SSH ক্লায়েন্ট OpenSSH এবং PuTTY-এর দুর্বলতা

SSH ক্লায়েন্টে OpenSSH এবং PuTTY চিহ্নিত দুর্বলতা (জন্য CVE-2020-14002 পুটিটিতে এবং জন্য CVE-2020-14145 OpenSSH-এ), সংযোগ আলোচনার অ্যালগরিদমে তথ্য ফাঁসের দিকে পরিচালিত করে। দুর্বলতা একজন আক্রমণকারীকে ক্লায়েন্ট ট্র্যাফিককে আটকাতে সক্ষম করে (উদাহরণস্বরূপ, যখন একজন ব্যবহারকারী আক্রমণকারী-নিয়ন্ত্রিত ওয়্যারলেস অ্যাক্সেস পয়েন্টের মাধ্যমে সংযোগ করে) প্রাথমিকভাবে ক্লায়েন্টকে হোস্টের সাথে সংযুক্ত করার প্রচেষ্টা সনাক্ত করতে যখন ক্লায়েন্ট এখনও হোস্ট কী ক্যাশে করেনি।

ক্লায়েন্ট প্রথমবার সংযোগ করার চেষ্টা করছে এবং এখনও তার পাশে হোস্ট কী নেই তা জেনে, আক্রমণকারী নিজের (MITM) মাধ্যমে সংযোগটি সম্প্রচার করতে পারে এবং ক্লায়েন্টকে তার হোস্ট কী দিতে পারে, যা SSH ক্লায়েন্ট বিবেচনা করবে। লক্ষ্য হোস্টের চাবি হোন যদি এটি কী আঙ্গুলের ছাপ যাচাই না করে। এইভাবে, একজন আক্রমণকারী ব্যবহারকারীর সন্দেহ জাগিয়ে MITM সংগঠিত করতে পারে এবং সেশনগুলিকে উপেক্ষা করতে পারে যেখানে ক্লায়েন্ট সাইড ইতিমধ্যে হোস্ট কীগুলি ক্যাশে করেছে, প্রতিস্থাপনের একটি প্রচেষ্টা যার ফলে হোস্ট কী পরিবর্তনের বিষয়ে একটি সতর্কতা হবে৷ আক্রমণটি ব্যবহারকারীদের অসতর্কতার উপর ভিত্তি করে যারা প্রথমবার সংযোগ করার সময় হোস্ট কী-এর আঙুলের ছাপ ম্যানুয়ালি পরীক্ষা করে না। যারা কী আঙুলের ছাপ পরীক্ষা করে তারা এই ধরনের আক্রমণ থেকে রক্ষা পায়।

প্রথম সংযোগ প্রচেষ্টা নির্ধারণের জন্য একটি চিহ্ন হিসাবে, সমর্থিত হোস্ট কী অ্যালগরিদম তালিকার ক্রম পরিবর্তন ব্যবহার করা হয়। যদি প্রথম সংযোগ ঘটে, ক্লায়েন্ট ডিফল্ট অ্যালগরিদমগুলির একটি তালিকা প্রেরণ করে এবং যদি হোস্ট কীটি ইতিমধ্যেই ক্যাশে থাকে, তাহলে সংশ্লিষ্ট অ্যালগরিদমটি প্রথম স্থানে রাখা হয় (অ্যালগরিদমগুলি পছন্দ অনুসারে সাজানো হয়)।

সমস্যাটি OpenSSH রিলিজ 5.7 থেকে 8.3 এবং PuTTY 0.68 থেকে 0.73 এ দেখা যায়। সমস্যা নির্মূল ইস্যুতে পুটি 0.74 একটি ধ্রুবক ক্রমে অ্যালগরিদম তালিকাভুক্ত করার পক্ষে হোস্ট কী প্রক্রিয়াকরণ অ্যালগরিদমগুলির একটি তালিকার গতিশীল নির্মাণ নিষ্ক্রিয় করার একটি বিকল্প যোগ করে৷

ওপেনএসএসএইচ প্রকল্পটি এসএসএইচ ক্লায়েন্টের আচরণ পরিবর্তন করার পরিকল্পনা করে না, যেহেতু আপনি যদি প্রথম স্থানে বিদ্যমান কীটির অ্যালগরিদম নির্দিষ্ট না করেন তবে একটি অ্যালগরিদম ব্যবহার করার চেষ্টা করা হবে যা ক্যাশেড কীটির সাথে সঙ্গতিপূর্ণ নয় এবং একটি অজানা কী সম্পর্কে একটি সতর্কতা প্রদর্শিত হবে। সেগুলো. একটি পছন্দ দেখা দেয় - হয় তথ্য ফাঁস (OpenSSH এবং PuTTY), অথবা সংরক্ষিত কীটি ডিফল্ট তালিকার প্রথম অ্যালগরিদমের সাথে মিল না থাকলে কী (ড্রপবিয়ার SSH) পরিবর্তন করার বিষয়ে সতর্কতা।

নিরাপত্তা প্রদানের জন্য, OpenSSH DNSSEC এবং হোস্ট সার্টিফিকেট (PKI) এ SSHFP এন্ট্রি ব্যবহার করে হোস্ট কী যাচাইকরণের বিকল্প পদ্ধতি অফার করে। আপনি HostKeyAlgorithms বিকল্পের মাধ্যমে হোস্ট কী অ্যালগরিদমের অভিযোজিত নির্বাচন অক্ষম করতে পারেন এবং ক্লায়েন্টকে প্রমাণীকরণের পরে অতিরিক্ত হোস্ট কীগুলি পেতে অনুমতি দেওয়ার জন্য UpdateHostKeys বিকল্পটি ব্যবহার করতে পারেন।

উত্স: opennet.ru