Software-update: PuTTY 0.77

Versie 0.77 van PuTTY is beschikbaar gekomen. PuTTY is een van de populairste telnet- en ssh-clients, waarmee het mogelijk is om een computer over een beveiligde verbinding op afstand te beheren. Oorspronkelijk was het programma alleen beschikbaar voor Windows, maar er zijn tegenwoordig ook clients voor de diverse Unix-platforms. De changelog voor deze uitgave kan hieronder worden gevonden.

New:

• Major improvements to network proxy support:
  • Support for interactively prompting the user if the proxy server requires authentication.
  • Built-in support for proxying via another SSH server, so that PuTTY will SSH to the proxy and then automatically forward a port through it to the destination host. (Similar to running plink -nc as a subprocess, but more convenient to set up, and allows you to answer interactive prompts presented by the proxy.)
  • Support for HTTP Digest authentication, when talking to HTTP proxies.
• Introduced pterm.exe, a PuTTY-like wrapper program for Windows command prompts (or anything else running in a Windows console). Not yet included in the installer, but available as a .exe file from the Download page.
• Updated Unicode and bidi support to Unicode 14.0.0.
• New command-line option -pwfile, like -pw except that it reads the password from a file so that it doesn't show up on the command line.
• Windows Pageant: option --openssh-config to allow easy interoperation with Windows's ssh.exe.
• -pw (and -pwfile) now do not fall back to interactively prompting for a password if the provided password fails. (That was the original intention.)
• New configuration options for keyboard handling:
  • Option to control handling of Shift + arrow keys
  • Extra mode in the function-keys option, for modern xterm (v216 and above).
• Bug workaround flag to wait for the server's SSH greeting before sending our own, for servers (or proxies) that lose outgoing data before seeing any incoming data.
• Crypto update: added side-channel resistance in probabilistic RSA key generation.
• Crypto update: retired the use of short Diffie-Hellman exponents (just in case).

Bug fix:

• Reconfiguring remote port forwardings more than once no longer crashes.
• Terminal output processing is now paused while handling a remote-controlled terminal resize, so that the subsequent screen redraw is interpreted relative to the new terminal size instead of the old.
• Windows PuTTYgen's mouse-based entropy collection now handles high-frequency mice without getting confused.
• Windows Pageant can now handle large numbers of concurrent connections without hanging or crashing.
• If Windows Pageant is started multiple times simultaneously, the instances should reliably agree on one of them to be the persistent server.
• Remote-controlled changes of window title are now interpreted according to the configured character set.
• Remote-controlled changes of window title no longer get confused by UTF-8 characters whose encoding includes the byte 0x9C (which terminates the control sequence in non-UTF-8 contexts).
• Popping up the window context menu in the middle of a drag-select now no longer leaves the drag in a stuck state.
• Extensive use of true colour in the terminal no longer slows down window redraws unnecessarily.
• When PSCP reports the server sending a disallowed compound pathname, it correctly reports the replacement name it's using for the downloaded file.
• Enabling X11 forwarding in psusan failed to fall back through possible port numbers for the forwarded X display.

For developers:

• Migrated the build system to CMake, removing the old idiosyncratic mkfiles.pl and the autotools system.

Versienummer	0.77
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, BSD, macOS, Solaris, UNIX, Windows Server 2008, Windows Server 2012, Windows 8, Windows 10, Windows Server 2016, Windows Server 2019, Windows 11
Website	PuTTY
Download	https://www.chiark.greenend.org.uk/~sgtatham/putty/latest.html
Bestandsgrootte	3,19MB
Licentietype	GPL

Reacties (41)

Soort Calve Pindakaas, wie is er niet groot mee geworden.

So true.. maar ik was al snel over naar SecureCRT..

Ja, ik wou graag bij open source blijven, maar wat SecureCRT biedt, dat ben ik nog niet op zo'n flexibele manier op Linux tegengekomen!
De mogelijkheid om Python scripts in een terminal venster uit te voeren, groepen aan te maken en het commando naar alle tabbladen van alleen die groep sturen (of naar alle open tabbladen).
Geniaal programma!

Of MobaXterm. Ook gratis en biedt veel mogelijkheden.

