URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 135052
[ Назад ]
Исходное сообщение
"В OpenSSH код аутентификации вынесен в отдельный процесс sshd-auth"
Отправлено opennews , 15-Окт-24 17:45 
Разработчики OpenSSH продолжили разделение sshd на несколько отдельных исполняемых файлов. На реализованном в мае первом этапе разделения из sshd в отдельный процесс sshd-session были вынесены функции, связанные с обработкой сеансов, а в sshd оставлена лишь функциональность, необходимая для приёма нового сетевого соединения и запуска sshd-session для каждого нового сеанса. Вчера в кодовую базу OpenSSH было внесено изменение, добавляющее ещё один процесс -  sshd-auth, в который из sshd-session перенесён код, выполняющий аутентификацию...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=62052

Содержание
Сообщения в этом обсуждении
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено qweo , 15-Окт-24 17:45 
Ещё немного, и повторят архитектуру inetd и иже с ним :-)
Молодцы, на самом деле!
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 18:28 
Кстати, очень  хоршая штука. Недавно работал только xinetd. Опция запуска с учетом времени суток вообще киллерфича.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Соль земли , 16-Окт-24 09:57 
Скорее postfix.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 18-Окт-24 09:34 
> Ещё немного, и повторят архитектуру inetd и иже с ним :-)

Больше на системд похоже. Тоже стало летающим спагетти с кучей wtfd, огромным кодом, и - довольно паршивой безопасностью протокола.

"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 17:47 
Здорово, ещё один левый процесс...
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 17:52 
Ещё один вектор атаки.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Имя , 15-Окт-24 18:14 
Наоборот, старую кодяру разнесли по разным процессам ОС. Тем самым изолировали разные участки кода и данных друг от друга. Это может уменьшить неприятности от атаки, опирающейся уязвимость в коде.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 18:28 
Ой ли, прям вертор...
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено MaleDog , 15-Окт-24 19:27 
Мало до этого было атак с манипуляцией параметрами запуска приложений? Если код сложный, то почему просто не вынести в либы. Зачем новый процесс порождать?
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 20:15 
> Зачем новый процесс порождать?

ща прибежит Мяю и пояснит, для МАС

"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено мяв , 16-Окт-24 06:17 
а как MAC Вам поможет? как будете отличать штатный вызов нового процесса от внештатного?
разве что, можно похвастаться "у меня ssh-session и ssh-auth не умеют лазать по хомяку, косяки в них не приведут к прочтению левых файлов", но такое себе.
вот "MAC для памяти", может, защитил бы.. по-моему, SARA называется, но не уверена про принцип его работы, на этапе "abondoned", бросила читать.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 16-Окт-24 14:15 
> а как MAC Вам поможет? как будете отличать штатный вызов нового процесса от внештатного?

а что есть штатный и внештатный вызов?

> разве что, можно похвастаться

вы серьезно? чем гранулярнее правила МАС тем он эффективнее, а не "такое себе".

> вот "MAC для памяти"

Защитой памяти процесса должен заниматься менеджер виртуальной памяти. И правила тут скорее - аксиомы. И МАС как таковой тут не нужен.

"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено мяв , 18-Окт-24 12:53 
>а что есть штатный и внештатный вызов?

легетимный, задуманный разработчиком и нелегетимный, ставший результатом его ошибки, если Вам так проще будет.

>вы серьезно? чем гранулярнее правила МАС тем он эффективнее, а не "такое себе".

а Вы? мало того, что я, судя по всему, у Вас в глазах двоюсь, так еще и бездумно пургу затираете.
при чем тут "гранулированнее"? или Вам еще и какой-то неведомый никому контекст привиделся? или Вы вообще исходное сообщение от анонима не читали?

>не "такое себе".

много даст отсутствие возможности залезть в хомяк у 2х служебных процессов, когда рядом возможность рут-шелл получить из основного?

>Защитой памяти процесса должен заниматься менеджер виртуальной памяти. И правила тут скорее - аксиомы. И МАС как таковой тут не нужен.

речь шла об изоляции компонентов этого самого процесса друг от друга. собственно, что и подразумивает спавн отдельного процесса.
запомнилось, мол sara именно это делает, но без спавна нового процесса. как сейчас оказалось, нет, это просто защита WX.

