Cloudflare 預定推出 SSH command logging 功能
source link: https://blog.gslin.org/archives/2022/03/20/10615/cloudflare-%e9%a0%90%e5%ae%9a%e6%8e%a8%e5%87%ba-ssh-command-logging-%e5%8a%9f%e8%83%bd/
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.
Cloudflare 預定推出 SSH command logging 功能
Cloudflare 預定要推出 SSH command logging 功能：「Introducing SSH command logging」。
看起來是 Cloudflare Zero Trust 產品線：
We’re excited to announce SSH command logging as part of Cloudflare Zero Trust.
翻了 Zero Trust 的 Pricing 資訊，Free Plan 看起來是 50 users 以下不用錢，但不確定這個功能會被放到 Core Features 內還是會被放到另外要收費的部份。
早在 AWS 在 2016 年的時候有用 script 整合了一個方案出來，裡面提到的方法不限於 AWS 上才能用：「How to Record SSH Sessions Established Through a Bastion Host」。
翻了一下 open source 專案，看起來有一些 open source 方案可以用：
- Teleport，有商用支援與 open source 版本。
- Cloud posse 的 bastion (看起來有點怪怪的)。
- Netflix 的 BLESS (標 Archived，另外好像沒有 recording 的能力)。
- iamacarpet/ssh-bastion (有好幾年沒新的 commit 活動了)。
另外這個需求在資安要求比較高的行業算是很常見，非 open source 的方案就有不少，先隨便抓兩個：
Related
OpenSSH 8.4 預設停用 ssh-rsa
前幾天 OpenSSH 8.4 釋出了：「Announce: OpenSSH 8.4 released」。 比較重要的改變是 ssh-rsa 預設變成停用，因為是使用 SHA-1 演算法的關係： It is now possible[1] to perform chosen-prefix attacks against the SHA-1 algorithm for less than USD$50K. For this reason, we will be disabling the "ssh-rsa" public key signature algorithm by default in a near-future release. 官方給了三個方案： The RFC8332…
October 3, 2020In "Computer"
對稱式加密系統的爆炸歷史 (Authenticated encryption 的問題)
在「Disasters」這邊列了不少對稱式加密系統 (secret-key cryptography) 爆炸的歷史，其中提到了很多 Encrypt 與 MAC 結合時的問題 (Authenticated encryption)。另外 Colin Percival 在 2009 年的時候有寫了一篇為什麼要用 Encrypt-then-MAC 的文章：「Encrypt-then-MAC」，當時 Colin Percival 寫的時候大家還是不能理解，但現在回頭看上面的爆炸歷史應該就清楚很多了 XDDD SSH 協定是使用 Encrypt-and-MAC (傳輸「密文」與「明文的 MAC 值」)。在 2008 年時 SSH 使用 CBC 模式時會有安全問題：對 128bits CBC mode system (像是 aes128-cbc)，任意位置的 32bits 有 2-18 的機會可以解出原文。(CVE-2008-5161，論文是「Plaintext Recovery Attacks Against SSH」) TLS 1.0 (SSLv3)…
January 28, 2013In "Computer"
Reddit 的 Deploy 機制 (的歷史)
Reddit 主要是用 Python 寫的，這邊介紹了他們歷年來的 Code Deploy 系統：「The Evolution of Code Deploys at Reddit」。 最早期的時候 (2007 到 2010) 是用 rsync 更新程式碼，然後跑個迴圈用 ssh 連進去重跑： # build the static files and put them on the static server `make -C /home/reddit/reddit static` `rsync /home/reddit/reddit/static public:/var/www/` # iterate through the app servers and update their…
June 6, 2017In "Computer"
Leave a Reply
Your email address will not be published. Required fields are marked *
Comment *
Name *
Email *
Website
Notify me of follow-up comments by email.
Notify me of new posts by email.
To respond on your own website, enter the URL of your response which should contain a link to this post's permalink URL. Your response will then appear (possibly after moderation) on this page. Want to update or remove your response? Update or delete your post and re-enter your post's URL again. (Learn More)
Post navigation
Recommend
About Joyk
Aggregate valuable and interesting links.
Joyk means Joy of geeK