This article is an automated machine-translation of an article in English. We know the translation isn't perfect, but we hope it's useful for people who don't read English.

FreeBSD的百叶窗一些服务器后SSH密钥违反

Filed Under: Featured, Operating Systems

尊者基于BSD的操作系统发行版,FreeBSD已经宣布一个很小的系统妥协。

FreeBSD的管理员拿了一堆服务器离线进行调查,并公布他们所知道的关于违反到目前为止吹帐户

FreeBSD是不是第一个开源的操作系统,其核心服务器遭受入侵。

著名的Linux开发人员遭受了一个恶意软件攻击服务器妥协 ,去年看到kernel.org 消失了一个多月离线

然而,在这种情况下,FreeBSD的船员和他们的用户不似乎已经遭受过严重。

没有所谓的基础库被感动 - 这就是核心组件,如内核,系统库,编译器,核心命令行工具和守护进程(服务器软件)居住。只有服务器托管第三方软件包的源代码受到影响。

幸运的是,调查至今没有出现任何软件,的软件包,Trojanised的入侵者。因此,连锁效应的突破可能会是最小的。

官方的理由是开发者的SSH密钥作为一个可能的妥协。

SSH Secure Shell,是主要的非Windows系统的远程访问协议。

它支持一系列的认证计划,在许多系统上,管理员做与跨线的用户名和密码,进行身份验证和选择,而不是基于公钥/私钥对。

我们的想法是生成密钥对,我和我的公钥发送给您。

仔细核实,这确实是我的钥匙后,如打个电话,你我的公钥上传到你的服务器。我的SSH客户端就可以使用我的私钥来记录我在你的服务器使用相应的公钥来验证我的身份。

由于我的私钥保护密码(或应该是),我们将继续享受优惠的基于密码的安全性-加的优势,知道我的密码不够的攻击者。他需要我的私钥文件的物理副本。

在这种情况下,它的声音,虽然攻击者偷两种身份验证因素 - 密钥文件和密码 - 从开发人员。

这是一场酣畅淋漓的提醒链的强大只取决于它最薄弱的环节。

尤其是,不要忘记您的内部系统的安全性,很可能是没有更好的比任何和所有外部系统的安全性 - 无论是服务器,笔记本电脑或移动的设备 - 从你接受远程访问。

You might like

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / Change )

Twitter picture

You are commenting using your Twitter account. Log Out / Change )

Facebook photo

You are commenting using your Facebook account. Log Out / Change )

Google+ photo

You are commenting using your Google+ account. Log Out / Change )

Connecting to %s

About the author

Paul Ducklin is a passionate security proselytiser. (That's like an evangelist, but more so!) He lives and breathes computer security, and would be happy for you to do so, too. Paul won the inaugural AusCERT Director's Award for Individual Excellence in Computer Security in 2009. Follow him on Twitter: @duckblog