Секция 1 из 2 - Предыдущая - Следующая

1. Общие[сопутствующие]-вопросы.

• 1.1 Где я могу взять это описание?
• 1.2 Куда я могу послать вопросы, поправки и тд, по этому документу?

2. Основы Ssh.

• 2.1 Что такое ssh?
• 2.2 Почему желательно использовать ssh?
• 2.3 От каких типов атак ssh защищает?
• 2.4 От каких типов атак ssh не защитит?
• 2.5 Как он работает?
  • 2.5.1 SSH версия 1.2.x.
  • 2.5.2 SSH версия 2.x (ssh2).

3. Где взять и как установить ssh.

• 3.1 Какая последняя версия ssh?
• 3.2 Могу ли я законно использовать ssh?
• 3.3 Что можно сказать о коммерческом использовании ssh?
• 3.4 Где можно взять ssh?
• 3.5 Как установить ssh?
• 3.6 Может ли установить ssh "непривелигированный" пользователь в OS Unix?
• 3.7 Где можно получить помощь?
• 3.8 Существуют ли версии ssh для Non-Unix операционных систем?
• 3.9 Что можно сказать об администрировании ssh?
• 3.10 Что известно о других версиях UnixSSH Servers?

4. Приложения Ssh.

• 4.1 Можно ли выполнять "backups" поверх ssh?
• 4.2 Нужно ли отключать криптования для увеличения производительности?
• 4.3 Можно ли использовать ssh для работы через firewall?
• 4.4 Можно ли использовать rdist совместно с ssh?
• 4.5 Можно ли использовать ssh для безопасного соединения двух подсетей через Internet?
• 4.6 Можно ли использовать ssh для перенаправления UDP-сервисов, таких как NFS или NIS?
• 4.7 Можно ли перенаправлять SGI GL соединения поверх ssh?
• 4.8 Можно ли использовать ssh для защиты таких сервисов как FTP или POP?
• 4.9 Можно ли использовать ssh через Socks firewall?
• 4.10 Поддерживает ли ssh работу с AFS/Kerberos?

5. Проблемы.

• 5.1 "ssh otherhost xclient &" не работает!
• 5.2 Ssh сбоит в Solaris, вылетая с сообщением "Resource temporarily unavailable".
• 5.3 Sshd зависает в Solaris 2.5!
• 5.4 Перенаправление X11 не работает в случае выполнения SCO-binary под Linux в режиме iBCS2 эмуляции.
• 5.5 Ssh не работает или ошибается в случае multi-homed hosts!
• 5.6 Userid swapping обрывается в AIX!
• 5.7 ssh-keygen вываливает в core под Alpha OSF!
• 5.8 ssh-keygen вываливает в core под Solaris или SunOS.
• 5.9 В Linux, компиляция прерывается с сообщениями об ошибках связанных с библиотекой libc.so.4.
• 5.10 X authorization иногда терпит крах[иными словами не проходит].
• 5.11 Ssh требует ввести пароль несмотря на наличие на удаленной машине файла .rhosts!
• 5.12 Почему ssh зацикливается с сообщением "Secure connection refused"?
• 5.13 ssh-agent не работает с эмулятором терминала rxvt!
• 5.14 X authorization ВСЕГДА завершается неудачно.
• 5.15 ssh зависает когда перенаправляет много TCP соединений.
• 5.16 Что означает сообщение, "Warning: remote host denied X11 forwarding"?
• 5.17 Я продолжаю наблюдать чистые[некриптованные] пакеты в сети хотя работаю под ssh!
• 5.18 Возникают проблемы с RSAREF, иногда используется очень много бит!
• 5.19 Компиляция завершается с сообщениями об ошибках от ассемблера.
• 5.20 Ssh не компилируется под Solaris 2.5!
• 5.21 Ssh неожиданно сбрасывает соединения!
• 5.22 Ssh соединения перенаправляются от "root"-а!
• 5.23 Где можно найти правки[patches] для ssh?

6. Разное.

• 6.1 Какие ошибки "безопасности" известны и в каких версиях ssh?
• 6.2 Насколько широкое распространение получило использование ssh?
• 6.3 Вам не нравятся коммерческие аспекты в ssh...
• 6.4 Средства альтернативные SSH.
• 6.5 Заслуги.

1. Общие[сопутствующие]-вопросы

1.1 Где я могу взять это описание?

Несомненно, интерес представляет домашняя страница SSH http://www.ssh.fi/sshprotocols2.

Этот FAQ был создан на основе оригинального, устаревшего на данный момент FAQ по SSH1 [SSH Protocol-1]: http://www.un i-karlsruhe.de/~ig25/ssh-faq/index.html
(написан Thomas.Koeni g@ciw.uni-karlsruhe.de )

1.2 Куда я могу послать вопросы, поправки и тд, по этому документу?

