Chyba v OpenSSH umožňuje zjistit, zda na počítači existuje účet s konkrétním uživatelským jménem (diskuse)

[Ruža Becelin]

No nevim, zkousel jsem ten PoC kod a ty casy mi vysly dost blizko u sebe...

[j]

Chmm, pekna hypoteza ... fungujici s nejakou pravdepodobnosti mozna v labu. A ted k realite netu ... rek bych, ze radove vic rychlost reakce ovlivni sit jako takova.

[hnmpr]

Nevím jestli jsi se díval na kód v odkazu, je tam zmíněno:

*** when TCP timestamp option is enabled the best way to measure the time would be using timestamps from the TCP packets of the server, since this will eliminate any network delays on the way.

[j]

Stejne je to knicemu, ze tam existuje root vim, a nepotrebuju nic scanovat, ze ... a rek bych, ze daleko efektivnejsi bude si strelit prijmeni administratoru jako dalsi ucty ... pripadne dalsi podobny akce. Nez zkouset random nejaky slovniky.

[Sten]

Na naprosté většině distribucí je přednastaveno PermitRootLogin without-password, takže znalost existence roota vám v brute-force útoku nepomůže. Zjištění, jestli uživatel, u kterého se snažíte brute-forceovat heslo, existuje, dost pomůže snížit náročnost takového útoku.

[Michal Kubeček]

Především je holý nerozum mít autentizaci heslem povolenou pro jakéhokoli uživatele. Spíš by bylo zajímavé, jestli je měřitelný časový rozdíl mezi existujícím a neexistujícím uživatelem i při použití autentizace klíčem.

[Sten]

Docela pochybuju, že by to šlo, alespoň ne stejným způsobem, tenhle útok používá velmi dlouhé heslo, ale u klíčů generuje challenge server.

Byl by ale takový útok vůbec zajímavý? Klíče se nedají prolomit pomocí brute force.

[Jendа]

Byl by ale takový útok vůbec zajímavý? Klíče se nedají prolomit pomocí brute force.

Záleží na distribuci

[⧠ A = 0]

Příloha:

• kuvankaappaus7.png (246414 bytů)

Hustě. Kvalita a pokrytí lokalisace někdy dokáže překvapit.

(Koukám, že tohle se bude Debianu omlacovat o hlavu asi ještě za dvacet let.)

[martin-ux]

striktne povedane neviete naisto, ze je tam root .. viete len, ze je tam user s uid 0.

[martin-ux]

Este pridam aj linku na exploit: https://www.exploit-db.com/exploits/40136/

Samozrejme, ze niekedy je potrebne aby user mal heslo a nie ; tvrdit opak je nonsense. Co som na svoje servre tak to sedelo pekne.