Salve,
ho trovato uno strano, almeno per me, comportamento di ssh.
Tutte le prove sono state fatte su sistemi Debian 4.0 aggiornati e su cui è
stato installato OpenSSH. Sui sistemi in prova non ci sono certificati per cui
l'autenticazione avviene via Username/password.
Ho notato che se lancio il comando:
ssh -v -v -v [EMAIL PROTECTED]
e su server non esiste un account con nome uguale a quello con cui sono loggato
sulla shell da cui lancio il comando compaiono le seguenti righe:
debug1: Remote protocol version 2.0, remote software version OpenSSH_4.3p2
Debian-9
debug1: match: OpenSSH_4.3p2 Debian-9 pat OpenSSH*
debug1: Enabling compatibility mode for protocol 2.0
debug1: Local version string SSH-2.0-OpenSSH_4.3p2 Debian-9
debug2: fd 3 setting O_NONBLOCK
debug1: An invalid name was supplied
Cannot determine realm for numeric host address
debug1: An invalid name was supplied
A parameter was malformed
Validation error
debug1: An invalid name was supplied
Cannot determine realm for numeric host address
debug1: An invalid name was supplied
A parameter was malformed
Validation error
debug1: SSH2_MSG_KEXINIT sent
debug1: SSH2_MSG_KEXINIT received
Invece se l'utente esiste compaiono:
debug1: Remote protocol version 2.0, remote software version OpenSSH_4.3p2
Debian-9
debug1: match: OpenSSH_4.3p2 Debian-9 pat OpenSSH*
debug1: Enabling compatibility mode for protocol 2.0
debug1: Local version string SSH-2.0-OpenSSH_4.3p2 Debian-9
debug2: fd 3 setting O_NONBLOCK
debug1: Miscellaneous failure
No credentials cache found
debug1: Miscellaneous failure
No credentials cache found
debug1: SSH2_MSG_KEXINIT sent
debug1: SSH2_MSG_KEXINIT received
Pertanto mi pare di capire che viene comunque inviato il nome dell'account
dell'utente con cui si sta eseguendo la shell.
Al di la' di capire se ciò è normale e a che cosa serve, mi sto domandando quali
eventuali problemi ciò potrebbe innescare.
Lo scambio delle chiavi avviene dopo, quindi il nome dell'account da cui lancio
il comando viene trasmesso in chiaro, giusto?
--
ing. Andrea Gelpi
***************************************************
La Terra non la abbiamo ereditata dai nostri avi,
ma la abbiamo presa in prestito dai nostri bambini.
***************************************************
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List
