நம்பமுடியாத VPN-இல் உங்கள் SSH கடவுச்சொல்லை உண்மையில் யார் பார்க்கிறார்கள்?

நீங்களே நிர்வகிக்காத VPN வழியாக SSH அமர்வை அனுப்புங்கள், கடவுச்சொல் இன்னும் SSH சேவையகத்திற்கே சொந்தம், இடையிலான வலையமைப்பிற்கு அல்ல. சரிபார்க்கப்பட்ட புரவலனுக்கான போக்குவரத்து சரியாகப் பாதுகாக்கப்பட்டிருந்தால், அந்தப் பாதையில் ஒரு செயலற்ற பார்வையாளர் கடவுச்சொல்லை படிக்கக்கூடிய வடிவில் பெறுவதில்லை. ஆனால் ஒரு நிபந்தனையை மாற்றுங்கள், பதிலும் மாறும்: சரிபார்க்கப்படாத புரவலன், பலவீனப்படுத்தப்பட்ட சைஃபர் பட்டியல் அல்லது சமரசம் செய்யப்பட்ட பணிநிலையம் அனைத்தும் வெவ்வேறு முடிவுகளைத் தருகின்றன. கீழேயுள்ள சரிபார்ப்புகளை வரிசையாகச் செய்யுங்கள், ஒவ்வொன்றையும் நிறுத்தும் நிபந்தனையாகக் கருதுங்கள்.

எதையும் தட்டச்சு செய்வதற்கு முன் பெறுநரைப் பெயரிடுங்கள்

கடவுச்சொல் புலம் அங்கீகாரச் செய்திக்குள் பயணிக்கிறது, அந்தச் செய்தி மறையாக்கப்பட்ட போக்குவரத்திற்குள் பயணிக்கிறது. ரகசியத்தன்மை போக்குவரத்தின் ஒரு பண்பு, அதாவது பாதுகாப்பு பேச்சுவார்த்தை செய்யப்பட்டதா, நீங்கள் கருதிய புரவலனுடனேயே செய்யப்பட்டதா என்பதைப் பொறுத்தது. மக்கள் தவிர்ப்பது அந்த இரண்டாவது பாதியையே. ஏமாற்றுபவருக்கு மறையாக்கப்பட்ட இணைப்பு ஒரே நேரத்தில் ரகசியமாகவும் பயனற்றதாகவும் இருக்கும். VPN உள்நுழைவு SSH புரவலனைப் பற்றி எதையும் நிரூபிக்கவில்லை, வழங்குநரின் நற்பெயர் விசைச் சரிபார்ப்பிற்கு மாற்றல்ல.

இரண்டு திசைகளையும் மனதில் தனித்தனியாக வையுங்கள். புரவலன் விசை நீங்கள் எந்த சேவையகத்தை அடைந்தீர்கள் என்பதற்குப் பதிலளிக்கிறது. கடவுச்சொல் அல்லது விசை அங்கீகாரம் சேவையகம் எந்தப் பயனரை ஏற்கிறது என்பதற்குப் பதிலளிக்கிறது. இரண்டாவதை மேம்படுத்துவது முதலாவதை ஒருபோதும் சரிசெய்யாது.

புரவலன் அடையாளம், பதிவு மற்றும் பேச்சுவார்த்தையைச் சரிபார்க்கவும்

வாடிக்கையாளரில் உங்களிடம் ஏற்கனவே உள்ள பதிவில் தொடங்குங்கள். நம்பகமான மூலத்துடன் ஒப்பிடப்பட்ட வெளியிடப்பட்ட விரல்ரேகை, இன்னும் பொருந்தும் known_hosts உள்ளீடு, அங்கீகாரம் தொடங்குவதற்கு முன் முக்கியமான ஒரே சான்றைத் தருகின்றன.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

சேவையகப் பக்கத்தில், வெளியிடத் திட்டமிட்டுள்ள விரல்ரேகைகளை நினைவில் இருந்து நகலெடுப்பதற்குப் பதிலாக அச்சிடுங்கள். அவற்றை சேனலுக்கு வெளியே பகிர்வதே முக்கிய விஷயம்; புரவலன் பெயருடன் அதே அரட்டை சேனலில் இருந்து ஒட்டப்பட்ட விரல்ரேகை இரண்டும் ஒரே இடத்திலிருந்து வந்தன என்பதை மட்டுமே நிரூபிக்கிறது.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

பேச்சுவார்த்தை செய்யப்பட்ட அல்காரிதங்கள் இரு பக்கங்களின் குறுக்கீட்டிலிருந்து வருகின்றன. வாடிக்கையாளர் உள்ளமைவு பழைய சாதனத்தை அடைய காலாவதியான விசைப் பரிமாற்றத்தைப் பிணைத்தால், அந்தத் தேர்வு அது பேசும் ஒவ்வொரு புரவலனுக்கும் பொருந்தும், எனவே அதை உலகளாவியதாக இல்லாமல் அந்தப் புரவலனுக்கே வரம்பிடுங்கள்.

