ssh путается в ключах клиента
Jul. 19th, 2012 09:34 am![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
netch80Опять наткнулся на баг sshd (openssh), что он вместо того ключа, с которым авторизовался клиент, вдруг применяет другой. Стимулирует срабатывание наличие forced command, но точные условия не могу пока воспроизвести.
Но по всему этому начинаю бояться держать на ключевых машинах один sshd. Нужна альтернатива.
Вообще openssh написан ужасно. Например, чем надо думать, чтобы вместо попытки предварительно определить тип ключа прочитать несколько первых символов строки и затем вызвать разбор нужного типа - вызывать последовательно попытки чтения каждым типом, замусоривая дебаг сообщениями типа "а я не знаю, как это читать". Или с той же forced command - пытается вначале прочитать ключ без параметров, а когда видит, что фигня - читает уже с параметрами.
У ssh2-fi было гибче - каждый ключ в отдельном файлике.
Но по всему этому начинаю бояться держать на ключевых машинах один sshd. Нужна альтернатива.
Вообще openssh написан ужасно. Например, чем надо думать, чтобы вместо попытки предварительно определить тип ключа прочитать несколько первых символов строки и затем вызвать разбор нужного типа - вызывать последовательно попытки чтения каждым типом, замусоривая дебаг сообщениями типа "а я не знаю, как это читать". Или с той же forced command - пытается вначале прочитать ключ без параметров, а когда видит, что фигня - читает уже с параметрами.
У ssh2-fi было гибче - каждый ключ в отдельном файлике.
![[identity profile]](https://www.dreamwidth.org/img/silk/identity/openid.png){kind=small}
no subject
Date: 2012-07-19 08:40 am (UTC)да-да, openssh - это слишком молодой софт, не обкатанный еще в реальной жизни. Мало ли что с ним может случиться.
"Нужна альтернатива."
а кстати, существуют ли?
no subject
Date: 2012-07-19 09:56 am (UTC)no subject
Date: 2012-07-19 10:05 am (UTC)no subject
Date: 2012-07-19 12:06 pm (UTC)Ты сам понимаешь, что это разглагольствования в пользу бедных.
openssh не молодой. Но старость не означает зрелость. Сами собой напрашиваются контрпримеры, начиная с sendmail.
И openssh достаточно бурно развивается (или ещё пару лет назад развивался), но качество от этого автоматически не возникает.
> кстати, существуют ли?
По-моему, кроме dropbear и не осталось. Финский ssh умер. Я об этом писал год с хвостом назад.
no subject
Date: 2012-07-19 12:07 pm (UTC)no subject
Date: 2012-07-19 12:38 pm (UTC)no subject
Date: 2012-07-19 12:41 pm (UTC)no subject
Date: 2012-07-19 12:46 pm (UTC)no subject
Date: 2012-07-19 12:55 pm (UTC)no subject
Date: 2012-07-19 01:02 pm (UTC)во-вторых, не поможет бггг.
no subject
Date: 2012-07-19 01:06 pm (UTC)Почему нет?
no subject
Date: 2012-07-19 02:05 pm (UTC)Люди уже с горем пополам научились писать security-conscious код на С, даже такие говноеды как Adobe, и большинство проблем не из-за языка. Хороший код писать трудно, цена ошибки в sshd высока.
no subject
Date: 2012-07-19 02:49 pm (UTC)Держи отдельного человека возле машины.
Со взводом вооруженной охраны при нем :)