Dotaz: ssh

[Jirka Kadlec]

Dobrý den, potřeboval bych poradit

SSH mi píše:

The autenticity of host jmeno_serveru (adresa) can´t be established. RSA1 key fingerprint is nejaky_encryptovaci_klic. Are you sure youwant to continue connecting (yes/no)?

Když dám ano tak mi to napíše znova.

Zkoušel jsem se připojit klientem Putty pro winy a tam odsud to šlo když jsem dal yes.

Co s tim je, prosím poraďte mmi prosím někdo.

Odpovědi

[jbohac]

"yes" musis napsat celym slovem, ne jenom "y"

[Sakul]

Taky me to pred rokem potkalo

[jirka kadlec]

no ale proč to píše? je tam chyba v encrypci nebo proč? aby se neposílaly nezabezpečený data díky

[Tomáš Bláha]

Když se poprvé připojujete k nějakému počítači, tak ho Váš ssh klient nezná. Nemůže tedy ověřit, že je to skutečně ten počítač a ne nějaký jiný, který se za něj vydává. Proto mu potvrdíte, že stroj s daným veřejným klíčem je opravdu ten, ke kterému se chcete připojit. Při příštím připojení pak ssh kontroluje, že se identifikace vzdáleného stroje nezměnila. Pokud by se změnila, zamezil by připojení, aby nedošlo k případné kompromitaci. Takový stav může být výsledkem bud Man-in-the-middle útoku, nebo toho, že stroj, na který se přihlašujete, byl třeba přeinstalován a změnily se klíče. Takže poprvé zadáte ,,yes'', nebo, pokud budete chtít super bezpečnost, tak si veřejný klíč vyžádáte zabezpečeným kanálem (třeba na disketě od správce serveru) a nainstalujete si ho do domovského adresáře, do .ssh/known_hosts

[Tomáš Hála]

Mozna by nebylo od veci, zjistit si alespon ramcove, jak ssh funguje. To ze jsou data sifrovana jeste neznamena, ze prenos je bezpecny. Ty data musi byt sifrovana nejakym klicem a ty dva komunikujici stroje se musi na nejakym klici domluvit. Jenze kdyby se nejprve nesifrovane domluvili na nejakym klici, tak bude sifrovani uplne zbytecne, protoze ten klic by nekdo zachytil a celou komunikaci si s jeho pomoci zase rozsifruje. Takze by tu nebyl zadny pokrok proti telnetu. Proto se zde pouziva tzv. asymetricka kryprografie na zaklade klice rozdeleneho do verejne a privatni casti stejne, jako to dela napr. PGP. No a tim, ze vy napisete yes potvrzujete platnost verejneho klice, kterym se dany stroj prokazal (resp. jeho otisk). Pak muze vas stroj timto verejnym klicem neco zasifrovat, poslat to svemu protejsku a to jde rozsifrovat pouze pomoci soukrome casti klice, kterou ma k dispozici jen ten volany pocitac. A to neco, co vas stroj posle svemu protejsku, je klic, ktery se bude pouzivat po zbytek komunikace.