Newsgroup: it.comp.os.linux.ubuntu
Titolo: aiuto: connessione ssh da mac a ubuntu

ciao a tutti,
vorrei riuscire ad usare un mac per avere accesso al terminale di una 
macchina ubuntu presente sulla mia rete locale, tramite ssh.
così ho seguito la guida della wiki italiana di ubuntu, installando su 
ubuntu openssh-server: 
http://bit.ly/cN896e
il problema è che quando dal mac do il comando:
ssh "nome utente"@"IP locale ubuntu"
(ovviamente sostituendo con i miei valori)
ricevo questo messaggio:
the autentication of host 'xxxxxxx' can't be established
RSA fingerprint is xxxxxxxx
Are you sure you want to continue connecting (yes/no)?
è normale che dia questo messaggio?
è rischioso dare "yes"?
Grazie

 ha scritto:

Non farlo mai! Non dico che potrebbe esploderti il Mac, che questo
sarebbe scontato, ma persino la città in cui vivi potrebbe essere
ridotta a un cumulo di polvere.
Non azzardarti mai e poi mai.
-- 
Wikipedia Admin: "wikipedia non è un blog"
Iosif Stalin: "i compagni hanno scambiato il partito per un circolo di
discussione"

 Non azzardarti mai e poi mai.
LOL
immagino anch'io che non comporti grossi rischi, ma il fatto è che se dà 
un messaggio del genere, vuol dire che qualcosa non funziona come 
dovrebbe, quindi vorrei cercare di capire dov'è il problema e come 
risolverlo

 Il 02/10/10 15.23, Max_Adamo ha scritto:

Quel messaggio appare solo la prima volta. Quando rispondi 'yes'
memorizzi la chiave in un file.
A cosa serve? Non so quali possono essere tutti gli scopi utili per la
chiave RSA.
Uno che mi viene in mente:
se tu ti colleghi a una macchina che ha lo stesso indirizzo IP, tu sei
portato a credere che possa essere la stessa macchina, ma in realtà la
tua macchina potrebbe essere stata spenta, scollegata da rete epotrebbe
trattarsi di altra macchina con stesso IP, e magari stesso hotname.
In questo caso ti offrirà una chiave RSA diversa è sarà rilevato un
conflitto.
Rispndi "yes" ;-)


 conflitto.
No. In parole semplici funziona cosi`:
Io utente posso essere su una qualunque macchina.
 
Apro il collegamento con un server che ha memorizzata una certa password 
pubblica di Tizio.
Gli dico di essere Tizio.
 
Il server mi invia un file e vuole che glielo restituisca criptato con la mia 
chiave privata.
In questo modo quando il server lo ricevera` e decriptera` potra` rendersi 
conto con sicurezza se io sono o no Tizio, perche` sono l'unico ad avere una 
certa chiave privata che corrisponde a quella pubblica che c'e` sul server.
Altro vantaggio e` che Tizio non invia piu` al server una password in chiaro 
che deve semplicemente corrispondere a quella che il server ha in 
/etc/password .

 
Lascia stare. Tu sei alla autenticazione con chiave (che non c'entra
niente e gli confonde solo le idee).
Il fingerprint RSA è un'altra cosa, e viene usato anche con la sola
richiesta di password, ma anche in caso di autenticazione con chiave.
E' un problema comune quando tenti di accedere un cluster con virtual
ip: in questo caso, un server con lo stesso IP corrisponde a macchine
diverse aventi diversi fingerprint RSA.
Il fingerprint RSA viene creato la prima volta che viene installato il
server SSH.
Mi pare che in questo caso risolvevo facendogli usare lo stesso
fingerprint.


 ha scritto:

per essere più precisi: l'ho chiamato fingerprint, ma fisicamente
corrisponde ad una chiave, che invece di essere la chiave dell'utente,
è la chiave che viene "assegnata" all'host, e si chiama precisamente:
/etc/ssh/ssh_host_rsa_key (la cui parte pubblica
è: /etc/ssh/ssh_host_rsa_key.pu)
Infatti, nel tuo ~/.ssh/known_host troverai all'interno il contenuto
del file /etc/ssh/ssh_host_rsa_key.pub delle macchine alle quale ti sei
già collegato.
Claro?


