通过SSH的数据会被GFW监控吗？

[酥大懒]

我上网全部用的SSH代理（Gmail、Groups和一些成人站），我上传和下载的数据会被GFW监控吗？

[小马xiaoma]

确定一定以及肯定会

在 2011年6月29日 上午10:36，酥大懒 <c...@xiguaner.com> 写道：
> 我上网全部用的SSH代理（Gmail、Groups和一些成人站），我上传和下载的数据会被GFW监控吗？

[机械唯物主义 : linjunhalida]

不会. ssh是加密的.

2011/6/29 酥大懒 <c...@xiguaner.com>:
> 我上网全部用的SSH代理（Gmail、Groups和一些成人站），我上传和下载的数据会被GFW监控吗？

[ghosTM55]

2011/6/29 小马xiaoma <cnxi...@gmail.com>

确定一定以及肯定会

SSH还会? 怎么做到?

--
Thomas
Shanghai Linux User Group

http://ghosTunix.org
Twitter: @ghosTM55

[Bachue]

我上次SSH翻墙想看你Blog，然后就被114了，这是怎么做到的。

2011/6/29 ghosTM55 <ghost...@gmail.com>

[ghosTM55]

2011/6/29 Bachue <bachu...@gmail.com>

我上次SSH翻墙想看你Blog，然后就被114了，这是怎么做到的。

我的BLOG好好的，也没有被墙阿

[Shell Xu]

DNS劫持。

--
无能者无所求，饱食而遨游，泛若不系之舟
blog: http://shell909090.com/blog/
twitter: http://twitter.com/shell909090

[dword]

在 2011年6月29日 星期三 10:39:59，机械唯物主义 : linjunhalida 写道：
> 不会. ssh是加密的.
>

但是电信似乎会在检测到大量上下行加密流量的时侯给你掐掉。

[Yiling Cao (c2h2)]

说明要不是你ssh到国内的server了, 要不就是被 man in middle attack了

2011/6/29 Bachue <bachu...@gmail.com>

[Bachue]

我家里DNS劫持一直是非常厉害的，Google，OpenDNS都有劫持，不知道如何解决。

2011/6/29 Yiling Cao (c2h2) <yilin...@gmail.com>

[Yiling Cao (c2h2)]

你不是ssh了吗? 汗死了

2011/6/29 Bachue <bachu...@gmail.com>

[酥大懒]

为什么？说明一下

[酥大懒]

DNS劫持好办，最简单的FF改成远程DNS解析就行了，而且DNS好像和监控数据没什么关系吧？

[酥大懒]

流量不大，只要不被监控就行

[酥大懒]

应该是你的dns被劫持了

[Ian]

仅使用ssh当socks代理就会这样，浏览器的dns解析请求似乎是不会走socks的----之所以，洋葱一向是再捆绑一个http代理的，之前是
proivxy现在是polipo，它的文档里也提到这个必要的措施。

On Jun 29, 10:43 am, Bachue <bachue....@gmail.com> wrote:
> 我上次SSH翻墙想看你Blog，然后就被114了，这是怎么做到的。
>

> 2011/6/29 ghosTM55 <ghostho...@gmail.com>
>
>
>
>
>
>
>
>
>
> > 2011/6/29 小马xiaoma <cnxia...@gmail.com>

[Meteor]

电信会定时把我的SSH中断.
特征是software caused disconnected
看Plink的提示就知道是GFW干的了.

GFW我估计现在还没办法知道你看的内容.但是知道你的SSH服务器的地址.
如果你的SSH服务器数据量非常大的话,应该会有人把你的VPS的IP地址加入黑名单的.
但是这种东西都是国家机密....
说太多了,和研究太深都是有危险的.有人一直在盯着你的.

[sniperpr]

担心这个问题的人，数据对国家而已，是微不足道。你们都多虑了。

[Heiher]

和国家或国家安全有个屁关系，都是某组织的借口。它越想看越不让它看。一群 D != G 不分的家伙。

[Meteor]

我觉得还是有危险.

之前有几个论坛因为讲翻墙,就直接被域名ClientHold了.

比如deepin.org和bbs.operachina.com

给个HelloHost被DNS污染的通告吧.

