Ki látja valójában az SSH-jelszavát egy nem megbízható VPN-en?

Vezessen SSH-munkamenetet egy olyan VPN-en keresztül, amelyet nem ön üzemeltet, és a jelszó továbbra is az SSH-kiszolgálóé, nem a köztes hálózaté. Ha az ellenőrzött gazdagéphez vezető átvitel megfelelően védett, egy passzív megfigyelő azon az úton nem kapja meg a jelszót olvasható formában. De változtasson meg egy feltételt, és a válasz megváltozik: egy ellenőrizetlen gazdagép, egy legyengített titkosítási lista vagy egy feltört munkaállomás mind más eredményt ad. Hajtsa végre az alábbi ellenőrzéseket sorrendben, és tekintse mindegyiket leállítási feltételnek.

Nevezze meg a címzettet, mielőtt bármit beír

A jelszómező egy hitelesítési üzeneten belül utazik, és az az üzenet a titkosított átvitelen belül utazik. A bizalmasság az átvitel tulajdonsága, ami azt jelenti, hogy attól függ, hogy sikerült-e védelemről megegyezni, és hogy a szándékolt gazdagéppel sikerült-e megegyezni róla. Pontosan ezt a második felét hagyják ki az emberek. Egy szélhámoshoz titkosított kapcsolat egyszerre bizalmas és haszontalan. A VPN-bejelentkezés semmit sem bizonyít az SSH-gazdagépről, és a szolgáltató hírneve nem helyettesíti a kulcsellenőrzést.

Tartsa fejben külön a két irányt. A gazdagép kulcsa arra válaszol, melyik kiszolgálóra jutott el. A jelszavas vagy kulcsos hitelesítés arra válaszol, melyik felhasználót fogadja el a kiszolgáló. A második javítása soha nem javítja meg az elsőt.

Ellenőrizze a gazdagép identitását, a rekordot és az egyeztetést

Kezdje az ügyfélen a már meglévő rekorddal. Egy közzétett ujjlenyomat, amelyet megbízható forráshoz hasonlítanak, és egy known_hosts-bejegyzés, amely még mindig egyezik, adják az egyetlen bizonyítékot, amely a hitelesítés előtt számít.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

A kiszolgáló oldalán nyomtassa ki a közzétenni kívánt ujjlenyomatokat, ahelyett hogy emlékezetből másolná őket. A csatornán kívüli terjesztésük a lényeg; a gazdagépnévvel azonos csevegőcsatornáról beillesztett ujjlenyomat csak azt bizonyítja, hogy mindkettő ugyanarról a helyről származik.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

Az egyeztetett algoritmusok a két fél metszetéből adódnak. Ha egy ügyfélkonfiguráció egy elavult kulcscserét rögzít egy régi eszköz eléréséhez, az a választás minden gazdagépre vonatkozik, amellyel beszél, ezért ahhoz a gazdagéphez szűkítse, ne globálisan.

Olvassa el, milyen módszereket fogad el a kiszolgáló valóban

Ha tudja, milyen hitelesítési módszereket engedélyez a kiszolgáló, az megmondja, mihez kell egyáltalán a jelszó. Egy gazdagépnek, amely csak nyilvános kulcsokat fogad el, nincs jelszócsere, amelyet védeni kellene, és egy gazdagép, amely még mindig elfogad jelszavakat, tudatos döntést érdemel örökölt alapértelmezés helyett.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

Ha egy felhasználót kulcsos hitelesítésre állít át, az illető jelszava kikerül abból a cseréből. Ez nem teszi biztonságossá a feltört munkaállomást, és nem teszi ártalmatlanná a nem megbízható távoli munkamenetet. Ezek különböző kockázatok különböző kontrollokkal. Döntsön az ügynök továbbításáról is. Egy ügynök továbbítása nem megbízható gazdagépre lehetővé teszi annak a gazdagépnek, hogy a munkamenet idejére használja az ön kulcsait, és ez nagyobb kitettség, mint a jelszókérdés, amellyel minden elkezdődött.

Kezelje a gazdagépkulcsra vonatkozó figyelmeztetést incidenslépésként

Amikor az ügyfél figyelmeztet, hogy a gazdagép azonosítása megváltozott, álljon meg, és egy olyan csatornán ellenőrizze, amely nem ugyanazon a hálózati útvonalon halad. Hasonlítsa össze az ujjlenyomatot a kiszolgáló konzoljával vagy azzal az üzemeltetővel, aki újraépítette. A régi bejegyzés törlése a figyelmeztetés elnémításához az az egyetlen művelet, amelyet meg kell tagadnia. Eldobja a bizonyítékot, és egy lehetséges lehallgatást normál bejelentkezéssé alakít.

Ha a gazdagépet jogszerűen építették újra, csak az új ujjlenyomat megerősítése után távolítsa el az elavult bejegyzést, majd csatlakozzon újra, és ellenőrizze ismét az egyeztetést. Jegyezze fel a változást dátummal és indoklással, mert a következő ember ugyanezt a figyelmeztetést fogja látni, és tudnia kell, hogy megoldódott.

Mit nem fed le ez az útmutató

Egy forgalmat figyelő VPN-üzemeltető nem ugyanaz, mint a gépén helyi jogosultságokkal rendelkező szoftver. A végpont kompromittálása, egy ellenséges böngészőbővítmény vagy egy billentyűzetnaplózó minden alatt van, amiről az SSH meg tud állapodni, és ezen semmilyen alagút nem változtat. Ha a munkaállomás gyanús, kövesse az incidenseljárást, ahelyett hogy a titkosságot egy másik kijáraton át történő újracsatlakozással tesztelné. Az újracsatlakozás azt bizonyítja, hogy a hálózati útvonal megváltozott, és semmit a végpontról.

Fejezze be a szokásos esettel: ellenőrzött gazdagép, védett átvitel, a szándékosan választott hitelesítési módszer és semmilyen szükségtelen továbbítás. Ez a kombináció a címben feltett kérdés válasza, és ez négy döntés, nem egy.