Usersguide der FzK-Proxies

Transkript

1 Usersguide der FzK-Proxies Hans-Ulrich Hohn Februar 2003 Inhaltsverzeichnis 1 Allgemeine Netzwerk-Sicherheitsregeln des Forschungszentrums Karlsruhe 2 2 Benutzung der Proxies Verwendung des FTP-Proxys Verwenden von WSFTP Version 5 unter Windows Verwenden von WSFTP Pro Version 7 unter Windows Verwenden von Exceed-FTP unter Windows Benutzung unter UNIX Benutzung des Telnet und Rlogin Proxys Benutzung des Ssh Proxys Benutzung des RealAudio Proxys Benutzung des HTTP-Proxys Proxy-Einstellungen im Microsoft Internet-Explorer 5.x und 6.x Proxy-Einstellungen im Netscape-Explorer 4.x Proxy-Einstellungen im Netscape-Explorer 7.x Externe Authentifizierung über Transaktionsnummern Hintergrund Ziele des Programms Beantragung von Transaktionsnummern TIS Firewall User s Overview Introduction Using FTP Using TELNET Using Rlogin Changing Passwords via the Proxies

2 1 Allgemeine Netzwerk-Sicherheitsregeln des Forschungszentrums Karlsruhe Das HIK bietet im Rahmen einer globalen Netzwerk-Sicherheitslösung für das Forschungszentrum Karlsruhe eine Reihe von Application-Gateways, den sog. Proxies an. Es handelt sich hierbei um frei verfügbare Proxy-Server aus dem Firewall-Toolkit (FWTK) der Firma Trusted Information Systems, Inc. (inzwischen Network Associates) mit Ausnahme von proxy.fzk.de. Siehe: Die Benutzeranleitung entnehmen Sie bitte dem im Anschluß eingefügten User s Guide, oder geben Sie in den Proxy-Servern das Kommando help ein. Seit Dezember 2002 gelten folgende Security-Policies: Verbindungen vom Forschungszentrum ins Internet - Verbindungen in die Welt (lesend und schreibend) sind transparen bis auf P2P-Anwendungen, http und ftp zulässig. - Für einige Dienste stehen für Verbindungen in die Welt Proxies zur Verfügung, die im Vergleich zum direkten Internetzugriff einen erhöhten Sicherheitsstandard bieten und deren Verwendung wir unbedingt empfehlen ( die Verwendung der http- und ftp-proxies ist zwingend ): TCP/UDP- Protokoll- Bedeutung Proxy-Name Port name 21 ftp Filetransfer ftp-proxy.fzk.de 22 ssh Terminalverbindung ssh-proxy.fzk.de 23 telnet Terminalverbindung telnet-proxy.fzk.de 513 rlogin Terminalverbindung rlogin-proxy.fzk.de 7070 real-audio Real-Audio Live Streams ra-proxy.fzk.de 8000 http WWW proxy.fzk.de - Verbindungen in die Universität Karlsruhe werden wie interne Verbindungen behandelt. Es findet keine Protokollfilterung statt. Verbindungen aus der Welt ins Forschungszentrum - Bis auf Secure-Shell Version 2 auf TCP-Port 24 sind Verbindungen aus der Welt unzulässig. - Für Verbindungen aus der Welt stehen für folgende Dienste Proxies zur Verfügung: TCP/UDP- Protokoll- Bedeutung Proxy-Name Port name 21 ftp Filetransfer ftp-proxy.fzk.de 22 ssh Terminalverbindung ssh-proxy.fzk.de 23 telnet Terminalverbindung telnet-proxy.fzk.de 513 rlogin Terminalverbindung rlogin-proxy.fzk.de 2

