Kdo v resnici vidi vaše geslo SSH na nezaupljivem VPN?

Peljite sejo SSH prek VPN, ki ga ne upravljate sami, in geslo še vedno pripada strežniku SSH, ne omrežju vmes. Če je prenos do preverjenega gostitelja ustrezno zaščiten, pasivni opazovalec na tej poti ne dobi gesla v berljivi obliki. Toda spremenite en pogoj in odgovor se spremeni: nepreverjen gostitelj, oslabljen seznam šifer ali ogrožena delovna postaja dajo različne izide. Izvedite spodnja preverjanja po vrsti in vsako obravnavajte kot pogoj za ustavitev.

Poimenujte prejemnika, preden karkoli vtipkate

Polje za geslo potuje znotraj sporočila za preverjanje pristnosti, to sporočilo pa potuje znotraj šifriranega prenosa. Zaupnost je lastnost prenosa, kar pomeni, da je odvisna od tega, ali je bila zaščita dogovorjena in ali je bila dogovorjena s tistim gostiteljem, ki ste ga imeli v mislih. Ravno to drugo polovico ljudje izpustijo. Povezava, šifrirana do prevaranta, je hkrati zaupna in neuporabna. Prijava v VPN ne dokaže ničesar o gostitelju SSH, ugled ponudnika pa ne nadomesti preverjanja ključa.

Držite obe smeri ločeno v glavi. Ključ gostitelja odgovarja, do katerega strežnika ste prišli. Preverjanje z geslom ali ključem odgovarja, katerega uporabnika strežnik sprejme. Izboljšanje drugega nikoli ne popravi prvega.

Preverite identiteto gostitelja, zapis in pogajanja

Začnite na odjemalcu z zapisom, ki ga že imate. Objavljeni prstni odtis, primerjan z zaupanja vrednim virom, in vnos v known_hosts, ki se še vedno ujema, vam dasta edini dokaz, ki šteje pred začetkom preverjanja pristnosti.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

Na strani strežnika natisnite prstne odtise, ki jih nameravate objaviti, namesto da jih kopirate iz spomina. Razširjanje zunaj kanala je prav bistvo; prstni odtis, prilepljen iz istega klepetalnega kanala kot ime gostitelja, dokazuje le, da oba izvirata z istega mesta.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

Dogovorjeni algoritmi izhajajo iz preseka obeh strani. Če konfiguracija odjemalca pripne zastarelo izmenjavo ključev, da doseže staro napravo, ta izbira velja za vsakega gostitelja, s katerim govori, zato jo omejite na tega gostitelja in ne globalno.

Preberite metode, ki jih strežnik resnično sprejme

Vedeti, katere metode preverjanja pristnosti strežnik dovoljuje, vam pove, čemu je geslo sploh namenjeno. Gostitelj, ki sprejema samo javne ključe, nima izmenjave gesel, ki bi jo bilo treba zaščititi, gostitelj, ki še vedno sprejema gesla, pa si zasluži premišljeno odločitev namesto podedovane privzete vrednosti.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

Prehod uporabnika na preverjanje s ključem odstrani geslo tega uporabnika iz te izmenjave. Tega ne naredi ogrožene delovne postaje varne in ne naredi nezaupljive oddaljene seje neškodljive. To so različna tveganja z različnimi ukrepi. Odločite se tudi o posredovanju agenta. Posredovanje agenta nezaupljivemu gostitelju da temu gostitelju možnost uporabe vaših ključev, dokler seja traja, in to je večja izpostavljenost kot vprašanje gesla, s katerim se je vse začelo.

Opozorilo o ključu gostitelja obravnavajte kot korak incidenta

Ko odjemalec opozori, da se je identifikacija gostitelja spremenila, se ustavite in preverite po kanalu, ki ne poteka po isti omrežni poti. Primerjajte prstni odtis s konzolo strežnika ali z operaterjem, ki ga je znova zgradil. Brisanje starega vnosa, da bi opozorilo utihnilo, je edino dejanje, ki ga morate zavrniti. Zavrže dokaz in morebitno prestrezanje spremeni v običajno prijavo.

Če je bil gostitelj zakonito znova zgrajen, odstranite zastareli vnos šele po potrditvi novega prstnega odtisa, nato se znova povežite in znova preverite pogajanja. Zabeležite spremembo z datumom in razlogom, ker bo naslednja oseba videla isto opozorilo in mora vedeti, da je rešeno.

Česa ta priročnik ne pokriva

Operater VPN, ki opazuje promet, ni isto kot programska oprema z lokalnimi pravicami na vašem računalniku. Ogroženost končne točke, sovražna razširitev brskalnika ali snemalnik tipkovnice so pod vsem, o čemer se SSH lahko pogaja, in noben tunel tega ne spremeni. Če je delovna postaja sumljiva, sledite postopku za incidente, namesto da bi preizkušali tajnost s ponovnim povezovanjem skozi drug izhod. Ponovna povezava dokaže, da se je omrežna pot spremenila, in ničesar o končni točki.

Končajte z običajnim primerom: preverjen gostitelj, zaščiten prenos, namerno izbrana metoda preverjanja pristnosti in nobeno posredovanje, ki ga niste potrebovali. Ta kombinacija je odgovor na vprašanje v naslovu in to so štiri odločitve, ne ena.