forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..., opennews (ok), 29-Авг-18, (0) [смотреть все]

ну узнали они что есть допустим root и что дальше-то , gred (ok), 21:42 , 29-Авг-18, (1) +3 //

Ни байта врагу , Hgtuugt (?), 21:49 , 29-Авг-18, (2) +10
И подбираем твой ключ несколько миллиардов лет чтобы после взлома включить тебя , Китайский ботнет (?), 21:51 , 29-Авг-18, (3) +3 //

Ваш ботнет отстой Вот у нас каждый подключён к нашему ботнету через Android, Ap, Американский ботнет (?), 22:00 , 29-Авг-18, (6) +8

Мб некоторые ставят слабый пароль на обычного юзера в расчёте на то, что 1 атак, Аноним (4), 21:52 , 29-Авг-18, (4) +2 //

В любом случае, угадать логин и пароль значительно сложнее чем перебрать логины , x3who (?), 15:22 , 30-Авг-18, (41) +1

Дальше удовлетворятся этим знанием и распилял бабла , Аноним (-), 22:50 , 29-Авг-18, (13) –2
Рубежи обороны а еще они узнали что в системе Х есть юзер с тем же именем чт, Анонимусис (?), 23:54 , 29-Авг-18, (17) +3 //

А ещё, зная пароль пользователя в системе Y, можно сразу попытаться войти в сист, Волжанин (?), 06:35 , 30-Авг-18, (25) +1 //

Что лучше - подбирать по словарю существующего пользователя, или вероятно не сущ, Урри (?), 11:57 , 30-Авг-18, (33)

дальше пробуются пароли для аналогичного ника, утекшие через какой-нибудь форум , pavard (ok), 00:37 , 30-Авг-18, (18) //

ССЗБ У всех у кого не рвота вместо мозга - либо ключи, либо сертификаты с своим , Сигизмунд Точка (?), 00:54 , 30-Авг-18, (19) +3 //

почти никто не отклчючает аутентификацию по паролю, разместив свой ключ на машин, pavard (ok), 01:32 , 30-Авг-18, (23) –1

Для того чтобы отключить что-нибудь ненужное, надо сначала включить это ненужное, angra (ok), 03:50 , 30-Авг-18, (24)

Тоже есть обратная сторона Ключ так же можно угнать А на 100 серверов 100 ключ, metakeks (?), 12:30 , 30-Авг-18, (34) –1

ты похоже не пользуешься ключами не понимаешь как они работают , pavard (ok), 13:54 , 30-Авг-18, (37) +1

А как они работают , Аноним (40), 14:55 , 30-Авг-18, (40) –1

Они лежат на диске клиентского компа и поэтому могут оказаться недоступны в крит, x3who (?), 15:27 , 30-Авг-18, (42) –2

Ох, малыш Про то, что можно иметь несколько ключей в разных местах хранящихся т, Аноним (44), 15:33 , 30-Авг-18, (44)

а мой старый ноут как раз 11 лет проработал и сдох HDD а флешку с ключами запас, AS (??), 16:17 , 30-Авг-18, (48)

если ты мог подключиться с утюга - значит на нем есть копия приватного ключа, на, pavard (ok), 15:44 , 30-Авг-18, (46)

С утюга - значит любого устройства, подключенного к сети и имеющего экран и клав, x3who (?), 16:01 , 30-Авг-18, (47)
За копию приватного ключа нужно бить по роже На каждом девайсе должен быть свой, Аноним (44), 18:52 , 30-Авг-18, (49)

Всё верно сказал Я как-то почти наступил на эти грабли и осознав последствия хо, cutlass (?), 07:11 , 31-Авг-18, (51)

А то что брут форсу теперь легче логин подобрать Шаг 1 Проверяем наличие Лузер, ЖопорукийТорвальдс (?), 11:02 , 30-Авг-18, (32)

Чото странное в новости, у меня все новые sshd всегда ругаются на too many даже, Аноним (-), 21:54 , 29-Авг-18, (5) +1 //

У вас просто версия выпущенная до 2011 года , asand3r (ok), 23:43 , 29-Авг-18, (16)

Ну так весь фикс в том, чтобы система обрубала соединение при множестве ошибках , Аноним (7), 22:10 , 29-Авг-18, (7) +1 //

Спасибо за толковый совет , Аноним (-), 22:52 , 29-Авг-18, (14)

