IFI og deres drift
Date: Thu, 22 Apr 1999 11:32:00 +0200 (CEST)
Reply-To: Stian Soiland
To: Anders.Kofod-Petersen@ifi.ntnu.no
Subject: SSH-autentisering feilet
stain@traad:~ > ssh soiland@hades.ifi
Executing /usr/local/bin/ssh1 for ssh1 compatibility.
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle
attack)! It is also possible that the host key has just been changed.
Please contact your system administrator.
*sukk*.. hva har skjedd nå da...
Date: Thu, 22 Apr 1999 14:41:47 +0200 (CEST)
Reply-To: Stian Soiland
To: Anders Kofod-Petersen
Subject: Re: SSH-autentisering feilet
On Thu, 22 Apr 1999, Anders Kofod-Petersen wrote:
>> @ WARNING: HOST IDENTIFICATION HAS CHANGED! @
>> IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
>> *sukk*.. hva har skjedd nå da...
>slet .ssh/known_hosts så fungere det igen
snakk om godt råd.. hva med alle de andre hostene i listen? Jeg må jo
redigere filen, selvsagt. Hvorfor har dere så dårlig sikkerhet på IFI?
Hvordan klarte dere å rote bort host-nøkkelen på en så viktig fil? Har
dere ikke backup av noenting? Gjør dere noe egentlig?
From stainnvg@traad.lavvu.no Fri Apr 23 09:54:18 1999
Date: Fri, 23 Apr 1999 09:52:10 +0200 (CEST)
From: Stian Soiland
Reply-To: Stian Soiland
To: Anders Kofod-Petersen
Subject: Re: SSH-autentisering feilet
On Thu, 22 Apr 1999, Anders Kofod-Petersen wrote:
>For det første bliver alle nøgler automatisk genereret ved første gangs
>indloging, så sletning af denne fil har ikke nogen reel betydning andet
>end at det første gang du logger dig ind mod en box tager ca. 1 sek.
>længere.
Du har tydeligvis ikke satt deg inn i SSH-dokumentasjonen. Ifra sshd1(8):
Sshd works as follows. Each host has a host-specific RSA
key (normally 1024 bits) used to identify the host. Addi
tionally, when the daemon starts, it generates a server
RSA key (normally 768 bits). This key is normally regen
erated every hour if it has been used, and is never stored
on disk.
Whenever a client connects the daemon, the daemon sends
its host and server public keys to the client. The client
compares the host key against its own database to verify
that it has not changed.
Denne förste nökkelen lagrer klienten for å senere sjekke at boksen i
andre enden faktisk ER den boksen den utgir seg for å väre. Hvis ikke kan
jo enhver som sitter på ruten mellom klient og server late som om den er
serverboksen, snappe passord, koble til videre, og brukeren merker
ingenting.
Når denne nökkelen blir endret på serversiden er det enten fordi tilfellet
er som over, eller at noen systemadministratorer har hatt dårlig tid og
ikke giddet å gjemme på vertens ordentlige host-key.
>For det andet er dette ikke et sikkerheds problem, og hvis du gad at sætte
>dig ind i ssh dokumentationen før du udtaler dig ville du vide at ssh
>nøglen bliver genereret med udgangspunkt i unix time for instaleringen af
>ssh deamonen, og da der blev instalere ny i går vil unix time selvfølgelig
>være anderledes.
En slik installasjon er selvsagt beregnet for de tilfeller at man ikke
allerede har en hostkey. Å regelrett bytte ut hostkeyen på den måten dere
gjorde indikerer manglende innsikt i enkel drifting av sshd. Å sette opp
ssh er ikke bare å installere en programpakke. Det anbefales at man går
igjennom konfigurasjonen og setter sshd opp til det sikkerhetsnivået en
önsker.
Jeg vil anbefale man-sidene, som du selv forsökte å henvise til.
>Grunden til at vi kun har åbent for ssh er netop et
>sikkerheds tiltag, da den er den eneste fornuftige måde at logge sig ind
>på, da den er krupteret, modsat telnet feks.
