Wien gesäit Ären SSH-Passwuert wierklech op engem net vertrauenswürdege VPN?

Leet eng SSH-Sitzung iwwer eng VPN, déi Dir net selwer bedreift, an d’Passwuert gehéiert nach ëmmer dem SSH-Server, net dem Netz tëschent. Wann den Transport zu engem verifizéierten Host richteg geschützt ass, kritt en passive Beobachter op deem Wee d’Passwuert net a liesbarer Form. Ännert awer eng Bedingung, an d’Äntwert ännert sech: en net verifizéierten Host, eng geschwächt Chiffre-Lëscht oder eng kompromittéiert Aarbechtsstatioun ginn all verschidde Resultater. Maacht déi Kontrollen hei ënnen an der Rei, a behandelt jiddwereng als Stoppbedingung.

Nennt den Empfänger, ier Dir eppes tippt

D’Passwuertfeld reest bannent enger Authentifikatiounsmessage, an déi Message reest bannent dem verschlësselten Transport. Vertraulechkeet ass eng Eegeschaft vum Transport, dat heescht si hänkt dovun of, ob Schutz ausgehandelt gouf an ob en mat deem Host ausgehandelt gouf, deen Dir gemengt hutt. Genee déi zweet Halschent iwwersprangen d’Leit. Eng Verbindung, déi op en Impostor verschlësselt ass, ass gläichzäiteg vertraulech a nëtzlos. De VPN-Login beweist näischt iwwer den SSH-Host, an de Ruff vum Provider ersetzt net d’Schlësselkontroll.

Haalt déi zwou Richtungen am Kapp getrennt. De Hostschlëssel beäntwert, wéi ee Server Dir erreecht hutt. Passwuert- oder Schlësselauthentifikatioun beäntwert, wéi ee Benotzer de Server akzeptéiert. D’Verbesserung vum zweete reparéiert ni dat éischt.

Kontrolléiert d’Hostidentitéit, den Aschreiwung an d’Verhandlung

Fänkt um Client mat der Aschreiwung un, déi Dir schonn hutt. En publizéierten Fangerofdrock, dee mat enger vertrauenswürdeger Quell verglach gëtt, an en known_hosts-Andrag, dee nach ëmmer passt, gi Iech deen eenzegen Beweis, dee virun der Authentifikatioun zielt.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

Op der Serversäit dréckt d’Fangerofdréck of, déi Dir wëllt publizéieren, amplaz se aus dem Gediechtnes ze kopéieren. Se baussent dem Kanal ze verdeelen ass de ganze Punkt; en Fangerofdrock, dee vum selwechte Chatkanal wéi den Hostnumm ageklemmt gouf, beweist just, datt béid vun der selwechter Plaz kommen.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

Déi ausgehandelt Algorithmen kommen aus dem Schnëtt vun zwou Säiten. Wann eng Client-Konfiguratioun en iwwerhollene Schlësselaustausch festmécht, fir en ale Gerät z’erreechen, gëllt déi Wiel fir all Host, mat deem se schwätzt, also begrenzt se op deen Host amplaz global.

Liest d’Methoden, déi de Server tatsächlech akzeptéiert

Ze wëssen, wéi eng Authentifikatiounsmethoden e Server erlaabt, seet Iech, wofir d’Passwuert iwwerhaapt ass. En Host, deen nëmmen ëffentlech Schlësselen akzeptéiert, huet keen Passwuertaustausch ze schützen, an en Host, deen nach ëmmer Passwierder akzeptéiert, verdéngt eng bewosst Entscheedung amplaz enger ierflecher Standardastellung.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

E Benotzer op Schlësselauthentifikatioun ëmstellen hëlt d’Passwuert vun deem Benotzer aus deem Austausch eraus. Et mécht eng kompromittéiert Aarbechtsstatioun net sécher an eng net vertrauenswürdeg Fernsitzung net harmlos. Dat sinn ënnerschiddlech Risiken mat ënnerschiddleche Kontrollen. Entscheet och iwwer d’Agent-Weiderleitung. En Agent op en net vertrauenswürdegen Host weiderzeleeden gëtt deem Host d’Méiglechkeet, Är Schlësselen ze benotzen, soulaang d’Sitzung dauert, an dat ass eng méi grouss Expositioun wéi d’Passwuertfro, mat där alles ugefaang huet.

Behandelt eng Hostschlësselwarnung als Incident-Schrëtt

Wann de Client warnt, datt d’Hostidentifikatioun sech geännert huet, stoppt a verifizéiert iwwer e Kanal, deen net dee selwechten Netzwierkwee hëlt. Vergläicht den Fangerofdrock mat der Serverkonsole oder mat der Persoun, déi en nei opgebaut huet. Den ale Andrag läschen, fir d’Warnung ze berouegen, ass déi eenzeg Aktioun, déi Dir sollt verweigeren. Se werft de Beweis ewech an hëlt eng méiglech Ofhëppelung an e normalen Login ëm.

Wann den Host legitim nei opgebaut gouf, entfernt den iwwerhollenen Andrag eréischt nodeems den neien Fangerofdrock confirméiert ass, verbënnt Iech dann erëm a kontrolléiert d’Verhandlung nach eng Kéier. Schreift d’Ännerung mat Datum a Grond op, well déi nächst Persoun déi selwecht Warnung gesäit an et wësse muss, datt se geléist gouf.

Wat dës Uleedung net ofdeckt

En VPN-Bedreiwer, deen den Traffic observéiert, ass net datselwecht wéi Software mat lokale Privilegien op Ärem Rechner. Endpunkt-Kompromittéierung, eng feindlech Browser-Erweiderung oder e Keyboard-Logger leie ënner allem, wat SSH verhandele kann, an keen Tunnel ännert dat. Wann d’Aarbechtsstatioun verdächteg ass, befollegt den Incident-Prozess amplaz d’Geheimhaltung ze testen, andeem Dir Iech iwwer en aneren Ausgang erëm verbënnt. Erëm verbannen beweist, datt den Netzwierkwee sech geännert huet, an näischt iwwer den Endpunkt.

Schléisst mam gewéinleche Fall of: verifizéierten Host, geschützten Transport, d’Authentifikatiounsmethod, déi Dir bewosst gewielt hutt, an eng Weiderleitung, déi Dir net gebraucht hutt. Déi Kombinatioun ass d’Äntwert op d’Fro am Titel, an et sinn véier Entscheedungen amplaz vun enger.