Helemaal gelijk. Ik houd niet van pindakaas en niet van putty

Vanaf msWindows gezien heeft putty echt wel voordelen maar het is naar mijn idee net niet genoeg geconformeerd aan het unix gebruik. Mijn voorkeur gaat meer uit naar de commandline gebaseerde zaken, ook vanaf msWindows. Voorheen meestal via cygwin, tegenwoordig ook vanaf msWindows zelf.

Putty had ik niet meer nodig toen ik op Linux overstapte, zo'n 12 jaar terug. Gewoon de SSH-connectie via een standaard Terminal-sessie starten, en gaan.

Sinds Windows 7 SP1 (ook 12 jaar terug) is er een native ssh-client in Powershell beschikbaar (van openssh).

Je had dus gewoon een Powershell terminal op Windows kunnen gebruiken ;-)

Maar goed. De ssh-client was vast niet je doel om een Linux distro te gebruiken.

PuTTY heeft wel een veel betere terminal emulatie dan de Windows command shell.

Windows Command Prompt is überhaupt geen terminal emulator. (Ik ga er vanuit dat je die bedoelt, want command shell ken ik niet. Nou ben ik ook geen Windows specialist. Ben zelf Linux Engineer)
Windows Terminal (de terminal die standaard Windows Command Prompt, Powershell en bash onder WSL kan draaien) is relatief nieuw en is nooit een fysiek iets geweest. Er is dus sowieso geen sprake van enige vorm van emulatie.

De native ssh-client die in Powershell zit, werkt wat mij betreft in elk geval prima. Voor mijn dagelijkse zakelijke gebruik loop ik nergens tegen aan. Zowel met xterm als vt100 instellingen.

Maar uit nieuwsgierigheid. Waar loop je als zodanig tegen aan? De meeste moderne Linuxen/UNIXen willen graag als vt100 of xterm terminals praten. Die zijn in de praktijk zo generiek dat eigenlijk alles het altijd wel doet. Althans. Dat is mijn persoonlijke ervaring.
En nu ik dit schrijf heb ik wel ooit (jaar of 7-8 geleden) een applicatie die perse als een één of andere (uit m'n hoofd) vt102 wilde praten, en dat vond de PuTTY van toen in elk geval niet leuk (erg veel 'prut' in beeld). Die klanten moesten toen over op SecureCRT. Die ging daar toen in elk geval beter mee om.

`connhost.exe` de applicatie die verantwoordelijk is voor de console window in Windows.
Een van de dingen waar deze shell niet goed mee om kan gaan is UTF-8, verder is de tekst selectie nogal kloten. En dan zijn er nog verschillende andere vervelende kleine rendering issues zoals behoorlijke flickering wat het gebruik van Mutt in een Screen redelijk vervelend maakt.
Verder verschillende issues met het terugkregen naar een commandline na het gebruik van een fullscreen window (e.g. `ls -l | less` en dan weer terug gaan resulteerd vaak in een dubbele command prompt.)

Vanuit unix gezien is de 1 niet beter dan de ander. De terminal van msWindows (en msDos) is altijd volgens de vt100 standaard, misschien wel vt110 of vt120. Maar een vt320 konden ze nooit echt aan, laat staan dat ze een sunterm (mij all-time favorite, na SunOS nergens meer te vinden) of xterm kunnen bieden.

Onder unix zijn er zo veel terminal definities en configuraties mogelijk dat ze bij microsoft nooit meer een nieuwe keuze hebben kunnen maken. Bij linux is het aantal mogelijkheden volgens mij nog veel groter.

Voor wat ik uit de documentatie begrijp is dat sinds Windows (Server) 2019 en Windows 10 (vanaf build 1809 en verder) pas een native SSH client gekomen is. Tegenwoordig wordt voor Windows 10 PC's de SSH client standaard geinstalleerd.

[Reactie gewijzigd door CH4OS op 29 mei 2022 14:49]

Putty, gebruik het elke dag op Windows en Linux ook al gaat het via de ingebakken command line …
Call me old maar denk dat ik het toch al een 20 jaar gebruik

[Reactie gewijzigd door Tr1pke op 27 mei 2022 23:13]

Ik heb PuTTY privé altijd een fijne ssh-client gevonden, maar voor zakelijk gebruik is hij toch wat beperkt.