3 - Verbindungen aus der Welt zu speziellen, zu vereinbarenden Rechnern Ihres Netzes (z.b. der WWW-Server Ihrer OE) sind zulässig. - Verbindungen von der Universität Karlsruhe werden wie interne Verbindungen behandelt. Es findet keine Protokollfilterung statt. Seit Einführung dieses Konzeptes sind sie von ausserhalb des Forschungszentrums (nicht Universität Karlsruhe) nur noch über die in der obigen Tabelle aufgezeigten Verbindungsarten erreichbar (Proxies). Nach Absprache richten wir falls technisch nicht anders zu realisieren im Einzelfall Fenster im Firewall für Sie ein, um spezielle Ports auf ausgesuchten Rechnern Ihrer OE wieder weltweit erreichbar zu machen. Den genauen Mechanismus zur Beantragung und Bewilligung einer Freischaltung erfahren sie von ihrem LAN-Koordinator ( ). Für Verbindungen ins Internet gelten die oben erwähnten Einschränkungen. Die Verwendung der http- und ftp-proxies ist zwingend. P2P-Anwendungen sind unzulässig. Zusätzlich existieren neben den http- und ftp-proxies weitere Application-Gateways für die Anwendungen ssh, telnet, rlogin und real-audio, die wir Ihnen dringend ans Herz legen. Die verbindliche Benutzung der http- und ftp-proxies wurde so am durch den Expertenkreis beschlossen. Die Umsetzung dieses Beschlusses erfolgt am Für Fragen wenden Sie sich in der Netzwerk- Infrastruktur- Netzwerk- Anwendungen- Abteilung der HIK bitte entweder an Frau Epting (Tel. 6786), an Herrn Weitzel (Tel. 6566) an Herrn Hör (Tel. 5627) oder an Herrn Hohn (Tel. 4955). 3

4 2 Benutzung der Proxies Nachfolgend wird die Verwendung der neu installierten Proxies erläutert. Die Erklärung bezieht sich auf Verbindungen, die aus dem FZK hinaus führen. Die Dienste FTP, Telnet Rlogin und Ssh sind auch von Rechnern außerhalb des FZK zu erreichen. Für die genannten Dienste ist dann außer bei Ssh eine Authentifizierung über Transaktionsnummern (sieke Kapitel: Externe Autentifizierung über Transaktionsnummern ), den sog. S-keys notwendig. 2.1 Verwendung des FTP-Proxys Einstellungen für Verbindungen FZK -> extern Verwenden von WSFTP Version 5 unter Windows Abbildung 1: Verwendung von WSFTP Version 5 unter Windows, Menü 1 Abbildung 2: Verwendung von WSFTP Version 5 unter Windows, Menü 2 Bei FZK internen Verbindungen kann der Proxy nicht verwendet werden. 4

5 2.1.2 Verwenden von WSFTP Pro Version 7 unter Windows Abbildung 3: Verwendung von WSFTP Pro Version 7 unter Windows, Menü 1 Abbildung 4: Verwendung von WSFTP Pro Version 7 unter Windows, Menü 2 5

6 Abbildung 5: Verwendung von WSFTP Pro Version 7 unter Windows, Menü 3 Abbildung 6: Verwendung von WSFTP Pro Version 7 unter Windows, Menü 4 Abbildung 7: Verwendung von WSFTP Pro Version 7 unter Windows, Menü 5 6

7 Abbildung 8: Verwendung von WSFTP Pro Version 7 unter Windows, Menü 6 Abbildung 9: Verwendung von WSFTP Pro Version 7 unter Windows, Menü 7 7

10 Abbildung 14: Verwendung von WSFTP Pro Version 7 unter Windows, Menü 12 Abbildung 15: Verwendung von WSFTP Pro Version 7 unter Windows, Menü 13 Bei FZK internen Verbindungen kann der Proxy nicht verwendet werden. 10

11 2.1.3 Verwenden von Exceed-FTP unter Windows Abbildung 16: Verwenden von Exceed-FTP unter Windows, Menü 1 Abbildung 17: Verwenden von Exceed-FTP unter Windows, Menü 2 Bei FZK internen Verbindungen kann der Proxy nicht verwendet werden. 11

12 2.1.4 Benutzung unter UNIX Benutzung des Kommandozeilenprogrammes ftp aus dem Forschungszentrum ins Internet, Zieladresse z.b.: sunsite.informatik.rwth-aachen.de. unix: $ ftp ftp-proxy Connected to ftp-proxy.fzk.de. Welcome to the FZK FTP gateway! You may continue if you can authorize yourself. remember: all transfers and/or commands are logged As you might recognize this is no normal ftp server. For further information enter rhelp after authorization and get the list of available commands. Anonymous ftp to FZK-hosts is not yet possible have fun 220 Name (ftp-proxy:user): anonymous@sunsite.informatik.rwth-aachen.de 331-(----GATEWAY CONNECTED TO sunsite.informatik.rwth-aachen.de----) 331-(220 star FTP server (Version wu-2.4(6) Mon Aug 26 10:56:45 MET DST 1996) ready.) 331 Guest login ok, send your complete address as password. Password: Abbildung 18: Verwendung des ftp-proxys in der Komandozeile, lokal Bitte achten Sie darauf, daß als Benutzername innerhalb des FTP-Proxys Benutzername@RemoteHost.Domain im Beispiel also anonymous@sunsite.informatik.rwthaachen.de zu verwenden ist. Benutzung des Kommandozeilenprogrammes ftp aus dem Internet ins Forschungszentrum Karlsruhe, Zieladresse z.b.: somewhere.fzk.de. unix: $ ftp ftp-proxy.fzk.de Connected to ftp-proxy.fzk.de. Welcome to the FZK FTP gateway! You may continue if you can authorize yourself. If you want anonymous ftp log in with anonymous an give your -address as password. remember: all transfers and/or commands are logged If your don t know how to connect to your destination host please enter quote help to get help about this issue. have fun For further information or other strange things you can contact this servers administrator by sending him to Hohn@hik.fzk.de 220 Name (ftp-proxy.fzk.de:fzklan): Username 331 Skey Challenge s/key 68 SecretKey : **** **** **** **** **** **** Password: 230 User authenticated to proxy ftp> user someone@somewhere.fzk.de 331-(----GATEWAY CONNECTED TO somewhere.fzk.de----) 331-(220 somewhere.fzk.de FTP server ready.) 331 Password required for someone. Password: Abbildung 19: Verwendung des ftp-proxys in der Komandozeile, remote 12

13 Bitte achten Sie darauf, daß als Benutzername innerhalb des FTP-Proxys der zuvor beantragte Benutzername und nicht der sich auf Ihrer Passwordkarte befindliche SecretKey, im Beispiel also Username, zu verwenden ist. Dannach werden Sie unter Angabe Ihres persöhnlichen SecretKeys um eines Ihrer Einmalpasswörter gepromptet. Erst jetzt verbinden Sie sich als Benutzer someone mit dem Forschungszentrum Rechner somewhere.fzk.de durch Eingabe von: user 2.2 Benutzung des Telnet und Rlogin Proxys Eingabe: telnet telnet-proxy Nach dem Prompt ( FZK telnet proxy > ) können Sie sich durch die Eingabe von c myhost.extern.net zum angegebenen Rechner verbinden lassen. Die Verwendung von Rlogin geschieht analog. rlogin rlogin-proxy Welcome to the FZK rlogin proxy. You may now be asked to authenticate yourself to the proxy server. This depends on where you are connecting from. Although this server uses one-time passwords all subsequent connections can be listened to over the internet. So be careful in using the same password on multiple computers. This server is experimental an therefore I do not guarantee for it s correctness - though I hope it is ;-) If you need help in using this service try entering help as command. Please send all suggestions or critics to the server administrator Hohn@hik.fzk.de FZK rlogin proxy > c rlogin.extern.net Abbildung 20: Verwendung des rlogin-proxys Wie beim zuvor beschriebenen ftp-proxy, findet keine Benutzer-Authentifizierung für Zugriffe aus dem Zentrum ins Internet statt. Für den umgekehrten Weg sind auch hier Einmalpasswörter notwendig. Falls Sie innerhalb Ihrer Telnet-Session X11-Verbindungen verwenden wollen, so geben Sie nach der (falls notwendig) Authentifizierung den Befehl x ein. Auf Ihrem lokalen X11-Display erscheint dann ein Fenster, daß Sie über ihre zugewiesene DISPAY-Variable informiert. Diese muß auf dem Zielsystem von Hand gesetzt werden. 2.3 Benutzung des Ssh Proxys Der Ssh-Proxy ist eine Eigenentwicklung und nicht Bestandteil des FWTK. Sie erreichen ihn durch Eingabe von ssh ssh-proxy.fzk.de. Es findet grundsätzlich keine Authentifizierung statt, ein fallback nach rlogin wird nicht durchgeführt, X11 wird getunnelt, d.h. daß Sie innerhalb Ihrer Ssh-Terminalverbindung X11-Programme aufrufen können. Hierbei wurde Ihre Display-Variable bereits zwischen der Secure-Shell und den Secure-Shell Daemon ausgehandelt. Sie dürfen deshalb den Wert der Variable nicht von Hand überschreiben. Die Benutzung von secure copy (scp) ist bisher nicht möglich! 13

