വിശ്വസനീയമല്ലാത്ത VPN-ൽ നിങ്ങളുടെ SSH പാസ്‌വേഡ് യഥാർത്ഥത്തിൽ കാണുന്നത് ആരാണ്?

നിങ്ങൾ സ്വയം നിയന്ത്രിക്കാത്ത VPN വഴി SSH സെഷൻ കടത്തിവിടുക, പാസ്‌വേഡ് ഇപ്പോഴും SSH സർവറിന്റേതാണ്, ഇടയിലുള്ള നെറ്റ്‌വർക്കിന്റേതല്ല. പരിശോധിച്ച ഹോസ്റ്റിലേക്കുള്ള ഗതാഗതം ശരിയായി സംരക്ഷിതമാണെങ്കിൽ, ആ വഴിയിലെ നിഷ്ക്രിയ നിരീക്ഷകൻ പാസ്‌വേഡ് വായിക്കാവുന്ന രൂപത്തിൽ നേടുന്നില്ല. പക്ഷേ ഒരു വ്യവസ്ഥ മാറ്റുക, ഉത്തരവും മാറും: പരിശോധിക്കാത്ത ഹോസ്റ്റ്, ദുർബലമാക്കിയ സൈഫർ പട്ടിക, അല്ലെങ്കിൽ കൈയേറ്റം ചെയ്ത വർക്ക്‌സ്റ്റേഷൻ എല്ലാം വ്യത്യസ്ത ഫലങ്ങൾ നൽകുന്നു. താഴെയുള്ള പരിശോധനകൾ ക്രമത്തിൽ ചെയ്യുക, ഓരോന്നിനെയും നിർത്തൽ വ്യവസ്ഥയായി കണക്കാക്കുക.

എന്തെങ്കിലും ടൈപ്പ് ചെയ്യുന്നതിന് മുമ്പ് സ്വീകർത്താവിനെ പേരിടുക

പാസ്‌വേഡ് ഫീൽഡ് ഒരു പ്രാമാണീകരണ സന്ദേശത്തിനുള്ളിലൂടെ സഞ്ചരിക്കുന്നു, ആ സന്ദേശം എൻക്രിപ്റ്റ് ചെയ്ത ഗതാഗതത്തിനുള്ളിലൂടെ സഞ്ചരിക്കുന്നു. രഹസ്യസ്വഭാവം ഗതാഗതത്തിന്റെ സ്വത്താണ്, അതായത് സംരക്ഷണം ചർച്ച ചെയ്യപ്പെട്ടിട്ടുണ്ടോ, നിങ്ങൾ ഉദ്ദേശിച്ച ഹോസ്റ്റുമായി തന്നെ ചർച്ച ചെയ്യപ്പെട്ടിട്ടുണ്ടോ എന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു. ജനങ്ങൾ ഒഴിവാക്കുന്നത് കൃത്യമായി ആ രണ്ടാം പകുതിയാണ്. വഞ്ചകനോട് എൻക്രിപ്റ്റ് ചെയ്ത ബന്ധം ഒരേ സമയം രഹസ്യവും ഉപയോഗശൂന്യവുമാണ്. VPN ലോഗിൻ SSH ഹോസ്റ്റിനെക്കുറിച്ച് ഒന്നും തെളിയിക്കുന്നില്ല, ദാതാവിന്റെ പ്രശസ്തി കീ-പരിശോധനയ്ക്ക് പകരമല്ല.

രണ്ട് ദിശകളും മനസ്സിൽ വെവ്വേറെ സൂക്ഷിക്കുക. ഹോസ്റ്റ് കീ ഏത് സർവറിൽ എത്തി എന്നതിന് ഉത്തരം നൽകുന്നു. പാസ്‌വേഡ് അല്ലെങ്കിൽ കീ പ്രാമാണീകരണം സർവർ ഏത് ഉപയോക്താവിനെ സ്വീകരിക്കുന്നു എന്നതിന് ഉത്തരം നൽകുന്നു. രണ്ടാമത്തേത് മെച്ചപ്പെടുത്തുന്നത് ആദ്യത്തേത് ഒരിക്കലും നന്നാക്കുന്നില്ല.