Jeg er enig i at SSH er eneste fornuftige loginmetode og er glad for at
dere har sperret for diverse utrygge tilkoblingsmåter og dermed "tvinge"
brukerne til å bruke SSH.
>For det trejde har vi backup af alt, men da det ikke er problemt, jvs.
>ovenfor, og det gode ordsprog: "Tomme tønder buldre mest".
Hvorofr ikke slette brukerdatabasen også med det samme og legge inn alle
på nytt, med nye passord? Da blir systemet enda enklere, og da slipper
dere at brukere logger inn og oppdager den dårlige driftingen deres!
>Og om vi gør noget, tja du kan jo logge dig ind.
Jeg ville ikke logge meg inn för jeg hadde forsikret meg om at det var
meningen at det skulle väre slik. Nå godtar jeg at dere har gjort en feil
og redigerer min lokale nökkeldatabase slik at jeg kan logge inn
>For fremtiden vil jeg anbefale at du holder stupide spørgsmål for dig
>selv.
Jeg vet det kan väre hardt å få kritikk, men det enkleste er ofte å
innrömme at man har gjort feil istedet for å forsöke å ro seg bort med "du
burde nok ha lest dokumentasjonen" uten å lese den selv...
Og ja, jeg har satt opp sshd selv uten problemer.
Date: Fri, 23 Apr 1999 15:38:52 +0200 (CEST)
Reply-To: Stian Soiland
To: Gorm Andersen
Subject: Re: your mail
On Fri, 23 Apr 1999, Gorm Andersen wrote:
>Etter den mailen du har sendt til oss i drift på IDI-LADE har jeg prøvd å
>finne ut hva du egentlig tenker på.
Sikkerhet? At maskiner som er viktige for tusen brukere blir administrert
ordentlig? ... noe slikt.. jeg beklager at jeg forsöker å tenke.. jeg skal
pröve å väre dum bruker istedet og gjöre alt noen sier til meg blindt.
>Er du egentlig klar over at vi Onsdag ettermiddag klokken 16:00 satt med
>en helt tom systemdisk på Hades ???
Jeg har hört rykter om dette, ja. Men skal vi tro Anders Kofod-Petersen så
"For det trejde har vi backup av alt"..
>Vi måtte derfor begynne å innstallere ALT på nytt. Har du noensinne vært
>med på å innstallere en filserver med 130 GB disk og ca. 1500 brukere ??
>Jeg mener at du kan prøve dette FØR du begynner å uttale deg om hvordan vi
>utfører jobben vår. Vi begynte klokken 16:00 og var ferdig klokken 02:00
>(etter først å ha vært på arbeid i 8 timer) og var her igjen torsdag
>morgen klokken 08:00 for å fortsette å berge det som berges kan.
Jeg er sikker på at dere har gjort en glimrende jobb og vil ikke kritisere
dere for det. Men jeg syntes nå likevel at det var merkelig at
ssh-nökkelen ble byttet ut. Og når jeg bare får kjeft tilbake om at jeg
altså ikke forstår hvordan ssh fungerer (noe vedkommende tydeligvis ikke
gjorde selv), blir man litt oppgitt over at enkelte ganske enkelt ikke
tör å väre ärlig og si "Hör her, maskinen var helt på räva, vi holdt på
til langt på natt for å få den opp igjen, og vi glemte rett og slett å
restore ssh-nökkelen fra backup" istedet for "Du din dust, du kan
ingenting, det er MENINGEN at den nökkelen skal byttes ut, fordi det har
JEG bestemt"....
>Kan du tenke deg hvordan det føles å få slengt slike ting som du presterer
>i trynet etter å ha ofret det meste for å få systemet opp å kjøre ??
>Jeg synes at du bør holde kjeft nå !!
