Руководство по тестированию ssh на проникновение

Платформа [ править ]

В операционных системах или виртуальные машины SSH — клиенты , предназначенные для запуска без эмуляции включают в себя несколько возможностей:

Частично означает, что, хотя клиент работает, ему не хватает важных функций по сравнению с версиями для других ОС, но он все еще находится в стадии разработки.

Список не является исчерпывающим, а скорее отражает наиболее распространенные на сегодняшний день платформы.

Имя	macOS	Окна	Cygwin	BSD	Linux	Солярис	Ява	OpenVMS	z / OS	AIX	HP-UX	iOS	Android	Maemo	телефон с операционной системой Виндоус
AbsoluteTelnet	Нет	да	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	?
Клиент Bitvise SSH	Нет	да	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет
ConnectBot	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	да	Нет	Нет
CRAX командир	да	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет
Dropbear	да	Нет	да	да	да	да	?	?	?	да	да	Да	Нет	да	?
Клиент eSSH	да	да	?	да	да	да	?	?	?	Нет	Нет	Нет	Нет	Нет	?
lsh	да	Нет	Нет	Частично	да	да	?	?	?	Нет	Нет	Нет	Нет	Нет	?
OpenSSH (безопасная оболочка OpenBSD)	Включено	Включено	Включено	Включено	Включено	да	?	да	да	да	да	Да	да	да	?
PuTTY	Частичное	да	?	да	да	да	Нет	?	?	Нет	Нет	Нет	Нет	Нет	Бета
SecureCRT	да	да	Нет	Нет	да	Нет	Нет	Нет	Нет	Нет	Нет	да	Нет	Нет	?
SmartFTP	Нет	да	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	?
Тера Срок	Нет	да	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	?
TN3270 Plus	Нет	да	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	?
TtyEmulator	Нет	да	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	?
WinSCP	Нет	да	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Да	Нет	Нет	?
волк	да	да	да	да	да	да	Нет	Нет	?	?	Нет	Нет	Нет	Нет	Нет
ZOC	да	да	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	?

1. ^ a b c Только для взломанных устройств.
2. ^ lsh официально поддерживает только одну платформу BSD, FreeBSD .
3. ^ Включен и включен по умолчанию, начиная с Windows 10 версии 1803. Win32-OpenSSH может быть установлен в качестве дополнительного компонента в версиях Windows до Windows 10 версии 1803 — Windows 10 версии 1709. Переносную версию можно загрузить с Win32-OpenSSH для других версий.
4. ^ Большинство дистрибутивов Linux имеют OpenSSH в качестве официального пакета, но в некоторых нет.

Платформа [ править ]

В операционных системах или виртуальные машины SSH — клиенты , предназначенные для запуска без эмуляции включают в себя несколько возможностей:

Частично означает, что, хотя клиент работает, ему не хватает важных функций по сравнению с версиями для других ОС, но он все еще находится в стадии разработки.

Список не является исчерпывающим, а скорее отражает наиболее распространенные на сегодняшний день платформы.

Имя	macOS	Окна	Cygwin	BSD	Linux	Солярис	Ява	OpenVMS	z / OS	AIX	HP-UX	iOS	Android	Maemo	телефон с операционной системой Виндоус
AbsoluteTelnet	Нет	да	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	?
Клиент Bitvise SSH	Нет	да	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет
ConnectBot	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	да	Нет	Нет
CRAX командир	да	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет
Dropbear	да	Нет	да	да	да	да	?	?	?	да	да	Да	Нет	да	?
Клиент eSSH	да	да	?	да	да	да	?	?	?	Нет	Нет	Нет	Нет	Нет	?
lsh	да	Нет	Нет	Частично	да	да	?	?	?	Нет	Нет	Нет	Нет	Нет	?
OpenSSH (безопасная оболочка OpenBSD)	Включено	Включено	Включено	Включено	Включено	да	?	да	да	да	да	Да	да	да	?
PuTTY	Частичное	да	?	да	да	да	Нет	?	?	Нет	Нет	Нет	Нет	Нет	Бета
SecureCRT	да	да	Нет	Нет	да	Нет	Нет	Нет	Нет	Нет	Нет	да	Нет	Нет	?
SmartFTP	Нет	да	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	?
Тера Срок	Нет	да	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	?
TN3270 Plus	Нет	да	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	?
TtyEmulator	Нет	да	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	?
WinSCP	Нет	да	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Да	Нет	Нет	?
волк	да	да	да	да	да	да	Нет	Нет	?	?	Нет	Нет	Нет	Нет	Нет
ZOC	да	да	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	Нет	?