ഹോസ്റ്റിന്റെ ഐഡന്റിറ്റി, രേഖ, ചർച്ച എന്നിവ പരിശോധിക്കുക

ക്ലൈന്റിൽ നിങ്ങൾക്ക് ഇതിനകം ഉള്ള രേഖയിൽ നിന്ന് തുടങ്ങുക. വിശ്വസനീയമായ ഉറവിടവുമായി താരതമ്യം ചെയ്ത പ്രസിദ്ധീകരിച്ച ഫിംഗർപ്രിന്റും, ഇപ്പോഴും പൊരുത്തപ്പെടുന്ന known_hosts എൻട്രിയും, പ്രാമാണീകരണം തുടങ്ങുന്നതിന് മുമ്പ് പ്രധാനമായ ഏക തെളിവ് നൽകുന്നു.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

സർവർ വശത്ത്, പ്രസിദ്ധീകരിക്കാൻ ഉദ്ദേശിക്കുന്ന ഫിംഗർപ്രിന്റുകൾ ഓർമ്മയിൽ നിന്ന് പകർത്തുന്നതിന് പകരം അച്ചടിക്കുക. അവ ചാനലിന് പുറത്ത് വിതരണം ചെയ്യുന്നതാണ് യഥാർത്ഥ കാര്യം; ഹോസ്റ്റ്നെയിമിന്റെ അതേ ചാറ്റ് ചാനലിൽ നിന്ന് ഒട്ടിച്ച ഫിംഗർപ്രിന്റ് രണ്ടും ഒരേ സ്ഥലത്തുനിന്ന് വന്നു എന്ന് മാത്രം തെളിയിക്കുന്നു.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

ചർച്ച ചെയ്ത അൽഗോരിതങ്ങൾ ഇരുവശങ്ങളുടെയും ഛേദത്തിൽ നിന്ന് വരുന്നു. ക്ലൈന്റ് കോൺഫിഗറേഷൻ പഴയ ഉപകരണത്തിൽ എത്താൻ കാലഹരണപ്പെട്ട കീ-കൈമാറ്റം പിൻ ചെയ്യുന്നുവെങ്കിൽ, ആ തിരഞ്ഞെടുപ്പ് അത് സംസാരിക്കുന്ന ഓരോ ഹോസ്റ്റിനും ബാധകമാണ്, അതിനാൽ അത് ആഗോളമല്ല, ആ ഹോസ്റ്റിൽ മാത്രം പരിമിതപ്പെടുത്തുക.

സർവർ യഥാർത്ഥത്തിൽ സ്വീകരിക്കുന്ന രീതികൾ വായിക്കുക

സർവർ ഏത് പ്രാമാണീകരണ രീതികൾ അനുവദിക്കുന്നു എന്ന് അറിയുന്നത് പാസ്‌വേഡ് എന്തിനുവേണ്ടിയാണെന്ന് പറയുന്നു. പൊതു കീകൾ മാത്രം സ്വീകരിക്കുന്ന ഹോസ്റ്റിന് സംരക്ഷിക്കാൻ പാസ്‌വേഡ് കൈമാറ്റമില്ല, ഇപ്പോഴും പാസ്‌വേഡുകൾ സ്വീകരിക്കുന്ന ഹോസ്റ്റ് പാരമ്പര്യമായി ലഭിച്ച സ്ഥിരസ്ഥിതിയല്ല, മനഃപൂർവമായ തീരുമാനത്തിന് അർഹതയുള്ളതാണ്.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

ഒരു ഉപയോക്താവിനെ കീ പ്രാമാണീകരണത്തിലേക്ക് മാറ്റുന്നത് ആ ഉപയോക്താവിന്റെ പാസ്‌വേഡ് ആ കൈമാറ്റത്തിൽ നിന്ന് നീക്കുന്നു. അത് കൈയേറ്റം ചെയ്ത വർക്ക്‌സ്റ്റേഷനെ സുരക്ഷിതമാക്കുന്നില്ല, വിശ്വസനീയമല്ലാത്ത വിദൂര സെഷനെ ഹാനികരമല്ലാതാക്കുന്നുമില്ല. ഇവ വ്യത്യസ്ത നിയന്ത്രണങ്ങളുള്ള വ്യത്യസ്ത അപകടസാധ്യതകളാണ്. ഏജന്റ് ഫോർവേഡിംഗിനെക്കുറിച്ചും തീരുമാനിക്കുക. വിശ്വസനീയമല്ലാത്ത ഹോസ്റ്റിലേക്ക് ഏജന്റ് ഫോർവേഡ് ചെയ്യുന്നത് സെഷൻ നിലനിൽക്കുന്നിടത്തോളം ആ ഹോസ്റ്റിന് നിങ്ങളുടെ കീകൾ ഉപയോഗിക്കാനുള്ള കഴിവ് നൽകുന്നു, ഇത് എല്ലാം ആരംഭിച്ച പാസ്‌വേഡ് ചോദ്യത്തേക്കാൾ വലിയ വെളിപ്പെടുത്തലാണ്.