"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 18-Окт-24 14:52 
> так еще и бездумно пургу затираете.

ясно

"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 20:37 
Как бы, отдельный процесс - отдельное адресное пространство.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено мяв , 16-Окт-24 06:33 
да, мало, по сравнению с использованием после очистки, двойной очисткой, выхода за границы и тп.
что-то мне подсказывает, что это вообще внутренние процессы, не принимающие аргументов, бинари которых будут лежать в libexec, как session-helper у polkit.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 16-Окт-24 14:24 
> что это вообще внутренние процессы, не принимающие аргументов

что за внутренние процессы? кхммм

Вон постфикс на такой архитектуре с основания.

"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено мяв , 18-Окт-24 12:54 
те, что не предполагают пользовательского взаимодействия с собой.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 18:37 
То тут идет онанирование «одна задача — один процесс», то тебе теперь не нравится, что задача вынесена в отдельный процесс
Вы бы определились, блин!
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 18:46 
Так разные онанимы.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 21:12 
> Так разные онанимы.

Да едины мы, едины - просто ты новенький, других пока не слышишь и считаешь что один-единственный в голове нашего общего тела ...
Глянь на часы - куда две с половиной минуты делись? (а это я ответ писал, нашими общими руками) ...

"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 17:50 
Это жжжж не проста. Будут внедрять  в системд? Уверен что это сделано не для удобства пользователей.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено DeerFriend , 15-Окт-24 18:06 
демона выкинут, оставят системд.сокет
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено DeerFriend , 15-Окт-24 18:08 
А энтузиасты будут прикручивать оставшееся к интетд, чтобы запускалось на диване.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 20:40 
Лучше подумай, как оно тогда на OpenBSD должно работать.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 16-Окт-24 18:55 
OpenSSH *должно* работать на мейнстримных Линуксах и 3½ недоеденных им Юниксах. На это Тео дают достаточно денег на его игрушечную ОС и закрывают глаза на его, скажем так, особенности характера. Если для этого вдруг понадобится тесная интеграция с systemd — Тео либо сделает что сказано, либо будет искать финансирование в другом месте, а проектом займутся другие люди. Работоспособность OpenSSH в OpenBSD в списке требований не присутствует и никогда не присутствовала, это просто счастливая случайность.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 18-Окт-24 09:32 
> Работоспособность OpenSSH в OpenBSD в списке требований не присутствует
> и никогда не присутствовала, это просто счастливая случайность.

Ну вот нет. Ты недооцениваешь способность людей програмить себе по фану. Толи потому что унылый наймит, толи потому что в пирамиде Маслоу ты находишься ниже них. В общем, вот тут ты не прав, sshd появился себе по фану - и на линухи портируется по остаточному принципу.

И таким манером он когда-нибудь допрыгается что его, таки, заменят на что-то более дружественное. А вот это вот будет - у полутора маргиналов. И спасибо если остальные вообще будут юзать ssh как протокол. Ибо у него накопилось немеряно легасипроблем. Вплоть до того что не такой уж он и секурный, утекает много инфо о том кто и что делал. И чинить это никто не собирается походу, безпасничкам из опенбсд и с такой "безопасностью" - норм.

"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 19:04 
Это было бы великолепно в плане унификации и приведению к единому стандарту, а не каши из разношерстных утилит. Ещё бы так сделали с GUI, то авось пересилили бы те 0.01% на десктопе.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 20:42 
>4% не считая ХромойОС.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 23:00 
какой systemd в openbsd?
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 16-Окт-24 03:54 
systemd-openbsd
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено _ , 17-Окт-24 00:06 
Корирайяу имя: OpenSystemD ! 8-D
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено mos87 , 16-Окт-24 07:38 
взаимоисключающие параграфы
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 18:12 
Надо процессы запуска и остановки процессов выделить в отдельные процессы.
И да поглотит все рекурсия в бесконечном цикле!
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 19:04 
И чтоб каждый файл, каждый юзер -- всё в докере!
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено MaleDog , 15-Окт-24 19:22 
А потом еще придумать костыли как дать процессам доступ к файлам чужих пользователей. "Приложение sftpd pid 36489 просит доступ к фото". После разрешения предоставляем доступ ко всем jpg и png на разделе.  Андроид?
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 20:16 
> А потом еще придумать костыли как дать процессам доступ к файлам чужих пользователей.

