నమ్మదగని VPN-లో మీ SSH పాస్‌వర్డ్‌ను నిజంగా ఎవరు చూస్తారు?

మీరు స్వయంగా నిర్వహించని VPN ద్వారా SSH సెషన్‌ను పంపండి, పాస్‌వర్డ్ ఇప్పటికీ SSH సర్వర్‌కే చెందుతుంది, మధ్యలో ఉన్న నెట్‌వర్క్‌కు కాదు. ధృవీకరించిన హోస్ట్‌కు రవాణా సరిగా రక్షించబడి ఉంటే, ఆ మార్గంలో నిష్క్రియ పరిశీలకుడు పాస్‌వర్డ్‌ను చదవగల రూపంలో పొందడు. కానీ ఒక షరతును మార్చండి, సమాధానం కూడా మారుతుంది: ధృవీకరించని హోస్ట్, బలహీనపరిచిన సైఫర్ జాబితా లేదా భంగపడిన పని స్థానం అన్నీ వేర్వేరు ఫలితాలను ఇస్తాయి. క్రింది తనిఖీలను క్రమంగా చేయండి, ప్రతిదాన్ని ఆపే షరతుగా పరిగణించండి.

ఏదైనా టైప్ చేసే ముందు గ్రహీతను పేర్కొనండి

పాస్‌వర్డ్ ఫీల్డ్ ప్రామాణీకరణ సందేశం లోపల ప్రయాణిస్తుంది, ఆ సందేశం ఎన్‌క్రిప్ట్ చేసిన రవాణా లోపల ప్రయాణిస్తుంది. గోప్యత రవాణా యొక్క లక్షణం, అంటే రక్షణ చర్చించబడిందా మరియు మీరు ఉద్దేశించిన హోస్ట్‌తోనే చర్చించబడిందా అనే దానిపై ఆధారపడి ఉంటుంది. ప్రజలు దాటవేసేది సరిగ్గా ఆ రెండవ సగం. మోసగాడికి ఎన్‌క్రిప్ట్ చేసిన కనెక్షన్ ఒకే సమయంలో గోప్యమూ, వ్యర్థమూ. VPN లాగిన్ SSH హోస్ట్ గురించి ఏమీ నిరూపించదు, ప్రదాత కీర్తి కీ-తనిఖీకి ప్రత్యామ్నాయం కాదు.

రెండు దిశలను మనస్సులో వేరుగా ఉంచుకోండి. హోస్ట్ కీ మీరు ఏ సర్వర్‌కు చేరుకున్నారో సమాధానమిస్తుంది. పాస్‌వర్డ్ లేదా కీ ప్రామాణీకరణ సర్వర్ ఏ వినియోగదారుని అంగీకరిస్తుందో సమాధానమిస్తుంది. రెండవదాన్ని మెరుగుపరచడం మొదటిదాన్ని ఎప్పటికీ సరిచేయదు.

హోస్ట్ గుర్తింపు, రికార్డు మరియు చర్చలను తనిఖీ చేయండి

క్లయింట్‌లో మీకు ఇప్పటికే ఉన్న రికార్డుతో ప్రారంభించండి. నమ్మదగిన మూలంతో పోల్చిన ప్రచురిత వేలిముద్ర, ఇంకా సరిపోలే known_hosts నమోదు, ప్రామాణీకరణ ప్రారంభం కాకముందు ముఖ్యమైన ఏకైక సాక్ష్యాన్ని ఇస్తాయి.

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

సర్వర్ వైపు, ప్రచురించాలనుకున్న వేలిముద్రలను జ్ఞాపకం నుండి కాపీ చేయడం బదులు ముద్రించండి. వాటిని ఛానెల్ వెలుపల పంపిణీ చేయడమే ప్రధాన విషయం; హోస్ట్‌పేరుతో అదే చాట్ ఛానెల్ నుండి అతికించిన వేలిముద్ర రెండూ ఒకే చోటి నుండి వచ్చాయని మాత్రమే నిరూపిస్తుంది.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

చర్చించిన అల్గోరిథమ్‌లు రెండు వైపుల ఖండన నుండి వస్తాయి. క్లయింట్ కాన్ఫిగరేషన్ పాత పరికరాన్ని చేరుకోవడానికి కాలంచెల్లిన కీ మార్పిడిని పిన్ చేస్తే, ఆ ఎంపిక అది మాట్లాడే ప్రతి హోస్ట్‌కు వర్తిస్తుంది, కాబట్టి దాన్ని ప్రపంచవ్యాప్తంగా కాకుండా ఆ హోస్ట్‌కే పరిమితం చేయండి.

