Уязвимости в механизме безопасности SSH

Введение

Когда мы работаем с SSH, мы часто gặpаемся с ритуалом первого подключения (TOFU) и страшным ворнингом о смене ключей хоста. Однако в большинстве случаев мы просто игнорируем это предупреждение и сносим записи через ssh-keygen -R. Это может привести к серьезным проблемам безопасности, поскольку известный файл хостов (known_hosts) становится бездонным кэшем, вместо того, чтобы быть важным механизмом ИБ.

Подробности

Чтобы понять, почему это происходит, нам нужно взглянуть на пакет SSH_MSG_KEX_ECDH_REPLY и выяснить, почему для проверки идентичности сервера не нужен полноценный SSH-клиент. Это связано с тем, что проверка идентичности сервера может быть выполнена отдельно от процесса аутентификации. Это означает, что даже без полноценного SSH-клиента мы можем проверить идентичность сервера и убедиться, что он не был скомпрометирован.

Что делать

Чтобы навести порядок в многолетних залежах админского мусора, мы можем использовать компактную утилиту на чистом Си. Эта утилита может помочь нам проанализировать известный файл хостов (known_hosts) и удалить устаревшие записи. Кроме того, мы должны регулярно проверять обновления наших SSH-клиентов и серверов, чтобы убедиться, что мы используем последние версии протокола SSH. Мы также должны использовать такие меры безопасности, как MFA и VPN, чтобы защитить нашу сеть от потенциальных угроз. Итог: Проверка идентичности сервера является важным механизмом ИБ, и мы должны относится к этому более серьезно, чем просто слепо сносить записи через ssh-keygen -R. Регулярная проверка и обновление наших SSH-клиентов и серверов может помочь нам предотвратить потенциальные уязвимости безопасности.

Источник: Хабр — Системное администрирование