OpenSSH verstehen und anwenden

Transkript

1 verstehen und anwenden Christian Prior 9. Juni 2005

2 Inhalt Einführung Tunnel Pipes und Co shfs Christian Prior

3 Setup Über SSH SSH Implementationen Zwei Rechner: Client , Server Zwei Benutzer: local, remote

4 Caveat Über SSH SSH Implementationen Kleiner Unterschied, groÿe Wirkung: ssh_config und sshd_config Nach Änderungen an sshd_config Als root oder mit sudo: root # /etc/init.d/sshd restart

5 Telnet? Über SSH SSH Implementationen Eh nur noch was für Linux-Opas... ;) SSH ersetzt seit 1995 den Remote-Login mit telnet (Klartext-Kommunikation) Entwickelt in 1995 von Tatu Ylönen an der Universität von Helsinki als Reaktion auf einen Passwort-Sni

6 1 Christian Prior Über SSH SSH Implementationen ist eine FREIE Version der SSH-Protokollsuite von Netzwerktools, auf die sich eine steigende Anzahl von Leuten im Internet verlassen. (... ) verschlüsselt die Passwörter und die gesamte Verbindung, um Mithören (eavesdropping), das,entführen von Verbindungen' (connection hijacking) und ähnliche Netzwerkangrie zu binden. Zusätzlich bietet eine Unzahl sicherer,tunneling'- und Authentikationsmöglichkeiten an. 1

7 Putty Über SSH SSH Implementationen Putty ist eine freie Implementation eines Terminal-Emulators mit telnet und SSH client. a a sgtatham/putty/

8 SSH.com Über SSH SSH Implementationen SSH Tectia is the leading end-to-end communications security solution for the enterprise. The SSH Tectia solution is based on the SSH Secure Shell and SSH's other industry leading technologies used by millions worldwide. a a

9 2 Christian Prior for Windows Über SSH SSH Implementationen for Windows is a free package that installs a minimal server and client utilities in the Cygwin package without needing the full Cygwin installation. (... ) The for Windows package provides full SSH/SCP/SFTP support. SSH terminal support provides a familiar Windows Command prompt, while retaining Unix/Cygwin-style paths for SCP and SFTP. 2

10 Wir sind hier: Einführung Tunnel Pipes und Co shfs Christian Prior

11 SSH als Protokoll SSH ist kein Programm, sondern ein Protokoll Verschiedene Versionen SSH-1.3-, und -2.0-Protokollstandards Beschrieben in RFC Einen Überblick bietet die Seite der IETF a a

12 Verschlüsselung Zwei Arten RSA und DSA Clientseitig zur Authentizierung ohne Interaktion verwendet, auf dem SSH-Server zur Bestätigung einer konstanten Identität

13 Verschlüsselung

14 Anti-Spoong SSH schlägt Alarm, wenn sich z.b. die IP zu einer Domainadresse geändert hat, oder auf der Gegenseite das Schlüsselpaar des SSH Daemons.

15 Anti-Spoong $ ssh The authenticity of host 'server ( )' can't be established. RSA key fingerprint is 7f:3e:74:6c:1d:d9:d3:c5:ee:74:2c:0e:3e:7c:61:e4. Are you sure you want to continue connecting (yes/no)? yes Warning: Permanently added 'server, ' (RSA) to the list of known hosts. Password: Last login: Mon Jun 6 16:30: from client remote@server $

16 Anti-Spoong # rm /etc/ssh/*key* # /etc/init.d/sshd restart * Stopping sshd... [ ok ] * Generating Hostkey... Generating public/private rsa1 key pair. Your identification has been saved in /etc/ssh/ssh_host_key. Your public key has been saved in /etc/ssh/ssh_host_key.pub. The key fingerprint is: a9:eb:52:ba:64:72:1c:dd:49:ed:52:f7:77:e7:2f:75 root@server * Generating DSA-Hostkey... <snip /> * Generating RSA-Hostkey... Generating public/private rsa key pair. <snip /> * Starting sshd... [ ok ] root@server #

17 Anti-Spoong WARNING: REMOTE HOST IDENTIFICATION IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY! Someone could be eavesdropping on you right now (man-in-the-middle attack)! It is also possible that the RSA host key has just been changed. The fingerprint for the RSA key sent by the remote host is 0d:5c:a8:bd:bd:d0:d9:bc:a2:5c:43:1e:6f:7f:12:b8. Please contact your system administrator. Add correct host key in ~/.ssh/known_hosts to get rid of this message. Offending key in ~/.ssh/known_hosts:1 RSA host key for server has changed and you have requested strict checking. Host key verification failed. local@client $