 Claro?
Per forza, l'invio cifrato e` l'operazione inversa dell'autenticazione: l'utente 
deve cifrare con la chiave pubblica del server che poi solo il server sara` in 
grado di decifrare con la sua chiave privata. 

 ha scritto:

M_M, tu cambi la carte in tavola. Tu hai scritto:
"Apro il collegamento con un server che ha memorizzata una certa password 
pubblica di Tizio.
Gli dico di essere Tizio."
E questo non c'entra nulla con la questione dell'OP.
Inizialmente vieve ricevuto il fingerprint del server, che non è la
chiave pubblica di Tizio, bensì il fingerprint del server, identificato
con la chiave pubblica del server (e, again, non di Tizio).
Possiamo aggiungere, che in caso di fallimento di questo check, puoi
impostare il tuo client per farti collegare ugualmente. In questo caso
ti apparirà un warning "man in the middle attack".
Fuori Tizio da questa discussione.


 E questo non c'entra nulla con la questione dell'OP.
Io ho risposto alla tua imprecisione non all'OP.

 ha scritto:

Non era mio compito fornire informazioni dettagliate ad un utente che
fa una domanda del tipo: posso rispondere 'yes'?. Sarebbe una cosa
assolutamente idiota.
Tu hai voluto fare precisazioni non richieste, e per di più hai risposto
scrivendo una cazzata:
"Apro il collegamento con un server che ha memorizzata una certa
password pubblica di Tizio."
IN QUESTO CASO, il server al quale mi collego non ha memorizzato una
chiave pubblica di Tizio, sono io che ho memorizzato sul MIO client la
chiave pubblica del server (al primo tentativo di accesso) nel file
~/.ssh/known_host, altresì detta fingerprint RSA.
Ancora, quanto dobbiamo continuare?
Please, stop it.


 ~/.ssh/known_host, altresì detta fingerprint RSA.
Questo e` cio` che avresti dovuto rispondere subito all'OP, anziche` cavolate a 
raffica.

 cavolate a raffica.
Ma si, ma certo. Io posso anche dirgli di istruire il suo server SSH per
leggersi le chiavi pubbliche su un tree ldap. Sarebbe ancora meglio,
poiché ti eviterebbe l'onere di dover distribuire la chiave su ciascun
server.
Peccato che lui aveva solo chiesto "posso rispondere yes?"
E peccato che tu hai risposto con un argomento diverso.
Detto questo, io non ho risposto cavolate. Sono solo rimasto in
superficie e ho detto che host diversi hanno fingerprint RSA
differenti. Ed è così. Raccontargli una menata più complicata ha il
solo effetto di confonderlo.


 ha scritto:

 .. che poi e` manco vero che la chiave pubblica e` altresi` detta fingerprint.

 ha scritto:

Ah non è vero?
allora come mai all'OP compare il messaggio:
the autentication of host 'xxxxxxx' can't be established
RSA fingerprint is xxxxxxxx
Dici il copia e incolla dell'OP non funziona bene?
p.s.: quando la finisci?


 E peccato che tu hai risposto con un argomento diverso.
Tu gli hai risposto subito con una cavolata ed ho dovuto a aprire due tuoi post 
per leggere qualcosa almeno in parte sensata.
A quel punto ho risposto a te aggiungendo una cosa in merito all'argomento e non 
alla precisa domanda dell'OP.

 Ah non è vero?
Per te fingerprint e chiave pubblica sono la stessa cosa? :-D

 
Perché all'OP compare la seguente riga?
RSA fingerprint is xxxxxxxx
Sei uno scemo totale in buona fede o un cretino in malafede?


 Sei uno scemo totale in buona fede o un cretino in malafede?
fingerprint NON vuol dire niente in particolare: letteralmente è
l'impronta, figurativamente può essere anche la chiave dell'host, che
come l'impronta del tuo dito, identifica univocamente un host.
ma io perché devo perdere tempo con te che non sai fare un cerchio con
il bicchiere?


 ha scritto:

sient' a 'mme: pure a me è successo di scrivere cavolate. 
Il modo migliore per uscirne in questi casi è quello di scrivere:
"sorry, appartengo alla specie umana, e pertanto anche a me tocca di
sbagliare". 
Se continui così la figura dell'idiota guarda che non la faccio io.


 come l'impronta del tuo dito, identifica univocamente un host.
La cifratura RSA ha il difetto di essere piuttosto lenta, cosi` si usa il 
fingerprint che praticamente e` la criptazione solo di una piccola porzione del 
messaggio.
Non e` il caso di arrabbiarsi e offendere, l'importante e` imparare qualcosa 
entrambi da uno scambio di idee, ti pare?

 piccola porzione del messaggio.
IMHO fingerprint in questo caso è una accezione del termine, che viene
usata in modo figurativo.
Poiché in SSH non si usano certificati validati da terze parti (leggasi
certification authority), tu dai per buono che la chiave pubblica che
ti viene offerta la prima volta è quella buona e te la conservi in
~/.ssh/known_hosts
A te quella chiave pubblica non servirà per autenticarti sul server, ma
ti servirà solo per identificarlo correttamente.
Pertanto mi sta bene che venga chiamata fingerprint: perché mi
identifica il determinato server, come se fosse l'impronta digitale di
quel server.