Извиняюсь за оффтоп, но может быть кто-нибудь знает, можно ли на манке настроить, Аноним (8), 22:19 , 29-Авг-18, (8) –1 //

Можно Я настроил , Аноним (10), 22:41 , 29-Авг-18, (10)

Я уже разогреваю masscan и hydra, лаовай , Китайский кулхацкер (?), 22:35 , 29-Авг-18, (9) –1 //

Хорошо у всех машин на облачном хостинге есть пользователь root с паролем из 32 , Аноним (10), 22:43 , 29-Авг-18, (11) //

Есть пользователь root с passwd -l и PermitRootLogin no И еще по 30-50 пользо, Сигизмунд Точка (?), 00:58 , 30-Авг-18, (20)

Не люблю когда меня определяют Я сам решаю, определяться или нет, а вот когда м, Аноним (-), 22:49 , 29-Авг-18, (12) +13 //

Ну ты хватил Ещё товарища генерал-майора бы вписал В современном мире это зада, x3who (?), 15:32 , 30-Авг-18, (43)

На всякий случай очень, очень мало существует ПО, которое аналогично SSH реальн, PereresusNeVlezaetBuggy (ok), 22:54 , 29-Авг-18, (15) +5 //

Это считается просто раскрытием информации но никак не критической уязвимостью , Сигизмунд Точка (?), 01:01 , 30-Авг-18, (21) //

Истинно так , Ленивый Перерезус (?), 09:21 , 30-Авг-18, (27)

Специально для параноиков Crazy workaround - создать пару десятков тысяч пользов, Сигизмунд Точка (?), 01:05 , 30-Авг-18, (22) //

Это вы имеете виду установить shell для юзера в sbin noligin А вот это как р, lone_wolf (ok), 09:07 , 30-Авг-18, (26)
для параноиков не катит - они будут бояться, что какой-то из этих тысяч пользова, Нанобот (ok), 09:23 , 30-Авг-18, (28) –1
У докеристов кровь из глаз не пошла , metakeks (?), 14:00 , 30-Авг-18, (38) –1

Уязвимость конечно нужно исправлять Но и Fail2Ban уже изобрели , Аноним (29), 09:24 , 30-Авг-18, (29) //

Не в опенврт, например , x3who (?), 15:36 , 30-Авг-18, (45)

Самое обидное что в CentOS до сих пор не бекпортировали исправления из версии 7 , lone_wolf (ok), 09:41 , 30-Авг-18, (30) –1 //

Ты хотел сказать, обидно, что редхет не выпустил следующий пойнт-релиз рхела, не, Andrey Mitrofanov (?), 09:47 , 30-Авг-18, (31) –3 //

Причем тут новый релиз к накладыванию патчей Если бы я сказал про новые фичи да, lone_wolf (ok), 12:41 , 30-Авг-18, (35) //

Ты ж про центос там выше скучал Мне казалось, что они из исходников всё пер, Andrey Mitrofanov (?), 12:58 , 30-Авг-18, (36) –2

Совершенно верно про CentOS, и да из исходников, и да не сразу CentOS реально ож, lone_wolf (ok), 14:02 , 30-Авг-18, (39) –1

Что плохого в подключении по паролю к root с 60-значным паролем Например 82wH7B, Аноним (50), 04:32 , 31-Авг-18, (50) –1 //

да, Аноним (-), 10:01 , 31-Авг-18, (52) +1 //

Так что плохого-то Кто сможет перебрать длюннющий пароль, тем более при включен, Аноним (50), 11:13 , 31-Авг-18, (53) –2 //

Его не нужно перебирать, если у тебя на лэптопе завёлся кейлоггер или еще какая , nox (??), 13:53 , 03-Сен-18, (54)

С железного ключа например, Yubikey - не сможет , 1 (??), 16:50 , 05-Сен-18, (57)

Воспользовался уязвимостью в OpenSSH и с уверенностью могу сказать пользователи , Аноним (55), 18:25 , 03-Сен-18, (55) +1 //

Тс-с-с Не пали главную Уязвимость , Andrey Mitrofanov (?), 11:00 , 04-Сен-18, (56)

Сообщения [Сортировка по времени | RSS]

19. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +3 +/–

Сообщение от Сигизмунд Точка (?), 30-Авг-18, 00:54

> ssh
> пароли
ССЗБ.
У всех у кого не рвота вместо мозга - либо ключи, либо сертификаты с своим PKI.