ഹോസ്റ്റ്-കീ മുന്നറിയിപ്പ് ഒരു സംഭവ ഘട്ടമായി കൈകാര്യം ചെയ്യുക

ഹോസ്റ്റ് ഐഡന്റിഫിക്കേഷൻ മാറിയതായി ക്ലൈന്റ് മുന്നറിയിപ്പ് നൽകുമ്പോൾ, നിർത്തി അതേ നെറ്റ്‌വർക്ക് പാതയിലൂടെ പോകാത്ത ഒരു ചാനൽ വഴി പരിശോധിക്കുക. ഫിംഗർപ്രിന്റ് സർവർ കൺസോളുമായോ അത് പുനർനിർമ്മിച്ച ഓപ്പറേറ്ററുമായോ താരതമ്യം ചെയ്യുക. മുന്നറിയിപ്പ് നിശ്ശബ്ദമാക്കാൻ പഴയ എൻട്രി ഇല്ലാതാക്കുന്നതാണ് നിങ്ങൾ നിരസിക്കേണ്ട ഏക പ്രവർത്തി. അത് തെളിവ് വലിച്ചെറിയുകയും സാധ്യമായ തടസ്സം സാധാരണ ലോഗിനാക്കി മാറ്റുകയും ചെയ്യുന്നു.

ഹോസ്റ്റ് നിയമാനുസൃതമായി പുനർനിർമ്മിച്ചതാണെങ്കിൽ, പുതിയ ഫിംഗർപ്രിന്റ് സ്ഥിരീകരിച്ചതിന് ശേഷം മാത്രം പഴയ എൻട്രി നീക്കം ചെയ്യുക, തുടർന്ന് വീണ്ടും കണക്റ്റ് ചെയ്ത് ചർച്ച വീണ്ടും പരിശോധിക്കുക. മാറ്റം തീയതിയും കാരണവും സഹിതം രേഖപ്പെടുത്തുക, കാരണം അടുത്ത വ്യക്തി അതേ മുന്നറിയിപ്പ് കാണും, അത് പരിഹരിച്ചു എന്ന് അറിയേണ്ടതുണ്ട്.

ഈ കൈപ്പുസ്തകം ഉൾക്കൊള്ളാത്തത്

ട്രാഫിക് നിരീക്ഷിക്കുന്ന VPN ഓപ്പറേറ്റർ നിങ്ങളുടെ യന്ത്രത്തിൽ പ്രാദേശിക അനുമതികളുള്ള സോഫ്റ്റ്‌വെയറിന് തുല്യമല്ല. എൻഡ്‌പോയിന്റ് കൈയേറ്റം, ശത്രുതാപരമായ ബ്രൗസർ വിപുലീകരണം, അല്ലെങ്കിൽ കീബോർഡ് ലോഗർ എന്നിവ SSH ചർച്ച ചെയ്യാൻ കഴിയുന്ന എല്ലാറ്റിനും താഴെയാണ്, ഒരു ടണലും അത് മാറ്റുന്നില്ല. വർക്ക്‌സ്റ്റേഷൻ സംശയാസ്പദമാണെങ്കിൽ, മറ്റൊരു എക്സിറ്റ് വഴി വീണ്ടും കണക്റ്റ് ചെയ്ത് രഹസ്യത പരീക്ഷിക്കുന്നതിന് പകരം സംഭവ നടപടിക്രമം പിന്തുടരുക. വീണ്ടും കണക്റ്റ് ചെയ്യുന്നത് നെറ്റ്‌വർക്ക് പാത മാറി എന്ന് തെളിയിക്കുന്നു, എൻഡ്‌പോയിന്റിനെക്കുറിച്ച് ഒന്നുമല്ല.

സാധാരണ കേസോടെ അവസാനിപ്പിക്കുക: പരിശോധിച്ച ഹോസ്റ്റ്, സംരക്ഷിത ഗതാഗതം, മനഃപൂർവം തിരഞ്ഞെടുത്ത പ്രാമാണീകരണ രീതി, ആവശ്യമില്ലാത്ത ഫോർവേഡിംഗ് ഇല്ലായിരിക്കുക. ആ സംയോജനമാണ് ശീർഷകത്തിലെ ചോദ്യത്തിനുള്ള ഉത്തരം, അത് ഒന്നല്ല, നാല് തീരുമാനങ്ങളാണ്.