Michał Lachowski

Klucze SSH – chyba każdy chociaż raz o nich słyszał, wielu z Nas na co dzień ułatwia sobie przy ich pomocy życie. Podpisywanie poczty, logowanie się na serwery – szybko, wygodnie i (zazwyczaj) bezpiecznie. Czy na pewno? Dzisiejszy artykuł na Niebezpieczniku pokazuje, że niekoniecznie…

Przyznaję, że mocno mnie zdziwił pomysł generowania klucza na obcym serwerze. Po pierwsze i najważniejsze – mój klucz to moja własność. Nie udostępniam go nikomu, a tym bardziej nieznanemu serwisowi. Nawet wymiana kluczy między moim kontem na LinuxPL a serwerem akademickim, na którym także od czasu do czasu używam shella, wiązała się z pewnymi obawami. Po drugie, narzędzie oferowane online ma być (z założenia) wygodne. Nie wiem jak dla innych, ale dla mnie to żaden argument. Zwłaszcza, że utworzenie klucza z poziomu konsoli i wrzucenie go na serwer to nie więcej niż minuta Żadnego zbędnego kopiowania wygenerowanej treści do pliku czy też przesyłania zawartości strony nieszyfrowanym HTTP.

Wątpliwości budzi również prawdziwy cel powstania strony. Na pozór wszystko wygląda ok (i nie twierdzę, że jest inaczej), ale kto wie, jak jest naprawdę? Może autor zbiera tworzone przy pomocy jego narzędzia klucze do sobie tylko znanych celów? Twórcy Niebezpiecznika oczywiście sprawdzili, gdzie jest hostowana strona. I co się okazało? Że na tym samym serwerze stoi serwis „hackerski” Zbieg okoliczności? Możliwe, ale ja nie mam zamiaru sprawdzać, co się stanie z moimi serwerami, jeśli zacznę używać utworzonego online klucza.

Z drugiej strony, jeśli cały czas znajdują się użytkownicy korzystający ze strony, to usługa będzie miała się świetnie. A że takowi są – jakoś mnie to nie dziwi… Jeśli ktoś wkleja swój klucz na Pastebin.com albo podobne serwisy, to prawdopodobnie jest mu wszystko jedno, czy generuje go sam, a potem „strzela sobie w kolano” udostępniając go w Sieci, czy od razu tworzy go korzystając z usługi mocno naruszającej podstawowe zasady bezpieczeństwa …

Ludzie (admini ), myślcie – to nie boli