Etibarsız VPN üzərində SSH parolunuzu əslində kim görür?

SSH sessiyasını özünüz idarə etmədiyiniz VPN üzərindən keçirin — parol yenə də SSH serverinə aiddir, aradakı şəbəkəyə yox. Təsdiqlənmiş hosta gedən nəqliyyat düzgün qorunursa, bu yolda passiv müşahidəçi parolu oxunaqlı formada almır. Ancaq bir şərti dəyişin və cavab dəyişir: təsdiqlənməmiş host, zəiflədilmiş şifr siyahısı və ya kompromisə uğramış iş stansiyası fərqli nəticələr verir. Aşağıdakı yoxlamaları ardıcıllıqla aparın və hər birini dayanma şərti kimi qəbul edin.

Nəyisə yazmazdan əvvəl alıcının adını deyin

Parol sahəsi autentifikasiya mesajının içində, o mesaj isə şifrələnmiş nəqliyyatın içində gedir. Məxfilik nəqliyyatın xassəsidir, yəni qorumanın razılaşdırılmasından və bunun nəzərdə tutduğunuz hostla razılaşdırılmasından asılıdır. İnsanların atladığı hissə elə bu ikinci yarısıdır. Fırıldaqçıya şifrələnmiş bağlantı eyni zamanda həm məxfi, həm də faydasızdır. VPN girişi SSH hostu barədə heç nə sübut etmir və provayderin nüfuzu açar yoxlamasının əvəzi deyil.

İki istiqaməti beyninizdə ayrı saxlayın. Host açarı hansı serverə çatdığınızı cavablandırır. Parol və ya açar autentifikasiyası serverin hansı istifadəçini qəbul etdiyini cavablandırır. İkincini yaxşılaşdırmaq birincini heç vaxt düzəltmir.

Host kimliyini, qeydi və razılaşmanı yoxlayın

Müştəri tərəfində artıq əlinizdə olan qeydlə başlayın. Etibarlı mənbə ilə müqayisə edilən yayımlanmış barmaq izi və hələ də uyğun gələn known_hosts yazısı autentifikasiya başlamazdan əvvəl sizə lazım olan yeganə sübutu verir.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

Server tərəfində yayımlamağı planlaşdırdığınız barmaq izlərini yaddaşdan kopyalamaq əvəzinə çap edin. Onları kənar kanalla paylamaq bütün məsələnin özüdür; host adı ilə eyni söhbət kanalından yapışdırılmış barmaq izi yalnız hər ikisinin eyni yerdən gəldiyini sübut edir.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

Razılaşdırılmış alqoritmlər iki tərəfin kəsişməsindən çıxır. Əgər müştəri konfiqurasiyası köhnə cihaza çatmaq üçün köhnəlmiş açar mübadiləsini bərkidirsə, bu seçim danışdığı hər hosta aiddir, ona görə onu qlobal deyil, həmin hosta məhdudlaşdırın.

Serverin həqiqətən qəbul etdiyi üsulları oxuyun

Serverin hansı autentifikasiya üsullarına icazə verdiyini bilmək parolun ümumiyyətlə nə üçün olduğunu söyləyir. Yalnız açıq açarları qəbul edən hostun qorunacaq parol mübadiləsi yoxdur, parolları hələ də qəbul edən host isə miras qalmış susmaya deyil, qəsdən verilmiş qərara layiqdir.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

İstifadəçini açar autentifikasiyasına keçirmək həmin istifadəçinin parolunu o mübadilədən çıxarır. Bu, kompromisə uğramış iş stansiyasını təhlükəsiz etmir və etibarsız uzaq sessiyanı zərərsiz etmir. Bunlar fərqli nəzarətləri olan fərqli risklərdir. Agent ötürməsi barədə də qərar verin. Aqenti etibarsız hosta ötürmək sessiya davam etdikcə həmin hosta açarlarınızı istifadə etmək imkanı verir ki, bu da bizi başladan parol məsələsindən daha böyük məruz qalmadır.

Host açarı xəbərdarlığını insident addımı kimi idarə edin

Müştəri host identifikasiyasının dəyişdiyini xəbərdar etdikdə dayanın və eyni şəbəkə yolundan keçməyən kanalla yoxlayın. Barmaq izini server konsolu ilə və ya onu yenidən quran operatorla müqayisə edin. Xəbərdarlığı susdurmaq üçün köhnə yazını silmək rədd etməli olduğunuz yeganə hərəkətdir. O, sübutları atır və mümkün müdaxiləni adi girişə çevirir.

Host qanuni olaraq yenidən qurulubsa, köhnə yazını yalnız yeni barmaq izi təsdiqləndikdən sonra silin, sonra yenidən qoşulun və razılaşmanı yenidən yoxlayın. Dəyişikliyi tarix və səbəblə qeyd edin, çünki növbəti şəxs eyni xəbərdarlığı görəcək və bunun həll olunduğunu bilməlidir.

Bu təlimatın əhatə etmədiyi şeylər

Trafiki izləyən VPN operatoru maşınınızda yerli imtiyazlara malik proqramla eyni şey deyil. Son nöqtənin kompromisi, düşmən brauzer uzantısı və ya klaviatura qeyd edicisi SSH-ın razılaşa biləcəyi hər şeyin altında durur və heç bir tunel bunu dəyişmir. İş stansiyası şübhəlidirsə, başqa çıxışdan yenidən qoşulub məxfilik sınaması aparmaq əvəzinə insident prosesini izləyin. Yenidən qoşulma şəbəkə yolunun dəyişdiyini sübut edir, son nöqtə barədə heç nə sübut etmir.

Adi hal ilə bitirin: təsdiqlənmiş host, qorunmuş nəqliyyat, qəsdən seçdiyiniz autentifikasiya üsulu və ehtiyacınız olmayan heç bir ötürmə. Bu birləşmə başlıqdakı sualın cavabıdır və o, bir deyil, dörd qərardır.