Hack suse - ssh?

[Michal Dobes]

Pavel Kankovsky wrote:
> > V takovychto pripadech mate jedinou rozumnou sanci, a to systemy
> > jednorazovych hesel. Utocnik sice heslo odchyti (a pripadnou dalsi
> > komunikaci), ale v te chvili je mu uz to heslo houby platne.
> 
> Pochopitelne to nesmi byt tak, ze jednorazove heslo je vypocitano
> pomoci nejakeho programu na pocitaci, ktery je v moci nepritelove
> (napr. v te inetove kavarne).

Ano, to by pak ztatila cela ta saskarna uplne smysl. :-)
 
> > Takze kombinace jednorazovych hesel a SSH je pro bezne nasazeni
> > nejjednodusi. Pokud nemate SSH, da se to jet i s telnetem,
> > pak je vetsi sance, ze nekdo bude poslouchat co delate, ale
> > stejne se neprihlasi.
> 
> Ovsem muze provest "unos spojeni" a delat si s nim, co bude chtit.
> Pokrocilejsi metody tohoto utoku dokonce umoznuji do znacne miry
> zamaskovat fakt, ze je se spojenim manipulovano, pred uzivatelem
> samotnym.

Jiste, jednorazove hesla resi problem, pokud utocnik posloucha
(budeli poslouchat hodne dlouho, tak se pak muze pokusit vypocitat
tajny klic). Jestlize ovsem napadeny klient po uspesne autorizaci
spojeni preda dal, tak je to jednorazove heslo stejne ucinne jako
cokoliv jineho. V pripade telnetu se da spojeni ukrast za chodu
na trase, u SSH to uz da podstatne vice prace, pokud se aspon divam,
zda sedi fingerprint od serveru. 

	Majkl