18 Authentizierungsmethoden Paÿwort: PAM public keys: Platzieren des öentlichen Schlüssels auf remote-host, Sicherung des privaten mittels (beliebig änderbarer) Paÿphrase skey: Einmalpaÿwörter [r s]host: Alte Variante, die gegen die IP testet Sowie diverse andere wie Kerberos, X50, AFS-Tickets

19 3 Christian Prior Keine Verschleierung Zwar läÿt sich eine Begrüÿungmeldung kongurieren, aber die Preisgabe der exakten verwendeten Version auf dem Server ist Bestandteil des Protokolls und läÿt sich nicht drücken 3 local@client $ nc Server 22 SSH-2.0-_3.9p1 remote@server $

20 3 Christian Prior Keine Verschleierung Zwar läÿt sich eine Begrüÿungmeldung kongurieren, aber die Preisgabe der exakten verwendeten Version auf dem Server ist Bestandteil des Protokolls und läÿt sich nicht drücken 3 local@client $ nc Server 22 SSH-2.0-_3.9p1 remote@server $

21 In root we trust Insbesondere bei der Verwendung von n hat root (oder wer sich dazu gemacht hat) Zugri auf den Shell account. Auch kann die Schlüsselweiterreichung mit dem ssh-agent übernommen werden.

22 In root we trust Insbesondere bei der Verwendung von n hat root (oder wer sich dazu gemacht hat) Zugri auf den Shell account. Auch kann die Schlüsselweiterreichung mit dem ssh-agent übernommen werden.

23 In root we trust Insbesondere bei der Verwendung von n hat root (oder wer sich dazu gemacht hat) Zugri auf den Shell account. Auch kann die Schlüsselweiterreichung mit dem ssh-agent übernommen werden.

24 Timeouts im Netz Mittels ClientAliveInterval (in Sekunden) wird der SSH Daemon angewiesen, nach x Sekunden Inaktivität erneut eine Authentizierung anzufordern, deren maximale Anzahl mit ClientAliveCount Wiederholungen begrenzt wird. Dies verhindert Karteileichen bei Netzwerkstörungen. root # grep ClientAlive /etc/ssh/sshd_config #ClientAliveInterval 0 #ClientAliveCountMax 3 root #

25 Inaktivität des User II Ein einfaches export TMOUT=60 beendet die Sitzung nach einer Minute Inaktivität. $ ssh Password: Last login: Mon Jun 6 16:30: from client remote@server $ export TMOUT=5 && date Mon Jun 6 17:37:35 CEST 2005 remote@server $ timed out waiting for input: auto-logout Connection to Server closed. local@client $ date Mon Jun 6 17:37:41 CEST 2005 local@client $

26 Zeit für den Login-Vorgang Auf der Serverseite kann eingestellt werden, innerhalb welcher Zeit ein Loginversuch erfolgreich authentiziert werden muÿ. Andernfalls wird der Verbindungsaufbau zurückgesetzt. root # grep GraceTime /etc/ssh/sshd_config #LoginGraceTime 2m root #

27 ebuild Standards root # emerge openssh -vp These are the packages that I would merge, in order: [ebuild R ] net-misc/openssh-3.9_p1-r2 -X509 -chroot -debug +ipv6 -kerberos +ldap -nocxx +pam (-selinux) -sftplogging -skey -smartcard -static +tcpd 834 kb Calculating dependencies... done! Total size of downloads: 834 kb (Standard-useflags)

28 Abhängigkeiten mit erweiterten useags root # emerge openssh -vp These are the packages that I would merge, in order: [ebuild R ] net-misc/openssh-3.9_p1-r2 -X509 -chroot -debug +ipv6 -kerberos +ldap -nocxx +pam (-selinux) -sftplogging +skey -smartcard -static +tcpd 834 kb [ebuild N ] app-admin/skey r4 -debug 60 kb [ebuild R ] sys-apps/shadow r3 -debug +nls +pam -(selinux) +skey* 988 kb [ebuild R ] app-admin/sudo-1.6.7_p5-r4 +pam +skey* 341 kb Calculating dependencies... done! Total size of downloads: 1235 kb

