home *** CD-ROM | disk | FTP | other *** search
/ Columbia Kermit / kermit.zip / newsgroups / misc.19990725-20000114 / 000153_news@columbia.edu _Tue Oct 5 18:24:16 1999.msg < prev    next >
Internet Message Format  |  2020-01-01  |  3KB
  1. Return-Path: <news@columbia.edu>
  2. Received: from newsmaster.cc.columbia.edu (newsmaster.cc.columbia.edu [128.59.59.30])
  3.     by watsun.cc.columbia.edu (8.8.5/8.8.5) with ESMTP id SAA25514
  4.     for <kermit.misc@watsun.cc.columbia.edu>; Tue, 5 Oct 1999 18:24:16 -0400 (EDT)
  5. Received: (from news@localhost)
  6.     by newsmaster.cc.columbia.edu (8.8.5/8.8.5) id SAA02973
  7.     for kermit.misc@watsun.cc.columbia.edu; Tue, 5 Oct 1999 18:09:27 -0400 (EDT)
  8. X-Authentication-Warning: newsmaster.cc.columbia.edu: news set sender to <news> using -f
  9. From: jaltman@watsun.cc.columbia.edu (Jeffrey Altman)
  10. Subject: Re: Kermit 95 as an ssh client?
  11. Date: 5 Oct 1999 22:09:26 GMT
  12. Organization: Columbia University
  13. Message-ID: <7tdsum$2sp$1@newsmaster.cc.columbia.edu>
  14. To: kermit.misc@columbia.edu
  15.  
  16. In article <7tdqq7$6se$1@vixen.cso.uiuc.edu>,
  17. Adam H. Lewenberg <adam@symcom.math.uiuc.edu> wrote:
  18. : Kermit 95 is _almost_ perfect. The last feature I would really like is
  19. : for kermit to act as an ssh client. 
  20. : 
  21. : Any chances of this happening in the near future?
  22.  
  23. Adam:
  24.  
  25. Its interesting that you are asking this question (again).
  26. I replied to you on 1 October 1998 in detail as to why the Kermit
  27. Project could not support SSH.  In the last year absolutely nothing
  28. has changed.  The RSA patent is still valid and SSHv2 has still 
  29. not been approved by the IETF.
  30.  
  31. In addition, it has become clear that SSH, when used with 
  32. Public Key authentication, is a security nightmare when it is used
  33. and the client machine becomes compromised.  While it may be an
  34. acceptable risk for individual users, it is not an acceptable risk
  35. for a system that supports thousands of users.  When a host becomes
  36. root compromised all of the public key files that are found in the
  37. home directories of users may be accessed and used to break into 
  38. additional machines.  Unlike every other authentication mechanism
  39. the SSH public keys cannot be revoked and their reuse cannot be 
  40. prevented. 
  41.  
  42. As for using SSH to simply prevent the transmission of plain text
  43. passwords, this only prevents a passive sniffer attack.  It does not
  44. prevent an active man in the middle attack, nor does it protect against
  45. a root compromised host stealing passwords when a compromised login
  46. program is installed.  Passwords should never be sent across the network.  
  47. Not when truly secure systems are so easily accessible:
  48.  
  49. . Secure Remote Password and other Zero Knowledge based systems
  50. . Kerberos varients
  51. . One Time Pads.
  52.  
  53. While we may very well implement SSHv2 when it is finished, it will
  54. be only with very strong warnings against its use.
  55.  
  56.     Jeffrey Altman * Sr.Software Designer * Kermit-95 for Win32 and OS/2
  57.                  The Kermit Project * Columbia University
  58.               612 West 115th St #716 * New York, NY * 10025
  59.   http://www.kermit-project.org/k95.html * kermit-support@kermit-project.org