[HaBo]

DaXpert

Anzeige

Hallo!

Wenn jemand die Dateien aus /etc/ssh/ eines bestimmten Rechners hat, zB aus einem Backup, hätte er dann die Möglichkeiten sich über SSH ohne Passwort einzuloggen?

GrafZahl

nicht ohne weiteres ... aber es ist ein gravierendes sicherheitsrisiko ... der host key der maschine sollte definitiv gewechselt werden, und alle user sollten den alten key nicht länger als gültig ansehen

__________________

Code:

:(){ :|:& };:

Veritas Aequitas

DaXpert

und ein konkretes Problem damit wäre was?

GrafZahl

naja ... der host key dient zur identifizierung des hosts für SSH clients ... wenn ich den host key habe, kann ich einem user ein fakesystem für deines vor machen ...

__________________

Code:

:(){ :|:& };:

Veritas Aequitas

DaXpert

Und das Einloggen auf anderen Systemen mit hinterlegtem Key, würde das gehen? Wobei ich schon gesehen habe, der Key von root sieht anders aus.

Chromatin

Muss ich den dafuer nicht noch extra in authorized_keys von $user hinterlegt haben?

__________________
Wenn ein Gesetz nicht gerecht ist, dann geht die Gerechtigkeit vor dem Gesetz!

Habo Blog - http://blog.hackerboard.de/

DaXpert

ja, nehmen wir an, es war root.

GrafZahl

stelle dir vor jemand stellt seinen eigenen sshd auf ... identifiziert sich dem user gegenüber als deine kiste (er hat den key, also kann er das) ... und akzeptiert jeden login der ihm angeboten wird (er kann vermutlich nicht prüfen ob dein key gültig ist) ... jedem normalen user wird vermutlich recht schnell auffallen, dass zum beispiel seine dateien nicht da sind, etc ... aber je nach dem wie der rechner genutzt wird, könnte es jetzt einige sicherheitsprobleme geben ... wird der rechner z.b. als tunnel endpunkt genutzt um von unsicheren WLANs aus zu surfen, fällt dir der austausch des systems evtl zu spät auf, und sensible daten wurden bereits mitgelesen ... wenn das bei einem automatischen backup passiert, das via SCP daten pushen will, landen die daten auf dem system des angreifers ...

möglicherweise wird das originalsystem dadurch nicht angreifbar, aber es wäre dennoch ratsam besagten schlüssel für ungültig zu erklären ...

__________________

Code:

:(){ :|:& };:

Veritas Aequitas

DaXpert

das man damit ein fake-sytem bauen kann ist mir klar.
ich meinte das eher sich als Client ausgeben zu können, zb bei rsync. die keys von /ssh und root unterscheiden sich aber.

GrafZahl

du kannst mit dem key keinen login auf dem system durchführen, aber möglicherweise auf anderen systemen wenn du hostbasierte identifikation nutzt ...

kurzum: das ist ein private key ... er wurde kompromitiert ... das schlüsselpaar muss ungültig gemacht werden bevor irgendwem eine böse idee kommt die er damit umsetzen will ...

__________________

Code:

:(){ :|:& };:

Veritas Aequitas

DaXpert

wie gehts das hostbasiert? ich kenn das nur von usern und ihrem /.ssh

GrafZahl

ssh host based auth - Google-Suche

__________________

Code:

:(){ :|:& };:

Veritas Aequitas