29 Fest eingebunden ist schon auf der LiveCD und im Prol system Teil der ist lt. Handbuch Als root oder mit sudo: root # rc-update add sshd default

30 Binaries aus package root $ equery files openssh grep -E '/.?bin/' /usr/bin/scp /usr/bin/sftp /usr/bin/slogin ->./ssh /usr/bin/ssh /usr/bin/ssh-add /usr/bin/ssh-agent /usr/bin/ssh-keygen /usr/bin/ssh-keyscan /usr/sbin/sshd

31 # /etc/init.d/sshd start * Generating Hostkey... Generating public/private rsa1 key pair. Your identification has been saved in /etc/ssh/ssh_host_key. Your public key has been saved in /etc/ssh/ssh_host_key.pub. The key fingerprint is: 95:d4:aa:7e:cf:a0:67:ec:f1:49:6d:3d:06:84:57:fb root@server * Generating DSA-Hostkey... Generating public/private dsa key pair. Your identification has been saved in /etc/ssh/ssh_host_dsa_key. Your public key has been saved in /etc/ssh/ssh_host_dsa_key.pub. The key fingerprint is: 6f:13:8e:d7:62:b6:7f:97:22:54:09:1b:d8:64:07:cd root@server * Generating RSA-Hostkey... (...) The key fingerprint is: 10:c7:33:84:7d:42:34:9b:6c:e5:cb:dd:2d:fd:d7:9b root@server * Starting sshd... [ ok ] root@server # Christian Prior Erster Start

32 4 Christian Prior Logging Um SSH nicht in /var/log/messages loggen zu lassen, kann z.b. mit syslog-ng wie folgt vorgegangen werden: 4 syslog-ng.conf destination sshdlog file("/var/log/sshd"); ; filter f_sshd facility(local6); ; log source(src); filter(f_sshd); destination(sshdlog); ;

33 Relevante Dateien Die serverweiten sdateien liegen in /etc/ssh/* (für Client und Server) Die Verzahnung mit PAM für die Paÿwortabfrage bringt /etc/pam.d/sshd Die benutzerspezischen Dateien liegen in /.ssh/*, das Verzeichnis muÿ chmod 700 gesetzt sein: $ chmod go-w /.ssh chmod 600 /.ssh/authorized_keys

34 Bekannte bugs Mit der useag -sftplogging werden laut Bugmeldung #82372 segfaults beim Starten des Secure FTP-Daemon verhindert besonders tragisch bei remote Zugri.

35 Wahlweise Verwirrung Weitere Authentizierungsmöglichkeiten Viele seinstellungen lassen sich sowohl in /etc/ssh/* und /.ssh/* als auch auf der Kommandozeile beim Aufruf bestimmen. Fehlt etwa das passende Tastaturlayout für das -Symbol, so kann der user auch mit ssh -l remote Server bestimmt werden.

36 Wahlweise Verwirrung Weitere Authentizierungsmöglichkeiten Viele seinstellungen lassen sich sowohl in /etc/ssh/* und /.ssh/* als auch auf der Kommandozeile beim Aufruf bestimmen. Fehlt etwa das passende Tastaturlayout für das -Symbol, so kann der user auch mit ssh -l remote Server bestimmt werden. Oder in der /.ssh/cong.

37 Systemweite Weitere Authentizierungsmöglichkeiten Die Dateien in /etc/ssh/* enthalten auf -Systemen die default-einstellungen als Kommentare. Will man root den Login erlauben, so muÿ in sshd_config PermitRootLogin yes gesetzt werden. Die Kompression der Datenübertragung ist standardmäÿig an:#compression yes

38 Wir sind hier: Einführung Tunnel Pipes und Co shfs Christian Prior

39 Einige Schritte voraus: $ ssh -v _3.9p1, OpenSSL 0.9.7e 25 Oct 2004 debug1: Reading configuration data /home/local/.ssh/config debug1: Reading configuration data /etc/ssh/ssh_config debug1: Applying options for Server debug1: Connecting to server [ ] port 23. debug1: Connection established. debug1: Offering public key: /home/local/.ssh/id_dsa debug1: Server accepts key: pkalg ssh-dss blen 433 debug1: Authentication succeeded (publickey). debug1: Entering interactive session. Last login: Tue May 24 07:38: from client $

