کلیک کنید: خرید VPN خرید وی پی ان خرید فیلتر شکن خرید فیلترشکن
خرید کریو خرید وی پی ان خرید VPN خرید فیلترشکن
در ابتدا متاسفم، ممکن است سوال ناله، اما من یک سرویس در سرور من اجرا شده است که می تواند تنها توسط telnet (بندر 23) اداره شود، اما من می دانم که Telnet نا امن است، بنابراین من پورت 23 را در iptables مسدود شده به جز رابط loopback ( از طریق اینترنت قابل دسترسی نیست، اما فقط از localhost است.
بنابراین ایده من این است که من به سرور با استفاده از SSH و سپس در جلسه SSH من اتصال به telnet localhost 23 ، بنابراین من تعجب اگر آن را امن یا اگر می توان آن را خراب کرد
چگونه Web Services Amazon تولید SSH کلید؟ آیا این جفت کلیدی را به طور کامل در مرورگر تولید می کند یا کلیه ها را در سرور تولید می کند و ما کلید خصوصی را از طریق HTTPS به ما می فرستد؟
من سعی کردم با نگاه کردن به درخواست ها و پاسخ ها در کنسول های توسعه متوجه شدم چه اتفاقی می افتد فایرفاکس اما نمی توانستم درک کنم که چه اتفاقی افتاده است.
ابتدا یک تماس POST به https://console.aws.amazon.com/ec2/ecb؟call=createKeyPair؟&mbtc=1337542060 با داده های زیر وجود دارد
{"keyName" : "testkey"، "region": "us-east-1"}
پاسخ به تماس جفت کلید خصوصی است
{"key fingerprint": "0a: 93: 6b: 50: 95: cc: 2e: 7c: ac: 67: b1: c2: 4b: ea : C5: 72: DD: 23: 28: EA "،" keyMaterial ":" ----- BEGIN RSA کلید خصوصی ----- nMIIEogIBAAKCAQEAs49qE5S4YEX0zgVyCMl1zaU26c7bJ4GpgerP0uEkNOS9oJ7lleP + S6JmszBy nvsZn2XCv1bwj / Yi4 / Pqxd + 38WFJRzYNh8bqfe4e3BoSCubCW2mGlTehf8Bzkhhkh / JilHj4UlTQK [..snip..] n 4S5HcZrTeMkVukx8nXmchdI7sy16LHQEwdOdKaLemDynwljdQ2nYMq382wgdV1aRyvM = n ----- END RSA PRIVATE KEY ----- "،" keyName ":" testkey "}
یک تماس دوم POST به https://console.aws.amazon.com/ec2/ecb؟call=getKeyPairList؟&mbtc=1337542060 وجود دارد که در آن پاسخ یک لیست از کلمات کلیدی و تطابق شناسه اثر انگشت است عبارت جستجو که در
قرار داده شده است:
{"فیلتر": [{"name":"search", "values":["testkey"]]]، "شروع": 0، "شمارش": 50، "مرتب سازی": [{"name":"keyName", "direction":"ASC"}]، "منطقه ":" us-east-1 "}
پاسخ به این یک آرایه JSON از یک لیست از کلید ها و اثر انگشت مربوط به آنها است.
سرانجام، یک تماس دیگر POST به https://console.aws.amazon.com/ وجود دارد ec2 / v2 / downloadKeyPair با کلید خصوصی من به عنوان یک loadload data form (!!) با header:
Attachment Content-arrangement؛ filename = testkey.pem
این یک فایل کلیدی متن ساده، منظمی فرمت و همه را باز می کند. چرا درخواست سوم ضروری است؟ AWS نمیتواند کلید را در مرورگر بدون POST کلید خود را ایجاد کند؟
من سعی کردم به حالت آفلاین (بزرگ برای فیس بوک برای موزیلا) و ایجاد جفت کلید شکست خورد. اما این نمی تواند به طور قطعی به من ثابت کند که جفت کلید در سرور AWS تولید می شود، زیرا این شکست ممکن است ناشی از AWS باشد که کلید عمومی، اثر انگشت و نام کلید دریافت نشده است. اتهام ایجاد کلید، حتی اگر در مرورگر انجام شود، می تواند شامل AWS (و ack-ing) کلید عمومی، اثر انگشت و Keyname باشد که حالت آفلاین من مسدود شده است.