Sessie-beheer is vrij summier. Hij slaat instellingen op in het Windows register, waardoor je niet makkelijk instellingen kan delen met teams, geen X11 aan boord. Geen grafische scp-browser, enz, enz, enz.

Allemaal zaken die je op andere manieren kan oplossen, met andere gratis tools natuurlijk, maar in een zakelijke omgeving is het natuurlijk fijn dat je gewoon één product als beheerorganisatie kan aanbieden en ondersteunen.

Als je puur een cliënt nodig hebt voor naar een springsteen, is het natuurlijk gewoon prima, maar als je als team 200 servers hebt die je vanaf je desktop moet benaderen is het niet heel vriendelijk.
Er zijn dan ook niet voor niets meerdere forks van en wrappers omheen gemaakt, in de vorm van bijvoorbeeld KiTTY en SuperPuTTY, die dergelijke functionaliteiten aanvullen.

Iedereen heeft natuurlijk andere wensen en eisen aan z’n ssh-client. Ik gebruik hem zelf in elk geval dagelijks.

Hij slaat instellingen op in het Windows register

Putty doet dus precies waar het registry voor bedoeld is. Beter dan dat elk programma maar randy rando zijn config bestandne ergens neerdumpt.

Prima te delen door het vanuit het registry te exporteren.

[Reactie gewijzigd door batjes op 30 mei 2022 10:22]

Putty doet dus precies waar het registry voor bedoeld is.

Klopt helemaal. In de basis is hier ook helemaal niks mis mee. (het register gebruiken waar het voor bedoeld is)

Echter: Bij menig bedrijf kan/mag je geen register-exports/imports doen. Althans. Bij de bedrijven waar ik ervaring heb, kon/mog dit niet in elk geval. (( Mocht het 'altijd' kunnen in bepaalde trees in het register, dan zou ik niet weten hoe het moet en hoe ik zou moeten achterhalen waar het precies staat. ))

In de praktijk zie je gewoon dat het delen van configuraties in PuTTY de facto niet optimaal is (register export/import is niet handig in gebruik als het al 'mag'). Als de tool een export/import-functie zou krijgen zou dat fijn zijn.

(( Overigens is '%APPDATA%' natuurlijk ook een goede plek om dergelijke configuratie/instellingen te plaatsen/beheren ))

Putty! Brings back memories van toen ik gedwongen werd met windhoos bakken een netwerk te beheren. Brrrrr. Putty voor *NIX klinkt een beetje raar, maar wel interessant. FF kijken of er ook een OSX client is.

Haha inderdaad! Waarom is hier nooit een 1.0 versie van uitgekomen, zo vraag ik mij af...

Om users eraan te herinneren dat Putty het werk is van een groep developers die dit als hobby doen, op de manier die zij willen, en niet een commercieel product waar je allerlei eisen aan mag stellen.

Ah goed punt! Nooit aan gedacht dat dit een reden zou kunnen zijn

Ook ik heb nooit aan gedacht,een goed punt

Heb je daar een bron van, dat dat voor hen de reden is?
Er is zat vrije niet-commercieel ondersteunde software die ver boven versie 1.0 gaat.

Waarom zou iedereen op dezelfde manier moeten denken? En nee, ik kan de bron niet meer vinden, maar als je hun FAQ leest wordt die denkwijze ook wel duidelijk.

Waarom zou iedereen op dezelfde manier moeten denken?

Geen idee? Ik suggereer dat toch niet? Althans. Ik probeerde dat niet te suggereren. Je maakt een statement, waar in de basis best iets voor te zeggen kan zijn (dat je door niet versie 1.0 aan te bieden duidelijk wil maken dat je het dan niet als commercieel product 'mag zien' (even kort door de bocht vertaald)), maar ik kan echt nergens wat vinden dat dat hun reden is. (ik zeg dus ook nadrukkelijk niet dat dat niet zo is natuurlijk. Ik was gewoon benieuwd naar de bron van het statement, anders had het net zo goed niets meer dan jouw persoonlijke visie kunnen zijn (niet lullig bedoeld overigens))

Ook de FAQ haal ik daar niks over uit. Althans. Wel dat zij geen verantwoordelijkheid willen dragen voor gevolgen van eventuele beveiligingsfouten (niet vervelend of flauw bedoeld) en nog meer zaken die voor o.a. commerciële partijen van belang kunnen zijn, maar niet dat dat (mede) de reden is dat zij niet naar versie 1.0 zijn gegaan.

