Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

SSH. Me suis-je fait hacker?

nacfr

Bonjour,

Je suis relativement nouveau au monde des serveurs et j'ai récemment ouvert mon ordi a ssh. Tout fonctionne bien pendant quelques jours puis mon client ssh me dit: "The authenticity of host cant be determined", alors que je m'étais déjà connecté plusieurs fois. Je me connecte tout de même et je désactive ssh. En rentrant chez moi je change de mdp. J'en profite pour faire ssh user@127.0.0.1 et note la clefs obtenue. Aujourd'hui je réessaye l’opération et je constate que la clefs obtenue en faisant ssh user@127.0.0.1 chez moi n'est pas la même que la clefs obtenue en faisant ssh user@IP au travail. Cette fois ci je refuse la connexion. Je fais un tracert et obtient
************************************************************************************
10 8 ms 9 ms 8 ms ip-181.net-80-236-9.asnieres.rev.numericable.fr [80.236.9.181]
11 * * * Délai d'attente de la demande dépassé.
12 * * * Délai d'attente de la demande dépassé.
13 * * * Délai d'attente de la demande dépassé.
14 * * * Délai d'attente de la demande dépassé.
15 * * * Délai d'attente de la demande dépassé.
16 * * * Délai d'attente de la demande dépassé.
17 * * * Délai d'attente de la demande dépassé.
18 * * * Délai d'attente de la demande dépassé.
19 * * * Délai d'attente de la demande dépassé.
20 * * * Délai d'attente de la demande dépassé.
21 * * * Délai d'attente de la demande dépassé.
22 * * * Délai d'attente de la demande dépassé.
23 * * * Délai d'attente de la demande dépassé.
24 * * * Délai d'attente de la demande dépassé.
25 * * * Délai d'attente de la demande dépassé.
26 * * * Délai d'attente de la demande dépassé.
27 * * * Délai d'attente de la demande dépassé.
28 * * * Délai d'attente de la demande dépassé.
29 * * * Délai d'attente de la demande dépassé.
30 * * * Délai d'attente de la demande dépassé.

Est-ce normal?
Comment reconnaître un processus suspect?

Merci de votre aide.

mazarini

"The authenticity of host cant be determined"
Ca se produit à la première connexion si mes souvenirs sont exacts.
Changer de nom ou changer d'adresse IP peux provoquer ce genre de message.

Une connexion avec une adresse enregistre la correspondance adresse/clé
Une connexion avec un nom enregistre les correspondances adresse/clé et nom/clé

nacfr

Justement,
Comme ce n'était pas la première fois ma clefs était déja enregistré dans mon client, et la clefs publique que je reçois en me connectant depuis mon reseau local n'est pas la même que depuis internet.
Je me demande si en me connectant par internet, je n'arrive pas sur un autre serveur qui me redirige après vers le miens, en enregistrant mon mdp au passage.
Après je suis peut être un peu parano.

genma

Si tu regardes la clef utilisée depuis le PC du boulot, il me semble que c'est normal qu'elle soit différente de celle en local (le ssh user@127.0.0.1) car tu utilises deux clefs différentes. Et le PC de la maison qui connait la clef ssh du PC du boulot.

Pour la commande tracert, tu l'as fait depuis où?. Ca sert juste à indiquer par où tu passes (par quelle routeur) pour aller sur l'IP 80.236.9.181. Si c'est l'IP de ta box chez toi et que tu fais ça de chez toi, ça ne passe par aucun routeur...

Enfin, pour sécuriser ton ssh, tu peux ajouter fail2ban http://doc.ubuntu-fr.org/fail2ban et voir si tu as des tentatives de connexion intempestive.

Tu peux aussi changer le port ssh (le mettre sur autre chose que 22).

mazarini

Normalement, tu es capable de voir si tu es sur la bonne machine, tu dois voir si tu as tes fichiers.
Si tu te connectais à une autre machine, ca signifie que tu aurais donné le user/pass...

Il me semble que si la clé a changé (réinstallation ?), ce n'est pas le même message. Je penche pour une IP variable.

nacfr

Pour la commande tracert, tu l'as fait depuis où?. Ca sert juste à indiquer par où tu passes (par quelle routeur) pour aller sur l'IP 80.236.9.181. Si c'est l'IP de ta box chez toi et que tu fais ça de chez toi, ça ne passe par aucun routeur...
Depuis le boulot pour verifier si on me redirige bien vers ma machine et pas vers quelqun d'autre, et je trouve ca bizarre que ma machine ne renvoie pas le paquet pour tracert§
Normalement, tu es capable de voir si tu es sur la bonne machine, tu dois voir si tu as tes fichiers. Si tu te connectais à une autre machine, ca signifie que tu aurais donné le user/pass...
Il suffit qu'il redirige la connection vers mon serveur après.

Merci pour vos réponses, je suis probablement un peu parano.

J'ai plus qu'a espérer que personne n'installe de serveur pédophile sur mon PC ^^.

[supprimé]

peut-être un conflit d'empreintes. Cela arrive parfois
vide ton ~/.ssh/known_hosts