[sisyphus] Уязвим ли SSH-Agent в спящем режиме?

[sisyphus] Уязвим ли SSH-Agent в спящем режиме?

[Paul Wolneykien]

   Всем привет,

   Насколько я понимаю, пока ssh-agent активен пароль может быть получен 
путём чтения ОЗУ. Однако это достаточно экзотическая ситуация. Но что 
происходит, когда образ ОЗУ записывается на диск во время перехода в 
спящий режим (hibernation)? Скорее всего пароль может быть получен из 
этого образа.
   Во избежение этого, gnome-keyring кажется переводится в "закрытый" 
режим перед переходом в спящий режим. А что умеет в этом плане ssh-agent?

   Паша.

Re: [sisyphus] Уязвим ли SSH-Agent в спящем режиме?

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1044 bytes --]

On Sat, Jan 16, 2010 at 12:42:46AM +0300, Paul Wolneykien wrote:
>   Всем привет,
> 
>   Насколько я понимаю, пока ssh-agent активен 
>   пароль может быть получен путём чтения 
> ОЗУ. Однако это достаточно экзотическая 
> ситуация. Но что происходит, когда образ 
> ОЗУ записывается на диск во время 
> перехода в спящий режим (hibernation)? Скорее 
> всего пароль может быть получен из этого 
> образа.
>   Во избежение этого, gnome-keyring кажется 
>   переводится в "закрытый" режим перед 
> переходом в спящий режим.

Интересно, что представляет из себя этот закрытый режим?

> А что умеет в этом плане ssh-agent?

Самый безопасный вариант:
ssh-add -D: Deletes all identities from the agent.

Вариант, который в перспективе будет более-менее безопасным:
ssh-add -x: Lock the agent with a password.

Сейчас этот пароль не используется для зашифровывания памяти,
однако в перспективе это может измениться:
http://git.altlinux.org/people/ldv/packages/?p=openssh.git;a=blob;f=openssh/ssh-agent.c#l572


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 198 bytes --]

Re: [sisyphus] Уязвим ли SSH-Agent в спящем режиме?

[Andrey Rahmatullin]

[-- Attachment #1: Type: text/plain, Size: 471 bytes --]

On Sat, Jan 16, 2010 at 12:42:46AM +0300, Paul Wolneykien wrote:
> происходит, когда образ ОЗУ записывается на диск во время перехода в 
> спящий режим (hibernation)?
Засыпайте на dm-crypt.

-- 
WBR, wRAR (ALT Linux Team)
Powered by the ALT Linux fortune(6):

> Как говаривал Олег Полянский, "когда врёте, X-Ears: Red выставлять надо".
/me выделил для себя, тем самым, целую группу IT-специалистов:
X-Eye: Red
X-Education: Student
		-- genix in smoke-room@

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 490 bytes --]

Re: [sisyphus] Уязвим ли SSH-Agent в спящем режиме?

[Paul Wolneykien]

16.01.2010 01:02, Dmitry V. Levin пишет:
> On Sat, Jan 16, 2010 at 12:42:46AM +0300, Paul Wolneykien wrote:
>>    Всем привет,
>>
>>    Насколько я понимаю, пока ssh-agent активен
>>    пароль может быть получен путём чтения
>> ОЗУ. Однако это достаточно экзотическая
>> ситуация. Но что происходит, когда образ
>> ОЗУ записывается на диск во время
>> перехода в спящий режим (hibernation)? Скорее
>> всего пароль может быть получен из этого
>> образа.
>>    Во избежение этого, gnome-keyring кажется
>>    переводится в "закрытый" режим перед
>> переходом в спящий режим.
>
> Интересно, что представляет из себя этот закрытый режим?

   Думаю, что это как раз lock with a password.

>
>> А что умеет в этом плане ssh-agent?
>
> Самый безопасный вариант:
> ssh-add -D: Deletes all identities from the agent.

   Так может быть слать эту команду всем агентам из hibernate script?
В том смысле, что давайте сделаем это штатным режимом.

>
> Вариант, который в перспективе будет более-менее безопасным:
> ssh-add -x: Lock the agent with a password.
>
> Сейчас этот пароль не используется для зашифровывания памяти,
> однако в перспективе это может измениться:
> http://git.altlinux.org/people/ldv/packages/?p=openssh.git;a=blob;f=openssh/ssh-agent.c#l572

Re: [sisyphus] Уязвим ли SSH-Agent в спящем режиме?

[Paul Wolneykien]

18.01.2010 11:41, Andrey Rahmatullin пишет:
> On Mon, Jan 18, 2010 at 11:35:15AM +0300, Paul Wolneykien wrote:
>>>> А что умеет в этом плане ssh-agent?
>>> Самый безопасный вариант:
>>> ssh-add -D: Deletes all identities from the agent.
>>     Так может быть слать эту команду всем агентам из hibernate script?
> hibernate(8) умеет параметры AgentsClearGPG и AgentsClearSSH.

   А, т.е. всё уже украдено до нас? :) Это радует.

>
>
>
>
> _______________________________________________
> Sisyphus mailing list
> Sisyphus@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sisyphus

Re: [sisyphus] Уязвим ли SSH-Agent в спящем режиме?

[Andrey Rahmatullin]

[-- Attachment #1: Type: text/plain, Size: 608 bytes --]

On Mon, Jan 18, 2010 at 11:35:15AM +0300, Paul Wolneykien wrote:
> >> А что умеет в этом плане ssh-agent?
> > Самый безопасный вариант:
> > ssh-add -D: Deletes all identities from the agent.
>    Так может быть слать эту команду всем агентам из hibernate script?
hibernate(8) умеет параметры AgentsClearGPG и AgentsClearSSH.

-- 
WBR, wRAR (ALT Linux Team)
Powered by the ALT Linux fortune(6):

<hiddenman> Vitls: я уже три года подряд делаю в консоли ifup ppp4 :-) лень
            настраивать
<hiddenman> а теперь еще и по утрам vim /etc/resolv.conf, т.к. он там че-то
            меняется.

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 490 bytes --]

Re: [sisyphus] Уязвим ли SSH-Agent в спящем режиме?

[Michael Shigorin]

On Mon, Jan 18, 2010 at 01:41:57PM +0500, Andrey Rahmatullin wrote:
> > >> А что умеет в этом плане ssh-agent?
> > > Самый безопасный вариант:
> > > ssh-add -D: Deletes all identities from the agent.
> >    Так может быть слать эту команду всем агентам из hibernate script?
> hibernate(8) умеет параметры AgentsClearGPG и AgentsClearSSH.

Наверное, для security oriented дистрибутива разумно
по умолчанию.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] Уязвим ли SSH-Agent в спящем режиме?

[Andrey Rahmatullin]

[-- Attachment #1: Type: text/plain, Size: 492 bytes --]

On Fri, Jan 22, 2010 at 09:46:29PM +0200, Michael Shigorin wrote:
> > hibernate(8) умеет параметры AgentsClearGPG и AgentsClearSSH.
> Наверное, для security oriented дистрибутива разумно
> по умолчанию.
hibernate(8) не штатный инструмент. Если pm-utils умеет такое же - можно
включить.

-- 
WBR, wRAR (ALT Linux Team)
Powered by the ALT Linux fortune(6):

> Есть ли какие-нибулдь координальные отличия между
Пожалуйста, используйте слово "кардинальные" :)
		-- lav in sisyphus@

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 490 bytes --]