சேவையகம் உண்மையில் ஏற்கும் முறைகளைப் படியுங்கள்

சேவையகம் எந்த அங்கீகார முறைகளை அனுமதிக்கிறது என்பதை அறிவது கடவுச்சொல் எதற்கானது என்பதைச் சொல்கிறது. பொது விசைகளை மட்டும் ஏற்கும் புரவலனுக்குப் பாதுகாக்க வேண்டிய கடவுச்சொல் பரிமாற்றம் இல்லை, இன்னும் கடவுச்சொற்களை ஏற்கும் புரவலன் மரபுவழி இயல்புநிலைக்குப் பதிலாக வேண்டுமென்ற முடிவுக்குத் தகுதியானவன்.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

ஒரு பயனரை விசை அங்கீகாரத்திற்கு நகர்த்துவது அந்தப் பயனரின் கடவுச்சொல்லை அந்தப் பரிமாற்றத்திலிருந்து நீக்குகிறது. அது சமரசம் செய்யப்பட்ட பணிநிலையத்தைப் பாதுகாப்பானதாக்காது, நம்பமுடியாத தொலை அமர்வைப் பாதிப்பற்றதாக்காது. இவை வெவ்வேறு கட்டுப்பாடுகள் கொண்ட வெவ்வேறு அபாயங்கள். முகவர் அனுப்புதல் பற்றியும் முடிவு செய்யுங்கள். நம்பமுடியாத புரவலனுக்கு முகவரை அனுப்புவது அமர்வு நீடிக்கும் வரை அந்தப் புரவலனுக்கு உங்கள் விசைகளைப் பயன்படுத்தும் திறனைத் தருகிறது, இது எல்லாம் தொடங்கிய கடவுச்சொல் கேள்வியை விடப் பெரிய வெளிப்பாடு.

புரவலன் விசை எச்சரிக்கையை சம்பவப் படியாகக் கையாளுங்கள்

புரவலன் அடையாளம் மாறிவிட்டதாக வாடிக்கையாளர் எச்சரித்தால், நிறுத்தி அதே வலையமைப்புப் பாதை வழியாகச் செல்லாத சேனல் மூலம் சரிபார்க்கவும். விரல்ரேகையை சேவையகக் கன்சோல் அல்லது அதை மீண்டும் கட்டிய இயக்குநருடன் ஒப்பிடுங்கள். எச்சரிக்கையை அமைதிப்படுத்த பழைய உள்ளீட்டை நீக்குவதே நீங்கள் மறுக்க வேண்டிய ஒரே செயல். அது சான்றைத் தூக்கி எறிந்து சாத்தியமான இடையீட்டைச் சாதாரண உள்நுழைவாக மாற்றுகிறது.

புரவலன் சட்டபூர்வமாக மீண்டும் கட்டப்பட்டிருந்தால், புதிய விரல்ரேகை உறுதிசெய்யப்பட்ட பிறகே பழைய உள்ளீட்டை அகற்றுங்கள், பின்னர் மீண்டும் இணைந்து பேச்சுவார்த்தையை மீண்டும் சரிபார்க்கவும். மாற்றத்தைத் தேதி மற்றும் காரணத்துடன் பதிவு செய்யுங்கள், ஏனெனில் அடுத்த நபர் அதே எச்சரிக்கையைப் பார்ப்பார், அது தீர்க்கப்பட்டதை அறிய வேண்டும்.

இந்த வழிகாட்டி எதை உள்ளடக்கவில்லை

போக்குவரத்தைப் பார்த்துக் கொண்டிருக்கும் VPN இயக்குநர் உங்கள் இயந்திரத்தில் உள்ளூர் சலுகைகள் கொண்ட மென்பொருளுக்குச் சமமானவர் அல்ல. இறுதிப் புள்ளி சமரசம், எதிரான உலாவி நீட்டிப்பு அல்லது விசைப்பலகைப் பதிவி SSH பேச்சுவார்த்தை செய்யக்கூடிய எல்லாவற்றுக்கும் கீழே அமைகின்றன, எந்தச் சுரங்கப்பாதையும் அதை மாற்றாது. பணிநிலையம் சந்தேகத்திற்குரியதாக இருந்தால், வேறு வெளியேறு வழி வழியாக மீண்டும் இணைந்து ரகசியத்தன்மையைச் சோதிப்பதற்குப் பதிலாக சம்பவ நடைமுறையைப் பின்பற்றுங்கள். மீண்டும் இணைவது வலையமைப்புப் பாதை மாறியதை நிரூபிக்கிறது, இறுதிப் புள்ளி பற்றி எதுவும் இல்லை.

சாதாரண நிலையுடன் முடியுங்கள்: சரிபார்க்கப்பட்ட புரவலன், பாதுகாக்கப்பட்ட போக்குவரத்து, வேண்டுமென்று தேர்ந்தெடுத்த அங்கீகார முறை, தேவையற்ற எந்த அனுப்புதலும் இல்லாதிருத்தல். அந்தக் கலவையே தலைப்பில் உள்ள கேள்விக்கான பதில், அது ஒன்றல்ல, நான்கு முடிவுகள்.