{"id":87197,"date":"2020-07-05T07:42:02","date_gmt":"2020-07-05T05:42:02","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-ssh-klientah-openssh-i-putty"},"modified":"2020-07-05T07:42:02","modified_gmt":"2020-07-05T05:42:02","slug":"uyazvimost-v-ssh-klientah-openssh-i-putty","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-ssh-klientah-openssh-i-putty","title":{"rendered":"Sicherheitsanf\u00e4lligkeit in SSH-Clients OpenSSH und PuTTY","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

In den SSH-Clients OpenSSH und PuTTY entdeckt<\/a><\/noindex> eine Schwachstelle<\/a><\/noindex> (CVE-2020-14002<\/a><\/noindex> in PuTTY und CVE-2020-14145<\/a><\/noindex> in OpenSSH), die zu einem Datenleck im Verbindungsvereinbarungsalgorithmus f\u00fchrt. Die Sicherheitsanf\u00e4lligkeit erm\u00f6glicht es einem Angreifer, der den Verkehr des Clients abfangen kann (zum Beispiel wenn sich ein Benutzer \u00fcber einen vom Angreifer kontrollierten WLAN-Zugangspunkt verbindet), den Versuch der urspr\u00fcnglichen Verbindung des Clients zu einem Host zu erkennen, bevor der Client den Hostschl\u00fcssel zwischengespeichert hat. <\/p>\n

Wei\u00df der Angreifer, dass der Client versucht, sich zum ersten Mal zu verbinden und noch keinen Hostschl\u00fcssel gespeichert hat, kann er die Verbindung \u00fcber sich selbst umleiten (MITM) und dem Client seinen eigenen Hosts-Schl\u00fcssel pr\u00e4sentieren, den der SSH-Client als Schl\u00fcssel des Zielhosts betrachtet, sofern der Fingerabdruck des Schl\u00fcssels nicht \u00fcberpr\u00fcft wird. Dadurch kann der Angreifer einen MITM-Angriff ohne Verdacht des Benutzers durchf\u00fchren und Verbindungen ignorieren, bei denen der Client bereits zwischengespeicherte Hostschl\u00fcssel hat, deren Manipulation eine Warnung \u00fcber eine \u00c4nderung des Hostschl\u00fcssels zur Folge h\u00e4tte. Der Angriff basiert auf der Nachl\u00e4ssigkeit der Benutzer, die beim ersten Verbindungsaufbau keine manuelle \u00dcberpr\u00fcfung des Fingerabdrucks des Hostschl\u00fcssels durchf\u00fchren. Diejenigen, die die Fingerabdr\u00fccke der Schl\u00fcssel \u00fcberpr\u00fcfen, sind gegen solche Angriffe gesch\u00fctzt.<\/p>\n

Ein Kriterium f\u00fcr die Bestimmung des ersten Verbindungsversuchs ist die \u00c4nderung der Reihenfolge der Aufz\u00e4hlung unterst\u00fctzter Algorithmen f\u00fcr Hosts-Schl\u00fcssel. Wenn es sich um die erste Verbindung handelt, \u00fcbertr\u00e4gt der Client die Standardliste der Algorithmen, und wenn der Hostschl\u00fcssel bereits im Cache gespeichert ist, wird der zugeh\u00f6rige Algorithmus an die erste Stelle gesetzt (Algorithmen werden in der Reihenfolge der Pr\u00e4ferenz sortiert). <\/p>\n

Das Problem tritt in den Versionen von OpenSSH von 5.7 bis 8.3 und in PuTTY von 0.68 bis 0.73 auf. Das Problem behoben<\/a><\/noindex> in der Version PuTTY 0.74<\/a><\/noindex> wurde durch die Hinzuf\u00fcgung einer Option zur Deaktivierung der dynamischen Erstellung der Liste von Algorithmen zur Handhabung von Hosts-Schl\u00fcsseln zugunsten der Aufz\u00e4hlung von Algorithmen in fester Reihenfolge behoben.<\/p>\n