Так есть же - МАС.

"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено мяв , 16-Окт-24 06:26 
или bwrap.
его в MAC, что б исключить выход из песочницы, а доступом через него рулить.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 19:02 
> В OpenSSH код аутентификации вынесен в отдельный процесс sshd-auth

Это хорошо или плохо? Что меняет для конечных пользователей?

"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено kusb , 15-Окт-24 19:41 
Может быть не взломают. Это и сделано для конечных пользователей, на самом деле.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено mos87 , 16-Окт-24 07:40 
им будет труднее скачать бинарь openssh.tgz распаковать и запускать
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено kusb , 17-Окт-24 14:54 
Придётся кликнуть правой кнопкой мышки и выбрать "Создать папку"
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено bOOster , 16-Окт-24 09:21 
Растет количество методов авторизации/аутентификации. Причем бывает на статических библиотеках, которые компилируются внутрь процесса auth. Ребята сделали правильную вещь - отделили код OpenSSH от всякого другого.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено bOOster , 16-Окт-24 09:23 
ПыСы Некоторые знающие толк в извращениях вообще через записи СУБД авторизуются/аутентифицируются.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 16-Окт-24 18:49 
Дали им полный набор механизмов для аутентификации пользователей по ключам с любыми ограничениями, от конкретных учётных записей на конкретных хостах до времнного окна для логина без необходимости менеджмента индивидуальных ключей. Нет, всё равно костылят какую-то хтонь.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено anonymmmeer , 16-Окт-24 12:11 
Увеличивается безопастность, уменьшается производительность.

Но нынче такие времена, что одно приложение на электрон уже в сто раз эту производительность ухудшит.

"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 16-Окт-24 18:50 
> одно приложение на электрон

Зачем ты его ставишь на сервер?

"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 19:11 
Как насчёт systemd-sshd? Кажется востребованной фичей для бесплатного десктопа.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 20:50 
Идёт в комплекте с systemd-gnomed
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 19:51 
ну блин, R^X не пробовали? Вообще всё ROP отрезает.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 20:47 
Точно, RDX вообще всё напрочь отрезает.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 21:16 
Количество уязвимостей в программе зависит от количества ошибок в ней. А количество ошибок зависит от густоты ошибок в коде и объёма кода. А густота ошибок зависит от языка программирования. От разделения программы на несколько процессов объём кода и язык программирования не изменились.
Какой вывод?
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 21:32 
Вывод: ты не понимаешь, о чём говоришь.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 16-Окт-24 16:21 
> объём кода и язык программирования не изменились

как не изменилось, если надо еще городить межпроцессное взаимодействие?

"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 15-Окт-24 22:37 
Вопрос взаимодействия процессов и передачи данных между ними. Сколько багов возникает при передаче через аргументы при старте процесса...
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 16-Окт-24 00:49 
17. Возникает 17 багов. Раз вам так интересно.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено мяв , 16-Окт-24 06:28 
было бы интересно еще и список посмотреть.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено мяв , 16-Окт-24 06:29 
никто не будет, условно, пароли в него передавать.
запустится ssh-auth, спросит пароль, сам все обработает и выдаст, что надо.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 16-Окт-24 22:14 
И всё-таки, можно механизм взаимодействия между процессами накидать. Кто и каким образом спавнит, как возвращают результат работы. А то тут dbus десяток лет хрен знает чем занимается, тормозит, что даже в ведро его пытались закинуть.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено Аноним , 16-Окт-24 04:51 
Они собираются убрать дефолтным поведение, которое позволяет логинится по паролю пользователя в любого пользователя? Кажется дибилизмом каждый раз при создании конфига отменять вайлдкард на все группы и пользователей и для каждого отдельного, который тебе нужен, вписывать его обратно.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено мяв , 16-Окт-24 06:35 
идите к ним в гит и сделайте репорт/почитайте, почему так.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено а , 16-Окт-24 07:40 
зачем вписывать каждого? создайте группу sshusers, пропишите ее в конфиг, и добавляйте нужных пользователей в нее.
"В OpenSSH код аутентификации вынесен в отдельный процесс ssh..."
Отправлено _ , 17-Окт-24 00:12 
The Best Business Practice for ХЗ сколько лет ... но для некоторых шокирующие инновации(С) :)