Kush e sheh vërtet fjalëkalimin tuaj SSH në një VPN jo të besueshme?

Kaloni një sesion SSH përmes një VPN që nuk e administroni vetë, dhe fjalëkalimi vazhdon t’i përkasë serverit SSH, jo rrjetit në mes. Nëse transporti drejt një hosti të verifikuar është i mbrojtur siç duhet, një vëzhgues pasiv në atë rrugë nuk e merr fjalëkalimin në formë të lexueshme. Por ndryshoni një kusht dhe përgjigja ndryshon: një host i paverifikuar, një listë e dobësuar e shifrave ose një stacion pune i komprometuar japin rezultate të ndryshme. Kryeni kontrollet më poshtë me radhë dhe trajtojeni secilën si kusht ndalimi.

Përmendni marrësin përpara se të shkruani çdo gjë

Fusha e fjalëkalimit udhëton brenda një mesazhi vërtetimi, dhe ai mesazh udhëton brenda transportit të kriptuar. Konfidencialiteti është veti e transportit, që do të thotë se varet nga fakti që është negocuar mbrojtja dhe që është negocuar me hostin që kishit në mendje. Pikërisht gjysmën e dytë njerëzit e anashkalojnë. Një lidhje e kriptuar drejt një mashtruesi është njëkohësisht konfidenciale dhe e pavlefshme. Hyrja në VPN nuk provon asgjë për hostin SSH, dhe reputacioni i ofruesit nuk e zëvendëson kontrollin e çelësit.

Mbani dy drejtimet të ndara në mendje. Çelësi i hostit përgjigjet se në cilin server keni arritur. Vërtetimi me fjalëkalim ose çelës përgjigjet se cilin përdorues pranon serveri. Përmirësimi i të dytit nuk e rregullon kurrë të parin.

Kontrolloni identitetin e hostit, regjistrimin dhe negociatën

Filloni në klient me regjistrimin që keni tashmë. Një gjurmë gishti e publikuar dhe e krahasuar me një burim të besueshëm, dhe një zë known_hosts që ende përputhet, ju japin provën e vetme që ka rëndësi përpara se të fillojë vërtetimi.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

Në anën e serverit, printoni gjurmët e gishtave që synoni të publikoni në vend që t’i kopjoni nga kujtesa. Shpërndarja e tyre jashtë kanalit është pikërisht qëllimi; një gjurmë gishti e ngjitur nga i njëjti kanal bisede si emri i hostit provon vetëm se të dyja vijnë nga i njëjti vend.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

Algoritmet e negociuara vijnë nga kryqëzimi i të dyja palëve. Nëse konfigurimi i klientit fikson një shkëmbim çelësash të vjetruar për të arritur një pajisje të vjetër, ajo zgjedhje vlen për çdo host me të cilin flet, prandaj kufizojeni në atë host dhe jo globalisht.

Lexoni metodat që serveri pranon në të vërtetë

Të dish cilat metoda vërtetimi lejon një server të tregon për çfarë është fjalëkalimi. Një host që pranon vetëm çelësa publikë nuk ka shkëmbim fjalëkalimesh për të mbrojtur, dhe një host që ende pranon fjalëkalime meriton një vendim të qëllimshëm dhe jo një vlerë të paracaktuar të trashëguar.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

Kalimi i një përdoruesi në vërtetim me çelës e heq fjalëkalimin e atij përdoruesi nga ai shkëmbim. Kjo nuk e bën të sigurt një stacion pune të komprometuar dhe nuk e bën të padëmshëm një sesion në distancë jo të besueshëm. Janë rreziqe të ndryshme me kontrolle të ndryshme. Vendosni edhe për përcjelljen e agjentit. Përcjellja e një agjenti drejt një hosti jo të besueshëm i jep atij hosti aftësinë për të përdorur çelësat tuaj sa zgjat sesioni, dhe kjo është një ekspozim më i madh sesa çështja e fjalëkalimit me të cilën filloi gjithçka.

Trajtoni një paralajmërim për çelësin e hostit si një hap incidenti

Kur klienti paralajmëron se identifikimi i hostit ka ndryshuar, ndaloni dhe verifikoni përmes një kanali që nuk kalon në të njëjtën rrugë rrjeti. Krahasoni gjurmën e gishtit me konsolën e serverit ose me operatorin që e rindërtoi. Fshirja e zërit të vjetër për të heshtur paralajmërimin është veprimi i vetëm që duhet të refuzoni. Ai e hedh provën dhe e kthen një përgjim të mundshëm në një hyrje të zakonshme.

Nëse hosti u rindërtua në mënyrë legjitime, hiqni zërin e vjetruar vetëm pasi të konfirmohet gjurma e re e gishtit, pastaj rilidhuni dhe kontrolloni përsëri negociatën. Regjistroni ndryshimin me datën dhe arsyen, sepse personi tjetër do të shohë të njëjtin paralajmërim dhe duhet të dijë se është zgjidhur.

Çfarë nuk mbulon ky udhëzues

Një operator VPN që vëzhgon trafikun nuk është e njëjta gjë si softuer me privilegje lokale në makinën tuaj. Komprometimi i pikës së fundit, një shtojcë armiqësore e shfletuesit ose një regjistrues tastiere qëndrojnë nën gjithçka që SSH mund të negocojë, dhe asnjë tunel nuk e ndryshon këtë. Nëse stacioni i punës është i dyshimtë, ndiqni procesin e incidentit në vend që të provoni fshehtësinë duke u rilidhur përmes një daljeje tjetër. Rilidhja provon se rruga e rrjetit ndryshoi dhe asgjë për pikën e fundit.

Përfundoni me rastin e zakonshëm: host i verifikuar, transport i mbrojtur, metoda e vërtetimit që zgjodhët me qëllim dhe asnjë përcjellje që nuk ju duhej. Ai kombinim është përgjigja e pyetjes në titull, dhe janë katër vendime, jo një.