<div dir="ltr">Heh, I knew that was coming.<div><br></div><div>I&#39;ll put it on my list of patches I&#39;m supposed to work on for the coming weekend, but unfortunately no promises at this point.</div><div><br></div><div>
Trevor</div></div><div class="gmail_extra"><br><br><div class="gmail_quote">On Tue, Sep 10, 2013 at 10:42 AM, Shawn Wells <span dir="ltr">&lt;<a href="mailto:shawn@redhat.com" target="_blank">shawn@redhat.com</a>&gt;</span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div class="im">On 9/10/13 7:47 AM, Trevor Vaughan wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
I need to look through the SCAP code but, since the order of ciphers is unimportant on the daemon side, wouldn&#39;t you want the check side of this to be a regex such that people can use the same cipher setting for both ssh_config and sshd_config?<br>

<br>
I would modify the order of the remediation statement in this patch to match the strong -&gt; weak order as well as a hint to the local admin.<br>
<br>
I tend to list from strongest to weakest for ssh_config and just re-use the string in sshd_config for consistency.<br>
<br>
There should be a check (I apologize if there is and I just didn&#39;t check enough) for the Ciphers setting in ssh_config as well to order the ciphers from strongest to weakest since order matters in the client file.<br>

<br>
Yes, I know that the client file can be overridden by the user but, since most users don&#39;t do that, it&#39;s a good idea to set it appropriately.<br>
</blockquote>
<br></div>
These are really good ideas. I&#39;ve created a Trac ticket [1] to ensure this doesn&#39;t get stuck in mailing list limbo. Would you be willing to whip up a regex patch?<br>
<br>
[1] <a href="https://fedorahosted.org/scap-security-guide/ticket/413" target="_blank">https://fedorahosted.org/scap-<u></u>security-guide/ticket/413</a><div class="HOEnZb"><div class="h5"><br>
______________________________<u></u>_________________<br>
scap-security-guide mailing list<br>
<a href="mailto:scap-security-guide@lists.fedorahosted.org" target="_blank">scap-security-guide@lists.<u></u>fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide" target="_blank">https://lists.fedorahosted.<u></u>org/mailman/listinfo/scap-<u></u>security-guide</a><br>
</div></div></blockquote></div><br><br clear="all"><div><br></div>-- <br>Trevor Vaughan<br>Vice President, Onyx Point, Inc<br>(410) 541-6699<br><a href="mailto:tvaughan@onyxpoint.com">tvaughan@onyxpoint.com</a><br><br>-- This account not approved for unencrypted proprietary information --
</div>