Re: [HS] Petit truc sympa et pratique
Le 12797ième jour après Epoch,
dlist@bluewin.ch écrivait:
> Le vendredi 14 jan 2005 à 08 h 45, pascal a dit:
>
>> dlist a écrit :
>> > Bonjour.
>> Salut !
>
> re.
>
>>
>>
>> > 1) je me connecte chez Michel via ssh:
>> >
>> > $ ssh -l root Michou ---> je suis dans /root sur Michou.
>> Michel ne devrait pas autoriser les connexions sous root via ssh !
>
> je vais poser une question peut-être naïve ou bête, mais comme disait
> Lao Tseu (ou était-ce Sarkosy?...), seules les questions non posées
> sont bêtes; mais en quoi est-ce mauvais d'autoriser une connexion root
> via ssh? J'entends que ssh est pour Secure Shell, les données
> transmises sont cryptées non?
Une des raisons est qu'il est possible de rentrer dans une machine par
la force brute. Dans ce cas, le cryptage n'y fait rien.
Perso, j'autorise l'accès root par ssh, uniquement parce que ma
machine n'accepte pas les connections par mot de passe. Uniquement par
échange de clef.
> ça fait beaucoup de lignes de codes à vérifier et qui le fait?
Tout le monde, justement. Dans la mesure où le code est ouvert (en
plus, il est libre!!!) il est possible à tout un chacun de regarder le
code et d'y découvrir du code nocif.
Il est beaucoup plus facile de mettre du code nocif dans un produit à
code fermé. Le DRM en est un bon exemple. (Si si, c'est nocif le DRM).
> suis pas développeur, mais j'imagine que quelqu'un de bien futé peut
> très bien dissimuler du code "nocif" par-ci par-là, sans qu'une
> expertise poussée puisse le découvrir... non?
Non. En plus, si le mec qui a fait ça se fait choper par des
développeurs GNU/Linux, il va avoir du mouron à se faire, le pauvre.
> Pourtant tout le monde prend l'avion par exemple..
L'avion est l'un des moyens de transports les plus fiables. Je dis ça,
mais je prends pas l'avion, moi ;)
> les connaissances que j'ai faite sur le net m'ont donné après quelques
> jours leur mot de passe root pour que je puisse les aider; n'est-ce
> pas là (la confiance) un risque bien plus grand que l'utilisation de
> ssh?
Clairement. Ça se nomme 'social engineering' ;) ... C'est à l'heure
actuelle la façon la plus efficace pour pirater des systèmes !
Reply to: