અવિશ્વસનીય VPN પર તમારો SSH પાસવર્ડ ખરેખર કોણ જુએ છે?

તમે જાતે સંચાલન ન કરો એવા VPN પરથી SSH સત્ર પસાર કરો, અને પાસવર્ડ હજી પણ SSH સર્વરનો જ રહે છે, વચ્ચેના નેટવર્કનો નહીં. જો ચકાસાયેલા હોસ્ટ સુધીનું પરિવહન યોગ્ય રીતે સુરક્ષિત હોય, તો તે માર્ગ પરનો નિષ્ક્રિય નિરીક્ષક પાસવર્ડ વાંચી શકાય તેવા સ્વરૂપમાં મેળવતો નથી. પણ એક શરત બદલો, અને જવાબ બદલાય છે: ચકાસાયેલ ન હોય તેવું હોસ્ટ, નબળી કરેલી સાઇફર યાદી, કે ભંગ થયેલું વર્કસ્ટેશન દરેક અલગ પરિણામ આપે છે. નીચેની ચકાસણીઓ ક્રમમાં કરો, અને દરેકને અટકવાની શરત ગણો.

કંઈપણ લખતા પહેલાં પ્રાપ્તકર્તાનું નામ આપો

પાસવર્ડ ક્ષેત્ર પ્રમાણીકરણ સંદેશની અંદર મુસાફરી કરે છે, અને એ સંદેશ એન્ક્રિપ્ટેડ પરિવહનની અંદર મુસાફરી કરે છે. ગોપનીયતા પરિવહનનો ગુણધર્મ છે, એટલે કે તે સુરક્ષા વાટાઘાટ થઈ છે કે નહીં અને તે તમે ધારેલા હોસ્ટ સાથે જ થઈ છે કે નહીં તેના પર આધાર રાખે છે. લોકો બરાબર એ બીજો અડધો ભાગ છોડી દે છે. છેતરનાર સાથે એન્ક્રિપ્ટ કરેલું જોડાણ એકસાથે ગોપનીય અને નકામું હોય છે. VPN લોગિન SSH હોસ્ટ વિશે કંઈ સાબિત કરતું નથી, અને પ્રદાતાની પ્રતિષ્ઠા કી-ચકાસણીનો વિકલ્પ નથી.

બે દિશાઓ મનમાં અલગ રાખો. હોસ્ટ કી જવાબ આપે છે કે તમે કયા સર્વર સુધી પહોંચ્યા. પાસવર્ડ કે કી પ્રમાણીકરણ જવાબ આપે છે કે સર્વર કયા વપરાશકર્તાને સ્વીકારે છે. બીજાનું સુધારણ પહેલાને ક્યારેય સુધારતું નથી.

હોસ્ટની ઓળખ, રેકોર્ડ અને વાટાઘાટ તપાસો

ક્લાયન્ટ પર તમારી પાસે પહેલેથી જ હોય તે રેકોર્ડથી શરૂ કરો. વિશ્વસનીય સ્રોત સાથે સરખાવાયેલી પ્રકાશિત ફિંગરપ્રિન્ટ, અને હજી મેળ ખાતી known_hosts એન્ટ્રી, પ્રમાણીકરણ શરૂ થાય તે પહેલાં તમને એકમાત્ર જરૂરી પુરાવો આપે છે.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

સર્વરની બાજુએ, તમે પ્રકાશિત કરવા માંગો છો તે ફિંગરપ્રિન્ટ છાપો, યાદશક્તિમાંથી નકલ કરવાને બદલે. તેમને ચેનલની બહાર વહેંચવું એ જ મુખ્ય મુદ્દો છે; હોસ્ટનામ જેવી જ ચેટ ચેનલમાંથી પેસ્ટ કરેલી ફિંગરપ્રિન્ટ ફક્ત એટલું જ સાબિત કરે છે કે બંને એક જ જગ્યાએથી આવ્યા છે.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

વાટાઘાટ થયેલા અલ્ગોરિધમ બંને બાજુઓના છેદમાંથી આવે છે. જો ક્લાયન્ટ રૂપરેખા જૂના ઉપકરણ સુધી પહોંચવા માટે બહિષ્કૃત કી-એક્સચેન્જ પિન કરે, તો એ પસંદગી તેની સાથે વાત કરતા દરેક હોસ્ટને લાગુ પડે છે, તેથી તેને વૈશ્વિક નહીં પણ એ હોસ્ટ સુધી મર્યાદિત કરો.

સર્વર ખરેખર કઈ પદ્ધતિઓ સ્વીકારે છે તે વાંચો

સર્વર કઈ પ્રમાણીકરણ પદ્ધતિઓની પરવાનગી આપે છે તે જાણવાથી ખબર પડે છે કે પાસવર્ડ ખરેખર શેના માટે છે. જે હોસ્ટ ફક્ત જાહેર કી સ્વીકારે છે તેની પાસે રક્ષણ કરવા જેવું પાસવર્ડ વિનિમય નથી, અને જે હોસ્ટ હજી પણ પાસવર્ડ સ્વીકારે છે તે વારસાગત ડિફૉલ્ટને બદલે સભાન નિર્ણયને લાયક છે.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

વપરાશકર્તાને કી પ્રમાણીકરણમાં ખસેડવાથી તે વપરાશકર્તાનો પાસવર્ડ તે વિનિમયમાંથી નીકળી જાય છે. તેનાથી ભંગ થયેલું વર્કસ્ટેશન સુરક્ષિત થતું નથી, અને અવિશ્વસનીય દૂરસ્થ સત્ર હાનિકારક રહેતું નથી. આ અલગ નિયંત્રણો સાથેના અલગ જોખમો છે. એજન્ટ ફોરવર્ડિંગ વિશે પણ નિર્ણય લો. અવિશ્વસનીય હોસ્ટને એજન્ટ ફોરવર્ડ કરવાથી તે હોસ્ટને સત્ર ચાલુ હોય ત્યાં સુધી તમારી કી વાપરવાની ક્ષમતા મળે છે, અને આ શરૂઆતના પાસવર્ડ પ્રશ્ન કરતાં મોટું જોખમ છે.

હોસ્ટ-કી ચેતવણીને ઘટનાના પગલા તરીકે સંભાળો

જ્યારે ક્લાયન્ટ ચેતવણી આપે કે હોસ્ટની ઓળખ બદલાઈ છે, ત્યારે અટકો અને એવી ચેનલ દ્વારા ચકાસો જે એ જ નેટવર્ક માર્ગમાંથી પસાર થતી ન હોય. ફિંગરપ્રિન્ટની સરખામણી સર્વર કન્સોલ અથવા તેને ફરી બનાવનાર ઓપરેટર સાથે કરો. ચેતવણી શાંત કરવા જૂની એન્ટ્રી ડિલીટ કરવી એ એકમાત્ર ક્રિયા છે જેનો ઇનકાર કરવો જોઈએ. તે પુરાવો ફેંકી દે છે અને સંભવિત અટકાવને સામાન્ય લોગિનમાં ફેરવે છે.

જો હોસ્ટ કાયદેસર રીતે ફરી બનાવાયું હોય, તો નવી ફિંગરપ્રિન્ટની પુષ્ટિ થયા પછી જ જૂની એન્ટ્રી દૂર કરો, પછી ફરી કનેક્ટ થાઓ અને વાટાઘાટ ફરી તપાસો. ફેરફાર તારીખ અને કારણ સાથે નોંધો, કારણ કે આગલી વ્યક્તિ એ જ ચેતવણી જોશે અને જાણવું જરૂરી છે કે તે ઉકેલાઈ ગઈ છે.

આ રનબુક શું આવરી લેતું નથી

ટ્રાફિક જોઈ રહેલો VPN ઓપરેટર તમારા મશીન પર સ્થાનિક વિશેષાધિકારો ધરાવતા સૉફ્ટવેર જેવો નથી. એન્ડપોઇન્ટનો ભંગ, શત્રુતાપૂર્ણ બ્રાઉઝર એક્સ્ટેન્શન કે કીબોર્ડ લોગર SSH જે વાટાઘાટ કરી શકે તેની નીચે બેસે છે, અને કોઈ ટનલ તેને બદલતું નથી. જો વર્કસ્ટેશન શંકાસ્પદ હોય, તો બીજા એગ્ઝિટ દ્વારા ફરી કનેક્ટ થઈને ગોપનીયતા ચકાસવાને બદલે ઘટના પ્રક્રિયા અનુસરો. ફરી કનેક્ટ થવું સાબિત કરે છે કે નેટવર્ક માર્ગ બદલાયો છે, અને એન્ડપોઇન્ટ વિશે કંઈ નહીં.

સામાન્ય કિસ્સા સાથે પૂર્ણ કરો: ચકાસાયેલું હોસ્ટ, સુરક્ષિત પરિવહન, સભાનપણે પસંદ કરેલી પ્રમાણીકરણ પદ્ધતિ, અને જરૂર ન હોય તેવું કોઈ ફોરવર્ડિંગ નહીં. એ જ સંયોજન શીર્ષકના પ્રશ્નનો જવાબ છે, અને તે એક નહીં પણ ચાર નિર્ણયો છે.