1. ^ a b c Только для взломанных устройств.
2. ^ lsh официально поддерживает только одну платформу BSD, FreeBSD .
3. ^ Включен и включен по умолчанию, начиная с Windows 10 версии 1803. Win32-OpenSSH может быть установлен в качестве дополнительного компонента в версиях Windows до Windows 10 версии 1803 — Windows 10 версии 1709. Переносную версию можно загрузить с Win32-OpenSSH для других версий.
4. ^ Большинство дистрибутивов Linux имеют OpenSSH в качестве официального пакета, но в некоторых нет.

Как увидеть неудачные попытки входа SSH

Если настроен вход по паролю, то для вывода неудачных попыток наберите команду:

journalctl | grep -i 'Failed password for'

Если настроен вход по публичному ключу, но не отключена возможность входа по паролю, то после неверного ключа, будет предоставлена возможности войти по паролю. Такие неудачные попытки входа по паролю можно найти такой же командой:

journalctl | grep -i 'Failed password for'

При неудачной попытке входа из-за неверного ключа, при уровне вербальности (LogLevel) по умолчанию (INFO) специальные сообщения не записываются в журнал. Подобные неудачные попытки можно обнаружить по записи «Connection closed by authenticating user», но она означает отключение на этапе аутентификации, независимо от способа аутентификации — по паролю или по ключу.

Если установить уровень вербальности на VERBOSE, то в журнале можно будет найти записи о неудачных попытках входа с помощью публичного ключа следующей командой:

journalctl | grep -i 'Failed publickey for'

Подробнее об этой настройке во второй часте.

SSH туннели

Secure Shell (ssh) — это стандартный инструмент, включенный в большинство «сетевых» операционных систем, то есть Linux, UNIX, MacOS, а теперь и в Windows (на собственном языке). Если вы когда-нибудь в жизни использовали PuTTY для подключения к удаленному интерфейсу командной строки, как правило, к системе Linux, для этого использовался протокол SSH.

Таким образом, ключевым моментом при использовании FireDAC через безопасный интерфейс SSH является понимание того, что FireDAC (или любая другая структура доступа к базе данных) не имеет к этому никакого отношения. Вам нужно установить постоянный SSH-туннель, а затем правильно настроить соединение с базой данных.

Мы увидим два способа установить SSH-туннель: один с использованием внешнего инструмента (PuTTY), а второй, напрямую закодированный в вашем приложении.

StartManager 1.4 — Развитие альтернативного стартера Промо

Очередная редакция альтернативного стартера, являющегося продолжением StartManager 1.3. Спасибо всем, кто присылал свои замечания и пожелания, и тем, кто перечислял финансы на поддержку проекта. С учетом накопленного опыта, стартер был достаточно сильно переработан в плане архитектуры. В основном сделан упор на масштабируемость, для способности программы быстро адаптироваться к расширению предъявляемых требований (т.к. довольно часто просят добавить ту или иную хотелку). Было пересмотрено внешнее оформление, переработан существующий и добавлен новый функционал. В общем можно сказать, что стартер эволюционировал, по сравнению с предыдущей редакцией. Однако пока не всё реализовано, что планировалось, поэтому еще есть куда развиваться в плане функциональности.

1 стартмани

Как сделать ваши соединения Secure Shell еще более безопасными

Secure Shell является наиболее широко используемым средством входа на удаленный сервер Linux (или компьютер). Используя этот инструмент, вы получаете доступ к командной строке на удаленном компьютере через безопасный туннель. Из коробки вам будет предложено ввести пароль удаленного пользователя. Хотя это все еще более безопасно, чем использование более старых методов (таких как telnet), его можно сделать еще более безопасным с помощью SSH Key Authentication.

Что такое аутентификация по ключу?

Понимание аутентификации ключей на самом деле довольно просто. Представьте, что у вас есть замок, и единственный способ открыть его – использовать определенный ключ, который, как вам известно, принадлежит вам. Как замок узнает, что ключ принадлежит вам? Потому что ключ содержит уникальную для вас подпись. Внутри замка есть соответствующая подпись, которую ключ использует для сравнения. Если подписи совпадают, они откроются. Если ключ подходит, но подписи не совпадают, замок не открывается.

Это основа для аутентификации по ключу SSH. В реальной жизни это работает так, что вы создаете пару ключей (которая содержит закрытый и открытый ключи) и копируете открытый ключ на сервер, на который хотите войти. Если вы попытаетесь войти с аутентификацией по ключу, а у сервера нет открытого ключа, соответствующего вашему личному ключу, он не разрешит вам доступ.

Давайте заставим это работать.