40 Schlüssel für Benutzer generieren $ ssh-keygen -t dsa Generating public/private dsa key pair. Enter file in which to save the key (/home/local/.ssh/id_dsa): Enter passphrase (empty for no passphrase): Enter same passphrase again: Your identification has been saved in /home/local/.ssh/id_dsa. Your public key has been saved in /home/local/.ssh/id_dsa.pub. The key fingerprint is: a2:61:08:3d:d9:df:9a:f5:3d:1b:8f:4f:65:c0:e6:d0 local@client $

41 Übertragen $ ssh-copy-id -i.ssh/id_dsa.pub 1 Password: Now try logging into the machine, with ssh and check in:.ssh/authorized_keys to make sure we haven't added extra keys that you weren't expecting. $ exit $

42 Login mit Schlüssel und Passphrase $ ssh Enter passphrase for key '/home/local/.ssh/id_dsa': Last login: Mon Jun 6 17:37: from client remote@server $ cat.ssh/authorized_keys ssh-dss AAAAB3NzaC1kc3MAAACBALLzAxjRi3kkKljnkOlRrYq60jdxHw+0Uf7AeDpWG gfd2sv4wklqoebv4lo1ak17fywdzcdupkf/bdy8hctzmcrfkoilal943f5udn9jnvuwf4 9qUjNzVXRQIj+4uTisMo43papL6NbsQzaSBy13fiI3/NjZCgI7m2/Wz5TvvM9xAAAAFQC mu6hgshvehiznz0yypphtqnwbnwaaaibxlneohihmzsiexshvyoepgysnexqbqst0xn89 nul91/chg+xtloqcqcos0vxsjfxjyufr88vfmho7owhb1nmvzihxpnxcbnozmzwxghlw1 nor6ejfqebibrm0ii8qan9yl+ztrvburgnhif+v5+w4g/pux0id7zvlkr+18pyp7waaai EAmh5AXygT6WkO1Je1TgES1X83YInX/FTZhyObo2blccPB8eihzEasSbX9BO2pmL0URar OFgpffJX/YrDWZPpnRqr+51Pg58gXRtcRNIF/w4rORRdZcYMobeIIUS3WJgkbfSzzLbw6 Kzftdvh1Ha379j3aiZEoTghWp8rF7FjFox0= local@client remote@server $ exit local@client $

43 Schlüssel verwalten mit ssh-agent $ set grep SSH_ $ eval `ssh-agent` Agent pid 4654 $ set grep SSH_ SSH_AGENT_PID=4654 SSH_AUTH_SOCK=/tmp/ssh-jpGOAB4653/agent.4653 $ ssh-add -l The agent has no identities. $ ssh-add Enter passphrase for /home/local/.ssh/id_dsa: Identity added: /home/local/.ssh/id_dsa (/home/local/.ssh/id_dsa) $ ssh Last login: Mon Jun 6 19:24: from client remote@server $ exit local@client $ ssh-add -l 1024 a2:61:08:3d:d9:df:9a:f5:3d:1b:8f:4f:65:c0:e6:d0 /home/local/.ssh/id_dsa (D local@client $ Christian Prior

44 ssh-agent bei jedem Login starten $ set grep SSH_ SSH_AGENT_PID=4654 SSH_AUTH_SOCK=/tmp/ssh-jpGOAB4653/agent.4653 $ ssh-add -l 1024 a2:61:08:3d:d9:df:9a:f5:3d:1b:8f:4f:65:c0:e6:d0 /home/local/.ssh/id_dsa (D $ exit logout This is Client (Linux i xen0) 20:08:27 Client login: local Password: Last login: Mon Jun 6 19:25:36 on vc/1 local@client $ set grep SSH_ local@client $ echo 'eval `ssh-agent`' >.bash_profile local@client $ cat.bash_profile eval `ssh-agent` local@client $ exit logout Christian Prior

45 ssh-agent bei jedem Login starten $ exit logout This is Client (Linux i xen0) 20:16:50 Client login: local Password: Agent pid 4864 $ set grep SSH_ SSH_AGENT_PID=4864 SSH_AUTH_SOCK=/tmp/ssh-moXNzv4863/agent.4863 $ ssh-add -l The agent has no identities. $

