Min verament jara l-password SSH tiegħek fuq VPN mhux affidabbli?

Għaddi sessjoni SSH fuq VPN li ma tmexxix int, u l-password xorta tibqa’ tas-server SSH, mhux tan-netwerk fin-nofs. Jekk it-trasport lejn host verifikat huwa protett kif suppost, osservatur passiv f’dak il-mogħdija ma jiksibx il-password f’forma li tinqara. Imma biddel kundizzjoni waħda, u t-tweġiba tinbidel: host mhux verifikat, lista ta’ ċifrari mdgħajfa jew workstation kompromessa kollha jagħtu riżultati differenti. Agħmel il-verifiki hawn taħt fl-ordni, u ittratta kull wieħed bħala kundizzjoni ta’ waqfien.

Semmi lir-riċevitur qabel ma tikteb xi ħaġa

Il-qasam tal-password jivvjaġġa ġewwa messaġġ ta’ awtentikazzjoni, u dak il-messaġġ jivvjaġġa ġewwa t-trasport ċifrat. Il-kunfidenzjalità hija proprjetà tat-trasport, li tfisser li tiddependi milli jkunu nnegozjati l-protezzjoni u milli jkunu nnegozjati mal-host li kellek f’moħħok. Hija eżattament it-tieni nofs li n-nies jaqbżu. Konnessjoni ċifrata ma’ impostur hija kunfidenzjali u bla użu fl-istess ħin. Id-dħul fil-VPN ma jipprova xejn dwar il-host SSH, u r-reputazzjoni tal-fornitur mhijiex sostitut għall-verifika tal-muftieħ.

Żomm iż-żewġ direzzjonijiet separati f’moħħok. Il-muftieħ tal-host iwieġeb liema server ġejt. L-awtentikazzjoni bil-password jew bil-muftieħ twieġeb liema utent jaċċetta s-server. It-titjib tat-tieni qatt ma jsewwi l-ewwel.

Ivverifika l-identità tal-host, ir-rekord u n-negozjat

Ibda fuq il-klijent bir-rekord li diġà għandek. Impronta tal-idejn ippubblikata li titqabbel ma’ sors affidabbli, u entrata known_hosts li għadha taqbel, jagħtuk l-unika prova li timporta qabel tibda l-awtentikazzjoni.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

Fuq in-naħa tas-server, ipprintja l-impronti tal-idejn li beħsiebek tippubblika minflok ma tikkupjahom mill-memorja. Id-distribuzzjoni tagħhom barra mill-kanal hija l-punt kollu; impronta tal-idejn imwaħħla mill-istess kanal taċ-chat bħall-isem tal-host tipprova biss li t-tnejn ġew mill-istess post.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

L-algoritmi nnegozjati ġejjin mill-intersezzjoni taż-żewġ naħat. Jekk konfigurazzjoni tal-klijent iddawwar skambju ta’ muftiħiet skadut biex tilħaq apparat antik, dik l-għażla tapplika għal kull host li jitkellem miegħu, għalhekk illimitalha għal dak il-host u mhux globalment.

Aqra l-metodi li s-server fil-fatt jaċċetta

Li tkun taf liema metodi ta’ awtentikazzjoni jippermetti s-server jgħidlek għal xiex inhi l-password. Host li jaċċetta biss muftiħiet pubbliċi m’għandux skambju ta’ passwords x’jipproteġi, u host li għadu jaċċetta passwords jistħoqqlu deċiżjoni maħsuba minflok default li wiret.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

Li ċċaqlaq utent għall-awtentikazzjoni bil-muftieħ tneħħi l-password ta’ dak l-utent minn dak l-iskambju. Ma tagħmilx workstation kompromessa sigura, u ma tagħmilx sessjoni remota mhux affidabbli bla ħsara. Dawn huma riskji differenti b’kontrolli differenti. Iddeċiedi wkoll dwar il-qlib tal-aġent. Li ttella’ aġent lejn host mhux affidabbli jagħti lil dak il-host is-setgħa li juża l-muftiħiet tiegħek sakemm iddum is-sessjoni, u dik hija espożizzjoni akbar mill-mistoqsija tal-password li bdiet kollox.

Ittratta twissija dwar il-muftieħ tal-host bħala pass ta’ inċident

Meta l-klijent jwissi li l-identifikazzjoni tal-host inbidlet, ieqaf u vverifika permezz ta’ kanal li ma jgħaddix mill-istess mogħdija tan-netwerk. Qabbel l-impronta tal-idejn mal-console tas-server jew mal-operatur li benah mill-ġdid. It-tħassir tal-entrata l-qadima biex it-twissija tiskot hija l-unika azzjoni li għandek tirrifjuta. Tarmi l-prova u tibdel interċettazzjoni possibbli f’dħul normali.

Jekk il-host inbena mill-ġdid b’mod leġittimu, neħħi l-entrata skaduta biss wara li tikkonferma l-impronta l-ġdida tal-idejn, imbagħad erġa’ qabbad u erġa’ vverifika n-negozjat. Irreġistra l-bidla bid-data u r-raġuni, għax il-persuna li jmiss se tara l-istess twissija u trid taf li ġiet solvuta.

X’ma jkoprix dan il-manwal

Operatur VPN li jara t-traffiku mhuwiex l-istess bħal software b’privileġġi lokali fuq il-magna tiegħek. Il-kompromess tal-punt finali, estensjoni tal-browser ostili jew recorder tal-keyboard jinsabu taħt kull ma SSH jista’ jinnegozja, u l-ebda mina ma tibdel dan. Jekk il-workstation hija suspettuża, segwi l-proċess tal-inċident minflok ma tittestja s-segretezza billi terġa’ tqabbad minn ħruġ ieħor. Li terġa’ tqabbad jipprova li l-mogħdija tan-netwerk inbidlet u xejn dwar il-punt finali.

Iġbor il-każ tas-soltu: host verifikat, trasport protett, il-metodu ta’ awtentikazzjoni li għażilt apposta, u l-ebda qlib li ma kellekx bżonn. Dik il-kombinazzjoni hija t-tweġiba għall-mistoqsija fit-titlu, u huma erba’ deċiżjonijiet mhux waħda.