putty

用 SessionGopher 拉出機器上各種密碼與 Key

同事在 Slack 上提到 fireeye/SessionGopher 這個工具，可以從機器上拉出各種敏感資訊：

SessionGopher is a PowerShell tool that uses WMI to extract saved session information for remote access tools such as WinSCP, PuTTY, SuperPuTTY, FileZilla, and Microsoft Remote Desktop. It can be run remotely or locally.

方法是掃 registry 或是硬碟：

SessionGopher works by querying the HKEY_USERS hive for all users who have logged onto a domain-joined box at some point. It extracts PuTTY, WinSCP, SuperPuTTY, FileZilla, and RDP saved session information. It automatically extracts and decrypts WinSCP, FileZilla, and SuperPuTTY saved passwords. When run in Thorough mode, it also searches all drives for PuTTY private key files (.ppk) and extracts all relevant private key information, including the key itself, as well as for Remote Desktop (.rdp) and RSA (.sdtid) files.

是個... 好玩... 的... 東西...

用 mRemoteNG 取代 PuTTY

由於架構的隔離政策，有些服務需要透過 VM 裡面的 Windows 存取，所以又花了點時間看看 PuTTY 到底有沒有改善下載問題，也就是 2014 年「Downloading Software Safely Is Nearly Impossible」這邊作者提到的問題 (之前在「如何安全下載軟體...」這篇有提過)。

而即時再過了兩年半，還是沒辦法確認你抓到的 PuTTY 是正確的，Let's Encrypt 還是沒上...

找了一些替代方案，看到 mRemoteNG 這個可以連多種不同 Protocol 的專案，應該會是解法，裝起來用了一陣子感覺還算 okay，之後應該會拿這個用：「mRemoteNG is the next generation of mRemote, open source, tabbed, multi-protocol, remote connections manager.」。

話說回來，找資料的時候發現「simon-git: putty-website (master): Owen Dunn」這篇，在三月提到了：

Switch to https for release binary downloads from the.earth.li

The main PuTTY website is still http until chiark sorts out
LetsEncrypt or other SSL arrangements, but I think we can sensibly
switch to https for the release binaries from the, which already
provides https.

後續好像就沒有進度了...

PuTTY 安全性問題 (CVE-2015-5309)

雖然很久沒用 PuTTY 了 (因為用 Ubuntu 很久了)，不過很難得看到 PuTTY 有安全性問題。

PuTTY 官方發佈了安全性通報 CVE-2015-5309：「PuTTY vulnerability vuln-ech-overflow」：

Versions of PuTTY and pterm between 0.54 and 0.65 inclusive have a potentially memory-corrupting integer overflow in the handling of the ECH (erase characters) control sequence in the terminal emulator.

不過老問題還是沒解啊，透過 HTTPS (i.e. Certificate authority 架構) 雖然有很多問題，但至少還是個靠稽核制度而建立的安全信任機制，在沒有任何可信任環境下可以當作起點下仍然是最好的方案：「如何安全下載軟體...」。

如何安全下載軟體...

由於從網路上下載軟體回自己電腦跑是種「引狼入室」的行為，如何用合理的方式驗證下載回來的軟體，會是對資安敏感的人的重要課題。

然後就看到一篇純粹抱怨文，以 PuTTY 為例，要肯定確定抓到的軟體是沒被「加料」過的卻是困難重重：「Downloading Software Safely Is Nearly Impossible」。

PuTTY 算是資訊安全類的軟體，但卻發現難以找到合理的方式確認 XDDD

首先是要先判斷「哪個站台是正確的官方站台」時，卻發現 putty.org 這個網域不是原作者 Simon Tatham 擁有，而即使是公認的官方網站 www.chiark.greenend.org.uk 的 greenend.org.uk 這個網域，也不是原作者擁有。

然後 www.chiark.greenend.org.uk 沒有提供 HTTPS，所以下載下來後還要想辦法確認沒被動手繳過。而作者的 RSA public key 放在 earth.li 網域上，同樣的這也不是作者擁有的網域，而且也遇到同樣問題：public key 的下載也不支援 HTTPS。

然後去 MIT 上的 PGP key server 翻也沒翻到，然後文章作者就崩潰自暴自棄直接執行下去了 XDDD

PuTTY 的這一串過程好像從以前就沒改善... XD

PuTTY 0.61

昨天看到 PuTTY 出 0.61 了：「PuTTY version 0.61 is released」，相隔四年多的另外一個新版。

看 New features 裡面，我看到一點還蠻有趣的：

On Windows: the Appearance panel now includes a checkbox to allow the selection of non-fixed-width fonts, which PuTTY will coerce into a fixed-width grid in its terminal emulation. In particular, this allows you to use GNU Unifont and Fixedsys Excelsior. (Thanks to Randall Munroe for a serious suggestion that inspired this.)

這代表可以用各種奇怪的字體嗎？主力系統換成 Ubuntu 後就沒用 PuTTY 了...