2. Основы Ssh.

2.1 Что такое ssh?

Ssh (Secure Shell) это программа для входа в другие компьютеры доступные по сети, для выполнения команд или программ на удаленных компьютерах и для передачи файлов с одного компьютера на другой. Она обеспечивает строгую проверку подлинности и безопасности соединений по незащищенным каналам. И используется как замена rlogin, rsh, и rcp.

Дополнительно, ssh обеспечивает безопасность X-овых соединений и безопасное перенаправление иных, необходимых вам TCP соединений.

2.2 Почему желательно использовать ssh?

X Window System имеет тоже достаточное количество "узких" мест в плане безопасности. Но с помощью ssh можно создавать безопасные удаленные X-овые сеансы, которые будут также прозрачны для пользователя как и раньше. Сторонний - косвенный эффект использования ssh при запуске удаленных X-овых клиентских приложений это еще большая простота для пользователя.

При этом можно как и прежде использовать настройки в старых файлах .rhosts и /etc/hosts.equiv, ssh прекрасно их понимает. А если удаленная машина не поддерживает ssh, то сработает "обратный механизм" возврата к rsh, который включен в ssh.

2.3 От каких видов атак ssh защищает?

• "IP spoofing'а"[ip-подмены], когда удаленный[атакующий] компьютер высылает свои пакеты симулируя якобы они пришли с другого компьютера, с которого разрешен доступ. Ssh защищает от подмены даже в локальной сети, когда кто-то например, решил подменить ваш роутер наружу "собой".
• "IP source routing"[ip исходный маршрутизатор], когда компьютер может симулировать что IP-пакеты приходят от другого, разрешенного компьютера.
• "DNS spoofing", когда атакующий фальсифицирует записи "name server'а"
• Прослушивания нешифрованных паролей и других данных промежуточными компьютерами.
• Манипуляций над вашими данными людьми управляющими промежуточными компьютерами.
• Атак основанных на прослушивании "X authentication data" и подлога соединения к X11 серверу.

Все вышесказанное ВЕРНО лишь при использовании шифрования. Однако Ssh имеет опцию шифрования "none", которая необходима лишь для отладки и ни в коем случае не должна быть использована для обычной работы.

2.4 От каких видов атак ssh не защитит?

2.5 Как он работает?

2.5.1 SSH версия 1.2.x.

Все коммуникации шифруются с использованием метода IDEA или любым на выбор из следующих: three-key triple-DES, DES, Blowfish. Для обмена ключей шифрования используется RSA метод, данные обмена уничтожаются каждый час(ключи нигде не сохраняются).Каждая машина имеет свой RSA-ключ который используется для проверки достоверности машины при задействии метода "RSA host authentication". Шифрование используетс для предотвращения "IP-Spoofing"; проверка достоверности публичных ключей против "DNS и Routing Spoofing".

RSA-ключи используются для проверки достоверности компьютеров.

Эта статья также включает описание того как ssh работает:

• http://www.sunworld.com/sunworldonline/swol-02-1998/swol-02-security.html

2.5.2 SSH версия 2.x (ssh2).

3. Где взять и как установить ssh.

3.1 Какая последняя версия ssh?

В настоящий момент Ssh работает на Unix-based платформах. И успешно портирован на все "ведущие" Unix ситемы.

3.2 Могу ли я законно использовать ssh?

В ходе переписки между "Data Fellows" и ведущим этого FAQ'а были заданы следующие вопросы и соответственно получены ответы:

===============================================================
Чтобы небыло претезий по переводу, оставлен оригинал:

S:  Steve Acheson, FAQ Maintainer
P: Petri Nyman, F-Secure SSH Product Manager for Data Fellows

S>Can a company use the 1.2.26 release of the SSH software freely for
S>internal support and administration without violating the license
S>agreement?
перевод
S>Может ли компания свободно использовать 1.2.26 реализацию SSH
S>в целях внутренней поддержки и администрирования не нарушая при этом
S>соглашения о лицензировании?

P>You can freely use it for internal support and administration of your own
P>equipment located in your premises.
перевод
P>Вы лично можете свободно использовать для внутренней поддержки и
P>администрирования вашего собственного оборудования находящегося
P>в вашей собственности.

S>Does connecting from one machine to another via SSH to
S>read email, do work, etc, violate this agreement?
перевод
S>Нарушает ли соглашение соединение с одной машины на другу по SSH
S>для чтения почты, выполнения работы и тд и тп?

P>No, unless you provide this ability to a third party or connect to a third
P>party's computer to provide a service.
перевод
P>Нет, в том случае если если вы для использования этих сервисов соединяетесь
P>с компьютерами _третьей_стороны_ или предоставляете сервис _третьей_стороне_.

