Post by Huub ReuverPost by unknownPost by Huub ReuverPost by Philip PaepsWaarom tunnel je over SSH in een thuisnetwerk? export gewoon DISPLAY en
gebruik xhost "access control" (haha). Encryption biedt weinig meerwaarde
^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
Dit waag ik te betwijvelen.
In familiekring proberen vaak de ouders het netwerk met wisselend succes
deels af te schermen voor kinderen. Daarnaast maakt een "standaard" wifi
router het netwerk open voor toegang van buitenaf.
Hij had het over giga router, dus ik neem aan dat het over koper gaat.
In de veel thuissituaties hangt aan datzelfde netwerk nog een wifi router.
Makkelijk, voor de laptop en de rest.
Iemand die een beetje besef heeft wat wat "wireless" betekent, zorgt ervoor
dat dat ding in een apart vlan hangt en niet gewoon gebridget is! En
vanzelfsprekend draait zo'n access point ook WPA2 met een verstandige keying
policy.
Tussen het wireless vlan en het wired vlan zet je scherpe tanden.
Post by Huub ReuverIs niet aan mij te beoordelen, ik ken de situatie niet.
Ik ook niet. Maar ik ga er van uit dat je in een huiselijke situatie de
physical layer onder controle hebt.
Post by Huub ReuverPost by unknownPost by Huub ReuverZelf zou ik in bijna alle gevallen "ssh -X" over "xauth" prefereren.
Vooraf zou ik testen hoeveel impact encryptie op de snelheid heeft.
Bij het gebruik van xhost zou ik overwegen een 2e netwerk aan te leggen
uitsluitend voor verkeer tussen de terminal en de server.
Is dat niet wat overkill in een thuissituatie met alleen trusted users?
Dat ligt aan de situatie. Je kunt zonder, maar er zijn dingen waar je dan
even bij moet nadenken.
Het grootste probleem dat ik heb met X zonder encryptie is da je je eigen
standaard legt onder wat gebruikelijk is. Meestal heb je enkele problemen
achter elkaar nodig voor je een exploiteerbaar probleem hebt. En hier zet
je de deur alvast op een kier.
Aha. Iemand moet dus buiten je huis je wireless gekraakt hebben, er op een of
andere manier in slagen om packets van dat netwerk naar het wired netwerk te
krijgen, en wel op zo'n manier dat hij een X11 session kan intercepten. Dit
lijkt me vrij onwaarschijnlijk.
Mijn standpunt blijft: op een controlled netwerk blijft X11 over SSH zinloze
overhead. Als er iemand meeluistert, is het iemand die je kent. Zelfs als je
je wifi gewoon meebridget, is het zo onwaarschijnlijk dat ongemerkt je WPA2
gekraakt wordt dat je nog steeds kan stellen dat je het netwerk onder controle
hebt.
Post by Huub ReuverKan wel, als je maar blijft opletten.
Als je in je huis je netwerk niet onder controle hebt, moet je even nadenken
of je het echte probleem wel probeert op te lossen met die encryptie.
Post by Huub ReuverPost by unknownPost by Huub ReuverIn veel gevallen is het toepassen van unencrypted remote X "bad practice".
Daarbij is een toepassing voor ad-hoc situaties vaak niet te vergelijken
met structurele oplossingen.
Ik ben het niet met je eens. In een untrusted netwerk, encrypt je zoveel je
wil. In een trusted netwerk heeft het helemaal geen zin.
Post by Huub ReuverHet firewall-idee is leuk. Dat is een beetje de gedachte achter een 2e
netwerk. Een netwerk zonder route naar buiten. In de praktijk zal echter
de pc met 2 netwerken of de firewall de zwakke schakel zijn.
Dat is steeds het geval.
Post by Huub ReuverHet idee van video unencrypted is ook leuk, zolang je maar zeker weet dat
alleen de video unencrypted is. En niet je su-sessie en telebankieren.
Dat heet "common sense". Een webbrowser over remote X11 gebruiken en daarin
telebankieren is bepaald niet verstandig.
Post by Huub ReuverEr zijn ook mensen die zeggen "bij mij valt niets te halen" die vervolgens
de kop in het zand steken. Ook een benadering van het probleem.
Nota bene: ik geloof zeer sterk in security en in privacy.
Maar ik geloof ook in oplossingen in functie van problemen en geen nodeloze
problemen uitvinden.
Post by Huub ReuverDe afweging van risico's kosten, moeite en effectiviteit zal de beheerder
toch zelf moeten maken omdat hij hopelijk zijn hele situatie overziet.
Klopt.
- Philip
--
Philip Paeps Please don't email any replies
***@paeps.cx I follow the newsgroup.