Som et medlem av det norske samfunnet med talefrihet velger jeg å
fortsette å snakke. Jeg trodde til å begynne med at IFI samarbeidet med
studentene, men når jeg får et svar som gir inntrykk av at drifteren ikke
helt vet hva han prater om, må jeg vel få lov til å väre kritisk... hvis
man har glemt passordet sitt sletter man ikke /etc/passwd.. hvis en av
hostnöklene har endret seg sletter man ikke hele databasen..
Jeg ble heller aldri fortalt om at hades hadde hatt sväre problemer,
drifteren gav til meg inntrykk av at det bare var foretatt en
nyinstallasjon av SSH. Jeg syntes derfor det virket ganske rart å
reinstallere SSH uten å ta vare på hostnökkelen.
I det faktiske tilfellet kan jeg selvsagt se at det lett kan skje en glipp
slik at man glemmer å bruke den originale hostkeyen, men det synes ikke
som om IFI-drift ser på dette som noe problem i det hele tatt, og det må
jeg få lov til å reagere på, synes jeg.
From gorman@ifi.ntnu.no Mon May 3 00:52:25 1999
Date: Fri, 23 Apr 1999 16:35:42 +0200 (MET DST)
From: Gorm Andersen
To: Stian Soiland
Subject: Re: your mail
> Sikkerhet? At maskiner som er viktige for tusen brukere blir administrert
> ordentlig? ... noe slikt.. jeg beklager at jeg forsöker å tenke.. jeg skal
> pröve å väre dum bruker istedet og gjöre alt noen sier til meg blindt.
Når du får en melding som du fik om "man in the middle attack" så er
normal prosedyre å spørre systemansvarlig om råd. Det gjorde du og jeg
synes at du fikk et godt nok svar. Hvis vi skulle ha svart utfyllende på
alle mailene vi fikk, måtte vi ha en fulltidsansatt til dette. Derfor:
gjør det du får beskjed om eller finn det ut selv ! (alt. spør på en
HØFLIG måte, merkelig nok gir dette best resultat)
>Jeg har hört rykter om dette, ja. Men skal vi tro Anders Kofod-Petersen
>så "For det trejde har vi backup av alt"..
Problemet er bare at FØR vi kan få lagt inn backup må vi ha kontakt med
nettverket og da fortrinnsvis via SSH. DERFOR innstallerte vi SSH på nytt
og kjørte en make-ssh-known-host som ble distribuert ut via rdist slik at
vi kunne få tak i backupen. Dette hadde ikke vært noe problem hvis vi
hadde tapeutstyr til å ta backup selv, men siden vi er avhengig av å få
tak i det fra IDI-Gløs er det litt problematisk.
> Jeg er sikker på at dere har gjort en glimrende jobb og vil ikke kritisere
> dere for det. Men jeg syntes nå likevel at det var merkelig at
> ssh-nökkelen ble byttet ut. Og når jeg bare får kjeft tilbake om at jeg
> altså ikke forstår hvordan ssh fungerer (noe vedkommende tydeligvis ikke
> gjorde selv), blir man litt oppgitt over at enkelte ganske enkelt ikke
> tör å väre ärlig og si "Hör her, maskinen var helt på räva, vi holdt på
> til langt på natt for å få den opp igjen, og vi glemte rett og slett å
> restore ssh-nökkelen fra backup" istedet for "Du din dust, du kan
> ingenting, det er MENINGEN at den nökkelen skal byttes ut, fordi det har
> JEG bestemt"....
Nå må jeg jo si at etter de mailene vi har fått fra deg tidligere har jo
vist at du ikke har den helt store forståelsen (jfr. inbox) for hvordan et
stort system driftes, så hvis vi finner det nødvendig ved f.eks
oppgradering (evt. for å spare tid fordi vi har begrensede overtidsmidler)
at vi bytter ssh-nøkkelen, så gjør vi det.
> >Kan du tenke deg hvordan det føles å få slengt slike ting som du presterer
> >i trynet etter å ha ofret det meste for å få systemet opp å kjøre ??
> >Jeg synes at du bør holde kjeft nå !!
