Kas īsti redz jūsu SSH paroli neuzticamā VPN?

Nosūtiet SSH sesiju caur VPN, kuru jūs nepārvaldāt, un parole joprojām pieder SSH serverim, nevis starpā esošajam tīklam. Ja transports uz pārbaudītu resursdatoru ir pienācīgi aizsargāts, pasīvs novērotājs šajā ceļā nesaņem paroli lasāmā formā. Taču mainiet vienu nosacījumu, un atbilde mainās: nepārbaudīts resursdators, vājināts šifru saraksts vai kompromitēta darbstacija visi dod atšķirīgus rezultātus. Veiciet tālāk minētās pārbaudes secīgi un katru uzskatiet par apturēšanas nosacījumu.

Nosauciet saņēmēju pirms kaut ko ierakstāt

Paroles lauks ceļo autentifikācijas ziņojuma iekšienē, un šis ziņojums ceļo šifrētā transporta iekšienē. Konfidencialitāte ir transporta īpašība, kas nozīmē, ka tā ir atkarīga no tā, vai aizsardzība ir vienota un vai tā ir vienota ar to resursdatoru, kuru jūs domājāt. Tieši šo otro pusi cilvēki izlaiž. Savienojums, kas šifrēts uz krāpnieku, vienlaikus ir konfidenciāls un bezjēdzīgs. VPN pieteikšanās neko nepierāda par SSH resursdatoru, un pakalpojumu sniedzēja reputācija neaizstāj atslēgas pārbaudi.

Turiet abus virzienus atsevišķi prātā. Resursdatora atslēga atbild uz jautājumu, uz kuru serveri jūs nokļuvāt. Autentifikācija ar paroli vai atslēgu atbild uz jautājumu, kuru lietotāju serveris pieņem. Otrā uzlabošana nekad nelabo pirmo.

Pārbaudiet resursdatora identitāti, ierakstu un vienošanos

Sāciet klientā ar ierakstu, kas jums jau ir. Publicēts pirksta nospiedums, kas salīdzināts ar uzticamu avotu, un known_hosts ieraksts, kas joprojām atbilst, dod vienīgo pierādījumu, kam ir nozīme pirms autentifikācijas sākuma.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

Servera pusē izdrukājiet pirksta nospiedumus, ko plānojat publicēt, tā vietā lai tos kopētu no atmiņas. To izplatīšana ārpus kanāla ir visa būtība; pirksta nospiedums, kas ielīmēts no tā paša čata kanāla kā resursdatora nosaukums, pierāda tikai to, ka abi nāca no vienas vietas.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

Vienotie algoritmi nāk no abu pušu krustojuma. Ja klienta konfigurācija piesprauž novecojušu atslēgu apmaiņu, lai sasniegtu vecu ierīci, šī izvēle attiecas uz katru resursdatoru, ar kuru tā runā, tāpēc ierobežojiet to ar šo resursdatoru, nevis globāli.

Izlasiet metodes, ko serveris patiešām pieņem

Zināšana, kādas autentifikācijas metodes serveris atļauj, pasaka, kam parole vispār ir domāta. Resursdatoram, kas pieņem tikai publiskās atslēgas, nav paroļu apmaiņas, ko aizsargāt, un resursdators, kas joprojām pieņem paroles, ir pelnījis apzinātu lēmumu, nevis mantotu noklusējumu.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

Lietotāja pārcelšana uz autentifikāciju ar atslēgu izņem šī lietotāja paroli no šīs apmaiņas. Tas nepadara kompromitētu darbstaciju drošu un nepadara neuzticamu attālinātu sesiju nekaitīgu. Tie ir atšķirīgi riski ar atšķirīgiem kontroles līdzekļiem. Izlemiet arī par aģenta pāradresāciju. Aģenta pāradresācija uz neuzticamu resursdatoru dod tam iespēju izmantot jūsu atslēgas, kamēr sesija ilgst, un tā ir lielāka pakļautība nekā paroles jautājums, ar kuru viss sākās.

Uztveriet resursdatora atslēgas brīdinājumu kā incidenta soli

Kad klients brīdina, ka resursdatora identifikācija ir mainījusies, apstājieties un pārbaudiet pa kanālu, kas neiet pa to pašu tīkla ceļu. Salīdziniet pirksta nospiedumu ar servera konsoli vai ar operatoru, kurš to pārbūvēja. Dzēst veco ierakstu, lai brīdinājumu apklusinātu, ir vienīgā darbība, no kuras jums vajadzētu atteikties. Tā izmet pierādījumu un pārvērš iespējamu pārtveršanu par parastu pieteikšanos.

Ja resursdators tika likumīgi pārbūvēts, noņemiet novecojušo ierakstu tikai pēc tam, kad jaunais pirksta nospiedums ir apstiprināts, pēc tam atkārtoti savienojieties un vēlreiz pārbaudiet vienošanos. Reģistrējiet izmaiņas ar datumu un iemeslu, jo nākamais cilvēks redzēs to pašu brīdinājumu un viņam jāzina, ka tas ir atrisināts.

Ko šī rokasgrāmata neaptver

VPN operators, kurš vēro datplūsmu, nav tas pats, kas programmatūra ar vietējām privilēģijām jūsu mašīnā. Galapunkta kompromitācija, naidīgs pārlūka paplašinājums vai tastatūras reģistrētājs atrodas zem visa, par ko SSH var vienoties, un neviens tunelis to nemaina. Ja darbstacija ir aizdomīga, sekojiet incidenta procedūrai, nevis pārbaudiet slepenību, atkārtoti pieslēdzoties pa citu izeju. Atkārtota pieslēgšanās pierāda, ka tīkla ceļš ir mainījies, un neko par galapunktu.

Pabeidziet ar parasto gadījumu: pārbaudīts resursdators, aizsargāts transports, apzināti izvēlēta autentifikācijas metode un nekāda nevajadzīga pāradresācija. Šī kombinācija ir atbilde uz virsrakstā uzdoto jautājumu, un tie ir četri lēmumi, nevis viens.