Kes tegelikult näeb teie SSH-parooli ebausaldusväärses VPN-is?

Suunake SSH-seanss VPN-i kaudu, mida te ise ei halda, ja parool kuulub ikkagi SSH-serverile, mitte vahepealsele võrgule. Kui transport kinnitatud hostini on korralikult kaitstud, ei saa sellel teekonnal passiivne vaatleja parooli loetaval kujul. Muutke aga üht tingimust ja vastus muutub: kinnitamata host, nõrgendatud šifrite loend või kompromiteeritud tööjaam annavad erinevaid tulemusi. Tehke allpool olevad kontrollid järjekorras ja käsitlege igaüht peatumistingimusena.

Nimetage adressaat enne, kui midagi sisestate

Parooliväli liigub autentimissõnumi sees ja see sõnum liigub krüpteeritud transpordi sees. Konfidentsiaalsus on transpordi omadus, mis tähendab, et see sõltub sellest, kas kaitse on läbi räägitud ja kas see on läbi räägitud hostiga, mida te silmas pidasite. Just selle teise poole jätavad inimesed vahele. Petturiga krüpteeritud ühendus on korraga konfidentsiaalne ja kasutu. VPN-i sisselogimine ei tõesta SSH-hosti kohta midagi ja teenusepakkuja maine ei asenda võtmekontrolli.

Hoidke kaks suunda peas eraldi. Hostivõti vastab sellele, millise serverini te jõudsite. Parooli- või võtmeautentimine vastab sellele, millise kasutaja server vastu võtab. Teise parandamine ei paranda kunagi esimest.

Kontrollige hosti identiteeti, kirjet ja läbirääkimist

Alustage kliendis kirjega, mis teil juba on. Avaldatud sõrmejälg, mida võrreldakse usaldusväärse allikaga, ja known_hosts-kirje, mis ikka klapib, annavad teile ainsa tõendi, mis enne autentimise algust loeb.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

Serveri poolel printige sõrmejäljed, mida kavatsete avaldada, selle asemel et neid mälust kopeerida. Nende levitamine väljaspool kanalit ongi kogu mõte; sõrmejälg, mis on kleebitud samast vestluskanalist kui hostinimi, tõestab ainult seda, et mõlemad tulid samast kohast.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

Läbiräägitud algoritmid tulevad mõlema poole lõikepunktist. Kui kliendi konfiguratsioon kinnitab vananenud võtmevahetuse, et jõuda vana seadmeni, kehtib see valik iga hosti kohta, kellega see räägib, seega piirake see selle hostiga, mitte globaalselt.

Lugege meetodeid, mida server tegelikult aktsepteerib

Teada, milliseid autentimismeetodeid server lubab, ütleb teile, mille jaoks parool üldse on. Host, mis aktsepteerib ainult avalikke võtmeid, ei oma paroolivahetust, mida kaitsta, ja host, mis ikka aktsepteerib paroole, väärib teadlikku otsust, mitte päritud vaikeväärtust.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

Kasutaja üleviimine võtmeautentimisele eemaldab selle kasutaja parooli sellest vahetusest. See ei muuda kompromiteeritud tööjaama turvaliseks ega muuda ebausaldusväärset kaugseanssi kahjutuks. Need on erinevad riskid erinevate kontrollidega. Otsustage ka agendiedastuse üle. Agendi edastamine ebausaldusväärsesse hosti annab sellele hostile võimaluse teie võtmeid kasutada seni, kuni seanss kestab, ja see on suurem kokkupuude kui parooliküsimus, millega kõik algas.

Käsitlege hostivõtme hoiatust intsidendi sammuna

Kui klient hoiatab, et hosti identifitseerimine on muutunud, peatuge ja kontrollige kanali kaudu, mis ei läbi sama võrguteed. Võrrelge sõrmejälge serveri konsooliga või operaatoriga, kes selle uuesti üles ehitas. Vana kirje kustutamine hoiatuse vaigistamiseks on ainus tegevus, millest tuleb keelduda. See viskab tõendi ära ja muudab võimaliku pealtkuulamise tavaliseks sisselogimiseks.

Kui host ehitati seaduslikult uuesti üles, eemaldage aegunud kirje alles pärast uue sõrmejälje kinnitamist, seejärel ühenduge uuesti ja kontrollige läbirääkimist veel kord. Kirjutage muudatus koos kuupäeva ja põhjusega üles, sest järgmine inimene näeb sama hoiatust ja peab teadma, et see on lahendatud.

Mida see juhend ei kata

Liiklust jälgiv VPN-operaator ei ole sama mis tarkvara, millel on teie masinas kohalikud õigused. Lõpp-punkti kompromiteerimine, vaenulik brauserilaiend või klahvilogija asuvad kõige all, mida SSH saab läbi rääkida, ja ükski tunnel ei muuda seda. Kui tööjaam on kahtlane, järgige intsidendiprotsessi, mitte ei testige salajasust teise väljapääsu kaudu uuesti ühendudes. Uuesti ühendumine tõestab, et võrgutee muutus, ja mitte midagi lõpp-punkti kohta.

Lõpetage tavapärase juhtumiga: kinnitatud host, kaitstud transport, teadlikult valitud autentimismeetod ja ükski edastus, mida te ei vajanud. See kombinatsioon on vastus pealkirjas olevale küsimusele ja see on neli otsust, mitte üks.