OpenSSH 2.5.1 dispo

Posté par  . Modéré par Yann Hirou.
Étiquettes :
0
22
fév.
2001
Sécurité
La version 2.5.1 d'OpenSSH est disponible. Cette version intégre maintenant un client sftp (Secure FTP) en standard ainsi que bien sur le sftp server qui est maintenant activé par défaut dans le fichier de conf. Parmi les goodies:
-support en natif des protocoles 1.3, 1.5 et 2.0
-code cleaning de SSH2
-agent forwarding
-misc. bugs.
Il est conseillé d'upgrader à cette version. Pour celles/ceux qui veulent la sécurité, il n'y a plus qu'à !

Aller plus loin

  • # Securite du serveur FTP.

    Posté par  . Évalué à 1.

    Le fait que le serveur FTP soit crypte ameliore-t'il la securite par rapport a (disons) Wu-FTPd?

    • [^] # Re: Securite du serveur FTP.

      Posté par  (site web personnel) . Évalué à 1.

      Les mots de passe, les fichiers et les commandent circulent en clair avec wu-ftpd et chiffrés avec wu-ftpd.

      A priori, ftp pour les accès anonymes et sftp pour les accès nominatifs.

      • [^] # Re: Securite du serveur FTP.

        Posté par  . Évalué à 1.

        T'as trop fait la fête pour le forum Linux-Arverne? Parce que si j'ai bien suivi, Wu-ftp est plus sécurisé que Wu-ftp, c'est ça? :)

        --
        Qu'est-ce que je pourrais bien mettre comme signature?

        • [^] # Re: Securite du serveur FTP.

          Posté par  (site web personnel) . Évalué à 1.

          Au moins autant en tout cas :)

          Bref sftp c'est plus sécurisé mais c'est plus lourd.

          • [^] # Re: Securite du serveur FTP.

            Posté par  . Évalué à 1.

            sftp est bien sur sécurisé dans la mesure ou les données sont xférées dans un tunnel chiffré de la même manière que ssh ou scp (qui n'est en fait qu'un wrapper ssh). Donc du triple-des et authentification par clés RSA/DSAs.

            Je pense que la meilleure config serait de n'autoriser que l'authentification à base de clés publiques RSA (ou DSA pour SSH2) et ne pas permettre les logins avec password ou des logins root.

    • [^] # Re: Securite du serveur FTP.

      Posté par  . Évalué à 1.

      Ma question est: est-ce que le chiffrement du canal entre le client et le serveur rend moins dangereux le FTP sur un serveur.
      A priori non. C'est a dire que si tu ouvres un ftp anonyme, n'importe quel kiddie peut quand meme venir te pourrir ta becane, chiffrement ou pas.

      • [^] # Re: Securite du serveur FTP.

        Posté par  . Évalué à 1.

        Le but de sftp n'est pas de faire serveur anonymous. Le but est de sécuriser le téléchargement des données d'un bout à l'autre. Exemple: une entreprise qui a une filiale a peta ouchnok et qui veut permettre a cette filiale de venir retirer des docs confidentiels pour un projet.

        Donc pas d'anonymous. Ca sert a quoi de securiser un téléchargement en anonymous si tt le monde peut le faire ?? IMHO, la question ne se pose même pas.

        • [^] # Re: Securite du serveur FTP.

          Posté par  . Évalué à 1.

          Je voulais savoir si sftp permettrait de colmater les breches inherentes aux serveurs actuels.
          visiblement, ce n'est pas le cas.

          • [^] # Re: Securite du serveur FTP.

            Posté par  . Évalué à 1.

            personne ne t'empeche de supprimer l'accès anonyme.
            Si c'est ca la breche du serveur ftp c'est pas trop embettant

            • [^] # Re: Securite du serveur FTP.

              Posté par  . Évalué à 0.

              Faudrait quand même pas oublier que toute la communication en FTP passe en clair sur le réseau que ce soit login ou mot de passe alors virer le compte anonyme sur un serveur FTP, c'est bien mais remplacer le serveur FTP par un SFTP pour les users enregistrés, c'est mieux. Si tu veux tester un peu, installe dsniff (ou sniff mais là, faut lire dans les trames) et tu verras que tous les mots de passe en ftp, telnet, rlogin (r... en général) sont accessibles.

  • # Pour les erreurs incomprehensibles des RPMs

    Posté par  (site web personnel) . Évalué à 1.

    Tres bien le source, tu nettoies tous les RPMs de m... de la redhat et ca tourne sans problemes :) vive les sources !!!

  • # Et concernant SSH(c) ??

    Posté par  . Évalué à 1.

    Y'a des nouvelles sur la bataille du copyright-a-trois-lettres ?

    • [^] # Re: Et concernant SSH(c) ??

      Posté par  . Évalué à 1.

      Bataille, bataille, tout de suite les grands mots...

      Les développeurs d'OpenSSH ont choisi de ne pas répondre à Tatu, sa position étant difficilement défendable (entres autres parce que selon la législation aux USA, ou est enrigstrée la marque ssh, la protection d'une marque déposée doit se faire dès l'apparition d'un gêneur, et pas seulement quand il commence à faire de l'ombre).

      Les injonctions des avocats de Tatu n'ont pour l'instant pas eu de suite.

