🚀 go-pugleaf

On 26/03/14 10:12, Kajetan Staszkiewicz wrote:
> Dnia środa, 26 marca 2014 00:03, tombo napisał(a):
> 
>> jedyna bezpieczna opcja to forwardowanie portu przez serwer
>> pośredniczący, może wtedy być skompromitowany, jeśli ktoś zaingeruje choć
>> w jeden pakiet to ssh to wykryje .
> 
> Twoje twierdzenie jest inwalidą. Wystarczy, że zrobię przekierowanie dla  
> nowego użytkownika, który jeszcze nie ma zaakceptowanego podpisu serwera. 
> Łyknie takie połączenie jak indyk kluski. A niektórzy łykną nawet dla 
> starego serwera.
> 

Jak chcesz całkowicie postawić na bezpieczeństwo, to:

- dostęp tylko po VPN'ie (który daje dostęp do "wirtualnej" sieci - a
nie do sieci fizycznej, tak że każdy serwer z którym ktoś ma się łączyć
po ssh, też łączy się po VPN'ie i ma na sztywno w ipsec'u ustawiony
wewnętrzny adres IP - w efekcie nic nie może go zespoofować + blokujesz
na firewallu serwera VPN każdy inny ruch wewnątrz tej "wirtualnej" sieci
niż klient -> serwer:ssh)

- podpisanie wszystkich serwerów swoim kluczem gpg (monkeysphere) - jak
by ktoś jednak znalazł dziurę w IPSEC'u

- logowanie tylko certyfikatami, żadnych haseł (najlepiej w ogóle
uniemożliwiasz zmianę/dodanie klucza i dostarczasz żądaną ilość tokenów,
z wgranym odpowiednim kluczem)

- dostarczasz zaszyfrowaną płytkę (archiwum zaszyfrowane gpg za pomocą
hasła) ze wyżej wymienionymi kluczami i plikami konfiguracyjnymi, z
hasłem które podałeś innym kanałem komunikacji (jak np sms)

-- 
Michał Rydlikowski