Nork ikusten du benetan zure SSH pasahitza konfiantzarik gabeko VPN batean?

Bideratu SSH saio bat zuk kudeatzen ez duzun VPN baten bidez, eta pasahitzak SSH zerbitzariari jarraitzen dio, ez tartean dagoen sareari. Egiaztatutako ostalari baterako garraioa behar bezala babestuta badago, bide horretako behatzaile pasibo batek ez du pasahitza irakurgarri lortzen. Baina aldatu baldintza bat, eta erantzuna aldatzen da: egiaztatu gabeko ostalariak, ahuldutako zifratze-zerrendak edo konprometitutako lan-estazioak emaitza desberdinak ematen dituzte. Exekutatu beheko egiaztapenak hurrenez hurren, eta tratatu bakoitza gelditze-baldintza gisa.

Izenda ezazu hartzailea ezer idatzi aurretik

Pasahitz-eremua autentifikazio-mezu baten barruan bidaiatzen du, eta mezu hori zifratutako garraioaren barruan bidaiatzen du. Isilpekotasuna garraioaren propietatea da, hau da, babesa negoziatu den eta zuk buruan zenuen ostalariarekin negoziatu den ala ez da. Bigarren erdi hori da jendeak saltatzen duena. Inpostore batera zifratutako konexioa isilpea eta aldi berean alferrikakoa da. VPN saioa ez da ezer frogatzen SSH ostalariari buruz, eta hornitzailearen ospeak ez du gako-egiaztapena ordezkatzen.

Eduki bi norabideak bereiz buruan. Ostalariaren gakoak erantzuten du zein zerbitzarira iritsi zinen. Pasahitz edo gako bidezko autentifikazioak erantzuten du zer erabiltzaile onartzen duen zerbitzariak. Bigarrena hobetzeak ez du inoiz lehena konpontzen.

Egiaztatu ostalariaren identitatea, erregistroa eta negoziazioa

Hasi bezeroan jadanik daukazun erregistroarekin. Argitaratutako hatz-marka iturri fidagarri batekin alderatuta, eta oraindik bat datorren known_hosts sarrera batek, autentifikazioa hasi aurretik axola duen froga bakarra ematen dizute.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

Zerbitzariaren aldean, argitaratu nahi dituzun hatz-markak inprimatu, memoriatik kopiatu beharrean. Kanpotik banatzea da kontua; ostalariaren izenarekin txat-kanal beretik itsatsitako hatz-markak soilik frogatzen du biak leku beretik etorri zirela.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

Negoziatutako algoritmoak bi aldeen ebakiduratik datoz. Bezeroaren konfigurazioak gako-truke zaharkitu bat finkatzen badu gailu zahar batera iristeko, aukera hori hitz egiten duen ostalari bakoitzari aplikatzen zaio, beraz mugatu ostalari horretara eta ez orokorki.

Irakur itzazu zerbitzariak benetan onartzen dituen metodoak

Zerbitzari batek zein autentifikazio-metodo onartzen dituen jakiteak pasahitza zertarako den esaten dizu. Gako publikoak soilik onartzen dituen ostalarik ez du babesteko pasahitz-trukerik, eta pasahitzak oraindik onartzen dituen ostalarik erabaki deliberatua merezi du, ez heredatutako balio lehenetsia.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

Erabiltzaile bat gako bidezko autentifikaziora pasatzeak erabiltzaile horren pasahitza truke hartatik kentzen du. Ez du lan-estazio konprometitu bat seguru egiten, eta ez du urrutiko saio ez-fidagarri bat kaltegabe egiten. Arrisku desberdinak dira kontrol desberdinekin. Erabaki agentearen birbidalketari buruz ere. Agente bat ostalari ez-fidagarri batera birbidaltzeak ostalari horri zure gakoak erabiltzeko gaitasuna ematen dio saioa irauten duen bitartean, eta hori hasi zen pasahitz-kontuarena baino esposizio handiagoa da.

Trata ezazu ostalari-gakoaren abisua gertakari-pauso gisa

Bezeroak ostalariaren identifikazioa aldatu dela ohartarazten duenean, gelditu eta egiaztatu sare-bide beretik pasatzen ez den kanal baten bidez. Alderatu hatz-marka zerbitzariaren kontsolarekin edo berreraiki zuen operadorearekin. Abisua isilarazteko sarrera zaharra ezabatzea uko egin behar zaion ekintza bakarra da. Frogak baztertzen ditu eta balizko atzematea ohiko saio-hasiera bihurtzen du.

Ostalaria modu legitimoan berreraiki bazen, kendu sarrera zaharkitua hatz-marka berria berretsi ondoren soilik, gero berriz konektatu eta egiaztatu negoziazioa berriro. Erregistratu aldaketa datarekin eta arrazoiarekin, hurrengo pertsonak abisu bera ikusiko baitu eta konponduta dagoela jakin behar baitu.

Zer ez du estaltzen gida honek

Trafikoa behatzen duen VPN operadore bat ez da zure makinan tokiko pribilegioak dituen softwarea bezalakoa. Amaierako puntuaren konpromisoa, arakatzailearen luzapen etsai bat edo teklatu-erregistratzaile bat SSHk negozia dezakeen guztiaren azpitik dago, eta tunel batek ere ez du hori aldatzen. Lan-estazioa susmagarria bada, jarraitu gertakari-prozesua, ez probatu isilpekotasuna beste irteera batetik berriz konektatuz. Berriz konektatzeak sare-bidea aldatu dela frogatzen du, eta ezer ez amaierako puntuari buruz.

Amaitu ohiko kasuarekin: egiaztatutako ostalaria, babestutako garraioa, nahita aukeratutako autentifikazio-metodoa eta behar ez zenuen birbidalketarik gabe. Konbinazio hori da izenburuko galderaren erantzuna, eta lau erabaki dira, ez bat.