OpenSSH 7.0

Byla vydána verze 7.0 sady aplikací pro SSH komunikaci OpenSSH. Přináší několik změn v konfiguraci s cílem zvýšení bezpečnosti, například výchozí hodnota PermitRootLogin v sshd_config byla změněna z "yes" na "prohibit-password". Již při překladu ze zdrojových kódů je ve výchozím stavu zakázána podpora protokolu SSH verze 1. Postupně se opouštějí slabé šifrovací algoritmy.

12.8.2015 11:00 | Ladislav Hagara | Nová verze

Komentáře

[Michal Kubeček]

"prohibit-password" je jen přejmenované "without-password" nebo se to něčím liší?

[trekker.dk]

V TFA je odkaz na changelog, kde je tohle:

PermitRootLogin=without-password/prohibit-password now bans all interactive authentication methods, allowing only public-key, hostbased and GSSAPI authentication (previously it permitted keyboard-interactive and password-less authentication if those were enabled).

IMO z toho vyplývá, že je to totéž.

[Michal Kubeček]

Už to vidím v "New Features":

sshd_config(5): PermitRootLogin now accepts an argument of 'prohibit-password' as a less-ambiguous synonym of 'without-password'.

No, je pravda, že mi ten řádek "PermitRootLogin without-password" vždycky připadal trochu matoucí. :-)

[Petr Tomášek]

To bude zas prdel, až automatický update OpenSSH na verzi 7.0 znemožní připojení. Tomuhle říkám "moudré" rozhodnutí..

[janko makovica]

v Debiane o 6 rokov

[R]

V Debiane 8 tato zmena uz je - pri novej instalacii automaticky, pri upgrade sa to spyta.

[Jendа]

Není, ssh-dss klíč mi to normálně vezme (jestli jsem dobře pochopil ten changelog).

Předpokládám že při upgrade na nové openssh to projde authorized_keys a zeptá se to.

[Michal Kubeček]

Když někdo nerozlišuje update a upgrade…

[CLX-Kuba]

Sranda zacne az tam konecne bude:
PermitRootLogin=no

a osobne to jen schvaluju, jelikoz kazdou chvili se resi ze nejakej trotl ma na serveru root heslo ,,Heslo123" :-/

[x]

Tohle je na OpenBSD automaticky už roky pokud člověk při instalaci vytvoří běžného uživatele.

[Michal Kubeček]

A v čem konkrétně v takovém případě pomůže "no" oproti "prohibit-password"?

[pavelk]

Ze pokud mi bude odcizen klic k rootovi, tak 'no' me uchrani pred jeho zneuzitim. Zustane mi ale moznost prihlasit se pres normalniho uzivatele a su-cknout se.

[Michal Kubeček]

Ve vašem případě bude muset útočník, který získá klíč (a heslo k němu, pochopitelně), jen počkat, až se přihlásíte a to su spustíte. Takové "zvýšení bezpečnosti" mi za zbytečné komplikace opravdu nestojí.

[Michal Kubeček]

Oprava: ani nebude muset čekat. Zapomněl jsem, že se bavíme o speciálním případu, kdy je heslo roota tak slabé, že ho útočník uhodne. :-)

[Mrkva]

Docela by me zajimala ta situace kdy se utocnik dostane ke klici na roota a ke klici usera ne (zvlast kdyz to ma pod palcem jeden clovek a ~root/.ssh/authorized_keys == ~user/.ssh/authorized_keys)

[Bill Gates]

A v cem je to uzitecne pro ty kteri pouzivaji silna hesla a zakazat prihlaseni roota nepotrebuji? Jeden krok navic, ktery je nutno po instalaci provest? Ja tohle treba uz pravidelne musim nastavovat a takovych kroku je cim dal vic. Obcas nap*srani. To mi prijde jak kdyz jedno dite z milionu spadne a odre si koleno, tak v tu chvili vsechny deti musi odted nosit na kolenou chranice, i ty, ktere umi chodit normalne a bezne nepadaji jen kvuli tomu jednomu nemehlu.

[R]

To je dobre heslo, pretoze splna aj poziadavky na zlozitost hesla vo Windows server :D