Ik moet je teleurstellen. Ik weet dat ik het "ergens" gelezen heb maar dat is jaren geleden en ik weet ook niet meer waar dat was. Wil je het zeker weten dan moet je gewoon eens een mail aan de developers sturen. Misschien reageren ze wel.

Aan de andere kant, Putty bestaat al heel lang, zou het niet eens tijd worden voor een 1.0 versie zou je denken. Doordat dat er niet is, zien velen de software als beta of alpha misschien zelfs en laten het daarom wellicht links liggen, terwijl het programma eigenlijk al gigantisch lang rock solid is.

Het lijkt er op dat ze gewoon zijn gaan tellen. Om reden x bij 0.1 begonnen, en vanaf daar steeds één erbij:
https://www.chiark.greene...tatham/putty/changes.html
Je ziet niet dat ze bij 0.50 of 0.60 'grootse' veranderingen hebben gedaan. Gewoon standaard releases met meer of minder veranderingen van verschillende impact.

Goede kans dat we over X jaar gewoon versie 0.100 krijgen net zoals met MAME die nu op 0.244 zit. Er was toentertijd ook spraken van dat ze na 0.99 eindelijk naar 1.0 zouden gaan door de gemeenschap.

Nou dat hoeft gelukkig niet meer. Windows 10 heeft een SSH client en anders start je een WSL shell.

Gebruik al heel lang KiTTY

Nou ja. Het heeft z’n beperkingen, maar hoe is het verschrikkelijk?

Ik heb letterlijk tientallen redenen. Maar zie het zo, ik werk al twintig jaar exclusief met Linux waar tal van zeer uitgebreide en complete terminal apps bestaan met volledige OS integratie. En dan kom je ineens bij een klant met een Citrix VDI en alleen Putty om honderden Linux servers te beheren. Absoluut R U K.

Ik werk zelf bij een organisatie waar we verantwoordelijk zijn voor zoveelduizend (meerdere smaken) Linux, en UNIX servers. We gebruiken primair PuTTY, soms de PowerShell terminal (die heeft tegenwoordig ook een native ssh client van OpenSSH). Ik geef toe. Meestal werk ik via een springplank en vanaf daar 'doorhoppen', omdat dat vaak sneller is dan m'n muis weer pakken.
Het enige waar ik bij PuTTY echt tegen aan loop is het zeer summiere sessie-management. (dus wat ze 'saved sessions' noemen). Ik zou het fijn vinden als je die bijvoorbeeld centraal in een team kan gebruiken (desnoods importeren/exporteren).

Nou weet ik niet hoe jouw beheer er uit ziet natuurlijk, maar meestal heb ik alleen een shell nodig op de servers waar we voor verantwoordelijk zijn. We gebruiken niet van die 'tekeningen/menuutjes' (ben de term even kwijt) en dat soort zaken. Zaken als kleurweergave, speciale karakters (euro-teken bijvoorbeeld), X11-magic cookies enz, enz, enz, werken prima, wanneer we die sporadisch nodig hebben.

Maar ik ben oprecht nieuwsgierig naar je redenen. Ik zou zeggen. Benoem de top-5 als je wil natuurlijk Ik ben erg nieuwsgierig waar je tegen aan loopt wat een andere terminal emulator beter doet (of wel goed doet) voor jou..

Ik noem een paar punten, maar ik moet ook dit zeggen; Linux mensen verplicht met windows laten werken vind ik een raar iets. Een timmerman vertel je ook niet een huis te moeten bouwen zonder een hammer te mogen gebruiken. Het lukt wel, maar net niet lekker. Dit is natuurlijk persoonlijk. In mijn wereld kom ik enkel Linux mensen tegen die ook zelf met Linux werken. Het is een logisch iets in mijn hoofd.

Maar goed, ik gebruik zelf Terminator op Linux en ben aan het spelen met Tabby welke er veelbelovend uitziet en ook beschikbaar is op andere platformen, maar er zijn op Linux natuurlijk heel veel terminal apps met allerlei functies. Zaken die ik gewoon echt keihard mis met Putty (en ik weet eigenlijk niet in welke volg orde van belang want het is allemaal irritant):

1. Splitsen van een terminal.
Dus ik zit op server A en ik wil bijv. naast wat ik aan het doen een log tailen. Met Putty moet je een nieuwe sessie openen, eventueel sudo en eventueel wat je nog meer doet als je op een server komt. Met Terminator kan ik het zo instellen dat als ik een terminal splits, de nieuwe terminal gelijk op dezelfde server en zelfde locatie uitkomt als mijn bron terminal. Ook met een hop server er tussen. Dat scheelt zo onwijs veel tijd en typen.

2. Alles in 1 venster, dus niet per server een ander venster wat ik moet slepen en eventueel passend moet instellen.

3. Linux is 'aware' van alle ssh tunnels die ik maak en routeert het juiste verkeer daar naar toe, wellicht zit dit ook in Putty, maar ik krijg het niet voor elkaar dat windows 'aware' is van de route over de tunnel. Uit veiligheidsoverwegingen zijn sommige admin pagina's alleen op die manier te benaderen bij sommige bedrijven waar ik kom.

4. Activity monitoring. Terminator kan ik vertellen dat hij een terminal tab moet laten knipperen op het moment dat er activiteit is (bijv. in een log) of als een gewenste search van een bepaalde tekst in het log voorbij komt. Op die manier kun met andere applicaties bezig zijn/testen tot in het log iets voorbij komt waar je op wacht. Zeker met 1 Desktop waar al je vensters op leven (zoals hier) is dat erg handig.

5. Andersom kan ik Terminator ook laten wachten tot er niets meer gebeurd.

6. (omdat 5 erg op 4 lijkt) profielen. Ik kan diverse profielen maken welke allemaal andere zaken instellen. Dit kun je doen per omgeving, per lan, per server. Terminator weet zelf welk profiel ik wil wanneer ik een bepaalde server benader (tenminste als je dit zo configureert) en opent de server met het juiste profiel. In een profiel kun je instellen dat je bijv. wil door loggen naar een bepaalde server, path of dat er andere commando's uitgevoerd moeten worden. Maar ook je kleuren bijv. Er zijn servers/situaties waarbij dat handig is. Bijv. als je op een productie server komt, kun je dit zien aan de kleuren.

En niet om te zeuren, maar zo kan ik nog wel even doorgaan. De mensen die hier in vaste dienst zijn, zijn niets anders gewent dan Putty en klagen niet heel erg. Weten wellicht niet beter, maar als je 20 jaar lang zelf je tools heb mogen kiezen en je komt dan ineens in een omgeving met alleen Putty, dan is dat erg frustrerend. Ik zit er zelfs aan te denken om bij nieuwe klussen te vragen naar de vrijheid van OS en als ik weer in een dichtgetimmerde VDI met Putty uitkom, dat ik dan maar gewoon wat verder zoek.

Is er bijv. een manier om bepaalde server instellingen (denk aan bijv. letter grote) in 1 keer voor een hele groep servers aan te passen? Volgens mij niet. Vooral handig als je met Webex of Teams mensen wat moet laten zien en ze kunnen het net niet lezen. Ik zit nu met de hand steeds alle lettertypes wat groter te maken van de terminals die ik wil laten zien. Kleine dingen die je leven beter maken.

[Reactie gewijzigd door Webxorcist op 1 juni 2022 12:01]

1. Splitsen van een terminal.
Als ik je goed begrijp doet Terminator dat dus op de achtergrond voor je, het inloggen e.d. (transparant voor de gebruiker). Dat gaat hier niet werken omdat we met MFA (OTPs) werken. Ik snap wel dat je dit fijn vindt. Maakt het inderdaad wat makkelijker, maar dan moet je omgeving het wel ondersteunen.