      Des détails supplémentaires sont accessibles sur http://www.openssh.com/ssh-dispute(...) , page qui sera mise à jour au fur et à mesure du déroulement de cette affaire, si elle ne s'étouffe pas.

  • # Client win32

    Posté par  . Évalué à 1.

    Est ce qu'un client sftp pour Windows existe ? ou est ce que l'on peut uniquement utiliser le client de openSSH ?

    • [^] # Re: Client win32

      Posté par  . Évalué à 1.

      le client sftp pour windows existe mais il est payant (aucun client OpenSource pour l'instant).

    • [^] # Re: Client win32

      Posté par  . Évalué à 1.

      le client sftp pour windows existe mais il est payant (aucun client OpenSource pour l'instant).

      • [^] # Re: Client win32

        Posté par  (site web personnel) . Évalué à 1.

        Personne n'a compilé un client open-source existant sous Windows ?

        C'est etonnant...

        • [^] # Re: Client win32

          Posté par  . Évalué à 1.

          Je pense qu'avec cygwin ca devrait marcher. Ceci dit je sais pas si windows acceptera d'avoir quelquechose de sécurisé sur une de ses partitions

          • [^] # Re: Client win32

            Posté par  . Évalué à 1.

            Oui, je l'utilise avec Cygwin

            • [^] # Re: Client win32

              Posté par  . Évalué à 1.

              Oups...
              repondu trop vite. Je parlais de ssh. Je sais pas pour sftp...

    • [^] # Re: Client win32

      Posté par  . Évalué à 1.

      Un client scp existe déjà.

      Open Source et tout...

      Putty http://www.chiark.greenend.org.uk/~sgtatham/putty/(...)

      Putty en anglais c'est du mastic donc c'est ce qui supporte les fenêtres :)

      Sur son "Plausible feature wish list" il y a le support du sftp donc oui, un jour ça pourrait existait. Envoyez des patchs :)

      • [^] # Re: Client win32

        Posté par  . Évalué à 1.

        oui PuttY est pas mal mais la dernière fois que je l'ai testé, il supportait pas l'authentification RSA/DSA !
        Donc sur plateforme Zindozs, je préfère ttssh, plugin pour TeraTerm mais pas de scp/ssh malheureusement ...

        • [^] # Re: Client win32

          Posté par  . Évalué à 1.

          télécharge la dernière version, va dans l'onglet connection/SSH et tu veras que tu pourras choisir :
          - SSH1 ou SSH2 //SSH1 se sniffe et se décrypte, donc 2
          - le RSA est au choix : DES ou 3DES, préfère BlowfisH //c'est tout géré par OpenSSH

          perso, j'ai essayé teraterm et putty, et clairement je préfère PuTTY pour sa légèreté, son paramètrage fin, et surtout sa "gueule" de pure xterm.

          jerome demeyer

  • # mais que ce passe-il ??

    Posté par  (site web personnel) . Évalué à 1.

    Ce jour est a marquer d'une pierre blanche. 19 commentaires, 19 auteurs (pas forcéments distincts) identifiés. Depuis combien de temps cela n'était-il plus arrivé ?
    sur 19 commentaires, 18 sont scorés normalement (oui je ne compte pas le mien dedans, vu le rapport avec openssh (je l'ai installé quelques instants après sa sortie cependant, et il est très bien)). C'est fantastique !
    Soit tous les anonymes se sont fait abducted, soit ils font grèves. Ou alors un 'bug' est survenu ce qui fait qu'ils ne peuvent plus commenter ?
    En tout cas, c'est une bonne chose

  • # SSH et Legislation

    Posté par  . Évalué à 1.

    Une petite question d'interet general :

    SSH est normalement sujet a authorisation pour pouvoir etre utilise en france ... qu'en est-il ?

    J'utilise SSF, qui a obtenu une authorisation, mais j'aimerai savoir si la derniere version d'openSSH est utilisable sans risquer des pb ...

    Sylvain P.

    • [^] # Re: SSH et Legislation

      Posté par  . Évalué à 1.

      A priori si tu es un particulier (ça doit être le cas à tes heures perdues ;-) et si c'est une utilisation à titre personnel, l'emploi d'OpenSSH ou de SSH2 ne pose pas de problèmes.
      En revanche pour les entreprises, il faut "normalement" rester en SSF, mais avec tous les exploits connus, ça craint vraiment... surtout pour une entreprise justement!

      Merci la législation française ;-p

      • [^] # Exploit ... (was : SSH et Legislation)

        Posté par  . Évalué à 1.

        meme si y a eu exploits ...

        SSF (qui n'est ni plus ni moins que SSH 1.5) reste plus securise qu'autres choses ...

        De plus, les exploits sont tout de meme difficiles a mettre en action.

        J'utilise SSF au niveau de mon entreprise ...
        donc je prefere rester reglo du cote de la loi (meme si c'est embetant ...) et garder un minimum de securite.

        merci pour ta reponse.

        Sylvain P.

    • [^] # Re: SSH et Legislation

      Posté par  (site web personnel) . Évalué à 1.

      A propos de legislation...

      Tu dis qu'il faut une authorisation pour utiliser SSH en France.

      Pour le cryptage, ok. Mais est-il authorisé d'utiliser la fonction de signature ?
      Ce n'est pas du cryptage a proprement parler donc ca ne devrait pas etre interdit, sauf si c'est la diffusion et non l'utilisation du logiciel qui est interdit...

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.