Nani anayeona neno lako la siri la SSH kwenye VPN isiyoaminika?

Pitisha kikao cha SSH kupitia VPN usiyoisimamia wewe mwenyewe, na neno la siri bado ni la seva ya SSH, si la mtandao ulio katikati. Ikiwa usafirishaji hadi kwa mwenyeji aliyethibitishwa umelindwa ipasavyo, mtazamaji asiyefanya kitu kwenye njia hiyo haipati neno la siri kwa namna inayoweza kusomwa. Lakini badilisha sharti moja, na jibu linabadilika: mwenyeji asiyethibitishwa, orodha ya siri zilizodhoofishwa au kituo cha kazi kilichovamiwa vyote hutoa matokeo tofauti. Fanya ukaguzi ulio hapa chini kwa mpangilio, na uchukue kila mmoja kama sharti la kusimama.

Taja mpokeaji kabla ya kuandika kitu chochote

Sehemu ya neno la siri husafiri ndani ya ujumbe wa uthibitishaji, na ujumbe huo husafiri ndani ya usafirishaji uliosimbwa. Usiri ni sifa ya usafirishaji, kumaanisha inategemea kama ulinzi ulijadiliwa na kama ulijadiliwa na mwenyeji uliyekusudia. Watu huruka nusu ya pili hasa. Muunganisho uliosimbwa kwa mjanja ni wa siri na hauna maana kwa wakati mmoja. Kuingia kwenye VPN hakuthibitishi chochote kuhusu mwenyeji wa SSH, na sifa ya mtoa huduma si mbadala wa ukaguzi wa ufunguo.

Tunza mielekeo miwili kando kichwani. Ufunguo wa mwenyeji hujibu ni seva gani uliifikia. Uthibitishaji wa neno la siri au ufunguo hujibu ni mtumiaji gani seva inakubali. Kuboresha la pili hakuwezi kurekebisha la kwanza.

Kagua utambulisho wa mwenyeji, kumbukumbu na majadiliano

Anza kwenye mteja na kumbukumbu uliyo nayo tayari. Alama ya vidole iliyochapishwa ikilinganishwa na chanzo kinachoaminika, na ingizo la known_hosts ambalo bado linaendana, hukupa ushahidi pekee unaojalisha kabla uthibitishaji haujaanza.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

Kwa upande wa seva, chapisha alama za vidole unazokusudia kuchapisha badala ya kuzinakili kutoka kwenye kumbukumbu. Kuzisambaza nje ya kituo ndio hoja yote; alama ya vidole iliyobandikwa kutoka kwenye kituo kile kile cha gumzo na jina la mwenyeji inathibitisha tu kwamba zote mbili zilitoka mahali pamoja.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

Algoriti zilizojadiliwa hutoka kwenye makutano ya pande mbili. Ikiwa usanidi wa mteja unabana ubadilishanaji wa funguo uliopitwa na wakati ili kufikia kifaa cha zamani, chaguo hilo linatumika kwa kila mwenyeji anaozungumza naye, kwa hivyo lipunguzie mwenyeji huyo badala ya kimataifa.

Soma mbinu ambazo seva inakubali kwa kweli

Kujua ni mbinu gani za uthibitishaji seva inaruhusu hukuambia neno la siri ni la nini hasa. Mwenyeji anayekubali funguo za umma pekee hana ubadilishanaji wa maneno ya siri wa kulinda, na mwenyeji anayekubali maneno ya siri bado anastahili uamuzi wa kufikiriwa badala ya chaguo-msingi la urithi.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

Kuhamisha mtumiaji kwenda uthibitishaji wa ufunguo huondoa neno la siri la mtumiaji huyo kwenye ubadilishanaji huo. Hilo halifanyi kituo cha kazi kilichovamiwa kuwa salama, na halifanyi kikao cha mbali kisichoaminika kuwa kisicho na madhara. Hizi ni hatari tofauti zenye udhibiti tofauti. Amua pia kuhusu upelekaji wa wakala. Kupeleka wakala kwa mwenyeji asiyoaminika kunampa mwenyeji huyo uwezo wa kutumia funguo zako muda wote kikao kinadumu, na hiyo ni mfiduo mkubwa kuliko swali la neno la siri ambalo kila kitu kilianza nalo.

Shughulikia onyo la ufunguo wa mwenyeji kama hatua ya tukio

Mteja anapoonya kwamba utambulisho wa mwenyeji umebadilika, simama na uthibitishe kupitia njia isiyopita kwenye njia hiyo hiyo ya mtandao. Linganisha alama ya vidole na konsoli ya seva au na mwendeshaji aliyelijenga upya. Kufuta ingizo la zamani ili kunyamazisha onyo ndilo tendo pekee unalopaswa kukataa. Linatupa ushahidi na kubadilisha uwezekano wa kukamatwa kuwa kuingia kwa kawaida.

Ikiwa mwenyeji ulijengwa upya kwa njia halali, ondoa ingizo lililopitwa na wakati tu baada ya alama mpya ya vidole kuthibitishwa, kisha unganisha tena na ukague majadiliano tena. Rekodi mabadiliko pamoja na tarehe na sababu, kwa sababu mtu anayefuata ataona onyo lile lile na anahitaji kujua kwamba limetatuliwa.

Kile ambacho mwongozo huu haukijumuishi

Mwendeshaji wa VPN anayetazama trafiki si sawa na programu yenye haki za ndani kwenye mashine yako. Kuvamiwa kwa kituo cha mwisho, kiendelezi cha kivinjari chenye uadui au kinasa vibodi hukaa chini ya kila kitu ambacho SSH inaweza kujadili, na hakuna handaki linalobadilisha hilo. Ikiwa kituo cha kazi kinatia shaka, fuata mchakato wa tukio badala ya kujaribu usiri kwa kuunganisha tena kupitia njia nyingine ya kutoka. Kuunganisha tena kunathibitisha kwamba njia ya mtandao ilibadilika na hakuna kitu kuhusu kituo cha mwisho.

Maliza na kisa cha kawaida: mwenyeji aliyethibitishwa, usafirishaji uliolindwa, mbinu ya uthibitishaji uliyochagua kwa makusudi, na hakuna upelekaji ambao haukuhitaji. Mchanganyiko huo ndio jibu la swali lililo kwenye kichwa, na ni maamuzi manne badala ya moja.