| 1.1, Аноним (1), 14:34, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– |
Почему по дефолту SSH не отключает вход по паролю - не понятно. Хотя уже давно известны случае даже простых брутфорсных подборов.
| | |
| |
| 2.4, Аноним (4), 14:40, 23/10/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
Так ведь, чтобы сгенерировать и добавить на сервер свой ключ, сначала нужно войти по паролю, по-другому никак. Если по дефолту вход по паролю будет откючен, а свой ключ для входа ты еще не добавил, как ты подключишься к серверу?
| | |
| |
| 3.7, Аноним (1), 14:52, 23/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
В данном случае мы пытаемся убрать любой факт присутствия пароля. Поэтому только какой-нибудь альтернативный способ добавления ключа.
| | |
| 3.13, Аноним (13), 15:05, 23/10/2026 [^] [^^] [^^^] [ответить]
| +3 +/– |
Как ты подключишься к серверу по паролю? Тебе нужно чтобы кто-то создал пользователя и сообщил тебе пароль. Если этот кто-то может создать пользователя, то почему бы ему не положить туда и ключ заодно?
| | |
| |
| |
| 5.26, Аноним (26), 15:40, 23/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
Больше не покупай у них сервера. В нормальных местах можно свой публичный ключ указать.
| | |
|
|
|
| 2.5, Аноним (5), 14:45, 23/10/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
В DragonFlyBSD так и сделано. Это во всяких RHEL8 (в современных хз, не проверял) даже PermitRootLogin включен по-дефолту.
| | |
| |
| 3.17, Ivan_83 (ok), 15:18, 23/10/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
 Запрещать вход root - большая глупость, которая увеличивает секурность практически никак.
| | |
|
| 2.8, Аноним (8), 14:53, 23/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
Это же какие простые брутфорсные подборы, если пароли словарные?
| | |
|
| 1.2, опеншлёпивпродакшн (?), 14:35, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Наконец-то эти предупреждения оправдали себя. Кто-то не удержался, а надо было подождать ещё 10 лет, когда у всех будет StrictHostKeyChecking=no.
| | |
| |
| 2.3, Аноним (1), 14:40, 23/10/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
Дать им манок-сервер со всякими мусорными почтовыми сервисами. Пусть тратят силы на это)
Как вариант.
| | |
|
| 1.6, Энтомолог_русолог (ok), 14:48, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 > вредоносное ПО Ebury 1.8.3
Увидев ссылку подумал там на гитхаб она, типа «можете взять исходники вредоноса или бинарник от автора». А она на какую-то помойку eset
| | |
| |
| |
| 3.16, Энтомолог_русолог (ok), 15:18, 23/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Этот Eset вендузятники знают.
Да вроде уже и виндузятники никаких левых (анти)вирусов не юзают, говорят в 10/11 достаточно MSного
| | |
| 3.20, КО (?), 15:28, 23/10/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Они намного больше ПО знают, это естественно )
| | |
|
| 2.24, Аноним (24), 15:33, 23/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
ESET -- один из немногих, которых ещё не стыдно поставить.
Не так напозорился, скажем так.
| | |
|
| 1.14, Аноним (14), 15:15, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Минуточку!
Но ведь таким способом, если я правильно понимаю, как работает ssh, перехватить можно было не открытое содержимое пароля, а его хэш?
Т.е. сервер передаёт соль клиенту, клиент считает хэш пароля с этой солью, и передаёт посчитанный хэш обратно?
То есть после этого надо было ещё и пароль по хэшу подобрать.
Впрочем, возможно, при этом ещё и согласовывался самый нестойкий из поддерживаемых клиентом алгоритмов.
| | |
| |
| 2.18, Энтомолог_русолог (ok), 15:19, 23/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
> Минуточку!
> Но ведь таким способом, если я правильно понимаю, как работает ssh, перехватить
> можно было не открытое содержимое пароля, а его хэш?
> Т.е. сервер передаёт соль клиенту, клиент считает хэш пароля с этой солью,
> и передаёт посчитанный хэш обратно?
> То есть после этого надо было ещё и пароль по хэшу подобрать.
Лекция для колхозников, проходите, садовод, не мешайте
| | |
| 2.19, eugener (ok), 15:25, 23/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
 Если работало как вы описываете, то пароль они узнать не могли, но это и не нужно, они работали как человек в середине и просто передавали соль/хеш между сторонами, ну а дальше вклинивались в сессию и выполняли свои действия.
| | |
| |
| 3.28, Ivan_83 (ok), 15:43, 23/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Если сервер сливает какой то nonce/соль то на этом ваш перехват пароля обламывается.
Если вы вместо nonce сервера передадите свою - то в ответ получите какойнить hmac(nonce, password) и обратно этот фарш вы не провернёте чтобы достать пароль и повторить hmac с nonce полученным от сервера.
| | |
| |
| 4.30, eugener (ok), 15:50, 23/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
я и написал, что пароль так не перехватить, но это и не нужно, достаточно стать man-in-the-middle (передавать данные между сторонами как есть) в аутентифицированной сессии.
| | |
|
|
| 2.27, Ivan_83 (ok), 15:40, 23/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Там разные способы передачи есть, в том числе через агента.
Но после получения хостового ключа и наборов шифров соединение переходит на зашифрованный режим и считается что передавать там пароль в открытом виде не проблема.
Кроме того логин промт передаётся тоже текстом и настраивается.
| | |
|
| |
| 2.25, Аноним (25), 15:35, 23/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
нормальные люди по два раза повторять не станут
по два раза повторять не станут
| | |
|
|