Das OpenSSH-Projekt plant nicht, das Verhalten des SSH-Clients zu \u00e4ndern. Wenn der Algorithmus des vorhandenen Schl\u00fcssels nicht an erster Stelle angegeben wird, versucht der Client, einen nicht zum zwischengespeicherten Schl\u00fcssel passenden Algorithmus anzuwenden, was eine Warnung \u00fcber einen unbekannten Schl\u00fcssel ausgibt. Das bedeutet, es gibt eine Wahl \u2014 entweder eine Datenleckage (OpenSSH und PuTTY) oder die Ausgabe von Warnungen \u00fcber den Schl\u00fcsselwechsel (Dropbear SSH), falls der gespeicherte Schl\u00fcssel nicht mit dem ersten Algorithmus in der Standardliste \u00fcbereinstimmt.<\/p>\n

Um in OpenSSH Schutz zu gew\u00e4hrleisten, wird empfohlen, alternative Methoden zur \u00dcberpr\u00fcfung des Hostschl\u00fcssels mittels SSHFP-Eintr\u00e4gen in DNSSEC und Hostzertifikaten (PKI) zu verwenden. Zudem kann die adaptive Auswahl der Hostschl\u00fcssel-Algorithmen \u00fcber die Option HostKeyAlgorithms deaktiviert werden, und die Option UpdateHostKeys kann genutzt werden, um dem Client zus\u00e4tzliche Hostschl\u00fcssel nach der Authentifizierung zu erm\u00f6glichen.<\/p>\n

<\/a><\/noindex><\/p>\n

Quelle: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 SSH-\u043a\u043b\u0438\u0435\u043d\u0442\u0430\u0445 OpenSSH \u0438 PuTTY \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2020-14002 \u0432 PuTTY \u0438 CVE-2020-14145 \u0432 OpenSSH), \u043f\u0440\u0438\u0432\u043e\u0434\u044f\u0449\u0430\u044f \u043a \u0443\u0442\u0435\u0447\u043a\u0435 \u0441\u0432\u0435\u0434\u0435\u043d\u0438\u0439 \u0432 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0435 \u0441\u043e\u0433\u043b\u0430\u0441\u043e\u0432\u0430\u043d\u0438\u044f \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u043c\u0443, \u0441\u043f\u043e\u0441\u043e\u0431\u043d\u043e\u043c\u0443 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u0438\u0442\u044c \u0442\u0440\u0430\u0444\u0438\u043a \u043a\u043b\u0438\u0435\u043d\u0442\u0430 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043f\u0440\u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0447\u0435\u0440\u0435\u0437 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u0443\u044e \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u043c \u0442\u043e\u0447\u043a\u0443 \u0431\u0435\u0441\u043f\u0440\u043e\u0432\u043e\u0434\u043d\u043e\u0433\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u0430), \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c \u043f\u043e\u043f\u044b\u0442\u043a\u0443 \u043f\u0435\u0440\u0432\u043e\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u043a \u0445\u043e\u0441\u0442\u0443, \u043a\u043e\u0433\u0434\u0430 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u043c \u0435\u0449\u0451 \u043d\u0435 \u043f\u0440\u043e\u043a\u044d\u0448\u0438\u0440\u043e\u0432\u0430\u043d \u043a\u043b\u044e\u0447 \u0445\u043e\u0441\u0442\u0430. \u0417\u043d\u0430\u044f, \u0447\u0442\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-87197","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Sicherheitsanf\u00e4lligkeit in den SSH-Clients OpenSSH und PuTTY | ProHoster","description":"In den SSH-Clients OpenSSH und PuTTY","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-ssh-klientah-openssh-i-putty","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 SSH-\u043a\u043b\u0438\u0435\u043d\u0442\u0430\u0445 OpenSSH \u0438 PuTTY | ProHoster","og:description":"\u0412 SSH-\u043a\u043b\u0438\u0435\u043d\u0442\u0430\u0445 OpenSSH \u0438 PuTTY","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-ssh-klientah-openssh-i-putty","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-07-05T05:42:02+00:00","article:modified_time":"2020-07-05T05:42:02+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"87197","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 13:56:23","updated":"2022-10-07 22:11:57","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/87197","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=87197"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/87197\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=87197"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=87197"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=87197"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}