Dotaz: Více klíčů pro SSH na různých portech?

[Věroš]

Zdravím,

mám na jedné IP adrese více SSH démonů na různých portech (řekněmě 22 a 8022). Protože jedou na dvou různých strojích (vivat XEN), mají pochopitelně i jiné serverové klíče.

Našel jsem možnost, jak v ~/.ssh/config naučit, že když dám ssh lister, připojím se na port 22, kdežto ssh rimmer se připojí na port 8022. Vypadá to ale, že klíč serveru se porovnává s IP adresou bez ohledu na port.

Existuje nějaká možnost, jak přesvědčit mého ssh klienta (ssh, Ubuntu) přesvědčit, že tyto dva stroje mají jiný host key? CheckHostIP no jsem zkoušel.

Před tím, než začnu hackovat SSH démona, bych se rád zeptal jestli je to nutné, nebo jsem něco v konfiguraci přehlédl.

Děkuji moc

--Věroš

Odpovědi

[azurIt]

preco obom demonom nedas ten isty kluc ?

[Věroš]

Přemýšlel jsem o tom, ale jsou to SSH démoni dvou různých počítačů. Jako last-resort to použiju, ale na první pohled se mi to moc nelíbí.

Nejsem si jistý, jestli se to v případě úspěšného útoku na jeden ze serverů nedá nějak zneužít. Jednoduše mne nic nenapadá, ale musím se zamyslet víc.

[pasmen]

Nejde port dopsat do ~/.ssh/known_hosts hned za hostname/IP? Tzn. nahradit napr. 192.168.1.10 za 192.168.1.10:2222.

[Věroš]

Já už .ssh/known_hots nemám IP adresy, ale nějakej zuřivej hash.

[Dušan Hokův]

klice podle portu mi funguji na fedore

[Radek Hladik]

Můžu se zeptat jak se to nastaví? Docela často bych to potřeboval a v manu jsem to nikde nenasel...

Radek

[CyberDragon]

klic se da zvolit v polozce "IdentityFile" (~/.ssh/config)

[Věroš]

Ne, tohle nepomůže. IdentityFile nastavuje klíč klienta - klíč podle kterého se přihlašuje.

Já potřebuju mít víc klíčů serveru - ten podle kterého se ověřuje, že server je opravdu ten, za který se vydává.

[azurIt]

yo ale mas nejaky konkretny dovod, preco oba demoni nemozu mat rovnake kluce ?

[Zdeněk Burda]

Co třeba snížení bezpečnosti?

[azurIt]

kluc sluzia 'iba' na overenie totoznosti (chcem tym povedat, ze v samotnom sifrovani komunikacie nehra ziadnu rolu) - ak by unikol, mohol by sa niekto vydavat za dany server. nic viac, nic menej. nie je to sice vec, ktora by sa dala lahko prehliadat avsak nie je to ani nic kriticke a osobne pochybujem, ze by k nieco podobnemu niekedy doslo (a to aj v pripade, keby kluc naozaj unikol resp. keby doslo k napadnutiu jednej z masin).

[Zdeněk Burda]

Chudáci uživatelé na strojích o které se staráš...

[azurIt]

??

[Zdenek]

To znamena, ze jsi na admina malo paranoidni

[Hynek (Pichi) Vychodil]

Klíč serveru slouží jen a pouze jako ochrana proti MinM nebo phishing útoku. Nic jiného to prostě nezajistí, takže když se útočník dostane přímo na ten stroj, proč by proboha měnil ten klíč? To by byl sám proti sobě, když může použít originál, ne?

[Zdenek]

Jenze tady se jedna o dva stroje se stejnym klicem. Tj. zkompromituje prvni a nasledne muze diky stejnemu klici i druhy. Nepravdepodobne lec mozne

[azurIt]

Nepravdepodobne lec mozne

prave preto som to navrhol ako riesenie. okrem toho, potreboval by na to vykonat aj kopu inych veci ako len ukradnut kluc (napr. oklamat DNS) - kedze su oba stroje na tej istej LANke, iba blbec by sa, s prepacenim, sral s niecim takymto, ked tam moze veselo snifovat na sieti a tiez napr. na tty-ckach na prvom stroji (skor alebo neskor nieco 'chyti').

mimochodom, tie '??' znamenali nieco akoze 'to ma byt argument alebo co ?' :)

[Věroš]

Přemýšlím, asi my dva stejné klíče na různých virtuálních strojích tolik nevadí. Pokud někdo prokopne DomU, tak mne nenapadá možnost, jak ho zneužít k útoku na jiný DomU či DomU bez administrátorského přístupu na Dom0. A pokud někdo prokopne Dom0, tak je stejně všechno v pr... a je čas na obnovu zálohy.

Řešení s více klíči se mi sice nelíbí, ale je dostatečné.

Howhgh. Díky všem za odpovědi.

[MaT]

V .ssh/config použijte u jednotlivých záznamů pro oba servery (Host) direktivu HostAlias. To, co uvedete za HostAlias slouží jako unikátní název pro daný server, i když ten pak je třeba na stejné IP adrese a liší se to jen portem...

Já to třeba používal proto, abych se přes jednu veřejnou IP dostal na několik počítačů za routerem (každý na jiném portu). V .ssh/known_hosts se pak místo IP adresy nebo hostname použije ten HostAlias. Není pak ani problém zařídit to, že v known_hosts je jen jeden řádek pro jeden stroj, i když se na něj připojujete různě (třeba z notebooku, jednou v lokální síti na něčem jako 192.168.x.x a jindy zvenčí na veřejnou IP adresu).

[Věroš]

Bingo!

Správně se to jmenuje HostKeyAlias, ale asi je to to ono, co hledám. To jsem v dokumentaci přehlídl...

Děkuju moc

[MaT]

Jo jo, HostKeyAlias, nějak jsem koukal do toho souboru, něco mě vyrušilo a pak jsem teprve psal sem. Ale hlavně, že to pomohlo...