46 Keychain bei jedem Login starten $ grep keychain ~/.bash_profile # (keychain-article) #on this next line, we start keychain and point it to the private keys that #we'd like it to cache through keychain /usr/bin/keychain ~/.ssh/klassizismus.id_dsa source ~/.keychain/$hostname-sh > /dev/null

47 Login mit keychain This is Client (Linux i xen0) 20:22:28 Client login: local Password: Last login: Mon Jun 6 20:18:57 on vc/1 KeyChain ; Copyright Foundation; Distributed under the GPL * Initializing /home/local/.keychain/client-sh file... * Initializing /home/local/.keychain/client-csh file... * Starting ssh-agent * Adding 1 ssh key(s)... Enter passphrase for /home/local/.ssh/id_dsa: Identity added: /home/local/.ssh/id_dsa (/home/local/.ssh/id_dsa) local@client $ exit

48 Login mit keychain $ exit This is Client (Linux i xen0) 20:27:04 Client login: local Password: Last login: Mon Jun 6 20:22:33 on vc/1 KeyChain ; Copyright Foundation; Distributed under the GPL * Found existing ssh-agent (4924) * Known ssh key: /home/local/.ssh/id_dsa local@client $

49 Mehr über keychain

50 Fazit zu keychain keychain sollte nur auf vertrauenswürdigen Rechnern eingesetzt werden

51 Öentliche Schlüssel durchleiten Beiden Varianten, keychain und ssh-agent, ist die Funktionsweise des forwarding gemeinsam: Der öentliche Schlüssel braucht nur auf dem ersten Rechner vorhanden zu sein, er wird beim Verbindungsaufbau mittransportiert.

52 Beschränkte Ausführungsrechte In der Datei sim/.ssh/authorized_keys kann (nachträglich) bestimmt werden, von wo der User sich einloggen oder welcher Befehlausgeführt werden darf.

53 Beispielskonguration command="date" ssh-dss AAAAB3NzaC1kc3 <snip /> Fox0=

54 Ergebnis $ ssh Mon Jun 6 22:21:18 CEST 2005 Connection to server closed. local@client $

55 Schlüsselverwendung selektiv ausschalten $ SSH_AUTH_SOCK= ssh Enter passphrase for key '/home/local/.ssh/id_dsa': Last login: Mon Jun 6 22:22: from client remote@server remote $

56 Wir sind hier: Einführung Tunnel Pipes und Co shfs Christian Prior

57 skey Mit app-admin/skey wird eine Liste von Einmalpaÿwörtern generiert. Erforderlich ist: In sshd_config ChallengeResponseAuthentication yes (default) Rekompilieren app-admin/sudo und sys-apps/shadow mit useag skey Auf dem SSH-Server erstellt root für den Benutzer eine Liste mit Paÿwörtern wie folgt:

58 Verwendung von skey $ skeyinit Password: [Adding local] Reminder - Only use this method if you are directly connected or have an encrypted channel. If you are using telnet or rlogin, exit with no password and use skeyinit -s. Enter secret password: Again secret password: ID local skey is otp-md5 99 Clie92956 Next login password: BAH TILL KERR ALP HIDE KONG remote@server $

59 Verwendung von skey $ skey -n Serv93045 Reminder - Do not use this program while logged in via telnet or rlogin. Enter secret password: 89: BASS PAD IFFY AMES DESK GAVE 90: DIVE STEW GOAD MEMO VETO MAID 91: HAUL AWK NIP WHOM GLUT RACE 92: WEST SETS HURD RAG SILK MEMO 93: FONT WILL IQ LOUD MOLD EASY 94: KING BEER TAUT HURL SAY LILY 95: PAY GASH TUB KURD RUSE WEST 96: AQUA HOST VOID HOLT LYE BOGY 97: DOG MINK DRUM MAST NOTE GAIL 98: FOE SWAG BARD MAW YAP LOSE remote@server $

60 Unter ferner liefen stützt noch weitere Authentizierungsverfahren, auf die heute aber nicht näher eingegangen werden soll. Beipiel.rhosts Datei: Ein Überbleibsel aus der remote shell rsh Identizierung mittels IP Cleverer Einsatz i.v.m. passphrasenleerem Schlüssel und erzwungenen Kommandos

61 Wir sind hier: Tunnel Pipes und Co Einführung Tunnel Pipes und Co shfs Christian Prior

62 Tunnel Tunnel Pipes und Co Zwei Varianten: X11 hardcodiert Beliebige Tunnel mit den Optionen -L/-R/-D Vorteile: Sicher durch Verschlüsselung Schnell durch Kompression

63 für X11 Tunnel Pipes und Co SSH-Server = X Client, SSH-Client = X Server! ;) sshd_config X11Forwarding yes ssh_config ForwardX11 yes ForwardX11Trusted yes

64 Beliebige Tunnel Tunnel Pipes und Co Mit ssh -L <lport>:<desthost>:<destport> Server wird ein vom Client aus erreichbarer Tunnel aufgebaut. Jeder Zugri auf Client:<lport> wird von SSH via Server auf <desthost> weitergeleitet.

