|
| 1.4, Аноним (4), 00:00, 19/12/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
А нельзя ли при генерации ключа к ключу добавлять метаданные, говорящие, какие фичи безопасности обязательны? Плюс на клиенте хранить все фичи, поддерживаемые сервером, и отныне и впредь их требовать?
| | |
| |
| 2.6, Sw00p aka Jerom (?), 00:53, 19/12/2023 [^] [^^] [^^^] [ответить]
| +4 +/– |
а я ваще не понимаю всяких даунгрейдов (фейспалм), может сразу протокол пусть меняет на телнет какой-нить.
| | |
| |
| 3.15, Аноним (15), 04:20, 19/12/2023 [^] [^^] [^^^] [ответить]
| +2 +/– |
Даунгрейд это любимая фишка бекдорщиков. Все купленные протоколы его поддерживают: LTS, wifi3, bluetooth. Очень удобно до выхода протокола получить утилиту для его взлома.
| | |
| 3.31, InuYasha (??), 12:35, 20/12/2023 [^] [^^] [^^^] [ответить]
| +/– |
когда у тебя APC UPS с SSH v1 vs Telnet only, становишься весьма понимающим.
| | |
| |
| 4.32, Sw00p aka Jerom (?), 14:39, 20/12/2023 [^] [^^] [^^^] [ответить]
| +/– | |
> когда у тебя APC UPS с SSH v1 vs Telnet only,
о да, почему-то легаси системы живут, а ПО для управления (клиенты) - нет.
пс: обратная совместимость - обратная уязвимость :)
| | |
|
|
| 2.11, Аноним (11), 01:56, 19/12/2023 [^] [^^] [^^^] [ответить]
| +/– |
Последнее уже есть присутствует в OpenSSH. Просто добавьте ваш сервер в конфиг через Host или Match и добавляете в него опции, которые НЕ будут переписаны, если опция встретится ниже по конфигу и если её поведение явно не описано в ssh_config(5) иначе, а все остальные "дефолты" просто пихаете в конец под Match all. Все обязательные никак не переписываемые опции пишем в начале, до любого Match или Host; например, отключаем вообще везде ForwardX11 и ForwardAgent как потенциально небезопасные фичи.
| | |
| |
| 3.14, Аноним (14), 03:33, 19/12/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
Смысл в том, чтобы автоматически. Потому что иначе надо самому следить, что там на каком сервере добавили.
| | |
|
|
| 1.7, Ivan_83 (ok), 01:13, 19/12/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
 > поддерживающие ChaCha20-Poly1305 или шифры в режиме CBC в сочетании с режимом ETM (Encrypt-then-MAC).
# Specifies the ciphers allowed.
Ciphers aes256-gcm@openssh.com,aes256-ctr
достаточно чтобы быть секурным, совместимым со всем подряд и слать лесом всяких таких какеров.
| | |
| |
| 2.9, Аноним (11), 01:51, 19/12/2023 [^] [^^] [^^^] [ответить]
| +/– |
Можно ещё добавить 192- и 128-битные версии, всё равно когда через один ключ пройдёт достаточно данных произойдёт автоматический ре-кей, а так совместимость вырастет ещё больше (или скорость/энергоэффективность на определённых тачках поднимется чуть-чуть)
| | |
| |
| 3.17, Ivan_83 (ok), 07:14, 19/12/2023 [^] [^^] [^^^] [ответить]
| +/– |
Смысла ниже 256 бит нет, там на несколько раундов меньше уходит всего то.
Я рассчитываю что либо есть AES-NI либо скорости не надо.
| | |
|
|
| 1.19, аНОНИМ (?), 08:17, 19/12/2023 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
 > The most serious identified impact is that it lets a MITM to
> delete the SSH2_MSG_EXT_INFO message sent before authentication
> starts, allowing the attacker to disable a subset of the keystroke
> timing obfuscation features introduced in OpenSSH 9.5. There is no
> other discernable impact to session secrecy or session integrity.
как всегда пейсатели новостёв истерят (а переводятели -- переводят), а суть не излагают.
Кто ещё и статью смотрел, там в основном какой-то наколенный ссх-сервер на пуфоне проламывают, опенссх же практически неуязвим.
| | |
| |
| 2.21, Аноним (21), 08:38, 19/12/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
> Кто ещё и статью смотрел, там в основном какой-то наколенный ссх-сервер на
> пуфоне проламывают, опенссх же практически неуязвим.
Ровно об этом в новости и написано: "В контексте OpenSSH уязвимость позволяет откатить соединение на использование менее защищённых алгоритмов аутентификации или отключить защиту от атак по сторонним каналам, воссоздающим ввод через анализ задержек между нажатиями клавиш на клавиатуре. В Python-библиотеке AsyncSSH в сочетании с уязвимостью (CVE-2023-46446) в реализации внутреннего конечного автомата (internal state machine) атака Terrapin позволяет вклиниться в SSH-сеанс."
| | |
|
| 1.25, Пряник (?), 10:10, 19/12/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Наплодили клиентов SSH на питоне: parallel-ssh, paramiko, pssh, mitogen, plumbum, parallax, spur, tomahawk. Да я и сам свой создал на биндах для libssh.
| | |
| 1.26, Пряник (?), 10:12, 19/12/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Это не уязвимость. Человек сам виноват, что не отключил слабые алгоритмы.
| | |
| 1.28, Аноним (28), 13:51, 19/12/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> Уязвимость блокирована ... в обновлениях ... libssh 0.10.6/0.9.8
А libssh2 это никак не касается?
| | |
|