S>Does connecting from a purchased PC client SSH software to a non-licensed
S>SSH server violate the agreement?
перевод
S>Нарушается ли соглашение если соединение установлено между клиентом
S>SSH имеющим лицензию и нелицензированным SSH сервером?

P>No.
перевод
P>Нет.

S>Does connecting to a remote site, that is not company owned, but company
S>administered, via SSH to do administrative work violate the agreement?
перевод
S>Нарушается ли соглашение если устанавливается соединение с компьютером не принадлежащим
S>компании, но ею администрируется, с целью проведения административных работ.

P>Yes. You need a commercial license for that.
перевод
P>Да. Для таких целей необходимо приобрести лицензию.

===============================================================

Unix версии ssh 2.0.13 могут быть использованы ТОЛЬКО в случае персонального использования или в целях обучения (см. license agreement). В случае коммерческого использования необходимо купить лицензию у Data Fellows.

Более ранние версии ssh имеют менее ограниченную лицензию; читайте об этом в файле COPYING сопровождающем дистрибутив каждой версии.

В некоторых странах, особенно Франции, России, Ираке и Пакистане, вовсе запрещено использование шифрования без особого на то разрешения.

Если находитесь в USA, то должны осозновать что любая попытка экспортировать ssh за пределы штатов будет рассматриваться как уголовно-наказуемая, сюда же относится и попытка размещения на ftp серверах находящихся за пределами USA, не взирая на то что сам SSH был написан за пределами USA и с использованием лишь свободно доступных материалов. Для получения более полной информации обращайтесь в ведомство "Defence Trade Controls".

Алгоритмы RSA и IDEA, которые используются в ssh, имею самостоятельные патентные права в разных странах, включая US. Вместо них можно воспользоваться библиотекой RSAREF, однако законность использования в некомерческих целях ssh в US в таком случае, может восприниматься двояко. Вам может понадобиться приобретение лицензии для коммерческого использования IDEA; однако ssh будет прекрасно работать будучи сконфигурирован и без него.

Для более подробной информации читайте файл COPYING из дистрибутива ssh.

3.3 Что можно сказать о коммерческом использовании ssh?

Использование версии ssh 2.x было существенно ограничено.

Tatu Ylonen, автор ssh, организовал компанию "SSH Communications Security Oy" которая обеспечивает коммерческую поддержку и лицензирование ssh. Эта компания работает совместно с "Data Fellows", которая занимается продажей ssh лицензий. Более полную информацию можно найти на http://www.datafellows.com/ и http://www.ssh.fi/.

3.4 Где можно взять ssh?

Официальная версия имеет PGP-подпись с ключом ID

DCB9AE01 1995/04/24 Ssh distribution key <ylo@cs.hut.fi>
Key fingerprint =  C8 90 C8 5A 08 F0 F5 FD  61 AF E6 FF CF D4 29 D9

Australia:

ftp://coombs.anu.edu.au/pub/security/ssh

Chile:

ftp://ftp.inf.utfsm.cl/pub/security/ssh

Finland:

ftp://ftp.funet.fi/pub/unix/security/login/ssh

Germany:

ftp://ftp.cert.dfn.de/pub/tools/net/ssh

Hungary:

ftp://ftp.kfki.hu/pub/packages/security/ssh

Ireland:

ftp://odyssey.ucc.ie/pub/ssh

Poland:

ftp://ftp.agh.edu.pl/pub/security/ssh

Portugal:

ftp://ftp.ci.uminho.pt/pub/security/ssh

Russia:

ftp://ftp.kiae.su/unix/crypto

Slovenia:

ftp://ftp.arnes.si/security/ssh

United Kingdom:

ftp://ftp.exweb.com/pub/security/ssh

United States:

ftp://ftp.net.ohio-state.edu/pub/security/ssh

United States:

ftp://ftp.gw.com/pub/unix/ssh

3.5 Как установить ssh?

gzip -c -d ssh-1.2.27.tar.gz | tar xvf -

3.6 Может ли установить ssh "непривелигированный" пользователь в OS Unix?

Если вы установили клиентскую часть без setuid root, то это не помешает вам соединяться и входить на удаленные сервера, НО вы не сможете использовать форму .rhosts проверки подлинности входящего.

Вы можете запустить sshd из под своего account'а применив опцию -p для использования ssh на непривелигерованном порту (>1024), чтобы иметь возможность соединения с других машин по заданному порту ssh -p. Данный метод, как было замечено выше, позволяет производить соединения только под тем пользователем, под которым был запущен собственно sshd, и как правило демон не перестартует после перезагрузки машины.

Вы сами должны решать какой метод использовать в зависимости от ситуации.

3.7 Где можно получить помощь?

