Re: sudo ws root
Denis B. Afonin -> debian-russian@lists.debian.org @ Wed, 17 Dec 2008 22:24:25 +0300:
>> >> DBA> PS До сих пор еще встречаю идиотов, у которых ssh открыт на
>> >> DBA> весь мир :)
>> >> У меня нет уверенности, что openvpn, открытый на весь мир,
>> >> лучше...
>> DBA> См. man openvpn на предмет tls-auth (плюс нестандартный
>> DBA> UDP-порт и, конечно же, PKI - почти рай для параика:))
>>
>> tls-auth - shared secret. Это плохо.
DBA> Конечно.
DBA> Именно поэтому после него идет аутентификация по PKI ;)
DBA> А без правильного shared key ответный openvpn-сервер просто дропает
DBA> входяшие пакеты (можно и без записи в лог).
Угу. А теперь подумай, что будет, если этот shared secret
скомпрометирован (украли одну из машин, которая его знала).
Правильно, ситуация становится эквивалентной ситуации "его нет вообще"
на время, необходимое для доведения нового секрета до всех остальных
машин _по альтернативному каналу связи_. Либо, если угроза
проникновения с украденной машины выше, все остальные лишаются доступа
на то же самое время.
--
Artem Chuprina
RFC2822: <ran{}ran.pp.ru> Jabber: ran@jabber.ran.pp.ru
Нажатие на кнопку "Запомнить пароль" не поможет ВАМ запомнить пароль.
-- http://bash.org.ru/quote.php?num=101483
Reply to: