On Wed, 28 Nov 2007 17:07:09 +0100 Gelpi Andrea <[EMAIL PROTECTED]> wrote:
> Pertanto mi pare di capire che viene comunque inviato il nome
> dell'account dell'utente con cui si sta eseguendo la shell.
>
> Al di la' di capire se ciò è normale e a che cosa serve, mi sto
> domandando quali eventuali problemi ciò potrebbe innescare.
> Lo scambio delle chiavi avviene dopo, quindi il nome dell'account da
> cui lancio il comando viene trasmesso in chiaro, giusto?
Non ho avuto occasione di riprodurre il comportamento da te osservato
ma quello che posso dirti è che i parametri relativi all'autenticazione
di una sessione SSH non sono trasmessi in chiaro.
Infatti il Secure Shell Authentication Protocol (definito in RFC4252)
si appoggia al Secure Shell Transport Layer Protocol (definito in
RFC4253 e a cui ti rimando per i dettagli) che garantisce integrità e
riservatezza alla fase di autenticazione mediante la generazione di
una chiave di cifratura e una di autenticazione attraverso uno scambio
di chiavi alla Diffie-Hellman.
Come riferimenti per approfondire il funzionamento di SSH consiglio la
lettura degli RFC che ti riporto di seguito che sono davvero ottimamente
scritti e che, a mio modo di vedere, andrebbero letti almeno una volta
nella vita... :)
4251 The Secure Shell (SSH) Protocol Architecture. T. Ylonen, C.
Lonvick, Ed.. January 2006. (Format: TXT=71750 bytes) (Status:
PROPOSED STANDARD)
4252 The Secure Shell (SSH) Authentication Protocol. T. Ylonen, C.
Lonvick, Ed.. January 2006. (Format: TXT=34268 bytes) (Status:
PROPOSED STANDARD)
4253 The Secure Shell (SSH) Transport Layer Protocol. T. Ylonen, C.
Lonvick, Ed.. January 2006. (Format: TXT=68263 bytes) (Status:
PROPOSED STANDARD)
4254 The Secure Shell (SSH) Connection Protocol. T. Ylonen, C.
Lonvick, Ed.. January 2006. (Format: TXT=50338 bytes) (Status:
PROPOSED STANDARD)
Saluti,
--
Angelo Dell'Aera 'buffer'
Antifork Research, Inc. http://buffer.antifork.org
Metro Olografix
PGP information in e-mail header
signature.asc
Description: PGP signature
________________________________________________________ http://www.sikurezza.org - Italian Security Mailing List
