SSH (Secure Shell) Options

[boufettal]

Bonjour,
Une question toute bête peut être! Quelle est l'utilité de SSH pour Oscommerce?
Merci

[NoZic]

Bonjour,

Aucune. Sauf si tu es une société très importante dont les données sont hyperconfidentielles, voire secret defense. Et encore, même là je ne vois pas en quoi être en SSL améliorerait la sécurité de tes données. Elles ne sont pas accessibles de toute façon.

Si l'argument qui te fait penser à utiliser le SSL est l'affichage du fameux petit cadenas pour les clients, c'est le moins valable du monde. La transaction bancaire est sécurisée en SSL par la banque et il n'est nul besoin de crypter autre chose sur un site commercique.
Ca sert à rien de crypter l'envoi des données personnelles par exemple. Le client ne les filerait pas si elles étaient vraiment confidentielles à ses yeux.
Crypter les passages de données entre ton PC et ton serveur pourrait éventuellement être intéressant mais faut franchement être parano, la partie admin n'est pas accessible si tu as bien fait les choses donc même si des hackeurs arrivent à obtenir des infos, ils ne pourront les utiliser.

Franchement, ça sert à rien sauf éventuellement à te rassurer...


[EDIT] J'ai mal lu, tu demandais pour le SSH et pas pour le SSL.
Bah le SSH étant un protocole d'envoi réception de données de manière sécurisée mais totalement différent de ce qui s'affiche avec les navigateurs web (htpp, ftp et htpps) je ne vois pas ce que ça vient faire là dedans, donc j'aurais tendance à répondre "Rien, oscommerce ne peut pas utiliser le SSH".

Ce message a été modifié par NoZic - 2 Feb 2010, 12:19.

[boufettal]

Merci Nozic, effectivement je suis conscient du nul interet du SSL pour une boutique du moment que la liaison au moment du paiement est en SSL. Ma question était en effet le SSH. J'avais été hacké par un hackeur qui utilise virus qui lit les information de connexions (login/mot de passe) dans les fichier xml de Filezilla qui sont d'ailleurs visibles à tout le monde. Ca n'a rien à voir avec la sécurité oscommerce à ce stade, c'est vrai, sauf que le hackeur a utilisé mon mot de passe pour injecter du code dans mes fichiers index et autres.

Je comprend maintenant que SSH n'intervient qu'au niveau des transferts FTP (ou SFTP) et rien d'autre, C'est bien ca?

[Havock]

Je comprend maintenant que SSH n'intervient qu'au niveau des transferts FTP (ou SFTP) et rien d'autre, C'est bien ca?

C'est ça

[NoZic]

Voilà oui en gros.

En fait c'est juste un protocole de transfert d'informations (pas de fichiers).

En fait, on se logue en SSH pour visualiser/modifier le terminal acceptant la connexion.
En gros, lorsque je faisais de la maintenance réseau je me connectais en SSH sur le serveur des clients pour faire la maintenance dessus.

Une sorte d'émulation de la machine distante en ligne de commande quoi (pour simplifier vraiment).

[boufettal]

Merci NoZic, c'est plus clair maintenant. Cela dit, pour le risque de lecture de mot de passe et login sur les fichiers xml de Filezilla par un logiciel malveillant , SSH ne sécurise rien de ce côté là. C'est malheureusement un hack assez courant, qui peut arriver à beaucoup de webmaster (j'en était victime d'ailleurs). D'ailleurs je n'arretais pas de changer les identifiants admin et Filezilla et d'essayer aussi de retrouver la faille dans Oscommerce, sans succès, car quelques heures plus tard, mes fichiers était encore modifiés, car la faille provenait tout simplement de mon Filezilla et non d'oscommerce.

[NoZic]

Re,

Les dernièrs versions de FileZilla contrent ce hack et de toute façon, pour être victime de ce "hack", il faut déjà avoir laisser passer quelque chose qui va renvoyer aux hackeurs les infos contenues dans le fameux xml de filezilla (en gros FileZilla ancienne version seul ne créé pas cette faille sur le fichier xml par contre FileZilla ancienne version + une saloperie sur ton post oui, en gros ton post est vérolé quoi).
Donc FileZilla n'est pas en cause réellement. Bon, c'est vrai que stocker en clair le mot de passe (de la bdd allais-je taper, petit lapsus révélateur ) c'est pas top mais ce fichier n'est normalement pas accessible de l'extérieur. Il faut avoir laisser passer quelque chose, c'est obligé.

Et je ne vois toujours pas ce que viens faire le SSH là-dedans moi...


Ce message a été modifié par NoZic - 2 Feb 2010, 15:43.

[Loch-Nar]

Pour le SSH je pense que la question est pour le "au cas ou je choppe une saloperie, il connait mon mot de passe mais ne peut pas se connecter sur mon serveur"
Me trompe-je?

Ne pas oublier que le plus grand danger pour votre ordi: c'est vous même