Administración avanzada de GNU/Linux (PDF) - SW Computación

Administración avanzada de GNU/Linux
ª FUOC • XP04/90785/00019
más importante es que todo lo que se transmite por la red, incluido
usernames y passwords, es en texto plano (aunque existen versiones
de telnet-telnetd encriptados, deben coincidir en que ambos los
sean), cualquiera que tenga acceso a esa red o a algún segmento de
la misma puede obtener toda esta información y luego suplantar la
identidad del usuario. La segunda es que estos puertos (telnet, rsh,...)
es el primer lugar donde un cracker intentará conectarse. El protocolo
ssh (en su version OpenSSH) provee de un conexión encriptada y
comprimida mucho más segura que, por ejemplo, telnet (es recomendable
utilizar la versión 2 del protocolo). Todas las distribuciones
actuales incorporan el cliente ssh y el servidor sshd por defecto.
ssh
Para ejecutar el comando, hacer:
ssh -l login name host o ssh user@hostname
A través de SSH se pueden encapsular otras conexiones como X11 o
cualquier otra TCP/IP. Si se omite el parámetro -l, el usuario se conectará
con el mismo usuario local y en ambos casos el servidor solicitará
el passwd para validar la identidad del usuario. SSH soporta
diferentes modos de autentificación (ver man ssh) basados en algoritmo
RSA y clave pública.
Utilizando el comando ssh-keygen -t rsa|dsa, se pueden crear las
claves de identificación de usuario. El comando crea en el directorio
del .shh del usuario el fichero (por ejemplo, para el algoritmo de encriptación
RSA) id_rsa y id_rsa.pub las claves privada y pública respectivamente.
El usuario podría copiar la pública (id_rsa.pub) en la
máquina remota en el directorio .ssh del usuario remoto, en el archivo
authorized_keys . Este archivo podrá contener tantas claves públicas
como sitios desde donde se quiera conectar a esta máquina en
forma remota. La sintaxis es de una clave por línea y su funcionamiento
es equivalente al archivo .rhosts (aunque las líneas tendrán
un tamaño considerable). Después de haber introducido las claves
públicas del usuario-máquina en este archivo, este usuario y desde
esa máquina se podrá conectar sin password.
En forma normal (si no se han creado las claves), se le preguntará al
usuario un passwd, pero como la comunicación será siempre encrip-
ANOTACIONES
283