Kuka oikeastaan näkee SSH-salasanasi epäluotettavassa VPN:ssä?

Reititä SSH-istunto VPN:n yli, jota et itse hallinnoi, ja salasana kuuluu silti SSH-palvelimelle, ei välissä olevalle verkolle. Jos yhteys vahvistettuun isäntään on kunnolla suojattu, ei passiivinen tarkkailija sillä reitillä saa salasanaa luettavassa muodossa. Muuta kuitenkin yhtä ehtoa, ja vastaus muuttuu: vahvistamaton isäntä, heikennetty salauslista tai kompromettoitu työasema tuottavat erilaisia tuloksia. Suorita alla olevat tarkistukset järjestyksessä ja kohtele jokaista pysäytysehtona.

Nimeä vastaanottaja ennen kuin kirjoitat mitään

Salasanakenttä kulkee todennusviestin sisällä ja se viesti kulkee salatun siirtoyhteyden sisällä. Luottamuksellisuus on siirtoyhteyden ominaisuus, eli se riippuu siitä, että suojauksesta on neuvoteltu ja että siitä on neuvoteltu sen isännän kanssa, jota tarkoitit. Juuri tämän toisen puoliskon ihmiset ohittavat. Petkuttajalle salattu yhteys on yhtä aikaa luottamuksellinen ja hyödytön. VPN-kirjautuminen ei todista mitään SSH-isännästä, eikä palveluntarjoajan maine korvaa avaintarkistusta.

Pidä kaksi suuntaa erillään päässäsi. Isännän avain vastaa siihen, mille palvelimelle päädyit. Salasana- tai avaintodennus vastaa siihen, minkä käyttäjän palvelin hyväksyy. Toisen parantaminen ei koskaan korjaa ensimmäistä.

Tarkista isännän identiteetti, tallenne ja neuvottelu

Aloita asiakkaassa tallenteesta, joka sinulla jo on. Julkaistu sormenjälki, joka verrataan luotettavaan lähteeseen, ja known_hosts-merkintä, joka yhä täsmää, antavat sinulle ainoan todisteen, jolla on merkitystä ennen todennuksen alkua.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

Palvelimen puolella tulosta sormenjäljet, jotka aiot julkaista, sen sijaan että kopioisit ne muistista. Niiden jakelu kanavan ulkopuolella on koko pointti; sormenjälki, joka on liitetty samasta chat-kanavasta kuin isäntänimi, todistaa vain, että molemmat tulivat samasta paikasta.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

Neuvotellut algoritmit tulevat molempien osapuolten leikkauksesta. Jos asiakkaan kokoonpano kiinnittää vanhentuneen avainvaihdon vanhaan laitteeseen pääsemiseksi, tämä valinta koskee jokaista isäntää, jonka kanssa se puhuu, joten rajaa se siihen isäntään eikä globaaliksi.

Lue menetelmät, jotka palvelin todella hyväksyy

Tietäminen, mitä todennusmenetelmiä palvelin sallii, kertoo sinulle, mihin salasanaa ylipäätään tarvitaan. Isännällä, joka hyväksyy vain julkiset avaimet, ei ole suojattavaa salasanavaihtoa, ja isäntä, joka yhä hyväksyy salasanoja, ansaitsee tietoisen päätöksen eikä perittyä oletusta.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

Käyttäjän siirtäminen avaintodennukseen poistaa kyseisen käyttäjän salasanan siitä vaihdosta. Se ei tee kompromettoidusta työasemasta turvallista eikä epäluotettavasta etäistunnosta vaaratonta. Ne ovat eri riskejä eri kontrolleilla. Päätä myös agentin edelleenlähetyksestä. Agentin lähettäminen epäluotettavaan isäntään antaa sille isännälle kyvyn käyttää avaimiasi istunnon kestäessä, ja se on suurempi altistus kuin salasanakysymys, josta kaikki alkoi.

Käsittele isännän avainvaroitus tapausvaiheena

Kun asiakas varoittaa, että isännän tunnistus on muuttunut, pysähdy ja vahvista kanavan kautta, joka ei kulje samaa verkkoreittiä. Vertaa sormenjälkeä palvelimen konsoliin tai operaattoriin, joka sen rakensi uudelleen. Vanhan merkinnän poistaminen varoituksen vaientamiseksi on ainoa toimenpide, josta pitää kieltäytyä. Se heittää pois todisteen ja muuttaa mahdollisen sieppauksen tavalliseksi kirjautumiseksi.

Jos isäntä rakennettiin uudelleen laillisesti, poista vanhentunut merkintä vasta kun uusi sormenjälki on vahvistettu, yhdistä sitten uudelleen ja tarkista neuvottelu uudelleen. Kirjaa muutos päivämäärän ja syyn kanssa, koska seuraava henkilö näkee saman varoituksen ja hänen täytyy tietää, että se on ratkaistu.

Mitä tämä ohje ei kata

Liikennettä tarkkaileva VPN-operaattori ei ole sama kuin ohjelmisto, jolla on paikalliset oikeudet koneellasi. Päätepisteen kompromissi, vihamielinen selainlaajennus tai näppäimistön tallentaja ovat kaiken SSH:n neuvotteleman alapuolella, eikä mikään tunneli muuta sitä. Jos työasema on epäilyttävä, seuraa tapausprosessia sen sijaan että testaisit salaisuutta yhdistämällä uudelleen toisen uloskäynnin kautta. Uudelleenyhdistäminen todistaa verkkoreitin muuttuneen eikä mitään päätepisteestä.

Lopeta tavalliseen tapaukseen: vahvistettu isäntä, suojattu siirtoyhteys, tietoisesti valitsemasi todennusmenetelmä ja mikään edelleenlähetys, jota et tarvinnut. Tämä yhdistelmä on vastaus otsikon kysymykseen, ja se on neljä päätöstä eikä yksi.