Для пользователей очнь полезно будет введение на http://www.tac.nyc.ny.us/~kim/ssh/.

Автор этого опуса тоже имеет несколько статей об SSH опубликованных в Sunworld журнале.

Введение в SSH, достижения, и тд и тп:

• http://www.sunworld.com/sunworldonline/swol-02-1998/swol-02-security.html

• http://www.sunworld.com/sunworldonline/swol-03-1998/swol-03-security.html

Если эти ресурсы не помогут, вы можете послать вопрос в группу новостей Usenet comp.security.ssh или отправить свой вопрос в список рассылки пользователей ssh ssh@clinet.fi Для подписки отошлите письмо на majordomo@clinet.fi c

subscribe ssh

в теле письма.

Перед подпиской вы можете поискать ответ на ваш вопрос в архиве на

• http://www.cs.hut.fi/ssh/ssh-archive
• http://www.egroups.com/list/ssh/info.html
• http://www.progressive-comp.com/Lists/?l=secure-shell&r=1&w=2#secure-shell

3.8 Существуют ли версии ssh для Non-Unix операционных систем?

ниже список ssh клиентов и серверов.

1. каждая строка содержит ссылку на клиента.
2. список упорядочен по os.
3. основные распространители не вкючены.
4. спасибо всем кто прислал дополнения/изменения.

win32

• cigaly: http://www.doc.ic.ac.uk/~ci2/ssh/
• f-secure: http://www.datafellows.com/products/cryptography/f-sshtt.htm
• secure crt: http://www.vandyke.com/products/SecureCRT/
• ttssh: http://www.zip.com.au/~roca/ttssh.html
• therapy: http://guardian.htu.tuwien.ac.at/therapy/ssh/
• chaffee: http://bmrc.berkeley.edu/people/chaffee/winntutil.html
• sergey okhapkin: http://miracle.geol.msu.ru/sos/

           http://www.lexa.ru/sos/
• putty: http://www.chiark.greenend.org.uk/~sgtatham/putty.html
• fissh: http://www.massconfusion.com/ssh/

cygnus win32 ( http://sourceware.cygnus.com/cygwin/ )

• Client and Server ftp://ftp.franken.de/pub/win32/develop/gnuwin32/cygwin/porters/Mathur_Raju/

beos

• http://www.be.com/beware/Network/ssh.html

wince

• mov: http://www.movsoftware.com/sshce.htm

palm pilot

• top gun: http://www.isaac.cs.berkeley.edu/pilot/

java

• java-applet: http://www.cl.cam.ac.uk/~fapp2/software/java-ssh/
• mindterm: client: http://www.mindbright.se/mindterm
• mindtunnel: server: http://www.mindbright.se/mindtunnel.html

os2

• ftp://hobbes.nmsu.edu/pub/os2/apps/internet/telnet/client/sshos203.zip

macintosh

• niftytelnet+ssh: http://www.lysator.liu.se/~jonasw/freeware.html
• f-secure: http://www.datafellows.com/f-secure/fclintp.htm

openvms

• server: http://www.er6.eng.ohio-state.edu/~jonesd/ssh/
• client: http://www.free.lp.se/fish/

Существует список рассылки для версии OS/2. Для подписки отправьте письмо на majordomo@clinet.fi с

subscribe ssh-os2

3.9 Что можно сказать об администрировании ssh?

Их можно собирать автоматически, каждую ночь, используя имеющийся в дистрибутиве скрипт написанный на Perl'е make-ssh-known-hosts.pl или с помощью быстрой утилиты ssh-keyscan, доступной с ftp://cag.lcs.mit.edu/pub/dm/ или ftp://ftp.cs.hut.fi/ssh/contrib/.

Thomas Konig написал скрипт разбирающий и анализирующий вывод вышеуказанных утилит, проверяя наличие новых ключей, сообщая о тех host'ах которые сменили свои ключи (дабы предотвратить атаки) и в завершение создавая новый файл ключей. Этот скрипт доступен с http://www.uni-karlsruhe.de/~ig25/ssh-faq/comp-host-list.

На основе этих утилит вы можете написать свои для постоянной проверки public keys. Когда на новых машинах заработает ssh или произойдет изменение ключей на уже работающих, возможно вы захотите высылать уведомления или связаться с хозяевами этих машин напрямую чтобы предупредить возможные атаки хакеров.

3.10 Что известно о других версиях UnixSSH Servers?

http://www.net.lut.ac.uk/psst/

Существенное что из этого родилось это lsh, полностью соответствующий IETF (закрытый на сколько это возможно) sec-sh (SSHv2) клиент сервер.

Попробуйте найти lsh здесь:  http://www.lysator.liu.se/~nisse/archive/

Секция 1 из 2 - Предыдущая - Следующая

© faqs.org.ru