[ml] sshd & strace [was: SSH - The unsecure shell]

Non vedo  come potrebbe essere  altrimenti; strace serve a  tracciare le
syscall quindi e' piu' che normale che la password venga esposta.

Per altro  moduli trojani che  estraggono le pwd dalla  mem di ssh  (o i
cert, se lato client) se ne sono gia' visti piu' di uno...
Se non erro, ci sono anche degli articoli al riguardo su bfi.

Ovviamente se l'attaccante  e' root, puo' fare qualsiasi  cosa e sarebbe
sbagliato considerare diversamente le cose.

Se  il tuo  problema e'  non  mandare le  password, l'unica  alternativa
possibile   e'  utilizzare   i  certificati;   c'erano  degli   articoli
introduttivi al riguardo su securityfocus tempo fa.

btw; il link citato non funziona.

thnx
Koba (moderatore)

ps:
http://www.expita.com/nomime.html
Configuring Mail Clients to Send Plain ASCII Text

----- Forwarded message from Marco Sgarbi <marcosgarbi(at)gmail.com> -----
From: Marco Sgarbi <marcosgarbi(at)gmail.com>
Subject: SSH - The unsecure shell

Visto che non ci pubblicano n? su BugTraq n? su OpenSSH ( forse stanno dormendo ) provo a postare in questa mailinglist sperando nella vostra clemenza. Non ho capito se non hanno postato perch? ci? che abbiamo trovato ? una stupidaggine o una cosa gi? nota o altro... quindi aspetterei commenti. Nelle venti persone con cui ci siamo consultati nessuno lo sapeva. A noi sembra un bug grave specialemente per chi offre accessi shell come shell provider che da questo "bug" o ormai preseunto tale potrebbero trarne numerose informazioni. La stessa cosa vale per gli amministratori di sistema in generale. Penso particolarmente le universit?, le webfarm ecc... Ecco il posting:

Hi at all,

We have found a security problem on deamon SSHD where through the debug with strace is possible to sniff all the passwords either in local or in remote during the authentication. A cracker with root access using this bug can compromise the system sniffing every login SSH obtaining so all the passwords used in local and remote access.

If you want to know more you can read the complete article on: http://www.dc3496.org/unsecure_en.txt

If you find a solution for this problem please let us know, these are our mail address:
lion(at)bastardsoperatorsfromhell.org
dio(at)bastardsoperatorsfromhell.org

Thanks to the Italian Defcon Users Group and defcon.org(c)

----- End forwarded message -----