Sugerencia para el cliente SSH de Ubuntu

14 thoughts on “Sugerencia para el cliente SSH de Ubuntu”

1. si das esa opción, todos los usuarios le darían que si, y por lo tanto a la mierda la seguridad de ssh y viva los man-in-the-middle. Personalmente me parece mejor que no te dé la opción y tengas que borrar dicho servidor de los known_hosts

2. Blaxter, creo que el mensaje es bastante claro como para darte cuenta si es un ataque o es solo que ahora estas en un nuevo servidor. Si le dan que si, sin saber de que se trata probablemente no deberían darle acceso SSH a ese usuario 😉
   Saludos.

3. Es la primera vez que veo que a alguien le molesta eso, yo no lo veo como un inconveniente. Me imagino que la lógica de ese funcionamiento viene que al detectar un cambio de credenciales en un servidor la persona que está intentando conectarse intentará averiguar lo que ha causado esta alerta, si se debe a un cambio conocido pues procede a borrar la entrada en el known_hosts, si no sabe por que ha dado el mensaje pues tendra que tomar alguna medida (revisar el otro servidor o contactar con el responsable). No es una logica mala y los casos en los que eso pasa no son tantos y si son especiales.

   Tardaste mas en escribir el post que en corregir ese problema 20 veces.

4. También tardaste más en comentar que en solucionar el problema.
   Al ver el comportamiento del cliente SSH para Windows comparado con el de Ubuntu, me gusto el que me diera la opción para cambiar la credencial del servidor relacionado al dominio, como lo mencione no tuve que ir a buscar dentro de C:\Documents and Settings\Administrator\Application Data\SSH\HostKeys y ver que tenía que hacer antes de conectarme al nuevo servidor.
   Claro uno no cambia de servidor todos los días, pero resulta tan difícil que el cliente SSH te pregunte ¿Quiere cambiar la credencial del servidor y continuar con el proceso de conexión? en un caso de estos? Me pareció tan cómoda la opción del Cliente SSH para Windows y ¿por qué no tenerla en la versión de Ubuntu? Si sos el responsable del sitio sabrás identificar perfectamente si es un posible ataque o simplemente que estas en nuevo servidor y que los DNS ya estan correctos 😉
   Cambiar la credencial RSA del server con un simple yes me parece por mucho más cómodo que ir a know_hosts para borrar la línea XX. Y después de todo es una simple sugerencia 🙂
   Para cuando escribí este post ya había solucionado el problema en los 3 ubuntus y en los 2 windows que manejo, en Windows lo solucione en menos de 10 segundos, en ubuntu… bueno un tanto más .

5. “¿Quiere cambiar la credencial del servidor y continuar con el proceso de conexión?” no me parece a mi de un sistema operativo serio, esto es como darle doble click en windows a algo y que te salga “Esta a punto de ejecutar algo como administrador ¿seguro que quiere hacerlo?”, eso no es serio.

   En parte como decia antes supongo que se hizo asi para asegurarse que si te conectas a ese servidor a pesar de la advertencia fuiste vos mismo quien borraste esa entrada para hacerlo y no fue un error de poner yes por error o despiste.

   Con lo que decis de “Si sos el responsable del sitio sabrás identificar perfectamente si es un posible ataque o simplemente que estas en nuevo servidor y que los DNS ya estan correctos” estas asumiendo que todos los que hacen ssh a una maquina/servidor son los que lo administran la local y la remota y a la vez administran esa red como para saber que esta pasando en todo el marco. En tu caso vos tenias el control absoluto pero la mayoria de veces no es asi.

6. Por despiste o error podría ejecutar $ rm -rf /, peor aún si lo hice bajo privilegios de administrador.

7. pero que tan probable es que un user sepa rm -rf / ??

   Yo estoy deacuerdo con jcab, pero honestamente si te vas a poner a comparar entre FACILIDAD y USABILIDAD de sistemas operativos y de lo que te gusta o no o que cambiarias entoces podrias tener 5 posts al dia, por decir que es un asunto de nunca acabar… el asunto es que tenes que tener cierta perspectiva y no verlo todo desde tu punto de vista de superadmin o de administrador con “3 ubuntus y 2 windows”, sino que pensar en otro tipo de situaciones y escenarios en donde un usuario e incluso administrador SI que van a presionar YES sin siquiera leerlo, eso es innegable.

8. pacuna, lee este comentario en otro blog:

   http://churropolis.org/?p=913#comment-4203

   Por su puesto, borrar la linea del dicho archivo 3 veces me dio más pereza que leer bien el mensaje de advertencia del cliente SSH y presionar yes. Si recibes un mensaje de advertencia que no es normal y no lo lees como debe ser pues ni modo.

   Veamoslo de esta forma: Te conectas por primera vez al servidor via SSH, porque no en lugar de que te pregunte que si quieres agregar la credencial RSA al know_hosts te diga que esa credencial no esta en know_hosts y por tanto no podrás conectarte hasta que la agreges tu mismo. Si fue tan sencillo agregarla, porque no es sencillo cambiarla; claro ya se pueden objetar que es mas común que el ataque sea cuando ya esta agregada la credencia, a que suceda que antes de agregarla. Muchos hosts publican sus credenciales RSA, como SourceForge, y muchos más no… así que no hay forma certera de saber si estas con la llave correcta si no es contactando al Admin de tal host.

   Creo que todos hemos eliminado un archivo o partición, por un despiste o error aún estando un mensaje de advertencia y no por ello reclamamos que quiten dicho mensaje o el parámetro -f para agregar a un archivo la lista de archivos a borrar… solo para que no sucedan descuidos.

9. Por cierto jcab, ¿desde cuando un cliente SSH se considera parte de un SO? La ùltima vez que vi un bajo porcentaje de usuarios necesita realizar conexiones SSH 😉

10. Javier, en la Mac, con OS X, SSH es parte del sistema operativo.

11. En ubuntu también viene con el OS, pero yo no lo consideraría parte fundamental del mismo =P

12. Javier estoy de acuerdo con los comentarios de los otros usuarios, mas yo pondría otro… ssh tiene licencia gpl, si no te gusta… cambialo 🙂
    Saludos

13. Javier Aroche ..sabes algo de seguridad????

14. Es cierto admitamoslo, es muy molesto que te corte de raiz. Sin embargo esta perfecto, ya que adopta la postura de “lo que no esta explicitamente permitido esta prohibido” y es de dominio publico esta politica de linux vs. la opuesta de windows.
    Con respecto a la molestia, hay una correccion. Nada tiene que ver Ubuntu en todo esto, es pura y estricta implementacion del servidor de ssh calculo que openssh.
    Para finalizar, yo tambien estoy renegando pero a fin de cuentas sirve para seguir aprendiendo que aburrido sería lo contrario no? saludos!!
    Julián.

Comments are closed.