Ответить | Правка | Наверх | Cообщить модератору

23. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." –1 +/–

Сообщение от pavard (ok), 30-Авг-18, 01:32

почти никто не отклчючает аутентификацию по паролю, разместив свой ключ на машине. это раз. два - по моим представлениям( субъективным ощущениям ) людей живущих исключительно на паролях - в районе половины. тобишь как не крути...

Ответить | Правка | Наверх | Cообщить модератору

24. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от angra (ok), 30-Авг-18, 03:50

Для того чтобы отключить что-нибудь ненужное, надо сначала включить это ненужное. Зачем устанавливать юзеру пароль, если можно сразу поставить публичный ключ?

Ответить | Правка | Наверх | Cообщить модератору

34. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." –1 +/–

Сообщение от metakeks (?), 30-Авг-18, 12:30

Тоже есть обратная сторона. Ключ так же можно угнать. А на 100 серверов 100 ключей запароленных держать - это мало кто возьмётся.

Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

37. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +1 +/–

Сообщение от pavard (ok), 30-Авг-18, 13:54

ты похоже не пользуешься ключами( не понимаешь как они работают ).

Ответить | Правка | Наверх | Cообщить модератору

40. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." –1 +/–

Сообщение от Аноним (40), 30-Авг-18, 14:55

А как они работают?

Ответить | Правка | Наверх | Cообщить модератору

42. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." –2 +/–

Сообщение от x3who (?), 30-Авг-18, 15:27

> А как они работают?
Они лежат на диске клиентского компа и поэтому могут оказаться недоступны в критический момент если этот комп внезапно и случайно сдох. И ты остаёшься без связи со своим сервером, к которому мог бы подключиться по SSH с любого утюга, если бы не запретил логины по паролю. Примерно как-то так они работают.

Ответить | Правка | Наверх | Cообщить модератору

44. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от Аноним (44), 30-Авг-18, 15:33

Ох, малыш. Про то, что можно иметь несколько ключей в разных местах хранящихся ты не слышал, да?
У меня вот уже больше 10 лет на всех серверах запрещен ssh по паролю и ни разу не было проблемы с тем, что я не могу зайти.

Ответить | Правка | Наверх | Cообщить модератору

48. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от AS (??), 30-Авг-18, 16:17

а мой старый ноут как раз 11 лет проработал и сдох HDD. а флешку с ключами запасными постирал случайно в ст. машине с неделю назад. пришлось вспоминать детский матерный стишок из 10 строчек, который в лат. раскладке и был у меня паролем. но моя мораль совсем из др. оперы:
ключ Можно Быстро уничтожить вслучае чего. а пароль в любом случае восстановят. с терморекральным то криптоанализом. и не дорого это.

Ответить | Правка | Наверх | Cообщить модератору

46. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от pavard (ok), 30-Авг-18, 15:44

если ты мог подключиться с утюга - значит на нем есть копия приватного ключа, на случай если у тебя сдох комп. вот с него и заходи, с него и восстанавливай приватный ключ.

Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

47. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от x3who (?), 30-Авг-18, 16:01

> с утюга - значит
С утюга - значит любого устройства, подключенного к сети и имеющего экран и клавиатуру. Из интернет-кафе, например. Естественно, двухфакторная авторизация была бы уместна, но на совсем крайний случай можно зайти и просто интерактивно и поменять себе пароль на дамп из /dev/random, чтобы обильно протрояненные кейлоггерами компы из кафе не обогатились твоим паролем.

Ответить | Правка | Наверх | Cообщить модератору

49. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от Аноним (44), 30-Авг-18, 18:52

За копию приватного ключа нужно бить по роже. На каждом девайсе должен быть свой ключ чья публичная часть должна быть на сервере.

Ответить | Правка | К родителю #46 | Наверх | Cообщить модератору

51. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..." +/–

Сообщение от cutlass (?), 31-Авг-18, 07:11

Всё верно сказал. Я как-то почти наступил на эти грабли и осознав последствия хожу по случайному паролю из 20 символов.
Ключ удобен если скрипту надо лазить на другой хост периодически.

Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру


	19. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+3 +/–
	Сообщение от Сигизмунд Точка (?), 30-Авг-18, 00:54
	> ssh > пароли ССЗБ. У всех у кого не рвота вместо мозга - либо ключи, либо сертификаты с своим PKI.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	23. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	–1 +/–
	Сообщение от pavard (ok), 30-Авг-18, 01:32
	почти никто не отклчючает аутентификацию по паролю, разместив свой ключ на машине. это раз. два - по моим представлениям( субъективным ощущениям ) людей живущих исключительно на паролях - в районе половины. тобишь как не крути...
	Ответить \| Правка \| Наверх \| Cообщить модератору


	24. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
	Сообщение от angra (ok), 30-Авг-18, 03:50
	Для того чтобы отключить что-нибудь ненужное, надо сначала включить это ненужное. Зачем устанавливать юзеру пароль, если можно сразу поставить публичный ключ?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	34. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	–1 +/–
	Сообщение от metakeks (?), 30-Авг-18, 12:30
	Тоже есть обратная сторона. Ключ так же можно угнать. А на 100 серверов 100 ключей запароленных держать - это мало кто возьмётся.
	Ответить \| Правка \| К родителю #19 \| Наверх \| Cообщить модератору


	37. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+1 +/–
	Сообщение от pavard (ok), 30-Авг-18, 13:54
	ты похоже не пользуешься ключами( не понимаешь как они работают ).
	Ответить \| Правка \| Наверх \| Cообщить модератору


	40. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	–1 +/–
	Сообщение от Аноним (40), 30-Авг-18, 14:55
	А как они работают?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	42. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	–2 +/–
	Сообщение от x3who (?), 30-Авг-18, 15:27
	> А как они работают? Они лежат на диске клиентского компа и поэтому могут оказаться недоступны в критический момент если этот комп внезапно и случайно сдох. И ты остаёшься без связи со своим сервером, к которому мог бы подключиться по SSH с любого утюга, если бы не запретил логины по паролю. Примерно как-то так они работают.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	44. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
	Сообщение от Аноним (44), 30-Авг-18, 15:33
	Ох, малыш. Про то, что можно иметь несколько ключей в разных местах хранящихся ты не слышал, да? У меня вот уже больше 10 лет на всех серверах запрещен ssh по паролю и ни разу не было проблемы с тем, что я не могу зайти.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	48. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
	Сообщение от AS (??), 30-Авг-18, 16:17
	а мой старый ноут как раз 11 лет проработал и сдох HDD. а флешку с ключами запасными постирал случайно в ст. машине с неделю назад. пришлось вспоминать детский матерный стишок из 10 строчек, который в лат. раскладке и был у меня паролем. но моя мораль совсем из др. оперы: ключ Можно Быстро уничтожить вслучае чего. а пароль в любом случае восстановят. с терморекральным то криптоанализом. и не дорого это.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	46. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
	Сообщение от pavard (ok), 30-Авг-18, 15:44
	если ты мог подключиться с утюга - значит на нем есть копия приватного ключа, на случай если у тебя сдох комп. вот с него и заходи, с него и восстанавливай приватный ключ.
	Ответить \| Правка \| К родителю #42 \| Наверх \| Cообщить модератору


	47. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
	Сообщение от x3who (?), 30-Авг-18, 16:01
	> с утюга - значит С утюга - значит любого устройства, подключенного к сети и имеющего экран и клавиатуру. Из интернет-кафе, например. Естественно, двухфакторная авторизация была бы уместна, но на совсем крайний случай можно зайти и просто интерактивно и поменять себе пароль на дамп из /dev/random, чтобы обильно протрояненные кейлоггерами компы из кафе не обогатились твоим паролем.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	49. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
	Сообщение от Аноним (44), 30-Авг-18, 18:52
	За копию приватного ключа нужно бить по роже. На каждом девайсе должен быть свой ключ чья публичная часть должна быть на сервере.
	Ответить \| Правка \| К родителю #46 \| Наверх \| Cообщить модератору


	51. "Ещё одна уязвимость в OpenSSH, позволяющая определить наличи..."	+/–
	Сообщение от cutlass (?), 31-Авг-18, 07:11
	Всё верно сказал. Я как-то почти наступил на эти грабли и осознав последствия хожу по случайному паролю из 20 символов. Ключ удобен если скрипту надо лазить на другой хост периодически.
	Ответить \| Правка \| К родителю #42 \| Наверх \| Cообщить модератору