65 Provider-Privacy Tunnel Pipes und Co Aufruf mit ssh -L 8118: :8118 webproxy, dort Proxyserver auf Port 8118

66 Test mit Netzwerksnier Tunnel Pipes und Co Source Destination Protocol Info HTTP GET /viewtopic-p html HTTP/ TCP www > 3430 [ACK] Seq=1 Ack= HTTP HTTP/ OK[Unreassembled Packet] TCP 3430 > www [ACK] Seq=520 Ack= HTTP Continuation or non-http traffic TCP 3430 > www [ACK] Seq=520 Ack=2777

67 Test mit Netzwerksnier Tunnel Pipes und Co Source Destination Protocol Info SSH Encrypted request packet TCP ssh > 4137 [ACK] Seq=0 Ack= SSH Encrypted response packet SSH Encrypted request packet TCP ssh > 4137 [ACK] Seq=48 Ack= SSH Encrypted response packet SSH Encrypted response packet

68 CVS über SSH tunneln Tunnel Pipes und Co Der Zugri auf ein CVS Repository kann mittels CVS-eigener Umgebungsvariablen über eine sichere SSH geschehen. Dazu muÿ der zugreifende User folgende Variablen setzen: /.bashrc export CVS_RSH=/usr/bin/ssh export

69 remote commands Tunnel Pipes und Co /usr/bin/xterm -e ssh -t screen -DR

70 tarballs sicher übertragen Tunnel Pipes und Co tar cjf - dir/ ssh remote@server 'cd /tmp && cat>lename.tar.bz2'

71 Wir sind hier: shfs Einführung Tunnel Pipes und Co shfs Christian Prior

72 Installieren shfs root # emerge shfs -vp These are the packages that I would merge, in order: Calculating dependencies...done! [ebuild N ] net-fs/shfs-0.35-r1 -amd -doc 125 kb Total size of downloads: 125 kb root #

73 Kernel-Update shfs Nach einem Kernelupdate muÿ shfs neu emerged werden.

74 Befehle shfs root # shfsmount root@server:/usr/portage/distfiles /usr/portage/distfiles Password: klassizismus root # df /dev/sda1 2,5G 1,5G 1,1G 59% / root@server:/usr/portage/distfiles 57G 39G 18G 68% /usr/portage/distfiles root #

75 Eintrag in der fstab shfs Auch in /etc/fstab kann eine remote gelegene Quelle referenziert werden: root # cat /etc/fstab /dev/sda1 / etx3 noatime 0 1 remote@server:/home/remote /home/local/mnt/remote shfs exec,noauto,user 0 0 none /proc proc defaults 0 0 none /dev/shm tmpfs defaults 0 0 root #

76 shfs

77 Ruth übernimmt das Kommando # ls -la /tmp/ssh-tjiytn5149/* srwxr-xr-x 1 remote users 0 Jun 6 21:39 /tmp/ssh-tjiytn5149/agent.5149 root@server # SSH_AUTH_SOCK=/tmp/ssh-TjIyTN5149/agent.5149 root@server # export SSH_AUTH_SOCK root@server # ssh-add -l 1024 a2:61:08:3d:d9:df:9a:f5:3d:1b:8f:4f:65:c0:e6:d0 /home/local/.ssh/id_dsa (D root@server # ssh cprior@victorian The authenticity of host 'victorian ( )' can't be established. RSA key fingerprint is 3f:c0:66:eb:54:57:b1:bd:b2:e7:48:6d:86:35:07:44. Are you sure you want to continue connecting (yes/no)? yes Warning: Permanently added 'victorian, ' (RSA) to the list of known Last login: Mon Jun 6 21:38: from server.arch.cpr cprior@victorian cprior $