Генерация пары ключей SSH

Первое, что нужно сделать, это создать пару ключей SSH. Для этого выполните следующие действия:

1. Откройте окно терминала на рабочем столе.

   Выполните команду:

    SSH-кейген 

   Присвойте ключу имя и местоположение (используйте настройки по умолчанию, используя Enter/Return на клавиатуре).

2. Введите и подтвердите ключевую фразу для ключа (убедитесь, что она является надежной и уникальной)

Теперь у вас есть пара ключей SSH. Эти два файла будут найдены в ~/.ssh и будут называться:

• id_rsa – закрытый ключ
• id_rsa.pub – открытый ключ.

Скопируйте ваш открытый ключ на удаленный компьютер

Затем вы должны скопировать файл открытого ключа на удаленный компьютер, на который хотите войти. Это можно сделать с помощью команды:

 ssh-copy-id USER @ REMOTE_IP 

Где USER – это имя пользователя на удаленном компьютере, а REMOTE_IP – это IP-адрес удаленного компьютера.

Если вы впервые зашли в безопасное место на удаленном компьютере, вам будет предложено ввести да , чтобы продолжить подключение, в противном случае вам будет предложено ввести пароль пользователя на удаленном компьютере. машина. После успешного ввода удаленного пароля ключ будет скопирован, и вы будете готовы проверить соединение.

Тестирование соединения

Проверьте соединение, введя команду:

 ssh USER @ REMOTE_IP 

Где USER – это имя пользователя на удаленном компьютере, а REMOTE_IP – это IP-адрес удаленного компьютера. Вместо запроса пароля пользователя вам будет предложено ввести ключевую фразу пары ключей SSH. После того, как вы ввели правильную ключевую фразу, вам будет разрешен доступ к удаленному компьютеру. Поздравляем, SSH Key Authentication запущена и работает.

Отключение аутентификации по паролю

Вы можете сделать этот шаг дальше, отключив аутентификацию по паролю. С этой конфигурацией единственный способ получить доступ к удаленному компьютеру – с компьютера, содержащего закрытый ключ из соответствующей пары. Другими словами, нет пары ключей, нет доступа.

Чтобы отключить аутентификацию по паролю, войдите на удаленный компьютер и введите команду:

 sudo nano/etc/ssh/sshd_config 

В этом файле найдите строку:

 #PasswordAuthentication yes 

Измените эту строку на:

 PasswordAuthentication no 

Сохраните и закройте файл. Перезапустите SSH с помощью команды:

 sudo systemctl перезапустите sshd 

Теперь, если вы попытаетесь войти на эту удаленную машину с любого рабочего стола (или сервера), который не содержит закрытый ключ, доступ будет запрещен.

Поздравляем, вы успешно сделали вход в удаленную систему Linux более безопасным с помощью SSH.

Структура конфигурационного файла

Конфигурационный файл организован по хостам. Каждое определение хоста может содержать параметры подключения для конкретного совпадающего хоста. Также можно использовать подстановочные знаки для параметров, которые должны иметь более широкий охват.

Каждый из разделов начинается с заголовка, определяющего хосты, которые должны соответствовать параметрам конфигурации в этом разделе. Конкретные элементы конфигурации для этого хоста определяются ниже. Здесь необходимо указать только те элементы, которые отличаются от значений по умолчанию, поскольку хост наследует эти значения для любых неопределенных элементов. Раздел определяется от одного заголовка Host до следующего заголовка Host.

Как правило, для организационных целей и удобочитаемости параметры, заданные для каждого хоста, имеют отступы. Это позволяет упростить интерпретацию файла.

Общий формат будет выглядеть примерно так:

Host firsthostSSH_OPTION_1 custom_valueSSH_OPTION_2 custom_valueSSH_OPTION_3 custom_valueHost secondhostANOTHER_OPTION custom_valueHost *hostANOTHER_OPTION custom_valueHost *CHANGE_DEFAULT custom_value

Здесь представлены четыре раздела, которые будут применяться к каждой попытке подключения в зависимости от того, какому разделу отвечает тот или иной хост.

Аутентификация: управление ключами OpenSSH [ править ]

В Unix-подобных системах список авторизованных открытых ключей обычно хранится в домашнем каталоге пользователя, которому разрешен удаленный вход, в файле ~ / .ssh / authorized_keys. Этот файл поддерживается SSH только в том случае, если он не доступен для записи никому, кроме владельца и root. Когда открытый ключ присутствует на удаленном конце, а соответствующий закрытый ключ присутствует на локальном конце, ввод пароля больше не требуется. Однако для дополнительной безопасности сам закрытый ключ может быть заблокирован парольной фразой.

