le derivazioni di Netscape DS sono free: fedora DS, Sun DS,
HP-netscape DS,...).
-- 
Massimiliano

 
LOL. Nemmeno da noi usiamo gli r-tools se e' per questo.
Ma, ripeto, sono usatissimi ancora oggi e probabilmente il 99.9% di
queste aziende che usano gli r-tool, negli ultimi 10-20 anni non hanno
mai subito attacchi, cracking o alcun tipo di danno.
HO VISTO COSE CHE VOI UMANI NON IMMAGINATE NEANCHE. Ho visto gente fare
Telnet su AS400 su Internet. Ho visto aziende usare r-tools su circa
mille server unix e con circa 150mila utenti. Ho visto sottoscala
informatici dove la questione della sicurezza e' sempre posta al centro
dell'attenzione.
-- 
Massimiliano

 grandi dimensioni, che fanno ancora uso degli r-tools 
rsh x-terminal "echo + + >>/.rhosts"
  si usa davvero ancora oggi o scherzi?

 migrazioni.
Aggiungici Telecom e MPS, quando ho lavorato per loro avevo solo OpenSSH.
Ma sai, lo dice Sbirulinux, quello che viene a parlare di "sottoscala" facendo
il _dipendente_ per Sun, e che dopo diversi mesi non ha ancora capito che
faccio il programmatore.
  ngw

 HP-netscape DS,...).
Ve ne sono moltissime, AD usa LDAP, Novell, IBM, ..., insomma, di 
alternative ve ne sono e ci saranno, a pagamento e non, visto che non 
sono pezzi inutili.


On 2006-03-25 23:54:13 +0100, Irvine Welsh 
<irvine...@NOgmailSPAM.com> said:

Pensi che si scherzi? Quando ho fatto chiudere al p650 tutte le porte 
COMPRESE telnet, rsh ed ftp, i tecnici IBM hanno strabuzzato gli occhi.
Tanto per dirti, esistono legacy che impongono il forwarding di passwd 
come soluzione alternativa a nis o ldap, perche` molto meno costoso.


 
si chiaramente c'e' pure iplanet, se cerchiamo ne troviamo altri.
Netscape/sun/fedora e' free ed opensource.
-- 
Massimiliano


non scherzo.
visto che mi pare che ci stiamo divertendo a fare nomi, allora
facciamoli. Fino a poco tempo fa lavoravo per DHL. Numero di utenti,
circa 150/200 mila. Server Unix in europa circa 1000.
SSH era installato su ogni server, ma era ridondante con rlogin...
-- 
Massimiliano

 mai subito attacchi, cracking o alcun tipo di danno.
Adamo, senti, perche` devi farti trattare da stupido a prescindere? Non vedi
che quello che hai detto in questo post e` differente da cio` che hai detto
nel post iniziale (ed hai trovato anche un grosso motivo per giustificare
tale comportamento)?
Henryx

> Ti riferisci a NFS? Perche` ci sarebbe da parlare...
Bhè non sono un esperto di sicurezza, ma non è una novita che nfs
abbia limiti per la sicurezza. Intanto la natura dinamica di rpc rende
*difficile*  la protezione tramite firewall, nel senso che puoi
proteggere le porte critiche, ma devi lasciare il transito ad altre.
Ancora vogliamo dire l'effetto che ha il comando rpcinfo, che ti
consente di sapere quali sono i servizi rpc in esecuzione sulla
macchina (e quindi il tipo!).
 Ancora lessi tempo fa che con un banale nmap che invia pacchetti mi
pare RPC NULL che ti determina i servizi attivi (a livello rpc) anche
se la porta è filtrata.
Insomma scrivere una regola di firewall per rpc non è banale
Ah mi sono dimenticato delle tonnellate di attacchi per nfs..
Samba e afs sono sicuramente da preferire.
Mi piacerebbe avere un vostro parere.

 Mi piacerebbe avere un vostro parere.
tralascio tutta la questione tecnica (e tralascio pure NFS 4, del quale
ignoro caratteristiche e differenze)
Ma e' tutto ovvio quello che stai dicendo. Lo sanno pure i gatti di
cipria:
ssh, samba, afs sono piu' sicuri di r-tools, nfs.
Ma di che stiamo a parlare? ma ti pare che qualcuno stesse mettendo in
discussione la sicurezza di SSH?
Qui il discorso era ben altro. Mi riferivo a problematiche aziendali,
al (quasi) mancato supporto per un sistema di centralizzazione, che
invece esiste da tempo per sudo.
Poi, certo, e' anche vero che quel supporto sta arrivando anche per
SSH, ma piano piano, e nel frattempo le grosse aziende hanno problemi
ad integrare SSH, nonostante tutte le sue ottime caratteristiche.
-- 
Massimiliano