14 ssh myhost.extern.net Last login: Thu Jan 27 09:43: from hiksg01.fzk.de Have a lot of fun... No mail. Welcome to the HIK generic proxy-shell. If you need help in using this service try entering help as command. Please send all suggestions or critics to the server administrator Hohn@hik.fzk.de HIK-Proxy> ssh -l root myhost.extern.net root@myhost.extern.net s password: Last login: Thu Jan 27 09:26: from ssh-proxy.fzk.de Have a lot of fun... No mail. myhost:~ # xterm Abbildung 21: Verwendung des ssh-proxys 2.4 Benutzung des RealAudio Proxys Der RealAudio Player G2 (bzw. ab Version 3) bietet die Möglichkeit der Nutzung eines Proxys zum Verbindungsaufbau. Folgende Einstellungen sind hierzu notwendig: Abbildung 22: Verwendung des Real-Audio Proxys mit RealAudio Player 7 unter Windows - Menü 1 14

15 Abbildung 23: Verwendung des Real-Audio Proxys mit RealAudio Player 7 unter Windows - Menü 2 15

16 2.5 Benutzung des HTTP-Proxys Als Proxy ist bei den entsprechenden Konfigurationsdialogen der unterschiedlichen Browser der Rechner proxy.fzk.de sowie die Portnummer 8000einzutragen Proxy-Einstellungen im Microsoft Internet-Explorer 5.x und 6.x Abbildung 24: Proxy-Einstellungen im Microsoft Internet-Explorer 5.x und 6.x, Menü 1 Abbildung 25: Proxy-Einstellungen im Microsoft Internet-Explorer 5.x und 6.x, Menü 2 16

17 Abbildung 26: Proxy-Einstellungen im Microsoft Internet-Explorer 5.x und 6.x, Menü 3 Abbildung 27: Proxy-Einstellungen im Microsoft Internet-Explorer 5.x und 6.x, Menü 4 17

18 2.5.2 Proxy-Einstellungen im Netscape-Explorer 4.x Abbildung 28: Proxy-Einstellungen im Netscape-Explorer 4.x, Menü 1 Abbildung 29: Proxy-Einstellungen im Netscape-Explorer 4.x, Menü 2 18

19 Abbildung 30: Proxy-Einstellungen im Netscape-Explorer 4.x, Menü 3 Bitte beachten Sie, daß im Einzelfall (je nach verwendeter Version des Netscape- Communicators Version 4.x), das Trennzeichen für die Proxy-Ausnahmen an Stelle des, auch ein ; sein kann! Proxy-Einstellungen im Netscape-Explorer 7.x Abbildung 31: Proxy-Einstellungen im Netscape-Explorer 7.x, Menü 1 19

20 Abbildung 32: Proxy-Einstellungen im Netscape-Explorer 7.x, Menü 2 Achtung: Achten Sie darauf Maschinen innerhalb des Forschungszentrums nie als zu adressieren, sondern immer als Für eine Adresse wird der Proxy verwendet, dies ist innerhalb des Forschungszentrum-Netzes nicht sinnvoll. Außerdem funktionieren dann nicht alle Anwendungen, insbesondere nicht die WEB Zugriffe auf SAP-Anwendungen! 3 Externe Authentifizierung über Transaktionsnummern Die folgende Hintergrund- und Zielbeschreibung wurde wörtlich vom WWW-Server des DFN entnommen. Sie finden sie im Orginal unter: Hintergrund Das Anmelden (Login) an einem System erfordert üblicherweise die Angabe eines geheimen Passwortes, welches am Zielrechner verschlüsselt und mit den Einträgen in der Passwort-Datei /etc/passwd verglichen wird. Problematisch ist dieses Verfahren beim Anmelden über ein Netzwerk, da das eingegebene Passwort unverschlüsselt über das Netz übertragen wird. Angreifer könnten die übertragenen Passworte abhören und mißbrauchen. Das Programmpaket S/Key unterstützt die Benutzung von Einmal-Passworten, bei der das geheime Passwort des Benutzers niemals über das Netzwerk übertragen wird. 20

