Ишенимсиз VPN аркылуу SSH сырсөзүңүздү чындыгында ким көрөт?

Өзүңүз башкарбаган VPN аркылуу SSH сессиясын өткөрүңүз, жана сырсөз дагы эле SSH серверине таандык, ортодогу тармакка эмес. Эгер текшерилген хостко чейинки ташуу туура корголгон болсо, ал жолдогу пассивдүү байкоочу сырсөздү окуй ала турган формада албайт. Бирок бир шартты өзгөртсөңүз, жооп да өзгөрөт: текшерилбеген хост, алсыратылган шифрлер тизмеси же бузулган жумуш станциясы ар башка натыйжа берет. Төмөнкү текшерүүлөрдү ирети менен аткарыңыз жана ар бирин токтотуу шарты катары кабыл алыңыз.

Бир нерсени терүүдөн мурун алуучунун атын атаңыз

Сырсөз талаасы аутентификация билдирүүсүнүн ичинде жүрөт, ал эми ал билдирүү шифрленген ташуунун ичинде жүрөт. Купуялуулук ташуунун касиети, башкача айтканда коргоо боюнча сүйлөшүлгөнүнө жана ал сиз көздөгөн хост менен сүйлөшүлгөнүнө көз каранды. Адамдар так ушул экинчи жарымын өткөрүп жиберет. Алдамчыга шифрленген байланыш бир эле учурда купуя жана пайдасыз. VPN кирүү SSH хост жөнүндө эч нерсени далилдебейт, ал эми провайдердин бедели ачкыч текшерүүсүн алмаштырбайт.

Эки багытты акылыңызда өз-өзүнчө кармаңыз. Хост ачкычы кайсы серверге жеткениңизге жооп берет. Сырсөз же ачкыч аутентификациясы сервер кайсы колдонуучуну кабыл аларына жооп берет. Экинчисин жакшыртуу биринчисин эч качан оңдобойт.

Хосттун инсандыгын, жазууну жана сүйлөшүүнү текшериңиз

Клиентте сизде мурунтан бар жазуудан баштаңыз. Ишенимдүү булак менен салыштырылган жарыяланган манжа изи жана дагы эле дал келген known_hosts жазуусу аутентификация башталганга чейин маанилүү болгон жалгыз далилди берет.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

Сервер тарапта жарыялоону ниеттенген манжа изин эстен көчүрүүнүн ордуна басып чыгарыңыз. Аларды каналдан тышкары таратуу — бүт маселе ушунда; хост аты менен бир эле чат каналынан чапталган манжа изи экөө тең бир жерден келгенин гана далилдейт.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

Сүйлөшүлгөн алгоритмдер эки тараптын кесилишинен келет. Эгер клиент конфигурациясы эски түзмөккө жетүү үчүн эскирген ачкыч алмашууну бекемдесе, ал тандоо ал сүйлөшкөн ар бир хостко колдонулат, ошондуктан аны глобалдык эмес, ошол хост менен чектеңиз.

Сервер чындыгында кабыл алган ыкмаларды окуңуз

Сервер кайсы аутентификация ыкмаларына уруксат берерин билүү сырсөздүн эмне үчүн экенин айтат. Тек ачык ачкычтарды кабыл алган хосттун коргой турган сырсөз алмашуусу жок, ал эми дагы эле сырсөздөрдү кабыл алган хост мураска калган демейкиге эмес, аң-сезимдүү чечимге татыктуу.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

Колдонуучуну ачкыч аутентификациясына өткөрүү ошол колдонуучунун сырсөзүн ошол алмашуудан чыгарат. Бул бузулган жумуш станциясын коопсуз кылбайт жана ишенимсиз алыскы сессияны зыянсыз кылбайт. Булар ар башка көзөмөлдөрү бар ар башка тобокелдиктер. Агентти өткөрүү тууралуу да чечим кабыл алыңыз. Агентти ишенимсиз хостко өткөрүү ошол хостко сессия уланганча ачкычтарыңызды колдонуу мүмкүнчүлүгүн берет, жана бул баары башталган сырсөз маселесинен чоңураак таасир.

Хост ачкычы тууралуу эскертүүнү окуянын кадамы катары караңыз

Клиент хосттун инсандыгы өзгөргөнү тууралуу эскерткенде, токтоп, ошол эле тармактык жол менен өтпөгөн канал аркылуу текшериңиз. Манжа изин сервердин консолу же аны кайра курган оператор менен салыштырыңыз. Эскертүүнү тынчтандыруу үчүн эски жазууну жок кылуу — баш тартууга тийиш болгон жалгыз аракет. Ал далилди ыргытып, мүмкүн болгон кармоону кадимки кирүүгө айландырат.

Эгер хост мыйзамдуу түрдө кайра курулган болсо, эскирген жазууну жаңы манжа изи ырасталгандан кийин гана алып салыңыз, андан кийин кайра туташып, сүйлөшүүнү кайра текшериңиз. Өзгөртүүнү датасы жана себеби менен жазыңыз, анткени кийинки адам ошол эле эскертүүнү көрөт жана анын чечилгенин билүүсү керек.

Бул колдонмо эмнени камтыбайт

Трафикти байкап турган VPN оператору сиздин машинаңыздагы жергиликтүү артыкчылыктары бар программа менен бирдей эмес. Акыркы чекиттин бузулушу, душмандык браузер кеңейтүүсү же клавиатура жазуучусу SSH сүйлөшө алган нерсенин баарынан төмөн турат, жана эч кандай тоннель муну өзгөртпөйт. Эгер жумуш станциясы шектүү болсо, башка чыгуу аркылуу кайра туташып купуялуулукту сынап көрүүнүн ордуна окуя процедурасын аткарыңыз. Кайра туташуу тармактык жолдун өзгөргөнүн далилдейт, ал эми акыркы чекит жөнүндө эч нерсени далилдебейт.

Кадимки учур менен бүтүрүңүз: текшерилген хост, корголгон ташуу, атайын тандалган аутентификация ыкмасы жана керексиз эч кандай өткөрүү. Ошол айкалыш аталыштагы суроонун жообу, жана ал бир эмес, төрт чечим.