Re: À propos de ssh

[Sylvain Sauvage <Sylvain.Sauvage@metanoesis.net>]

Guy Roussin, vendredi 10 avril 2009, 09:49:37 CEST
> 
> Bonjour,

’jour,

>[…]
> >   Mais bon, celui qui contrôle le serveur SSH peut en faire ce
> > qu’il veut et la chaîne de caractères qu’est ton mot de passe
> > lui est bien accessible…
>
> Est-ce bien certain ?

  D’après ce que j’en sais, oui.
  Après vérification rapide du code, le mot de passe est lu et
placé tel quel dans le paquet à envoyer (chiffré).

> Même si la connexion est chiffrée l'envoi
> du mot de passe ne me paraît pas utile. Un hachage du password
> doit suffire non ?

  sshd doit envoyer le mot de passe au système de gestion des
authentifications (c’est-à-dire pam, nss…) pour qu’il soit
vérifié. Il faut que tout le monde soit d’accord sur la fonction
de hachage…
  De toutes façons, ce qui est reçu par le serveur est suffisant
pour identifier et authentifier l’utilisateur sur la machine. Si
le mot de passe est en clair, il peut s’en servir via un client
normal, sinon, il suffirait d’un client qui ne re-hache pas le
mot de passe récupéré. Aucune sécurité supplémentaire dans ce
cas.

-- 
 Sylvain Sauvage