2. Alles in 1 venster,
Dat vind ik dus verschrikkelijk werken. Ik heb ook collega's die andere tools gebruiken en dit gebruiken. Ik vind dat helemaal niks. Misschien dat Terminator het fijner doet dan wat zij gebruiken, maar ik ben daar geen fan van. Ik vind het fijner om, wanneer dat is een keer nodig is om venstertjes naast elkaar te zetten of te groeperen in een hoekje ofzo. (puur persoonlijk)
3. De IP-tunnels. Althans. Ik ga er vanuit dat je IP-tunnels bedoeld. Dat is een rechtenkwestie. Je kan niet zomaar IP-routes aanmaken op een systeem. Dit zal je onder Linux normaal gezien als root moeten doen.
Je kan in PuTTY wel de standaard ssh Remote en Local binds doen. Dus dat je ssh -L 8443:localhost:443 server.ergensanders.nl doet en dat je dan naar localhost:8443 surft om bij localhost (op server.ergensanders.nl) op port 443 uit komt. Dat kan je ook in PuTTY doen.
IP-routes zitten er inderdaad niet in.

4-5. Dit kan inderdaad een handige zijn. Ik doe dat meestal met een tmux-sessie, maar als dat in de Terminal emulator zit zou dat inderdaad handig(er) zijn.

6. Dat is precies mijn frustratiepunt. Het sessie-beheer is gewoon echt heel flut. Je kan echt alleen maar per sessie(server) iets instellen. Of generieke profielen maken zonder server, waardoor je dus 'profiel-X' kan samenstellen en dat je dan zelf de servernaam intikt, maar dat is inderdaad een zeer zwakke implementatie.

...Weten wellicht niet beter...

Iedereen werkt op een manier hoe hij of zij het prettig vindt. Op één item na van jouw top-lijstje kan ik me er in vinden, maar voor mijn werkzaamheden geen showstopper aangezien ik dat dus met tmux kan afhandelen. Ik gebruik ik dit in de praktijk echter zelden.

Ik ben Linux Engineer en werk al jaren met UNIX en Linux servers, maar als desktop heb ik het altijd vervelend gevonden. Ik geef echt een grote voorkeur naar een Windows desktop. Vind ik gewoon fijner werken. Zal vast mede met gewenning te maken hebben. Maar ik vind het fijn werken. Of in elk geval fijner dan menig Linux of Solaris desktop die ik over de jaren heen heb gezien.

Mijn grootste punt is eigenlijk, JIJ bent de Linux Engineer, dus jij zou zelf moeten uitmaken waar je op/mee werkt en niet een of andere security officer die lijstjes afwerkt en daar beleid op maakt. Als jij met windows wil werken, helemaal goed toch? Of Mac, of Linux. Ik kan er met mijn hoofd niet bij dat andere gaan bepalen waar ik mee moet werken. Maar goed, dat is mijn ding en heeft niks met Putty te maken verder.

Een ding ben ik niet met je eens, je kan op Linux prima SSH tunnels maken zonder root access en zonder je zelf ergens lid van te maken. Dat doe ik iedere dag

edit: okay, je had het over ip tunnels. Ik SSH. Ik heb windows/Putty nog niet zover gekregen dat als ik in Putty een SSH tunnel maak, dat windows hier dan van op de hoogte is en ik in de browser bij die pagina kan. Wellicht een instelling of een policy hier? Ik krijg het niet voor elkaar.

[Reactie gewijzigd door Webxorcist op 1 juni 2022 13:37]

JIJ bent de Linux Engineer, dus jij zou zelf moeten uitmaken waar je op/mee werkt en niet een of andere security officer die lijstjes afwerkt en daar beleid op maakt

Klopt. Maar ik ben een medewerker van een bedrijf die zich moet houden aan bedrijfsregels, die gehandhaafd worden door een security afdeling. Die regels/normen zijn gebaseerd op (bijvoorbeeld financiële) wetgeving, regelgeving, vereisten, suggesties, enz, zowel Nederlands als Europees (en andere regio's). Die regels zijn naast wet- en regelgeving ook gebaseerd op good practice, vendor-suggestions, maar ook ervaring van de betreffende security afdelingen, enz. Die regels zijn er, naast voldoen van wetgeving/regelgeving ook om te helpen voorkomen dat een stuk malware dat ik per ongeluk op mijn 'niet-standaard' pc naar binnen sjouw het netwerk in stuur. (even los van de potentiële discussie of OS-1 daar inherent gevoeliger voor is dan OS-2)

Jij mag ook niet met je integraalhelm een bouwplaats op lopen. Daar moet je per se een goedgekeurde veiligheidshelm voor hebben van klasse xyz. Er staat nergens dat hij van merk x moet zijn of RAL kleur 14. Dat zijn de regels van de bouwplaatsbeheerder die het weer baseert op wetgeving/normen.

