Hver sér í raun SSH-lykilorðið þitt á ótraustu VPN?

Leiddu SSH-lotu yfir VPN sem þú rekur ekki og lykilorðið tilheyrir samt SSH-þjóninum, ekki netinu þar á milli. Ef flutningurinn að sannreyndum hýsli er almennilega varinn, fær óvirkur áhorfandi á þeirri leið ekki lykilorðið í læsilegu formi. En breyttu einu skilyrði og svarið breytist: ósannreyndur hýsill, veikt listi yfir dulritanir eða sýkt vinnustöð gefa ólíka útkomu. Farðu í skoðanirnar hér að neðan í réttri röð og meðhöndlaðu hverja sem stöðvunarskilyrði.

Nefndu viðtakandann áður en þú slærð inn eitthvað

Lykilorðsreiturinn ferðast inni í auðkenningarskilaboðum og þau skilaboð ferðast inni í dulkóðuðum flutningnum. Trúnaður er eiginleiki flutningsins, sem þýðir að hann fer eftir því hvort samið hefur verið um vernd og hvort samið hefur verið um hana við þann hýsil sem þú ætlaðir. Það er einmitt seinni helmingurinn sem fólk sleppir. Tenging sem er dulkóðuð til svindlara er bæði trúnaðarmál og gagnslaus. Innskráningin á VPN sannar ekkert um SSH-hýsilinn, og orðspor þjónustuveitandans kemur ekki í stað lyklaskoðunarinnar.

Haltu báðum áttunum aðskildum í huganum. Hýsillykillinn svarar því hvaða þjóni þú náðir til. Auðkenning með lykilorði eða lykli svarar því hvaða notanda þjónninn tekur við. Að bæta hina síðari lagar aldrei þá fyrri.

Skoðaðu auðkenni hýsilsins, skrána og samningaviðræðurnar

Byrjaðu á biðlaranum með skránni sem þú hefur þegar. Birt fingrafar sem borið er saman við traustan uppsprettu, og known_hosts-færsla sem passar enn, gefa þér einu sönnunina sem skiptir máli áður en auðkenning hefst.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

Á þjónshliðinni skaltu prenta fingraförin sem þú ætlar að birta í stað þess að afrita þau úr minni. Að dreifa þeim utan rásarinnar er einmitt málið; fingrafar sem er límt úr sömu spjallrás og hýsilsheitið sannar aðeins að bæði komu frá sama stað.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

Samningaviðræðualgóritmin koma úr skurði beggja aðila. Ef biðlarastilling festir úrelta lyklaskipti til að ná í gamalt tæki gildir sú ákvörðun fyrir hvern þann hýsil sem hann talar við, svo takmarkaðu hana við þann hýsil í stað þess að gera hana almenna.

Lestu aðferðirnar sem þjónninn tekur í raun við

Að vita hvaða auðkenningaraðferðir þjónn leyfir segir þér til hvers lykilorðið er yfirhöfuð. Hýsill sem tekur aðeins við opinberum lyklum hefur engin lykilorðaskipti að verja, og hýsill sem tekur enn við lykilorðum á skilið yfirvegaða ákvörðun frekar en arfleifða sjálfgefna stillingu.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

Að flytja notanda yfir í auðkenningu með lykli fjarlægir lykilorð þess notanda úr þeim skiptum. Það gerir sýkta vinnustöð ekki örugga og gerir ótrausta fjarlæga lotu ekki meinlausa. Þetta eru ólíkar áhættur með ólíkum vörnum. Ákveddu líka um framsendingu umboðsaðila. Að framsenda umboðsaðila til ótrausts hýsils gefur þeim hýsli möguleika á að nota lyklana þína meðan lotan stendur, og það er meiri vá en lykilorðsspurningin sem þetta byrjaði á.

Meðhöndlaðu viðvörun um hýsillykil sem skref í atviki

Þegar biðlarinn varar við því að auðkenni hýsilsins hafi breyst skaltu stöðva og sannreyna í gegnum rás sem fer ekki sömu netleið. Berðu fingrafarið saman við stjórnborð þjónsins eða við rekstraraðilann sem byggði hann upp á ný. Að eyða gömlu færslunni til að þagga niður í viðvöruninni er eina aðgerðin sem þú ættir að hafna. Hún hendir sönnuninni og breytir hugsanlegum hleri í venjulega innskráningu.

Ef hýsillinn var byggður upp á ný á lögmætan hátt skaltu fjarlægja úreltu færsluna aðeins eftir að nýja fingrafarið hefur verið staðfest, tengjast síðan aftur og skoða samningaviðræðurnar á ný. Skráðu breytinguna með dagsetningu og ástæðu, því næsta manneskja mun sjá sömu viðvörun og þarf að vita að búið er að leysa málið.

Hvað þessi handbók nær ekki yfir

VPN-rekstraraðili sem fylgist með umferð er ekki það sama og hugbúnaður með staðbundin réttindi á vélinni þinni. Skaði á endapunkti, fjandsamleg viðbót við vafra eða lyklaborðsupptökur eru undir öllu sem SSH getur samið um, og engin göng breyta því. Ef vinnustöðin er grunsamleg skaltu fylgja atviksferlinu í stað þess að prófa leynd með því að tengjast aftur í gegnum aðra útgang. Aftur tenging sannar að netleiðin breyttist og ekkert um endapunktinn.

Ljúktu með venjulega tilvikinu: sannreyndur hýsill, varinn flutningur, auðkenningaraðferðin sem þú valdir viljandi og engin framsending sem þú þurftir ekki. Sú samsetning er svarið við spurningunni í fyrirsögninni, og það eru fjórar ákvarðanir, ekki ein.