Итгэмжгүй VPN дээр таны SSH нууц үгийг үнэхээр хэн хардаг вэ?

Та өөрөө удирладаггүй VPN-ээр SSH сессийг дамжуул, нууц үг нь SSH серверт хамаарах хэвээр, дундах сүлжээнд биш. Хэрэв баталгаажсан хост руу хүрэх тээвэр зохих ёсоор хамгаалагдсан бол, тэр замд пассив ажиглагч нууц үгийг уншигдахуйц хэлбэрээр авахгүй. Гэхдээ нэг нөхцөлийг өөрчил, хариулт ч өөрчлөгдөнө: баталгаажаагүй хост, сулруулсан шифрийн жагсаалт эсвэл эвдэрсэн ажлын станц бүгд өөр үр дүн гаргана. Доорх шалгалтуудыг дарааллаар нь хийж, тус бүрийг зогсоох нөхцөл гэж үзээрэй.

Ямар нэг зүйл бичихээс өмнө хүлээн авагчийг нэрлэ

Нууц үгийн талбар нь баталгаажуулалтын мессежийн дотор явдаг, тэр мессеж нь шифрлэгдсэн тээврийн дотор явдаг. Нууцлал нь тээврийн шинж чанар, өөрөөр хэлбэл хамгаалалтыг тохиролцсон эсэх, таны санаж байсан хосттой тохиролцсон эсэхээс хамаарна. Хүмүүс яг тэр хоёр дахь хагасыг алгасдаг. Хуурамч этгээд рүү шифрлэсэн холболт нэгэн зэрэг нууцлагдмал бөгөөд ашиггүй. VPN-д нэвтрэх нь SSH хост тухай юу ч батлахгүй, үйлчилгээ үзүүлэгчийн нэр хүнд түлхүүрийн шалгалтыг орлохгүй.

Хоёр чиглэлийг оюундаа тусдаа бариарай. Хостын түлхүүр аль серверт хүрснийг хариулна. Нууц үг эсвэл түлхүүрийн баталгаажуулалт сервер аль хэрэглэгчийг хүлээж авахыг хариулна. Хоёр дахьг нь сайжруулах нь эхнийг хэзээ ч засдаггүй.

Хостын таних тэмдэг, бичлэг, хэлэлцээрийг шалга

Клиент дээр таны аль хэдийн байгаа бичлэгээс эхэл. Итгэмжлэгдсэн эх сурвалжтай харьцуулсан нийтэлсэн хурууны хээ, одоо ч таарч буй known_hosts бичлэг нь баталгаажуулалт эхлэхээс өмнө чухал цорын ганц нотолгоог өгнө.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

Серверийн талд нийтлэхээр төлөвлөж буй хурууны хээг ой санамжаас хуулахын оронд хэвлэ. Тэдгээрийг сувгаас гадуур тараах нь бүх асуудлын мөн чанар; хостын нэртэй ижил чат сувгаас наасан хурууны хээ нь хоёулаа нэг газраас ирснийг л батална.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

Тохиролцсон алгоритмууд хоёр талын огтлолцолоос гардаг. Хэрэв клиентийн тохиргоо хуучин төхөөрөмжид хүрэхийн тулд хуучирсан түлхүүр солилцоог бэхэлбэл, тэр сонголт нь түүний ярьдаг бүх хостод үйлчилнэ, тиймээс үүнийг дэлхийн хэмжээнд биш, тэр хостод хязгаарла.

Сервер үнэхээр хүлээж авдаг аргуудыг унш

Сервер ямар баталгаажуулалтын аргуудыг зөвшөөрдөг нь нууц үг юунд зориулагдсаныг хэлнэ. Зөвхөн нийтийн түлхүүр хүлээж авдаг хостод хамгаалах нууц үгийн солилцоо байхгүй, харин нууц үг хүлээж авдаг хэвээр байгаа хост нь өвлөгдсөн анхдагч биш, ухамсартай шийдвэрт хүртэх ёстой.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

Хэрэглэгчийг түлхүүрийн баталгаажуулалт руу шилжүүлэх нь тухайн хэрэглэгчийн нууц үгийг тэр солилцооноос гаргана. Энэ нь эвдэрсэн ажлын станцыг аюулгүй болгохгүй, итгэмжгүй алсын сессийг хор хөнөөлгүй болгохгүй. Эдгээр нь өөр хяналт бүхий өөр эрсдэл юм. Агент дамжуулалтын талаар ч шийд. Агентыг итгэмжгүй хост руу дамжуулах нь тухайн хостод сессийн туршид таны түлхүүрүүдийг ашиглах боломжийг олгодог бөгөөд энэ нь бүх зүйл эхэлсэн нууц үгийн асуудлаас илүү том өртөлт юм.

Хостын түлхүүрийн анхааруулгыг ослын алхам гэж үз

Клиент хостын таних тэмдэг өөрчлөгдсөн гэж анхааруулахад зогсоод, ижил сүлжээний замаар явдаггүй сувгаар шалга. Хурууны хээг серверийн консол эсвэл түүнийг дахин бүтээсэн оператортой харьцуул. Анхааруулгыг намжаахын тулд хуучин бичлэгийг устгах нь татгалзах ёстой цорын ганц үйлдэл юм. Энэ нь нотолгоог хаяж, болзошгүй таслан саатуулалтыг энгийн нэвтрэлт болгоно.

Хэрэв хост хууль ёсоор дахин бүтээгдсэн бол хуучирсан бичлэгийг зөвхөн шинэ хурууны хээ баталгаажсаны дараа устгаж, дараа нь дахин холбогдож, хэлэлцээрийг дахин шалга. Өөрчлөлтийг огноо, шалтгаантай нь бүртгэ, учир нь дараагийн хүн ижил анхааруулгыг харах бөгөөд шийдэгдсэнийг мэдэх шаардлагатай.

Энэ гарын авлага юуг хамардаггүй вэ

Хөдөлгөөнийг ажиглаж буй VPN оператор таны машинд локал эрх бүхий програм хангамжтай ижил биш. Төгсгөлийн цэгийн эвдрэл, дайсагнагч хөтчийн өргөтгөл эсвэл гарны товчлуурын бүртгэгч нь SSH-ийн тохиролцож чадах бүхний доор байрладаг бөгөөд ямар ч туннель үүнийг өөрчлөхгүй. Хэрэв ажлын станц сэжигтэй бол өөр гарцаар дахин холбогдож нууцлалыг шалгахын оронд ослын журамд дага. Дахин холбогдох нь сүлжээний зам өөрчлөгдсөнийг батална, төгсгөлийн цэгийн тухай юу ч биш.

Энгийн тохиолдлоор дуусга: баталгаажсан хост, хамгаалагдсан тээвэр, зориуд сонгосон баталгаажуулалтын арга, шаардлагагүй ямар ч дамжуулалтгүй байх. Энэ хослол нь гарчгийн асуултын хариулт бөгөөд энэ нь нэг биш, дөрвөн шийдвэр юм.