🚀 go-pugleaf

On 25.03.2014 14:37, Kajetan Staszkiewicz wrote:

> Wiem, że na ludzką głupotę to nie pomoże, ale jest coś takiego jak 
> forwardowanie kluczy. Więc ani klucze, ani hasła do nich nie muszą być na 
> serwerze, co najwyżej mogą.

Odnośnie bezpieczeństwa przeforwardowanego ssh agenta:
  - zaloguj się jako user z przeforwardowanym ssh agentem
  - zobacz jak wyglądają zmienne środowiskowe SSH_AGENT_PID i SSH_AUTH_SOCK
  - jako root na drugiej sesji ustaw sobie takie same SSH_AGENT_PID i SSH_AUTH_SOCK jak ma user
  - zrób ssh  ztego roota jako user na jedną z maszyn na której user ma konto z kluczem, który znajduje się ssh agencie.


Odnośnie tego co napisał Michał, to ma on w zupełności rację. Na jednej z konferencji confidence w krakowie,
w przerwie ktoś pokazywał kawałek kodu w "c", który zrobi na konsoli to co w matrixie zrobiono Neo,
czyli przejęci możliwość czytania i pisania po konsoli.
Teoretycznie to samo można by zrobić w sesji ssh usera z roota
i nie tylko widzieć co pisze, ale także wpisać za użytkownika komendy na terminalu.
Co najważniejsze nie trzeba do tego modyfikować binarek systemu, co by było łatwe do wykrycia
( gdyby ktoś szukał :D )

Kiedyś napisałem sobie skrypcik, do przesiadania się po ssh przez maszynki,
jedyna bezpieczna opcja to forwardowanie portu przez serwer pośredniczący,
może wtedy być skompromitowany, jeśli ktoś zaingeruje choć w jeden pakiet
to ssh to wykryje .
(wpomniany skrypcik leży w tej paczuszce http://debian.atman.pl/debian/dists/squeeze/main/binary-amd64/dossh_0.1~20120727130938.gbpa0f196_all.deb )

-- 
  MG