收到这封邮件是由于您是 Hello,Host! 的注册用户，这是一封重要的通知邮件，请仔细阅读。

由于一些不可控原因，我们的域名 hellohost.net 无法正常访问，其 DNS 被严重污染，目前我们已经更换了域名。

烦请收藏新的地址：http://hellohostnet.com

[Yuanchen Xie]

目前Deepin域名改为linuxdeepin.com
主要讨论、发布与LD相关的内容。

[Kermit]

On Wed, Jun 29, 2011 at 11:53:02PM +0800, Yuanchen Xie wrote:
> 目前Deepin域名改为linuxdeepin.com
> 主要讨论、发布与LD相关的内容。
>

> Meteor <liuxi...@gmail.com> 於 2011年6月29日下午9:28 ??道：

>
> > 我觉得还是有危险.
> > 之前有几个论坛因为讲翻墙,就直接被域名ClientHold了.
> > 比如deepin.org和bbs.operachina.com
> >
> > 给个HelloHost被DNS污染的通告吧.
> >
> > 收到这封邮件是由于您是 Hello,Host! 的注册用户，这是一封重要的通知邮件，请仔细阅读。
> >
> > 由于一些不可控原因，我们的域名 hellohost.net 无法正常访问，其 DNS 被严重污染，目前我们已经更换了域名。
> >

> > *烦请收藏新的地址：http://hellohostnet.com*

前些时间浅显地学习了下ssl，简单说一下我对此的理解吧：
首先TLS/SSL的协议分为两层： TLS Handshake Protocol 和 TLS Record Protocol。

Handshake用来约定双发发送数据的加密算法，公钥等内容；且通过一定机制保证此过程是不可靠的——即不可篡改的。
Record层通常建立在TCP之类可靠传输协议至上，用于发送私密数据。

第三方的监控可以通过截获数据得知的信息是：
1.你要连接的服务器；
2.你正在使用的是TLS加密链接；

如果TLS/SSL加密算法可靠，第三方监控或者攻击无法做到：
1.通过密文算出你的明文；

所以，攻击TLS/SSL最简单的方法就是DNS污染，直接不让你访问就行了。

那么，真的没有办法截获你的密文么？ 理论上讲，如果可以占领有利的“物理位置”，伪造一个CA是完全可以实现的。比如，你们公司要监听你访问某基于https的邮箱，你的所有连接都要经过公司的路由器，貌似这里可以在这个路由器上做手脚，这个路由器对于客户端，可以伪装成那个想要访问的Server；而对于Server又可以伪装成客户端。通过这种方法，就可以截获中间数据了……具体技术细节还没有研究过，但听说过有类似设备。

最后，推荐一本书：Bruce Schneier所著的《应用密码学 协议、算法与C源程序》，Whitfield Diffie作序，这两位都是安全领域的牛人。

B.R
Kermit

[Shell Xu]

不必这么麻烦，现在大多数人的浏览器都信任comodo或者cnnic的根证书。你先dns劫持，把域名劫持到自己的ip上。再用cnnic给这些服务器签一张证书就好了。

[Kermit]

On Thu, Jun 30, 2011 at 09:53:05AM +0800, Shell Xu wrote:
> 不必这么麻烦，现在大多数人的浏览器都信任comodo或者cnnic的根证书。你先dns劫持，把域名劫持到自己的ip上。再用cnnic给这些服务器签一张证书就好了。

我觉得这从技术上说，应该算是一个原理吧：都是通过占据“有利物理位置”，通过伪造身份来达到破解目的的。DNS对所有人来说都是“特定物理位置”，是大家访问外网的一个必经之路。但这里有个问题，大规模的进行类似“伪造”活动，总会被留下证据的，所以我觉得通常只会针对性地小范围使用……

B.R
Kermit

[Meteor]

SSH和SSL是不一样的.
兄弟,你别搞错对象哦.

[Kermit]

On Wed, Jun 29, 2011 at 11:03:05PM -0700, Meteor wrote:
> SSH和SSL是不一样的.
> 兄弟,你别搞错对象哦.

恩，抱歉，我原以为ssh和https类似，也是ssl之上的，刚才google了一把，并非如此，多谢提醒！
不过，快速浏览了一些简介，貌似加密/认证的原理都差不多吧。

B.R
Kermit

[Meteor]

SSL和SSH有交集,但SSH和SSL不是并集关系.

[August]

ssh 里用ssh-key 生成密钥对的时候用到SSL
其他时候并不用SSL

2011/6/30 Meteor <liuxi...@gmail.com>:
> SSL和SSH有交集,但SSH和SSL不是并集关系.
>

--
Best Regards
August

[gradetwo]

1.使用public key形式登陆ssh
2.确保server的RSA key fingerprint是服务器的
这样基本能排除中间人攻击（国家通过gpu集群完成collisions，达到RSA key fingerprint一致那就没办法了）

[Sherlock]

大家没事就多发点加密垃圾数据，你以为放在上海的超级计算机真是为
计算天气模型而用的？？？

2011/7/1 gradetwo <grad...@gmail.com>

1.使用public key形式登陆ssh
2.确保server的RSA key fingerprint是服务器的
这样基本能排除中间人攻击（国家通过gpu集群完成collisions，达到RSA key fingerprint一致那就没办法了）

--
==========
      InitX
==========