 quel server.
Secondo me e` diverso: non serve per identificare il server ma per verificare 
l'integrita` del messaggio.
Leggi qui:
http://tinyurl.com/328ba4r

 ha scritto:

Si ma lì ti dice che RSA non serve a fare hashing, e comunque l'hashing
può essere usato solo per fare il match tra informazioni. Quindi si,
andrebbe bene come intestazione di un messaggio.
Ma quello è comunque un esempio di come "fingerprint" sia un semplice
attributo, la cui accezione varia con il variare del contesto.
Lì parla della tecnica di hashing con MD5.
Io non conosco i dettagli implementativi di SSH così in dettaglio (e
manco voglio conoscerli per adesso). Se l'intestazione dei messaggi, o
lo scambio di chiavi iniziali, contenesse un hashing, di fatto non
cambierebbe la situazione, perché la risposta iniziale che ti da il
server ove (come nel caso dei cluster con VIP) il fingerprint fosse
stato modificato, è univoca, e ti dice: attenzione, l'host al quale ti
stai collegando non è quello al quale pensi di collegarti.
E poi ti dirà "otherwise, please remove offending key in
~/.ssh/known_host at row xxx"
Quindi, non c'è ombra di dubbio: inizialmente il fingerprint RSA è lì
per quello. Per dirti se l'host al quale ti colleghi è lui o non è lui.
Se succede altro, che implica nuovamente l'uso di quella coppia di
chiavi è un discorso ulteriore, che va oltre le mie conoscenze del
protocollo.... e forse anche oltre la mia necessità e voglia momentanea
di sapere. Fatti fummo per seguire virtute e conoscenza, ma non per
apprendere tutto lo scibile.


 per quello. Per dirti se l'host al quale ti colleghi è lui o non è lui.
E quindi la tua frase "la chiave pubblica altresi` detta fingerprint" non sta` ne` 
in cielo ne` in terra.

 Se continui così la figura dell'idiota guarda che non la faccio io.
Questa mi era sfiggita ..
Io ho letto una tua domanda, testuali parole: "A cosa serve? Non so quali 
possono essere tutti gli scopi utili per la chiave RSA." e mi e` venuto in mente 
che l'algoritmo RSA non serve solo per cifrare ma che usando l'algorimo inverso 
e` utile per l'autenticazione e te l'ho scritto. La cosa non e` neppure OT 
perche` e` utile utilizzarlo anche con SSH. Non ho detto altro e non mi hai 
smentito, hai solo continuato a menarla e a sclerare ed io ad ogni cosa che dici 
semplicemente rispondo. In che modo quindi faccio la figura del cretino?

