Demande #4442: Mauvais records SSHFP - Admins - Gestionnaire de projets de l'April

Actions

Copier le lien

Demande #4442

fermé

Mauvais records SSHFP

Ajouté par François Poulain il y a plus de 4 ans. Mis à jour il y a presque 3 ans.

Statut:

Fermé

Priorité:

Normale

Assigné à:

François Poulain

Catégorie:

Version cible:

Novembre 2021

Début:

26/04/2020

Echéance:

% réalisé:

Temps estimé:

Difficulté:

2 Facile

Description

J'ai régulièrement des blague du genre :

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
SHA256:Y4VJta0pCoebsbPvX4N/D6L6+gs/fEQpu25vrkR44sI.
Please contact your system administrator.
Update the SSHFP RR in DNS with the new host key to get rid of this message.

Ça fait pas très sérieux. :)

Actions

Copier le lien

Mis à jour par Christian P. Momon il y a plus de 4 ans

Depuis 2016, ni les clés, ni les déclarations SSHFP DNS n'ont été modifiées.
Du coup, pourquoi les valeurs du DNS ne sont plus bonnes ?
À quelle occasion ce message d'avertissement ?

Actions

Copier le lien

Mis à jour par Quentin Gibeaux il y a environ 4 ans

Assigné à mis à François Poulain

Actions

Copier le lien

Mis à jour par Quentin Gibeaux il y a environ 4 ans

Version cible changé de Backlog à Septembre 2020

Actions

Copier le lien

Mis à jour par Quentin Gibeaux il y a environ 4 ans

Version cible changé de Septembre 2020 à Octobre 2020

Actions

Copier le lien

Mis à jour par Quentin Gibeaux il y a environ 4 ans

Version cible changé de Octobre 2020 à Novembre 2020

Actions

Copier le lien

Mis à jour par Quentin Gibeaux il y a presque 4 ans

Version cible changé de Novembre 2020 à Décembre 2020

Actions

Copier le lien

Mis à jour par François Poulain il y a presque 4 ans

Christian P. Momon a écrit :

Depuis 2016, ni les clés, ni les déclarations SSHFP DNS n'ont été modifiées.
Du coup, pourquoi les valeurs du DNS ne sont plus bonnes ?

Je ne sais plus mais je crois que les host keys ont changé entre temps.

À quelle occasion ce message d'avertissement ?

Il faut ajouter -o VerifyHostKeyDNS=ask à ton client. Chez moi je l'avait en config globale. C'est un peu l'équivalent de DANE mais pour ssh. Sans recours à DNSSEC c'est d'un intérêt mineur. Mais avec l'arrivée de DoH/DoT ça peut avoir un intérêt certain (j'ai pas creusé).

Actions

Copier le lien