21 3.2 Ziele des Programms Das S/Key - System schützt den Benutzer vor dem unerwünschten Abhören seines geheimen Passwortes. Beim Anmelden an einem entfernten Rechner (z.b. über rlogin, telnet, ftp, etc.) wird statt des geheimen Passwortes ein Einmal-Passwort zur Authentisierung benutzt. Dieses Passwort wird nie wieder verwendet, so daß das potentielle Abhören des Passwortes durch Dritte keinen Mißbrauch ermöglicht. Das S/Key - System besteht aus zwei Seiten: Der Benutzer (Klient) muß das Einmal- Passwort erzeugen; das entfernte System (Server) muß dieses Passwort verifizieren. Die Generierung des Passwortes erfolgt am lokalen System durch das Programm key. Dieses Programm erwartet als Eingabe ein geheimes Passwort und liefert ein oder mehrere Einmal-Passworte. Nur das Einmal-Passwort wird anschliessend an den entfernten Rechner (den Server) übermittelt. Alternativ ist es dem Benutzer auch möglich, eine bestimmte Zahl von Einmal-Passworten im Voraus berechnen zu lassen und beispielsweise auf einem Zettel zu verwahren. 3.3 Beantragung von Transaktionsnummern Sollten sie also einen längeren Aufenthalt ausserhalb des Forschungszentrums planen, so beantragen Sie bitte frühzeitig eine Liste mit Ihren persöhnlichen Einmal- Passwörtern (entweder bei Frau Epting, 6786 bzw. epting@hik.fzk.de, oder bei Herrn Hohn, 4955 bzw. Hohn@hik. fzk.de). Das gleiche gilt selbstverständlich auch für Projektpartner ausserhalb des Forschungszentrums. Bis auf ssh muß man sich für sämtliche Verbindungen aus dem Internet ins Forschungszentrum über diesen Mechanismus authentifizieren. 21

22 4 TIS Firewall User s Overview Dies ist der orginal Users-Guide des TIS-FWTK. Sie finden Ihn auch unter: guide.pdf. Falls Sie in Zukunft die vom HIK erstellten Scheck-Karten mit Einmal-Passwörtern weiterverwenden wollen, sehen Sie bitte davon ab Ihr Passwort zur S-key-Generierung zu verändern. 4.1 Introduction The network you are using is connected to the Internet, protected with a network firewall. The firewall blocks all traffic between the Internet and the protected network, but still permits users on the protected network to carry out certain basic operations. These are: - Sending electronic mail ( ) - File transfer using the FTP program - Remote terminal sessions using the TELNET program In order to use these services, you must be logged into a computer that is running TCP/IP on the protected network. Electronic mail requires no extra action on the part of the user other than specifying a proper Internet-style address. For FTP and TELNET, users first connect to a proxy server running on the firewall, which will in turn connect them to the destination system. 4.2 Using FTP When connecting to the FTP proxy, you issue the command as if you wished to FTP files with the firewall system itself: host# ftp gatekeeper.mydomain.domain Once you are connected to the FTP proxy, and you are prompted for your username, give the username and hostname of the system you wish to transder files with, in the form of usernamehostname. If you don t know the hostname, and only have the TCP/IP network address, you can also use usernameip-address. For example, if you wish to log in as anonymous on node Ftp.Uu.Net, give your username as anonymous@ftp.uu.net. host% ftp gatekeeper.company.com Connected to gatekeeper.company.com 220 gatekeeper FTP proxy (Version 1.0 stable) ready. Name (gatekeeper:you): anonymous@ftp.uu.net 331-(----GATEWAY CONNECTED TO ftp.uu.net----) 331-(220 ftp.uu.net FTP server (SunOS 4.1) ready.) 331 Guest login ok, send ident as password. Password: ###### 230 Guest login ok, access restrictions apply. ftp> dir 200 PORT command successful. (...etc.) Abbildung 33: TIS Firewall User s Overview - the Inside ftp Proxy Once you are connected via the proxy and you see the GATEWAY CONNEC- TED TO message, any subsequent commands you enter are forwarded to the destination system by the proxy. If you type a password incorrectly, after you are connected, you no longer need to use the user@host form, just act as if the proxy 22

