Кој навистина ја гледа вашата SSH лозинка на недоверлив VPN?

Пренесете SSH сесија преку VPN што не го управувате вие, и лозинката сепак му припаѓа на SSH серверот, а не на мрежата помеѓу. Ако преносот до проверен домаќин е правилно заштитен, пасивен набљудувач на тој пат не ја добива лозинката во читлива форма. Но сменете еден услов и одговорот се менува: непроверен домаќин, ослабен список на шифри или компромитирана работна станица даваат различни исходи. Извршете ги проверките подолу по ред и секоја третирајте ја како услов за запирање.

Именувајте го примачот пред да напишете било што

Полето за лозинка патува внатре во порака за автентикација, а таа порака патува внатре во шифрираниот пренос. Доверливоста е својство на преносот, што значи дека зависи од тоа дали е договорена заштита и дали е договорена со домаќинот што го имавте на ум. Токму таа втора половина луѓето ја прескокнуваат. Врска шифрирана кон измамник е истовремено доверлива и бескорисна. Најавувањето на VPN не докажува ништо за SSH домаќинот, а угледот на давателот не е замена за проверката на клучот.

Држете ги двете насоки одделно во главата. Клучот на домаќинот одговара на прашањето до кој сервер стигнавте. Автентикацијата со лозинка или клуч одговара на прашањето кој корисник го прифаќа серверот. Подобрувањето на второто никогаш не го поправа првото.

Проверете го идентитетот на домаќинот, записот и преговорот

Започнете на клиентот со записот што веќе го имате. Објавен отпечаток спореден со доверлив извор и запис во known_hosts што сѐ уште се совпаѓа ви го даваат единствениот доказ што е важен пред да започне автентикацијата.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

На страната на серверот, испечатете ги отпечатоците што имате намера да ги објавите наместо да ги копирате од меморијата. Нивното дистрибуирање надвор од каналот е целата поента; отпечаток залепен од истиот канал за разговор како и името на домаќинот докажува само дека двете дошле од исто место.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

Договорените алгоритми доаѓаат од пресекот на двете страни. Ако конфигурацијата на клиентот закачува застарена размена на клучеви за да стигне до стар уред, тој избор важи за секој домаќин со кој разговара, затоа ограничете го на тој домаќин наместо глобално.

Прочитајте ги методите што серверот навистина ги прифаќа

Знаењето кои методи на автентикација ги дозволува серверот ви кажува за што воопшто е лозинката. Домаќин што прифаќа само јавни клучеви нема размена на лозинки што треба да се заштити, а домаќин што сѐ уште прифаќа лозинки заслужува свесна одлука, а не наследена стандардна вредност.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

Префрлањето на корисник на автентикација со клуч ја отстранува лозинката на тој корисник од таа размена. Тоа не прави компромитирана работна станица безбедна и не прави недоверлива далечинска сесија безопасна. Тоа се различни ризици со различни контроли. Одлучете и за препраќањето на агент. Препраќањето агент на недоверлив домаќин му дава на тој домаќин можност да ги користи вашите клучеви додека трае сесијата, а тоа е поголема изложеност од прашањето за лозинката со кое сѐ започна.

Третирајте го предупредувањето за клуч на домаќин како чекор од инцидент

Кога клиентот предупредува дека идентификацијата на домаќинот се променила, запрете и проверете преку канал што не поминува по истиот мрежен пат. Споредете го отпечатокот со конзолата на серверот или со операторот што го изградил повторно. Бришењето на стариот запис за да се замолчи предупредувањето е единствената постапка што треба да ја одбиете. Таа го фрла доказот и можниот пресрет го претвора во обична најава.

Ако домаќинот бил законски повторно изграден, отстранете го застарениот запис само откако новиот отпечаток ќе биде потврден, потоа поврзете се повторно и проверете го преговорот уште еднаш. Забележете ја промената со датум и причина, бидејќи следниот човек ќе го види истото предупредување и треба да знае дека е решено.

Што не покрива овој прирачник

VPN оператор што го набљудува сообраќајот не е исто што и софтвер со локални привилегии на вашата машина. Компромитирањето на крајната точка, непријателско проширување на прелистувачот или регистратор на тастатура стојат под сѐ што SSH може да договори, и ниту еден тунел тоа не го менува. Ако работната станица е сомнителна, следете ја постапката за инциденти наместо да ја тестирате тајноста со повторно поврзување преку друг излез. Повторното поврзување докажува дека мрежниот пат се променил, а ништо за крајната точка.

Завршете со обичниот случај: проверен домаќин, заштитен пренос, методот на автентикација што сте го избрале намерно и никакво непотребно препраќање. Таа комбинација е одговорот на прашањето во насловот, и тоа се четири одлуки, а не една.