Newsgroup: it.comp.sicurezza.crittografia
Titolo: SSH - Mi dite se e` un baco?

Salve, premetto che non sono esperto di sicurezza e di SSH. Spiego subito il
problema: l'azienda per cui lavoro ha un server collegato ad internet 24/24h
su ADSL con IP statico. Su questo computer c'e` un server SSH, in modo che
io e i miei colleghi possiamo collegarci dall'esterno (es. da casa).
Naturalmente ognuno di noi ha una propria coppia di chiavi privata/pubblica.
Le chiavi pubbliche sono messe correttamente sul server nel posto giusto
(directory .ssh dell'utente con cui ci si logga, nel file authorized_keys).
Io da casa uso Putty su Windows per collegarmi al server. Se Putty e`
configurato come si deve (SSH, su porta 22, con il file della chiave privata
impostato correttamente), quando mi collego non mi chiede niente e mi arriva
subito al prompt dei comandi.
L'altro giorno stavo smanettando con Putty ed ho tolto per un attimo il path
della sola chiave privata. Mi sono collegato e .... :-OOO mi ha chiesto la
password dell'utente con cui mi loggo. Metto la password ed entro.
Questo, se ho capito bene, vuol dire che il server SSH non ha ricevuto
alcuna chiave (o ha rifiutato il SSH) ed e` passato all'autenticazione
tradizionale. Deduco quindi che non abbia criptato un bel niente!
E siccome la password dell'utente e` davvero stupida (1 car.) ... direi che
c'e` qualcosa che non va.
Giusto? Dico bene???
Prima di segnalarlo in ditta volevo capire se e` un baco di Putty, del
server SSH o della configurazione del server.
Grazie.
P.S. Uso Putty 0.53b e il server SSH e`: "OpenSSH_3.7.1p2, SSH protocols
1.5/2.0, OpenSSL 0.9.7b 10 Apr 2003".


credo che nn sia un baco ma il comportamento corretto. il traffico viene 
criptato comunque. ti consiglio una passowrd decente poichè fino ad ora 
hai tenuto un server pericolosamente aperto
Ciao
Alex

 Alex
Grazie mille per la risposta. Quindi fammi capire. Essendo una cosa normale
e corretta, chiunque (anche senza avere la chiave giusta come ce l'ho io o
addirittura anche senza avere proprio alcuna chiave) potrebbe entrare nel
sistema??? (anche visto la password stupida)
E non e` possibile configurare il SSH e/o il sistema in modo che si entra
solo avendo la chiave giusta?? Cioe` o uno ha la chiave oppure nulla, chiude
la connessione e basta?

 
SSH in generale può usare diversi sistemi di autenticazione (chiave
pubblica/privata, password, certificati X.509, challange/response,
ecc...) sia in alternativa sia congiuntamente. Il traffico viene cifrato
a prescidenre dal meccanismo di autenticazione.
L'implementazione di OpenSSH non li rende tutti disponibili. Se viene
lasciata la configurazione di default puoi accedere o con la chiave o
con la password di sistema (parametro PasswordAuthentication). Questa è
una grave debolezza perché gli attacchi a forza bruta sono piuttosto
frequenti (almendo a vedere i log dei miei server...). Tra l'altro, la
configurazione di default di OpenSSH permette anche l'accesso diretto di
root (parametro PermitRootLogin). Queste due opzioni vanno
disabilititate impostando "no".
Inoltre, ma questo è un giudizio personale, continuo a non capire perché
OpenSSH non permetta una configurazione che richieda sia la password
(che dimostra chi sei) sia la chiave (che dimostra da che computer ti
stai collegando) come fa Tectia (prima SSH Communication). Purtroppo
costa un po' caro.

 stai collegando)
Naaah.
Perchè ?
ciao, f.


- perché un utente di diversi server può usare più computer e volere una
chiave diversa per ognuno;
- perché un computer di un laboratorio può essere usato da più utenti;
- ma perché voglio usare la stessa chiave per far collegare differenti
utenti SFTP chrooted;
- perché lascio sempre il PC incustodito;
- perché processi batch devono lasciare la chiave privata non cifrata;
- ecc...
Ma il punto non è a cosa serve, quelli saranno un po' affari miei, ma
perché rifiutare pervicacemente di integrare questa possibilità, dal
momento che non diminuisce il livello di sicurezza.
Ciao.


______________________|________________________________________________
GnuPG RSAv4 4096 - Fingerprint:FA68CF697EA63865AAFA805F68703AD40609D743

brontolo wrote:
[cut di cose sensate]
Il "perchč ?" era riferito a :
 > sia la chiave (che dimostra da che computer ti
 > stai collegando)
Imho non dimostra NULLA di diverso rispetto alla password.
Son d'accordo che sia (parecchio) piů sicuro, ma non DIMOSTRA
da che macchina ti stai collegando.
sbaglio ?
ciao, f.

 ciao, f.
Ovvio che dipende da cosa si intende per "dimostra".
Diciamo che per uno degli usi che devo farne, la presenza della chiave
mi rimpiazza la verifica dell'indirizzo IP.
In teoria avresti ragione, ma nella pratica sono certo che almeno metà
dei miei utenti non ha cifrato la propria chiave. Quindi, se sono in
giro con il protatile, la password gli la chiedo lo stesso.
Ciao.