23 is not there. After connecting, any normal FTP commands can be issued. For details on the other options to the version of FTP on your system, consult the manual. If you are using FTP from outside of your security perimeter, you may have to authenticate yourself to the proxy before you are allowed to transfer files. To authenticate, the FTP user command is used twice in sequence: outside.host%> ftp gatekeeper.company.com Connected to gatekeeper.company.com. Before using the proxy you must first authenticate 220 gatekeeper FTP proxy (Version 1.0 stable) ready. Name (gatekeeper.company.com:you): musterman 331 SNK Challenge "90280": Password: ######### 230 User authenticated to proxy ftp> user 331-(----GATEWAY CONNECTED TO somebox----) 331-(220 somebox FTP server ready.) 331 Password required for you. Password: ######### 230 User you logged in. ftp> Abbildung 34: TIS Firewall User s Overview - the Outside ftp Proxy 4.3 Using TELNET To use the TELNET proxy, simply telnet to the firewall system as if you wished to log into it. There will be a short pause, and you will be prompted with a command prompt for the proxy. At the command prompt, you may specify the host you wish to connect with, by typing connect hostname or c hostname. If you prefer to give a TCP/IP address instead of a hostname, you may do so. Once you have entered the name of the host to connect to, the proxy will connect you to that system, and its login prompt should appear. If the system is down or is unreachable, the proxy will inform you of this fact, and you may quit using the quit command. For example, if you wish to login to a system named Foo.Baz.Com you might employ the proxy as follows: host% telnet gatekeeper.company.com Trying Connected to gatekeeper.company.com. Escape character is ^]. gatekeeper telnet proxy (Version V1.0) ready: tn-gw-> c foo.baz.com HP-UX foo A A 9000/710 (ttys1) login: you Password: ###### Please wait...checking for disk quotas foo-> (...etc.) Abbildung 35: TIS Firewall User s Overview - the telnet Proxy When you logout from the destination system, the proxy will automatically disconnect you and return to a command prompt on your local system. 4.4 Using Rlogin For communicating with remote systems that support the rlogin protocol, an rlogin proxy is provided. One advantage of the rlogin proxy is that it eliminates the need to authenticate a user twice. In order to use the rlogin proxy, the firewall bastion host must be prepared to accept rlogin connections. If the rlogin proxy is invoked 23

24 with no user name and destination, it presents the user with a command menu similar to the telnet proxy s: host% rlogin gatekeeper.company.com rlogin-gw->? Valid commands are: (unique abbreviations may be used) connect hostname help/? quit/exit password rlogin-gw-> c somebox.someplace.org Trying you@ Password: ###### Last login: Mon Oct 25 21:54:33 from homebox.someplace.else SomeOS Release 4.1.Wed Apr 14 07:21:50 EDT 1993 you have new mail somebox% Abbildung 36: TIS Firewall User s Overview - Inside indirect connect over the rlogin Proxy In this example, the rlogin server on somebox.someplace.org prompted for a password, since the proxy server gatekeeper was not in the user s.rhosts file. If a username and hostname is specified, the rlogin proxy will automatically reconnect to the specified remote system. For example: host% rlogin gatekeeper -l you@somebox.someplace.org Trying you@ Last login: Mon Oct 25 21:54:33 from homebox.someplace.else SomeOS Release 4.1.Wed Apr 14 07:21:50 EDT 1993 you have new mail somebox% Abbildung 37: TIS Firewall User s Overview - Inside direct connect over the rlogin Proxy If using the rlogin proxy from outside the perimeter, it may stop and require authentication before proceeding: host% rlogin gatekeeper.your.org -l you@homebox Username: you SNK Challenge "32015": Login Accepted Trying you@ Last login: Mon Oct 25 21:23:53 from some.place SomeOS Release (homebox) #3: Mon Jun 21 You have new mail. homebox-> Abbildung 38: TIS Firewall User s Overview - Outside direct connect over the rlogin Proxy Note that some networks block rlogin protocol traffic in or out in such a manner than the rlogin proxy may not be useable. In such circumstances, rely on the telnet proxy instead. 4.5 Changing Passwords via the Proxies Users who rely on authentication protocols that have passwords or changeable PINs may reset their passwords using built-in capabilities in the proxies. Both the telnet and rlogin proxies support changing passwords at the command line, if connected to from systems within the security perimeter. To change your password, connect to the proxy and issue the password command as in this example: 24

25 host% telnet gatekeeper.your.org Trying Connected to gatekeeper. Escape character is ^]. otter telnet proxy (Version V1.0) ready: tn-gw-> pass Changing passwords Enter Username: you Skey Challenge "s/key 665 ot572005": JAR ADA ANA DRUM GLEN GAUR New Password: ##### Repeat New Password: ##### ID mjr s/key is 666 ot tn-gw-> quit Disconnecting... Connection closed by foreign host. %-> Abbildung 39: TIS Firewall User s Overview - Changing Passwords via the Proxies In the example above, the user resets their S/Key secret key using the telnet proxy. It is important to remember never to reset the password from a system that may be compromised, or a system that is on an untrusted network. The firewall administrator has the ability to limit the hosts from which users may change their passwords. If you attempt to change your password and cannot, contact your administrator to find out from what hosts password changing is permitted. 25