> Som et medlem av det norske samfunnet med talefrihet velger jeg å
> fortsette å snakke. Jeg trodde til å begynne med at IFI samarbeidet med
> studentene, men når jeg får et svar som gir inntrykk av at drifteren ikke
> helt vet hva han prater om, må jeg vel få lov til å väre kritisk... hvis
> man har glemt passordet sitt sletter man ikke /etc/passwd.. hvis en av
> hostnöklene har endret seg sletter man ikke hele databasen..
Med den måten du oppførte deg i den andre mailen din:
***********
> >> @ WARNING: HOST IDENTIFICATION HAS CHANGED! @
> >> IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
> >> *sukk*.. hva har skjedd nå da...
> >slet .ssh/known_hosts så fungere det igen
> snakk om godt råd.. hva med alle de andre hostene i listen? Jeg må jo
> redigere filen, selvsagt. Hvorfor har dere så dårlig sikkerhet på IFI?
> Hvordan klarte dere å rote bort host-nøkkelen på en så viktig fil? Har
> dere ikke backup av noenting? Gjør dere noe egentlig?
************
Synes du egentlig det er noe rart at han reagerte ??? Har du ikke større
menneskeforståelse enn at du tror at noen kan holde seg rolig og saklig
etter å ha fått enn slik beskyldning. Den holdningen du viser fører til at
vi ikke bekymrer oss hva du klager om og vil verken nå eller senere bli
tatt alvorlig.
> Jeg ble heller aldri fortalt om at hades hadde hatt sväre problemer,
> drifteren gav til meg inntrykk av at det bare var foretatt en
> nyinstallasjon av SSH. Jeg syntes derfor det virket ganske rart å
> reinstallere SSH uten å ta vare på hostnökkelen.
Men nå har du fått forklaringen, ikke sant. Vi prøvde klokken 02:00 på
Onsdagsnatten å sende mail til studentlisten, men p.g.a. problemer med yp
fikk vi en feilmelding vi ikke hadde tid eller krefter til å finne ut av
så sent på natten. Derfor ble mailen først sendt dagen etter.
> I det faktiske tilfellet kan jeg selvsagt se at det lett kan skje en glipp
> slik at man glemmer å bruke den originale hostkeyen, men det synes ikke
> som om IFI-drift ser på dette som noe problem i det hele tatt, og det må
> jeg få lov til å reagere på, synes jeg.
Hvis du følger standard prosedyre så er det jo ikke noe problem. Det er jo
helt opp til deg om du vil gjøre dette vanskelig eller ikke. Du har jo
kverulert så mye over dette nå at det må jo begynne å gå opp for deg
snart.
> Stian Søiland
--
Hilsen
Gorm Andersen
Norwegian University of Science and Technology
Department of Computer and Information Science
Phone :+47 73 59 18 46
Cell : 952 48 841
Email : gorman@ifi.ntnu.no
WWW : http://www.ifi.ntnu.no/~gorman/
Date: Thu, 23 Sep 1999 13:03:29 +0200 (CEST)
From: Stian Soiland
To: drift@ifi.ntnu.no
Subject: Unnskyldning
Jeg blar i arkivet mitt og finner en serie e-post-meldinger sendt 22. og
23. april 1999 mellom meg og drift@ifi angående SSH-autentisering.
Jeg innser at jeg gikk langt over streken, og vil derfor få be om
unnskyldning for å ha fornærmet og skjelt ut både privatpersoner og Drift
på IFI generelt.
Samtidig oppdager jeg at mailene var signert "Sekretær NVG,
styret@nvg.ntnu.no". Dette er ytterst beklagelig. Det var jeg som
privatperson som kontaktet drift og bør klandres for min oppførsel, og
ikke på noen måte NVG eller NVGs styre.
Signaturen kom med ved en feil, da den lå som standard .signature. Jeg var
innlogget ifra Stockholm, og "i kampens hete" gikk det litt for kjapt, det
kunne kanskje merkes på tonen i mailene også.
--
Stian Søiland
Jeg lar meldingene prate for seg selv. Evt. nye svar kommer
selvsagt her
Stian Söiland 1999