 il bicchiere?
Ma come ti sei permesso di dirmi una cosa simile?
Per quanto riguarda la vita reale non puoi, perche` non ci conosciamo, se no 
sapresti che per 30 anni il pane me lo sono guadagnato col computer, visto che 
ho sempre fatto il programmatore di macchine utensili a controllo numerico, 
nella meccanica, prima in campo automobilistico e poi aereo-spaziale, per cui in 
quell'ambito informatico non solo faccio i cerchi col bicchiere ma pure le O.
Per quanto riguarda cio` che puoi osservare nei newsgroup a me non pare di 
essermi mai atteggiato a grande conoscitore di Linux, ma in questo newsgroup ci 
sto dall'inizio, anzi da quando si discuteva sulla necessita` di fondarlo o 
meno; ricordo parecchie persone, tutte 100 mila volte piu` brave di me, ma di te 
non mi ricordo proprio.
Io sto qui perche` ogni giorno imparo qualcosa dai moltissimi piu` bravi di me e 
cerco di sdebitarmi facendo il lavoro "sporco", cioe` rispondendo, per quanto mi 
e` possibile, a quelle che praticamente sarebbero FAQ o quasi, cosi` da 
permettere a chi sa, di dedicarsi con tranquillita` agli argomenti piu` 
difficili e spinosi, o cerco di tamponare per quel che posso la loro temporanea 
assenza, tipo in tempo di ferie.
Purtroppo non so moltissimo perche` oltre ai limiti personali, ci sono stati per 
me come per la maggior parte delle persone adulte, tutti quegli impegni che la 
famiglia e il lavoro danno, ma cmq il PC ce l'ho in casa dal 1982 e mi sono 
avvicinato al free-software con GNU/Hurd nel 1998; da li` arrivare a Linux il 
passo e' stato breve. Anche se non sono un grande esperto, una certa 
dimestichezza quindi ce l'ho; forse piu` che conoscere io Linux, e` lo GNU che 
conosce me, sta` di fatto che problemi col sistema non ne ho mai, da tempo 
immemorabile non ricordo per dire un crash, e i pochi bachi che ho incontrato li 
ho sempre in qualche modo scavalcati o aggirati agevolmente, non uno che mi 
abbia bloccato. 
Come linguaggi conosco il C, il C++, PHP, la programmazione ad oggetti, e poi so 
scrivere in Html e un po' in Javascript ed anche GTK, tanto che ad es. ho anche 
corretto un'estensione per Epiphany-browser che non fungeva bene.
Imparo tutti i giorni un po' da tutti ma debbo dire, pensandoci ora, che da te 
mai; ne` mi hai mai offerto un aiuto quando ho posto un quesito, ne` ho mai 
avuto l'occasione leggendoti, ed io qui leggo praticamente tutto, di poter dire: 
beh! oggi ne ho imparata una da Max_Adamo. Mai, giuro, per me tu sei uno che 
dice solo cose ovvie.
Per contro se stiamo a vedere a te qualche aiuto io l'ho dato, ed anche se 
andiamo in la` nel tempo: ricordi che ti ho corretto quando affermavi che Chrome 
garantiva la protezione della privacy in rete, mentre in effetti la garantisce 
solo sul proprio hard_disk? O quando non sapevi come fare per pulire il sistema 
e ti passai l'istruzione:
dpkg --purge `COLUMNS=300 dpkg -l "*" | egrep "^rc" | cut -d\  -f3`
o di usare rai.deb o tv-player anziche` moonlight?
Non posso neppure dire che sei diventato una persona deludente: cosa ci si puo` 
aspettare da uno che va nei siti di discussione a provocare, che si comporta da 
troll, piagnucola, non si da` da fare e non la finisce piu`, per un qualcosa in 
beta solo perche` e` ancora incompleto, o che scrive un post con subject da 
uccello del malaugurio "ubuntu maverick netbook edition e (brutte) impressioni", 
proprio per il sistema che lo ospita?
Di solito accetto le critiche, servono a crescere; altri si`, senzaltro, ma uno 
come te non si puo` permettere di darmi un giudizio come quello!

 ha scritto:

Ma è lì per quello imho la chiave: in quel momento si comporta di
fingerprint per il server.


 come te non si puo` permettere di darmi un giudizio come quello!
Ehm.... hai ben chiaro chi è il tuo interlocutore? Io sono certo di no,
perché in caso contrario ti saresti reso conto che anche solo perdere 5
minuti per scrivere qualcosa di sensato al suo indirizzo è solo tempo perso.
:-)
-- 
Flavio Visentin
Ubuntu in Zulu significa "Non so usare Debian". (cit. CtRiX)

 
zipman scusami: cosa c'è di insensato in quel che ho scritto in questo
thread? Ti prego di evidenziarlo.


 
Il famoso fingerprint è, per comodità, un hash della chiave pubblica
(giusto per ottenere una stringa più corta).
Che si può leggere con ssh-keygen -lf /chiave/pubblica.pub
Di fatto, poiché l'hash è univoco rispetto alla chiave, è SEMPLICEMENTE
la chiave pubblica:
http://www.ietf.org/rfc/rfc4716.txt
Since public keys tend to be very large, it is
   difficult for a human to verify an entire host key.  Even with a
   Public Key Infrastructure (PKI) in place, it is useful to have a
   standard for exchanging short fingerprints of public keys.
This document describes a mechanism for creating a short text string
   that uniquely represents a particular public key, called
   fingerprinting.
4. Public Key Fingerprints .........................................6


 ha scritto:

http://www.ietf.org/rfc/rfc4716.txt
la chiave pubblica è di fatto il fingerprint:
4.  Public Key Fingerprints
Il fatto che si usi una hash della chiave, piuttosto che la chiave è una
comodità, poiché "public keys tend to be very large, it is difficult
for a human to verify an entire host key." 
-- 


Are you sure you want to continue connecting (yes/no)?
Vuol dire che la tua macchina non conosce il server, perché è la prima
volta che ci si collega.  Se è questo il caso, puoi dire tranquillamente
di sì.  La vola successiva non te lo chiederà.
Se invece non è la prima volta, vuol dire che l'amministratore del
server ha reinstallato il server ssh o comunque per qualche motivo ha
cambiato la firma dell'identità del server.  Oppure che sei soggetto
all'attacco di qualcuno che impersona il server.  Quindi sarebbe
prudente che ti accertassi che effettivamente il cambiamento di identità
del server sia legittimo.

man-in-the-middle) e non ti farebbe fare più nulla.
Vero, me ne ero dimenticato.