El Jueves 06 Abril 2006 17:20, Federico Wiecko escribió: > Pregunta, .. ¿ y si te roban la clave privada o mas probable.. si > comprometen la cuenta del servidor donde esta la pública. En ese caso > inmediatamente pasaron al otro server sin clave (en concreto estoy > refiriendome los archivos identity.pub e identity) ?.
Hay que ver la topología para saber como hacer. No es lo mismo si son dos
extremos publicos que si es uno solop ublico y otro en una red privada (este
ultimo el que realiza la conexión)
Igualmente, se supone que no le das acceso remoto a "ese" usuario en "la"
maquina que se está conectando al servidor desde el otro extremo, por lo que
el robo tendría que ser mediante el acceso físico, con lo cual, se termina
toda regla de seguridad logica.
Para que se entienda. Si tengo acceso fisico, puedo hacer un DoS con solo
desenchufar el cable o bien, para que sea más permanente, rompo a masasos el
disco rígido :)
> Por eso me parece que trabajar con contraseña es mas seguro ya que no se
> maneja con los permisos del mismo usuario sino con permisos especiales como
> los de root. Por supuerto, siempre y cuando estén bien administradas (lease
> encriptadas, con los permisos adecuados y programas seguros para
> accederlas)
Aca me parece que hay una confución.
Vos podes hacer que el scrip ingrese con el usuario que quieras. Si queres,
podes hacer que el dueño del script sea el root y que solo el root pueda
ejecutarlo, leerlo y/ modificarlo.
Si el acceso lo tiene el root (en la máquina desde donde se va a conectar) ya
esta protegida las claves publicas por los permisos del /root. Es decir, es
indistinto si se usa clave o public key. Pero (siempre hay un pero) si ese
script se fiultra por error, ya le estás pasando en el mismo todos los datos
necesarios, incluidos usuario y contraseña de conexión (con solo mandarlo por
mail por error, ya lo filtraste).
Así mismo, el servidor al que llegara la conexión, tiene que estar segurizado
mediante la configuración adecuada del ssh para que deje entrar solo a ese
usuario (o a los necesarios aparte del que usa el script) y además por reglas
de net-filter para que solo deje conectarse desde la ip donde esta el
cliente.
> .
>
> Salvo que tu servidor tenga datos realmente importantes como para ser
> robados, no creo que este sea un tema para preocuparse.
No subestimes los niveles de paranoia de la gente :D
Un abrazo
--
Sebastián D. Criado - scriado{en}ciudad.com.ar
L.U.G.R.o - http://www.lugro.org.ar
GNU/Linux Registered User # 146768
-------------------------------------------------------------------
"Si el Universo fuera un programa estaría hecho en C, y correría sobre
un sistema UNIX"
Anónimo.
pgpofQCb51dyf.pgp
Description: PGP signature