Закрытый ключ также можно искать в стандартных местах, а полный путь к нему можно указать в параметрах командной строки (параметр -i для ssh). SSH-серийник утилита производит открытые и закрытые ключи, всегда парами.

SSH также поддерживает аутентификацию на основе пароля, которая шифруется автоматически сгенерированными ключами. В этом случае злоумышленник может имитировать легитимную сторону сервера, запросить пароль и получить его ( атака «человек посередине» ). Однако это возможно только в том случае, если обе стороны никогда ранее не аутентифицировались, поскольку SSH запоминает ключ, который ранее использовала сторона сервера. Клиент SSH выдает предупреждение перед тем, как принять ключ нового, ранее неизвестного сервера. Парольную аутентификацию можно отключить.

Опции командной строки клиента SSH

У клиента SSH много опций командной строки, но они в большей части предназначены для перенаправления трафика и продвинутых случаев использования SSH. В этой части рассмотрим только некоторые из самых часто востребованных опций.

-p ПОРТ

Устанавливает порт, к которому нужно подключиться на удалённом сервере SSH. Портом по умолчанию является 22. Эту настройку можно установить в конфигурационном файле персонально для каждого хоста.

-E log_file

Добавляет отладочные логи к файлу log_file вместо стандартного вывода ошибок.

-F configfile

Определяет альтернативный файл конфигурации на уровне каждого пользователя. Если в командной строке указан файл конфигурации, системный файл конфигурации (/etc/ssh/ssh_config) будет проигнорирован. По умолчанию для файла конфигурации на уровне пользователя используется ~/.ssh/config.

Конфигурационные файлы клиента SSH

/etc/ssh/ssh_config

Общесистемный файл конфигурации клиента SSH.

/etc/ssh/ssh_known_hosts

Общесистемный список ключей известных хостов. Этот файл должен быть подготовлен системным администратором, чтобы он содержал открытые ключи хостов всех компьютеров в организации. Этот файл должен быть читаемым для всех.

~/.ssh/

Эта директива является стандартным расположением для хранилища конфигураций и информации для аутентификаций специфичных для пользователей. Нет требования хранить всё содержимое этой директории в секрете, но рекомендуется настроить разрешения на чтение/запись/выполнения так, чтобы они были у пользователя, но не были у других.

~/.ssh/config

Это конфигурационный файл с настройками каждого пользователя. Из-за возможного злоупотребления этот файл должен иметь строгие разрешения: чтение/запись для пользователя и недоступность для записи другими.

~/.ssh/known_hosts

Содержит список ключей хостов в которые входил пользователь, но которые отсутствуют в общесистемном списке ключей известных хостов.

Уязвимости

СШ-1

В 1998 году в SSH 1.5 была описана уязвимость, которая позволяла несанкционированно вставлять контент в зашифрованный поток SSH из-за недостаточной защиты целостности данных от CRC-32, используемого в этой версии протокола. Исправление, известное как SSH Compensation Attack Detector, было введено в большинство реализаций. Многие из этих обновленных реализаций содержали новую уязвимость целочисленного переполнения, которая позволяла злоумышленникам выполнять произвольный код с привилегиями демона SSH, обычно с правами root.

В январе 2001 года была обнаружена уязвимость, позволяющая злоумышленникам изменять последний блок сеанса, зашифрованного IDEA . В том же месяце была обнаружена еще одна уязвимость, позволяющая злоумышленнику перенаправить аутентификацию клиента на другой сервер.

Поскольку SSH-1 имеет врожденные недостатки конструкции, которые делают его уязвимым, в настоящее время он обычно считается устаревшим, и его следует избегать, явно отключив откат к SSH-1. Большинство современных серверов и клиентов поддерживают SSH-2.

Восстановление открытого текста CBC

В ноябре 2008 года была обнаружена теоретическая уязвимость для всех версий SSH, которая позволяла восстанавливать до 32 бит открытого текста из блока зашифрованного текста, который был зашифрован с использованием стандартного режима шифрования по умолчанию, . Наиболее простое решение — использовать , режим счетчика, вместо режима CBC, поскольку это делает SSH устойчивым к атаке.

Возможные уязвимости

28 декабря 2014 года Der Spiegel опубликовал секретную информацию, просочившуюся разоблачителем Эдвардом Сноуденом, из которой следует, что Агентство национальной безопасности может расшифровать некоторый трафик SSH. Технические детали, связанные с таким процессом, не разглашаются. Проведенный в 2017 году анализ хакерских инструментов ЦРУ BothanSpy и Gyrfalcon показал, что сам протокол SSH не был взломан.