సర్వర్ నిజంగా అంగీకరించే పద్ధతులను చదవండి

సర్వర్ ఏ ప్రామాణీకరణ పద్ధతులను అనుమతిస్తుందో తెలుసుకోవడం పాస్‌వర్డ్ ఎందుకు ఉందో చెబుతుంది. పబ్లిక్ కీలను మాత్రమే అంగీకరించే హోస్ట్‌కు రక్షించాల్సిన పాస్‌వర్డ్ మార్పిడి లేదు, ఇంకా పాస్‌వర్డ్‌లను అంగీకరించే హోస్ట్ వారసత్వ డిఫాల్ట్ బదులు స్పృహతో తీసుకున్న నిర్ణయానికి అర్హం.

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

వినియోగదారుని కీ ప్రామాణీకరణకు మార్చడం ఆ వినియోగదారు పాస్‌వర్డ్‌ను ఆ మార్పిడి నుండి తొలగిస్తుంది. అది భంగపడిన పని స్థానాన్ని సురక్షితం చేయదు, నమ్మదగని దూర సెషన్‌ను హానిచేయనిది చేయదు. ఇవి వేర్వేరు నియంత్రణలతో కూడిన వేర్వేరు ప్రమాదాలు. ఏజెంట్ ఫార్వర్డింగ్ గురించి కూడా నిర్ణయించుకోండి. నమ్మదగని హోస్ట్‌కు ఏజెంట్‌ను ఫార్వర్డ్ చేయడం సెషన్ ఉన్నంత కాలం ఆ హోస్ట్‌కు మీ కీలను ఉపయోగించే సామర్థ్యాన్ని ఇస్తుంది, ఇది అన్నీ ప్రారంభమైన పాస్‌వర్డ్ ప్రశ్న కంటే పెద్ద బహిర్గతం.

హోస్ట్-కీ హెచ్చరికను సంఘటన దశగా పరిగణించండి

హోస్ట్ గుర్తింపు మారిందని క్లయింట్ హెచ్చరించినప్పుడు, ఆగి అదే నెట్‌వర్క్ మార్గం గుండా వెళ్ళని ఛానెల్ ద్వారా ధృవీకరించండి. వేలిముద్రను సర్వర్ కన్సోల్ లేదా దాన్ని తిరిగి నిర్మించిన ఆపరేటర్‌తో పోల్చండి. హెచ్చరికను నిశ్శబ్దం చేయడానికి పాత నమోదును తొలగించడం మీరు నిరాకరించాల్సిన ఏకైక చర్య. అది సాక్ష్యాన్ని పారేసి సంభావ్య అడ్డగింపును సాధారణ లాగిన్‌గా మారుస్తుంది.

హోస్ట్ చట్టబద్ధంగా తిరిగి నిర్మించబడి ఉంటే, కొత్త వేలిముద్ర ధృవీకరించబడిన తర్వాత మాత్రమే పాత నమోదును తీసివేయండి, ఆపై మళ్లీ కనెక్ట్ అయి చర్చలను మళ్లీ తనిఖీ చేయండి. మార్పును తేదీ, కారణంతో నమోదు చేయండి, ఎందుకంటే తదుపరి వ్యక్తి అదే హెచ్చరికను చూస్తారు, అది పరిష్కరించబడిందని తెలియాలి.

ఈ మార్గదర్శిని ఏమి కవర్ చేయదు

ట్రాఫిక్‌ను గమనిస్తున్న VPN ఆపరేటర్ మీ యంత్రంలో స్థానిక అధికారాలున్న సాఫ్ట్‌వేర్‌తో సమానం కాదు. ముగింపు బిందువు భంగం, శత్రుత్వపు బ్రౌజర్ పొడిగింపు లేదా కీబోర్డ్ లాగర్ SSH చర్చించగలిగే అన్నింటికీ దిగువన ఉంటాయి, ఏ సొరంగం అది మార్చదు. పని స్థానం అనుమానాస్పదంగా ఉంటే, మరో నిష్క్రమణ ద్వారా మళ్లీ కనెక్ట్ అయి గోప్యతను పరీక్షించడం బదులు సంఘటన ప్రక్రియను అనుసరించండి. మళ్లీ కనెక్ట్ కావడం నెట్‌వర్క్ మార్గం మారిందని నిరూపిస్తుంది, ముగింపు బిందువు గురించి ఏమీ కాదు.

సాధారణ సందర్భంతో ముగించండి: ధృవీకరించిన హోస్ట్, రక్షించిన రవాణా, ఉద్దేశపూర్వకంగా ఎంచుకున్న ప్రామాణీకరణ పద్ధతి, అవసరం లేని ఎటువంటి ఫార్వర్డింగ్ లేకపోవడం. ఆ కలయికే శీర్షికలోని ప్రశ్నకు సమాధానం, అది ఒకటి కాదు, నాలుగు నిర్ణయాలు.