Ո՞վ է իրականում տեսնում ձեր SSH գաղտնաբառը անվստահելի VPN-ով?

Անցկացրեք SSH սեսիան ձեր չկառավարած VPN-ով, և գաղտնաբառը դեռ պատկանում է SSH սերվերին, ոչ թե միջանկյալ ցանցին։ Եթե հաստատված հոսթ տանող փոխադրումը պատշաճ պաշտպանված է, այդ ուղու վրա պասիվ դիտորդը չի ստանում գաղտնաբառը ընթեռնելի տեսքով։ Բայց փոխեք մեկ պայման, և պատասխանը փոխվում է՝ չհաստատված հոսթը, թուլացված ծածկագրման ցանկը կամ վարակված աշխատանքային կայանը տալիս են տարբեր արդյունքներ։ Կատարեք ստորև նշված ստուգումները հերթականությամբ և յուրաքանչյուրը դիտարկեք որպես կանգառի պայման։

Անվանեք ստացողին նախքան որևէ բան մուտքագրելը

Գաղտնաբառի դաշտը շարժվում է նույնականացման հաղորդագրության ներսում, և այդ հաղորդագրությունը շարժվում է գաղտնագրված փոխադրման ներսում։ Գաղտնիությունը փոխադրման հատկություն է, այսինքն՝ կախված է նրանից, թե արդյոք պաշտպանությունը բանակցված է և արդյոք բանակցված է այն հոսթի հետ, որը դուք նկատի ունեիք։ Հենց այդ երկրորդ կեսն են մարդիկ բաց թողնում։ Խաբեբայի հետ գաղտնագրված կապը միաժամանակ գաղտնի է և անօգտակար։ VPN մուտքը ոչինչ չի ապացուցում SSH հոսթի մասին, և մատակարարի համբավը բանալու ստուգման փոխարինող չէ։

Երկու ուղղությունները մտքում առանձին պահեք։ Հոսթի բանալին պատասխանում է, թե որ սերվերին հասաք։ Գաղտնաբառով կամ բանալիով նույնականացումը պատասխանում է, թե սերվերը որ օգտվողին է ընդունում։ Երկրորդի բարելավումը երբեք չի վերանորոգում առաջինը։

Ստուգեք հոսթի ինքնությունը, գրառումը և բանակցությունը

Սկսեք հաճախորդում ձեր արդեն ունեցած գրառումով։ Հրապարակված մատնահետքը, որը համեմատվում է վստահելի աղբյուրի հետ, և known_hosts-ի գրառումը, որը դեռ համընկնում է, տալիս են ձեզ միակ ապացույցը, որը նշանակություն ունի նույնականացումից առաջ։

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

Սերվերի կողմում տպեք այն մատնահետքերը, որոնք մտադիր եք հրապարակել, փոխարենը հիշողությունից պատճենելու։ Դրանք ալիքից դուրս տարածելը հենց ամբողջ իմաստն է. հոսթի անվան հետ նույն զրույցի ալիքից փակցված մատնահետքը միայն ապացուցում է, որ երկուսն էլ նույն տեղից են եկել։

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

Բանակցված ալգորիթմները գալիս են երկու կողմերի հատումից։ Եթե հաճախորդի կարգավորումը հին սարքին հասնելու համար ամրացնում է հնացած բանալիների փոխանակում, այդ ընտրությունը վերաբերում է բոլոր հոսթերին, որոնց հետ այն խոսում է, ուստի սահմանափակեք այն այդ հոսթով, այլ ոչ թե գլոբալ։

Կարդացեք այն մեթոդները, որոնք սերվերն իրականում ընդունում է

Իմանալը, թե սերվերը որ նույնականացման մեթոդներն է թույլատրում, ասում է ձեզ, թե գաղտնաբառն ինչի համար է ընդհանրապես։ Հոսթը, որն ընդունում է միայն հանրային բանալիներ, պաշտպանելու ենթակա գաղտնաբառի փոխանակում չունի, իսկ հոսթը, որը դեռ ընդունում է գաղտնաբառեր, արժանի է գիտակցված որոշման, ոչ թե ժառանգված լռելյայնի։

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

Օգտվողին բանալիով նույնականացման անցնելը հանում է այդ օգտվողի գաղտնաբառը այդ փոխանակումից։ Դա վարակված աշխատանքային կայանը անվտանգ չի դարձնում, և անվստահելի հեռավոր սեսիան անվնաս չի դարձնում։ Դրանք տարբեր ռիսկեր են տարբեր վերահսկիչներով։ Որոշեք նաև գործակալի փոխանցման մասին։ Գործակալը անվստահելի հոսթ փոխանցելը այդ հոսթին տալիս է ձեր բանալիները սեսիայի ընթացքում օգտագործելու հնարավորություն, և դա ավելի մեծ բացահայտում է, քան այն գաղտնաբառի հարցը, որով ամեն ինչ սկսվեց։

Հոսթի բանալու նախազգուշացումը դիտարկեք որպես միջադեպի քայլ

Երբ հաճախորդը զգուշացնում է, որ հոսթի նույնականացումը փոխվել է, կանգ առեք և ստուգեք այնպիսի ալիքով, որը չի անցնում նույն ցանցային ուղով։ Համեմատեք մատնահետքը սերվերի կոնսոլի կամ այն վերակառուցած օպերատորի հետ։ Հին գրառումը ջնջելը՝ նախազգուշացումը լռեցնելու համար, այն միակ գործողությունն է, որից պետք է հրաժարվել։ Այն դեն է նետում ապացույցը և հնարավոր ընդհատումը վերածում սովորական մուտքի։

Եթե հոսթը օրինականորեն վերակառուցվել է, հեռացրեք հնացած գրառումը միայն նոր մատնահետքի հաստատումից հետո, ապա նորից միացեք և նորից ստուգեք բանակցությունը։ Գրանցեք փոփոխությունը ամսաթվով և պատճառով, որովհետև հաջորդ մարդը կտեսնի նույն նախազգուշացումը և պետք է իմանա, որ այն լուծված է։

Ինչ չի ընդգրկում այս ուղեցույցը

Երթևեկությունը դիտող VPN օպերատորը նույնը չէ, ինչ ձեր մեքենայի վրա տեղական արտոնություններ ունեցող ծրագրաշարը։ Վերջնակետի վարակումը, թշնամական բրաուզերի ընդլայնումը կամ ստեղնաշարի գրանցիչը գտնվում են այն ամենի տակ, ինչ SSH-ը կարող է բանակցել, և ոչ մի թունել դա չի փոխում։ Եթե աշխատանքային կայանը կասկածելի է, հետևեք միջադեպի ընթացակարգին՝ այլ ելքով նորից միանալով գաղտնիությունը փորձարկելու փոխարեն։ Նորից միանալը ապացուցում է, որ ցանցային ուղը փոխվել է, և ոչինչ վերջնակետի մասին։

Ավարտեք սովորական դեպքով՝ հաստատված հոսթ, պաշտպանված փոխադրում, ձեր դիտավորյալ ընտրած նույնականացման մեթոդը և ոչ մի ավելորդ փոխանցում։ Այդ համակցությունը վերնագրի հարցի պատասխանն է, և դա չորս որոշում է, ոչ թե մեկ։