Сенімсіз VPN арқылы SSH құпия сөзіңізді шын мәнінде кім көреді?

Өзіңіз басқармайтын VPN арқылы SSH сессиясын өткізіңіз, және құпия сөз әлі де SSH серверіне тиесілі, арадағы желіге емес. Егер расталған хостқа дейінгі тасымал дұрыс қорғалған болса, сол жолдағы пассивті бақылаушы құпия сөзді оқуға болатын түрде алмайды. Бірақ бір шартты өзгертіңіз, жауап та өзгереді: расталмаған хост, әлсіретілген шифрлар тізімі немесе бұзылған жұмыс станциясы әртүрлі нәтиже береді. Төмендегі тексерулерді ретімен орындаңыз және әрқайсысын тоқтау шарты деп қабылдаңыз.

Бірдеңе термес бұрын алушыны атаңыз

Құпия сөз өрісі аутентификация хабарламасының ішінде жүреді, ал сол хабарлама шифрланған тасымалдың ішінде жүреді. Құпиялылық — тасымалдың қасиеті, яғни ол қорғаныс туралы келісілгеніне және ол сіз көздеген хостпен келісілгеніне байланысты. Адамдар дәл осы екінші жартысын өткізіп жібереді. Алдамшыға шифрланған байланыс бір мезгілде құпия әрі пайдасыз. VPN-ке кіру SSH хост туралы ештеңе дәлелдемейді, ал провайдердің беделі кілт тексеруін алмастырмайды.

Екі бағытты санаңызда бөлек ұстаңыз. Хост кілті қай серверге жеткеніңізге жауап береді. Құпия сөзбен немесе кілтпен аутентификация сервер қай пайдаланушыны қабылдайтынына жауап береді. Екіншісін жақсарту біріншісін ешқашан түзетпейді.

Хост сәйкестігін, жазбаны және келіссөзді тексеріңіз

Клиентте өзіңізде бар жазбадан бастаңыз. Сенімді дереккөзбен салыстырылған жарияланған саусақ ізі және әлі сәйкес келетін known_hosts жазбасы аутентификация басталғанға дейін маңызды жалғыз дәлелді береді.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

Сервер жағында жарияламақшы саусақ іздерін жадтан көшірудің орнына басып шығарыңыз. Оларды арнадан тыс тарату — бүкіл мәселенің мәні; хост атымен бірдей чат арнасынан қойылған саусақ ізі екеуі де бір жерден келгенін ғана дәлелдейді.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

Келісілген алгоритмдер екі тараптың қиылысынан келеді. Егер клиент конфигурациясы ескі құрылғыға жету үшін ескірген кілт алмасуды бекітсе, бұл таңдау ол сөйлесетін әрбір хостқа қолданылады, сондықтан оны жаһандық емес, сол хостпен шектеңіз.

Сервер шын мәнінде қандай әдістерді қабылдайтынын оқыңыз

Сервер қандай аутентификация әдістеріне рұқсат беретінін білу құпия сөздің не үшін керегін айтады. Тек ашық кілттерді қабылдайтын хосттың қорғайтын құпия сөз алмасуы жоқ, ал әлі де құпия сөздерді қабылдайтын хост мұраға қалған әдепкіге емес, саналы шешімге лайық.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

Пайдаланушыны кілттік аутентификацияға көшіру сол пайдаланушының құпия сөзін сол алмасудан шығарады. Бұл бұзылған жұмыс станциясын қауіпсіз етпейді және сенімсіз қашықтағы сессияны зиянсыз етпейді. Бұлар әртүрлі бақылауы бар әртүрлі тәуекелдер. Агентті жіберу туралы да шешім қабылдаңыз. Агентті сенімсіз хостқа жіберу сол хостқа сессия жалғасқанша кілттеріңізді пайдалану мүмкіндігін береді, және бұл бәрі басталған құпия сөз мәселесінен үлкенірек әсер ету.

Хост кілті туралы ескертуді оқиға қадамы ретінде қарастырыңыз

Клиент хост сәйкестендіруі өзгергені туралы ескерткенде, тоқтап, сол желілік жолмен өтпейтін арна арқылы тексеріңіз. Саусақ ізін сервер консолімен немесе оны қайта құрған оператормен салыстырыңыз. Ескертуді тыныштандыру үшін ескі жазбаны жою — бас тарту керек жалғыз әрекет. Ол дәлелді лақтырып, ықтимал ұстап қалуды қарапайым кіруге айналдырады.

Егер хост заңды түрде қайта құрылса, ескірген жазбаны жаңа саусақ ізі расталғаннан кейін ғана жойыңыз, содан кейін қайта қосылып, келіссөзді қайта тексеріңіз. Өзгерісті күні мен себебімен тіркеңіз, өйткені келесі адам сол ескертуді көреді және оның шешілгенін білуі керек.

Бұл нұсқаулық нені қамтымайды

Трафикті бақылап отырған VPN операторы сіздің машинаңызда жергілікті артықшылықтары бар бағдарламамен бірдей емес. Соңғы нүктенің бұзылуы, жау браузер кеңейтімі немесе пернетақта жазушысы SSH келісе алатын нәрсенің бәрінен төмен тұрады, және ешбір туннель мұны өзгертпейді. Егер жұмыс станциясы күмәнді болса, басқа шығыс арқылы қайта қосылып құпиялылықты тексерудің орнына оқиға рәсімін ұстаныңыз. Қайта қосу желілік жолдың өзгергенін дәлелдейді, ал соңғы нүкте туралы ештеңе дәлелдемейді.

Кәдімгі жағдаймен аяқтаңыз: расталған хост, қорғалған тасымал, әдейі таңдаған аутентификация әдісі және қажет емес ешқандай жіберу. Осы үйлесім тақырыптағы сұрақтың жауабы, және ол бір емес, төрт шешім.