در نهایت، آیا این معنی نگرانی در مورد این موضوع از زمان AWS ظاهرا کنترل کاملی بر روی hypervisor دارد از جمله محتویات رم فیزیکی که از آنها می توان به طور کلی کلید های من را تخلیه کرد
Ssh-keygen اکنون یک فرمت رمز جدید کلید با -o و دورهای قابل تنظیم کلید کشش با -a را پشتیبانی می کند. بنابراین، من می خواهم یک انتخاب را انتخاب کنم که طول زمان انتخاب شده در سیستم من را بگیرد.
اما نمی دانم چگونه اندازه گیری کنم که چه مدت طول می کشد تا کلید را رمزگشایی کنم، هر روشی که می دانم برای شروع رمزگشایی نیز برای یک رمز عبور که زمان خود را می گیرد.
در حالت ایده آل من می خواهم فقط رمز ورود خود را به طور موقت در یک پرونده ذخیره کنم، و برخی از پروسه openssl فایل را از آنجا گرفته یا آن را به stdin یا چیزی بخوانید و تنها رمزگشایی کنید کلید بدون تعامل دیگر در ترمینال و یا بیش از شبکه. سپس من می توانم آن را انجام دهم.
پروتکل های رمزگذاری شبکه چند لایه به طور خاص اطلاعات محرمانه یا یکپارچگی داده های باربری شما را انتقال نمی دهد. در حالی که SSL شکسته شده است (پروتکل SSL2 و SSL3)، TLS نسبتا قوی است، به ویژه TLS1.2 و TLS1.3 آینده. همانند SSH2 درست است (تقریبا تمام اتصالات SSH مدرن از SSH2 استفاده می کنند)، که همچنین از الگوریتم های قوی و امن استفاده می کند. پروتکل های متعدد لایه بندی خطر احتمال پیاده سازی یک پروتکل را برای حمله ی مرگبار آسیب پذیر می سازد و موجب می شود که لایه ی آن ها بدتر شود.
اساسا، تمام این پروتکل های مختلف، پیاده سازی الگوریتم های مشابه (یا معادل) هستند. هر دو TLS و SSH از DHE یا ECDHE برای ایمن مبادله کلید مخفی استفاده می کنند، هر دو از رمزهای قوی مانند AES برای رمزگذاری اطلاعات خود با کلید رمز مخفی پشتیبانی می کنند و هر دو از تکنیک های قوی مانند HMAC برای محافظت از یکپارچگی داده ها استفاده می کنند. آنها تنها در آنچه که برای بهینه سازی هستند متفاوت است. به عنوان مثال SSH دارای ویژگی هایی است که زمان تأخیر برای ارسال کلید های کلیدی را کاهش می دهد، در حالی که TLS دارای ویژگی های فراوانی برای پشتیبانی از PKI قابل اعتماد (زیرساخت کلی عمومی) است.
در عوض، شما باید یک پروتکل واحد را انتخاب کنید که برای نیازهای شما مناسب است از آن استفاده کنید. برای چیزی شبیه اتصال به پایگاه داده MySQL، احتمالا بهترین استفاده از TLS است. این برای این نوع اتصالات بهینه شده است، در حالی که SSH بهینه سازی های مختلفی دارد که ممکن است لازم نباشد. از لحاظ الگوریتم های رمزنگاری واقعی استفاده شده، همه آنها به همان اندازه قوی هستند.
من یک وبسایت دارم که تمام تغییرات انجام شده به یک مخزن محلی git انجام می شود.
من به نیاز دارم که آنها را به طور مستقیم از سرور وب به یک مخزن Bitbucket از راه دور بکشند.
روش احراز هویتی که من برای انجام این کار استفاده می کنم، توسط کلید رمز SSH ذخیره نشده در وب سرور ذخیره شده است، اما فکر می کنم این ممکن است خیلی امن نباشد
بنابراین سوال این است … آیا می دانید امن تر و یا به سادگی بهتر) روش به طور خودکار فشار از تغییرات از یک وب سرور به مخزن خصوصی Git-Bitbucket؟
