<div dir="ltr">I need to look through the SCAP code but, since the order of ciphers is unimportant on the daemon side, wouldn&#39;t you want the check side of this to be a regex such that people can use the same cipher setting for both ssh_config and sshd_config?<div>
<br></div><div>I would modify the order of the remediation statement in this patch to match the strong -&gt; weak order as well as a hint to the local admin.<br><div><br></div><div>I tend to list from strongest to weakest for ssh_config and just re-use the string in sshd_config for consistency.</div>
<div><br></div><div>There should be a check (I apologize if there is and I just didn&#39;t check enough) for the Ciphers setting in ssh_config as well to order the ciphers from strongest to weakest since order matters in the client file.</div>
<div><br></div><div>Yes, I know that the client file can be overridden by the user but, since most users don&#39;t do that, it&#39;s a good idea to set it appropriately.</div><div><br></div><div>Thanks,</div><div><br></div>
<div>Trevor</div></div></div><div class="gmail_extra"><br><br><div class="gmail_quote">On Mon, Sep 9, 2013 at 8:47 AM, Jeffrey Blank <span dir="ltr">&lt;<a href="mailto:blank@eclipse.ncsc.mil" target="_blank">blank@eclipse.ncsc.mil</a>&gt;</span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">In the glorious future, we might want to rewrite the check and the<br>
guidance to indicate which cipher modes and key lengths we like, and<br>
then only flag things if others are included.  But this looks fine for<br>
now.<br>
<br>
How these are &quot;approved&quot; is quite a mystery as well, but no biggie, we<br>
can work in refs later.<br>
<br>
On Sat, Sep 7, 2013 at 3:22 PM, Shawn Wells &lt;<a href="mailto:shawn.d.wells@gmail.com">shawn.d.wells@gmail.com</a>&gt; wrote:<br>
&gt;<br>
&gt;<br>
&gt; _______________________________________________<br>
&gt; scap-security-guide mailing list<br>
&gt; <a href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a><br>
&gt; <a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide</a><br>
&gt;<br>
_______________________________________________<br>
scap-security-guide mailing list<br>
<a href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide</a><br>
</blockquote></div><br><br clear="all"><div><br></div>-- <br>Trevor Vaughan<br>Vice President, Onyx Point, Inc<br>(410) 541-6699<br><a href="mailto:tvaughan@onyxpoint.com">tvaughan@onyxpoint.com</a><br><br>-- This account not approved for unencrypted proprietary information --
</div>