Pwy sy’n gweld eich cyfrinair SSH mewn VPN anniogel, mewn gwirionedd?

Rhedwch sesiwn SSH dros VPN nad ydych chi’n ei reoli, ac mae’r cyfrinair yn dal i berthyn i’r gweinydd SSH, nid i’r rhwydwaith yn y canol. Os yw’r cludiant i westeiwr wedi’i ddilysu wedi’i amddiffyn yn iawn, nid yw arsylwr goddefol ar y llwybr hwnnw yn cael y cyfrinair ar ffurf ddarllenadwy. Ond newidiwch un amod, ac mae’r ateb yn newid: mae gwesteiwr heb ei ddilysu, rhestr seis yn wan, neu waithfan wedi’i chyfaddawdu i gyd yn rhoi canlyniadau gwahanol. Rhedwch y gwiriadau isod yn eu trefn, a thriniwch bob un fel amod stopio.

Enwch y derbynnydd cyn teipio unrhyw beth

Mae’r maes cyfrinair yn teithio o fewn neges ddilysu, ac mae’r neges honno’n teithio o fewn y cludiant wedi’i amgryptio. Mae cyfrinachedd yn briodwedd o’r cludiant, sy’n golygu ei fod yn dibynnu ar fod amddiffyniad wedi’i drafod ac ar fod wedi’i drafod gyda’r gwesteiwr roeddech yn bwriadu ei gyrraedd. Yr ail hanner hwnnw yw’r rhan mae pobl yn ei hepgor. Mae cysylltiad wedi’i amgryptio i dwyllwr yn gyfrinachol ac yn ddiwerth ar yr un pryd. Nid yw mewngofnodi VPN yn profi dim am westeiwr SSH, ac nid yw enw da’r darparwr yn cymryd lle’r gwiriad allwedd.

Cadwch y ddau gyfeiriad ar wahân yn eich pen. Mae allwedd y gwesteiwr yn ateb pa weinydd gyrhaeddoch. Mae dilysu cyfrinair neu allwedd yn ateb pa ddefnyddiwr mae’r gweinydd yn ei dderbyn. Nid yw gwella’r ail byth yn trwsio’r cyntaf.

Gwiriwch hunaniaeth y gwesteiwr, y cofnod a’r drafodaeth

Dechreuwch ar y cleient gyda’r cofnod sydd gennych yn barod. Mae ôl-brint a gyhoeddwyd wedi’i gymharu â ffynhonnell ddibynadwy, a chofnod known_hosts sy’n dal i gyd-fynd, yn rhoi’r unig dystiolaeth sy’n bwysig cyn i ddilysu ddechrau.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

Ar ochr y gweinydd, printiwch yr ôl-brintiau rydych yn bwriadu eu cyhoeddi yn lle eu copïo o’r cof. Mae eu dosbarthu drwy sianel ar wahân yn union yw’r pwynt; nid yw ôl-brint a ludiwyd o’r un sianel sgwrsio â’r enw gwesteiwr yn profi dim ond bod y ddau wedi dod o’r un man.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

Daw’r algorithmau a drafodwyd o groestoriad y ddwy ochr. Os yw ffurfweddiad cleient yn pinio cyfnewid allweddi darfodedig i gyrraedd dyfais hen, mae’r dewis hwnnw’n berthnasol i bob gwesteiwr y mae’n siarad ag ef, felly cwmpaswch ef i’r gwesteiwr hwnnw yn hytrach nag yn fyd-eang.

Darllenwch y dulliau mae’r gweinydd yn eu derbyn mewn gwirionedd

Mae gwybod pa ddulliau dilysu y mae gweinydd yn eu caniatáu yn dweud wrthych ar gyfer beth mae’r cyfrinair o gwbl. Nid oes gan westeiwr sy’n derbyn allweddi cyhoeddus yn unig unrhyw gyfnewid cyfrinair i’w amddiffyn, ac mae gwesteiwr sy’n dal i dderbyn cyfrineiriau yn haeddu penderfyniad bwriadol yn hytrach na diofyn a etifeddwyd.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

Mae symud defnyddiwr i ddilysu allwedd yn tynnu cyfrinair y defnyddiwr hwnnw o’r cyfnewid hwnnw. Nid yw’n gwneud gwaithfan wedi’i chyfaddawdu yn ddiogel, ac nid yw’n gwneud sesiwn bell anniogel yn ddiniwed. Mae’r rhain yn risgiau gwahanol gyda rheolaethau gwahanol. Penderfynwch hefyd am anfon asiant ymlaen. Mae anfon asiant ymlaen i westeiwr anniogel yn rhoi gallu i’r gwesteiwr hwnnw ddefnyddio’ch allweddi tra bydd y sesiwn yn para, sy’n amlygiad mwy na chwestiwn y cyfrinair a ddechreuodd hyn.

Triniwch rybudd allwedd gwesteiwr fel cam digwyddiad

Pan fydd y cleient yn rhybuddio bod hunaniaeth y gwesteiwr wedi newid, stopiwch a gwiriwch drwy sianel nad yw’n mynd drwy’r un llwybr rhwydwaith. Cymharwch yr ôl-brint â chonsol y gweinydd neu â’r gweithredwr a’i hailadeiladodd. Mae dileu’r cofnod hen i dawelu’r rhybudd yr un weithred i’w gwrthod. Mae’n taflu’r dystiolaeth ac yn troi rhyng-gipiad posibl yn fewngofnodi arferol.

Os cafodd y gwesteiwr ei ailadeiladu’n gyfreithlon, tynnwch y cofnod darfodedig yn unig ar ôl i’r ôl-brint newydd gael ei gadarnhau, yna ailgysylltwch ac ail-wiriwch y drafodaeth. Cofnodwch y newid gyda’r dyddiad a’r rheswm, oherwydd bydd y person nesaf yn gweld yr un rhybudd ac mae angen iddo wybod ei fod wedi’i ddatrys.

Beth nad yw’r canllaw hwn yn ei gwmpasu

Nid yw gweithredwr VPN sy’n gwylio traffig yr un peth â meddalwedd â breintiau lleol ar eich peiriant. Mae cyfaddawd y pen draw, estyniad porwr gelyniaethus neu gofnodydd bysellfwrdd yn gorwedd o dan bopeth y gall SSH ei drafod, ac nid oes unrhyw dwnnel yn newid hynny. Os yw’r waithfan yn amheus, dilynwch y broses ddigwyddiad yn hytrach na phrofi cyfrinachedd drwy ailgysylltu drwy allanfa wahanol. Mae ailgysylltu’n profi bod y llwybr rhwydwaith wedi newid a dim am y pen draw.

Gorffennwch gyda’r achos cyffredin: gwesteiwr wedi’i ddilysu, cludiant wedi’i amddiffyn, y dull dilysu a ddewisoch yn fwriadol, ac heb unrhyw anfon ymlaen nad oedd ei angen arnoch. Y cyfuniad hwnnw yw’r ateb i’r cwestiwn yn y teitl, ac mae’n bedwar penderfyniad yn hytrach nag un.