 Aggiungici Telecom e MPS, quando ho lavorato per loro avevo solo OpenSSH.
"AVEVO". ok. ma Attenzione: anche io AVEVO sempre openssh, ma qual'era
lo standard aziendale? 
-- 
Massimiliano

 discussione la sicurezza di SSH?
Infatti mi riferivo alla questione del firewall... volevo se qualcuno
di voi protegesse nfs con un firewall, oppure quale altra soluzione si
potrebbe adottare  ecco tutto...
Per quanto riguarda il resto.. bhe ssh lo uso e basta e sinceramente
non ho la facoltà per stabilire se non in piccolo il rapporto fra ssh
e tematiche aziendali
ciao


Ti copio un altro post, che ho scritto in questo thread, che sintetizza
cio che volevo dire:
AUTO-QUOTE ON:
Ma di che stiamo a parlare? ma ti pare che qualcuno stesse mettendo in
discussione la sicurezza di SSH?
Qui il discorso era ben altro. Mi riferivo a problematiche aziendali,
al (quasi) mancato supporto per un sistema di centralizzazione, che
invece esiste da tempo per sudo.
Poi, certo, e' anche vero che quel supporto sta arrivando anche per
SSH, ma piano piano, e nel frattempo le grosse aziende hanno problemi
ad integrare SSH, nonostante tutte le sue ottime caratteristiche.
AUTO_QUOTE OFF
ci siamo capiti? ... almeno spero ...
-- 
Massimiliano

 lo standard aziendale? 
Secondo te in una banca usano gli rtools ? Sei impazzito ?
  ngw

 ad integrare SSH, nonostante tutte le sue ottime caratteristiche.
IBM per esempio non attiva ssh manco di default su AIX. Non credo manco 
nella release 5.3, sulla 5.2 e` cosi`.



Chiaro che in banca c'e' una maggiore attenzione verso certe
problematiche (alemno spero sia cosi'), ma che c'entra Telecom? ... non
so cos'e' MPS.
-- 
Massimiliano

 
Questa e' la realta. Nonostante IBM AS400 abbia anche telnet over SSL,
nonostaten IBM Aix abbia anche ssh, il "default" prevede ancora oggi
l'uso di telnet, porta 23, in chiaro, perche' - diciamolo fuori dai
denti - non gliene frega un cacchio a nessuno di criptare connessioni
all'interno di una reta privata... e talvolta anche su internet.
Che sia giusto o che sia sbagliato e' un altro paio di maniche, ma IMHO,
questa e' la realta'.
-- 
Massimiliano

 persino nella versione 4.
Curiosita`: ma oltre a AFS e NFS, cosa c'e` (Samba lo trovo scomodo e molto
piu` windows centrico)?
Henryx

-Massimiliano Adamo <maxa...@NOSPAMlibero.it>:

Monte Paschi.
Adamo, se anche Telecom non dovesse arrivare a capire che è un tantino meglio
usare SSH sarei un tantino preoccupato.
  ngw

piu` windows centrico)?
Però anche il più flessibile per comuni mortali.
ciao


1) cd /usr/src/linux; make xconfig
Filesystems -> Network File Systems
Coda, AFS, Plan9,...
2) OpenGFS, Intermezzo
p.s.: mai usato nessuno uno tra questi. OpenGFS e' supportato da EVMS
(Enterprise Volume Manager ...), gli altri non lo so.
-- 
Massimiliano

 Coda, AFS, Plan9,...
*MAI* usare AFS nel kernel di linux, peggio di quello non esiste.


 said:

AFS e` un file system geograficamente distribuito, pensa (alla lontana) 
ad una NAS in cui i pezzi sono uno a londra, uno a bangkok, uno a 
zagarolo...
NFS e` uno sharing, cosi` come lo e` Samba, sono cose molto diverse, e 
AFS e` per ordini di grandezza superiore (per qualche decina di server 
AFS non serve).
Coda ed Intermezzo, tutti ispirati ad AFS sono progetti morti --- AFS 
ha una gemella controparte (poco supportata, non la consiglio per 
produzione) Arla.
C'e` GFS di Red Hat. Puoi fare combinazioni anche come: NAS-GFS-AFS.
Per windows il piu` facile e` il client AFS, per server lascia stare, 
la piu` facile e` samba.


 *MAI* usare AFS nel kernel di linux, peggio di quello non esiste.
E' marchiato come "EXPERIMENTAL" (cosi' come la maggior parte di questi
FS, compreso NFS4).
Tu su che UNIX lo usi?
-- 
Massimiliano

 Tu su che UNIX lo usi?
Lo uso su linux (tutte le disto), su AIX 5.2, su MacOSX. Non ho piu` le 
alpha e le sun che hanno rottamato (a la vecchia O2 l'ho dovuta ridare 
alla legittima universita`). Lo uso anche con Windows, e tutti i 
desktop client hanno login integrati kerberos 5, home su afs e tutti i 
dati su ldap, windows su samba come gateway per ldap/kerberos.
