@russianfedora - страница 4138

Denis

Для ботнета есть куча IoT устройств, дыры в которых никем никогда не латаются, подбирай эксплоиты, смотри не обляпайся

Ну да, так оно проще и дешевле, да. Незачем выкаблучиваться с использованием какой-то хитрой схемы атаки

Sergei

а можно ссылку на хоть один такой эксплойт?

https://security.stackexchange.com/questions/56307/can-cat-ing-a-file-be-a-potential-security-risk В выбранном ответе ссылки на несколько CVE с атаками путём просто вывода чего-нибудь в терминал (в основном в xterm и libvte, но другие тоже подвержены подобному, можно не сомневаться).

olegon.ru

сколько написано :) я на самом деле немного по другому вопросу. я подключился, поиграл, а потом кто-то получил доступ к этому серверу, схватил мой ключик и чем-то мне навредил...

Denis

сколько написано :) я на самом деле немного по другому вопросу. я подключился, поиграл, а потом кто-то получил доступ к этому серверу, схватил мой ключик и чем-то мне навредил...

Маловероятно

Alexander "SonnySlave"

сколько написано :) я на самом деле немного по другому вопросу. я подключился, поиграл, а потом кто-то получил доступ к этому серверу, схватил мой ключик и чем-то мне навредил...

это ПУБЛИЧНЫЙ ключ

Alexander "SonnySlave"

иди читай про то, как работает асимметричная криптография

olegon.ru

я просто исхожу из логики, что если он существует, то кому-то нужен :)

Denis

Можешь его на заборе написать большими буквами

Alexander "SonnySlave"

он нужен для того, чтобы им что-нибудь зашифровать, например. А вот расшифровать сможешь только ты, обладатель приватного ключа. А вот приватный ключ никому не вздумай показывать 😊

Sergei

сколько написано :) я на самом деле немного по другому вопросу. я подключился, поиграл, а потом кто-то получил доступ к этому серверу, схватил мой ключик и чем-то мне навредил...

Если ничего не путаю, то если ты перенаправляешь ssh-агент, то можно где-нибудь аутентифицироваться с твоим ключём, но не перехватить ключ для дальнейшего использования.

olegon.ru

он нужен для того, чтобы им что-нибудь зашифровать, например. А вот расшифровать сможешь только ты, обладатель приватного ключа. А вот приватный ключ никому не вздумай показывать 😊

а, точно, спасибо

olegon.ru

понял, спасибо, успокоили :)

Sergei

понял, спасибо, успокоили :)

Я вот наоборот напугать старался.

olegon.ru

Я вот наоборот напугать старался.

не, спасибо, понятно, что есть какие-то хитрые схемы, где может быть утечка, я про простую

Sergei

не, спасибо, понятно, что есть какие-то хитрые схемы, где может быть утечка, я про простую

Мысль была в том, что хоть приватный ключ и не сопрут, подключаться к недоверенным серверам таки может быть опасно.

olegon.ru

нене, я про то, что вот сейчас я подключаюсь, он, в принципе, доверенный, а кто к нему потом доступ получит, я не знаю

Aleksei

а чем опасно по ssh подключаться к опасным серверам?

Не у всех отключен проброс агента. Приватные ключи воруют через скомпроментированные сервера. Была же какая-то громкая история. С jenkins, кажется?

Denis

хмм... а какой длины у тебя rsa ключ?

Sergei

Не у всех отключен проброс агента. Приватные ключи воруют через скомпроментированные сервера. Была же какая-то громкая история. С jenkins, кажется?

Разве приватный ключ можно украсть через агента? Вроде же только аутентифицироваться, пока активна сессия.

Anonymous

У меня rpmfusion оказывается не работал тупо из-за того, что он не резолвился при помощи systemd-resolved. Помог перезапуск сервиса.

olegon.ru

У меня rpmfusion оказывается не работал тупо из-за того, что он не резолвился при помощи systemd-resolved. Помог перезапуск сервиса.

а какой смысл использовать этот сервис?

Aleksei

Разве приватный ключ можно украсть через агента? Вроде же только аутентифицироваться, пока активна сессия.

ssh agent forwarding https://developer.github.com/v3/guides/using-ssh-agent-forwarding/

Vasiliy Glazov

а какой смысл использовать этот сервис?

Чтобы VPN работал, например.

Sergei

ssh agent forwarding https://developer.github.com/v3/guides/using-ssh-agent-forwarding/

К чему это? Какой вывод из этого я должен был сделать?

olegon.ru

Чтобы VPN работал, например.

т.е. он с Network manager вообще никак?

Aleksei

К чему это? Какой вывод из этого я должен был сделать?

Решается задача, когда тебе надо с сервера достучаться до другого сервера, но ты не хочешь туда копировать свой приватный ключ.

olegon.ru

я собрался было перейти на resolved, но настолько сильно интегрирован менеджер, что отказался от этой идеи

Sergei

Решается задача, когда тебе надо с сервера достучаться до другого сервера, но ты не хочешь туда копировать свой приватный ключ.

Да, спасибо, я знаю, для чего нужен ssh-агент.

Anonymous

а какой смысл использовать этот сервис?

VPN + DNS over TLS

Aleksei

Да, спасибо, я знаю, для чего нужен ssh-агент.

