[LUG.ro] ssh automatico con argumentos

Sebastián D. Criado lugro@lugro.org.ar
Thu, 6 Apr 2006 18:01:45 -0300


--nextPart6335653.XC5RmATGSy
Content-Type: text/plain;
  charset="iso-8859-1"
Content-Transfer-Encoding: quoted-printable
Content-Disposition: inline

El Jueves 06 Abril 2006 17:20, Federico Wiecko escribi=F3:
> Pregunta, .. =BF y si te roban la clave privada o mas probable.. si
> comprometen la cuenta del servidor donde esta la p=FAblica. En ese caso
> inmediatamente pasaron al otro server sin clave (en concreto estoy
> refiriendome los archivos identity.pub e identity) ?.

Hay que ver la topolog=EDa para saber como hacer. No es lo mismo si son dos=
=20
extremos publicos que si es uno solop ublico y otro en una red privada (est=
e=20
ultimo el que realiza la conexi=F3n)

Igualmente, se supone que no le das acceso remoto a "ese" usuario en "la"=20
maquina que se est=E1 conectando al servidor desde el otro extremo, por lo =
que=20
el robo tendr=EDa que ser mediante el acceso f=EDsico, con lo cual, se term=
ina=20
toda regla de seguridad logica.

Para que se entienda. Si tengo acceso fisico, puedo hacer un DoS con solo=20
desenchufar el cable o bien, para que sea m=E1s permanente, rompo a masasos=
 el=20
disco r=EDgido :)

> Por eso me parece que trabajar con contrase=F1a es mas seguro ya que no se
> maneja con los permisos del mismo usuario sino con permisos especiales co=
mo
> los de root. Por supuerto, siempre y cuando est=E9n bien administradas (l=
ease
> encriptadas, con los permisos adecuados y programas seguros para
> accederlas)

Aca me parece que hay una confuci=F3n.

Vos podes hacer que el scrip ingrese con el usuario que quieras. Si queres,=
=20
podes hacer que el due=F1o del script sea el root y que solo el root pueda=
=20
ejecutarlo, leerlo y/ modificarlo.
Si el acceso lo tiene el root (en la m=E1quina desde donde se va a conectar=
) ya=20
esta protegida las claves publicas por los permisos del /root. Es decir, es=
=20
indistinto si se usa clave o public key. Pero (siempre hay un pero) si ese=
=20
script se fiultra por error, ya le est=E1s pasando en el mismo todos los da=
tos=20
necesarios, incluidos usuario y contrase=F1a de conexi=F3n (con solo mandar=
lo por=20
mail por error, ya lo filtraste).

As=ED mismo, el servidor al que llegara la conexi=F3n, tiene que estar segu=
rizado=20
mediante la configuraci=F3n adecuada del ssh  para que deje entrar solo a e=
se=20
usuario (o a los necesarios aparte del que usa el script) y adem=E1s por re=
glas=20
de net-filter para que solo deje conectarse desde la ip donde esta el=20
cliente.

> .=20
>
> Salvo que tu servidor tenga datos realmente importantes como para ser
> robados, no creo que este sea un tema para preocuparse.

No subestimes los niveles de paranoia de la gente :D

Un abrazo


=2D-=20

Sebasti=E1n D. Criado - scriado{en}ciudad.com.ar
L.U.G.R.o - http://www.lugro.org.ar
GNU/Linux Registered User # 146768
=2D------------------------------------------------------------------
"Si el Universo fuera un programa estar=EDa hecho en C, y correr=EDa sobre
un sistema UNIX"
                                                   An=F3nimo.

		=09

--nextPart6335653.XC5RmATGSy
Content-Type: application/pgp-signature

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.2 (GNU/Linux)

iD8DBQBENYG/8hmHQ8ZCg0IRAq1LAJ44yFKIqNHMQjFJchtxZWqgXbKuVACghrsJ
ZCJY5VDpbeFX2JhTUBA220Q=
=bEMW
-----END PGP SIGNATURE-----

--nextPart6335653.XC5RmATGSy--