Souchon Yann <[EMAIL PROTECTED]> writes:
> Par contre, je serais int�ress� par ton utilisation "at home" du
> port knocking.
J'ai mis le port knocking entre guillmets, car �'en qu'� moiti�. En
gros je fais une requ�te DNS (UDP/53):
- Je serialise une structure contenant quelques infos, puis je zip et
encrypte le tout, avant de tranformer le string binaire en
hexadecimal (1 char binaire -> 2 char (hex: [a-f0-9]{2}))
- Ensuite je mets ce string hex en format "compatible" DNS (en coupant
le tout en des bouts de 30 caract�res, pr�fixant chaque bout par un
caract�re parmi [g-z] et en mettant un '.' entre chaque bout.
- Je rajoute m�me un nom de domaine � la fin.
- Puis me reste qu'� faire la commande
'host <nom g�n�r�> <ip de destination>'
- Sur <ip de destination> je sniffe les paquets, et lorsque j'en
re�ois un UDP/53, alors:
- j'extrais le nom et retransforme le tout en binaire
- je d�crypte le string, le d�zip et v�rifie le checksum
- si j'ai d�j� le checksum c�t� serveur avec un timestamp assez
r�cent, je rejette le paquet, sinon je l'accepte
- je stocke le checksum avec le timestamp
- j'ex�cute les commandes associ�es aux informations re�ues
Le tout essaie d'empecher les attaques de type replay, en utilisant le
timestamp et le checksum (hash), par contre rien � faire contre un man
in the middle attack. Cependant, vu que je veux l'utiliser pour ouvrir
ssh, je me dis que je peux prendre ce risque.
tom
--
no sig, yet.
_______________________________________________
gull mailing list
[EMAIL PROTECTED]
http://lists.alphanet.ch/mailman/listinfo/gull