Разве не ответ на вопрос "украсть приватный ключ через агента"? Нашел, матрикс так взламывали https://matrix.org/blog/2019/04/11/we-have-discovered-and-addressed-a-security-breach-updated-2019-04-12

Denis

Решается задача, когда тебе надо с сервера достучаться до другого сервера, но ты не хочешь туда копировать свой приватный ключ.

хм... я обычно проки в ssh настраивал

Sergei

Разве не ответ на вопрос "украсть приватный ключ через агента"? Нашел, матрикс так взламывали https://matrix.org/blog/2019/04/11/we-have-discovered-and-addressed-a-security-breach-updated-2019-04-12

Перечитай мое изначальное сообщение об этом. Нет, не отвечает.

Aleksei

Перечитай мое изначальное сообщение об этом. Нет, не отвечает.

Может, я неправильно понимаю фразу? Attacker gains access to production infrastructure by hijacking a forwarded SSH agent logging into the compromised Jenkins worker

Sergei

Может, я неправильно понимаю фразу? Attacker gains access to production infrastructure by hijacking a forwarded SSH agent logging into the compromised Jenkins worker

Это никак не противоречит тому, что я написал. Аутентифицироваться с учётными данными из ssh-агента можно, пока активна сессия с перенаправлением агента. А украсть ключ, т.е. извлечь его из агента и сохранить для дальнейшего использования, насколько я знаю, нельзя.

Aleksei

Это никак не противоречит тому, что я написал. Аутентифицироваться с учётными данными из ssh-агента можно, пока активна сессия с перенаправлением агента. А украсть ключ, т.е. извлечь его из агента и сохранить для дальнейшего использования, насколько я знаю, нельзя.

Ок, в любом случае это ответ на "а чем опасно по ssh подключаться к опасным серверам?"

Sergei

Ок, в любом случае это ответ на "а чем опасно по ssh подключаться к опасным серверам?"

Это да, просто я бы назвал это "ключи воруют".

Aleksei

Это да, просто я бы назвал это "ключи воруют".

Ага, видимо я неправильно понимал ту фразу

Максим

Привет

Максим

Почему звук может пропаать в fedora

Максим

То есть, то нет

Vasiliy Glazov

То есть, то нет

фаза Луны?

Максим

ага

Anonymous

Штекер?

Максим

Проверял

Максим

НЕ оно

Denis

киллалл pulseaudio ?

Anonymous

Посмотри в журнале чё пишет

Anonymous

а кто-то работал с npm сборкой пакетов, что можете рассказать?

Sergei

а кто-то работал с npm сборкой пакетов, что можете рассказать?

Что npm враждебен и наглухо приколочен к своим репозиториям, пытаться заставить его работать в оффлайне - это боль и унижение.

Sergei

а кто-то работал с npm сборкой пакетов, что можете рассказать?

Если есть возможность - используй yarn, там с повторяемостью сборок и работой без сети всё гораздо лучше.

Anonymous

Если есть возможность - используй yarn, там с повторяемостью сборок и работой без сети всё гораздо лучше.

да я тут флеш игрушку запускаю в электрон клиенте 😅

Late

а кто-то работал с npm сборкой пакетов, что можете рассказать?

в реальной системе не советую ставить, помойка та ещё, нагадит. а потом чистить за ним

Sergey

да я тут флеш игрушку запускаю в электрон клиенте 😅

https://t.me/russianfedora/172661

Sergei

Ага. В общем, этим проектом никто не занимается, последние сборки есть еще для CentOS 5. Мне пересобирать лениво, тем более я нашел опенсорсный плеер для локальных файлов, который есть на сайте Adobe. Это не их проект, насколько я понял, и он опубликован под LGPL. В общем, назвается оно Adobe Flash Player Projector, память, вроде не жрет, мне все нравится. Распространяется в виде бинарного файла со статически слинкованными библиотеками.

Что, Adobe Flash Player Projector опенсорсный? Ты точно ничего не напутал?

Максим

киллалл pulseaudio ?

Нет. Что это

Denis

предположил, у тебя пульс умер и поэтому звука нет

Максим

Нет. Что это

Понял посмотрю в гугле

Anonymous

Нет. Что это

pulseaudio -k

Максим

предположил, у тебя пульс умер и поэтому звука нет

Что это. Расскажи подробней

Denis

Что это. Расскажи подробней

https://ru.wikipedia.org/wiki/PulseAudio

Sergey

Что, Adobe Flash Player Projector опенсорсный? Ты точно ничего не напутал?

Прожектор вроде да, т.к. насколько я тогда понял из объяснений с оф странички, оно было опенсорсным проектом, а потом адоби решили разместить его на своем сайте Тогда же и репозиторий на гитхабе был Как сейчас — не знаю, но LGPL я точно именно в репозитории увидел

Sergei

Прожектор вроде да, т.к. насколько я тогда понял из объяснений с оф странички, оно было опенсорсным проектом, а потом адоби решили разместить его на своем сайте Тогда же и репозиторий на гитхабе был Как сейчас — не знаю, но LGPL я точно именно в репозитории увидел

Ерунда какая-то. В архиве с бинарями лежит вполне себе типичная проприетарная лицензия. LGPL так же приложена с указанием на то, что программа линкуется с библиотеками под LGPL. Что ещё за репозиторий - не представляю.

Максим

Ребята как установить яндекс браузер из консоли

Максим

команду плиз

Максим

chromium стоит