Uiteraard staat er nergens in wetgeving 'Je moet Windows xyz' gebruiken met browser abc. Maar we moeten wel verplicht een gecontroleerde desktop gebruiken die voldoet aan allerlei internationale security-normen. Net zoals onze standaardbesturingssystemen onder andere CIS-compliant moeten zijn. Bijvoorbeeld de Maleisische Centrale bank vereist nog strakkere regels voor systemen die verbinden met systemen die applicaties voor hun markt draaien. Enz Enz Enz. Het is compleet ondoenlijk als ik dan in eens ga roepen 'Ik wil perse een Linux desktop met deze tool, want ik ben één van de Linux Engineers'. Dat gaat hem natuurlijk niet worden. (en terecht!!). Dat wordt één grote brei aan tools die gecontroleerd moeten worden. Zij (Security) zijn verantwoordelijk voor een veilige desktop-omgeving.

Met die SSH-tunnel maak je domweg een sessie/tunnel met een socket aan de voorkant en een forwarder aan de achterkant. Er is geen één OS zich van 'bewust', anders dan dat er een nieuwe socket bij komt. (Voor het OS is het niks anders dan dat je een webserver of IRC server opstart. Er luistert een nieuwe socket van een proces die er vervolgens iets mee doet).
Je kan in je browser/OS eventueel een SOCKS-proxy opgeven als de andere kant het dan verder kan afhandelen. Maar als je met PuTTY gewoon verweist naar een webserver met die local listener, dan kan je die gewoon benaderen met https://localhost:12345 of wat je ook instelt. PuTTY kan met SSH-tunnels in elk geval exact hetzelfde als OpenSSH, Dropbear of NIMASSHD die moderne Linuxen en UNIXen en hun clones.

Nu ben ik security officer geweest en ik kan je melden, heel veel keuzes worden gedaan met een blinde veeg op papier. Als ergens staat dat externe verbindingen moeten worden geminimaliseerd dan is ineens SSH of VPN onveilig punt.

Daar krijg ik toch wel jeuk van, want onveilig is het niet. Als je zo gaat praten moet je die internet stekker er helemaal uit trekken.

Ik begrijp je verhaal hoor, maar er zitten veel nuances in. De lijn tussen security en werkbaarheid is erg dun. Het helpt wanneer je security officers zelf een technische achtergrond hebben.

Het blijft wel interessant hoe iedere organisatie met dit soort zaken omgaat.

[Reactie gewijzigd door Webxorcist op 1 juni 2022 15:40]

Trouwens, punt 1, jij moet voor iedere inlog een token gebruiken? Begrijp ik dat goed? Geen radius server die dat voor je opvangt bij je eerste inlog 's ochtends? Daar zou ik echt helemaal gestoord van worden. Ik begrijp het wel, maar dat gaat voor mij echt richting onwerkbaar. Ik neem aan dat jij net als ik tig sessies per dag start..

Klopt. Dat werkt prima. Kwestie van wennen.
Wij doen zoveel mogelijk geautomatiseerd middels allerlei tooling. Het echte console-werk doe ik in de praktijk op een handje vol servers. En soms is het even vervelend, maar over het algemeen is het goed te doen. Ik ben niet heel de dag aan het in- en uitloggen op servers. Ik heb wel wat beters te doen

Alles wat we regelmatig moeten doen is geautomatiseerd en zijn we aan het autoatiseren.

Dat is in dat geval ook wel beter. Ik ben hier automatisering aan het bouwen, er was helemaal niks. Ik moet dan wel op iedere server inloggen/kijken hoe bepaalde zaken zijn gedaan voordat ik het aan bijv. Ansible overlaat.