ProHoster > Blogs > Interneta ziņas > Vainojamība SSH klientos OpenSSH un PuTTY

Vainojamība SSH klientos OpenSSH un PuTTY

SSH klientos OpenSSH un PuTTY identified vulnerability (CVE-2020-14002 PuTTY un CVE-2020-14145 OpenSSH), kas izraisa informācijas noplÅ«di savienoÅ”anās algoritmā. Å Ä« vaina ļauj uzbrucējam, kuram ir iespēja pārtvert klienta trafiku (piemēram, ja lietotājs pieslēdzas caur uzbrucēja kontrolētu bezvadu piekļuves punktu), identificēt klients sākotnējo pieslēgÅ”anās mēģinājumu saimniekdatoram, kad klientam vēl nav noslēgts saimniekdatora atslēgas keÅ”atmiņŔ.

Zinot, ka klients mēģina pieslēgties pirmo reizi un vēl nav iegÅ«ts saimniekdatora atslēgas, uzbrucējs var pārraidÄ«t savienojumu caur sevi (MITM) un sniegt klientam savu saimniekdatora atslēgu, kuru SSH klients uzskatÄ«s par mērÄ·a saimniekdatora atslēgu, ja netiks veikta atslēgas pēdas pārbaude. Tādējādi uzbrucējs var izveidot MITM, nekonstatējot lietotāja aizdomas, un ignorēt sesijas, kurās klienta pusē jau ir uzkrāti saimniekdatoru atslēgas, kuru maiņa radÄ«s brÄ«dinājumu par saimniekdatora atslēgas maiņu. Uzbrukums balstās uz lietotāju neuzmanÄ«bu, kuri veic manuālu saimniekdatora atslēgas pēdas pārbaudi pieslēgÅ”anās brÄ«dÄ«. Tie, kas pārbauda atslēgu pēdas pret Ŕādiem uzbrukumiem, ir aizsargāti.

Kā pazÄ«me pirmā pieslēgÅ”anās mēģinājuma identificÄ“Å”anai tiek izmantota atbalstÄ«to saimniekdatoru atslēgu algoritmu kārtÄ«bas maiņa. Ja notiek pirmā pieslēgÅ”anās, klients nosÅ«ta noklusējuma algoritmu sarakstu, savukārt, ja saimniekdatora atslēga jau ir keÅ”atmiņā, saistÄ«tais algoritms tiek izvirzÄ«ts pirmajā vietā (algoritmi tiek kārtoti pēc priekÅ”roka).

Problēma parādās versijās ar OpenSSH no 5.7 lÄ«dz 8.3 un PuTTY no 0.68 lÄ«dz 0.73. Problēma ir novērsta izlaidumā PuTTY 0.74 caur iespējas pievienoÅ”anu, lai atslēgtu dinamisku saimniekdatoru atslēgu apstrādes algoritmu saraksta veidoÅ”anu par labu algoritmu sarakstam fiksētā secÄ«bā.

OpenSSH projekts neplāno mainÄ«t SSH klienta uzvedÄ«bu, jo, ja pirmajā vietā nav norādÄ«ts esoŔā atslēga algoritms, tiks mēģināts piemērot algoritmu, kas neatbilst keÅ”otajai atslēgai, brÄ«dinot par nezināmu atslēgu. T.i., rodas izvēle ā€” vai nu informācijas noplÅ«de (OpenSSH un PuTTY), vai arÄ« brÄ«dinājumu izvadÄ«Å”ana par atslēgas maiņu (Dropbear SSH), ja saglabātā atslēga neatbilst pirmajam algoritmam noklusējuma sarakstā.

Lai nodroÅ”inātu aizsardzÄ«bu OpenSSH, ieteicams izmantot alternatÄ«vus veidus, kā pārbaudÄ«t hosta atslēgu, izmantojot SSHFP ierakstus DNSSEC un hosta sertifikātus (PKI). Tāpat varat atspējot adaptÄ«vās algoritmu izvēles iespēju hosta atslēgām, izmantojot iespēju HostKeyAlgorithms, un izmantot iespēju UpdateHostKeys, lai iegÅ«tu klientam papildu hosta atslēgas pēc autentifikācijas.

Avots: opennet.lv

Iegādājieties uzticamu tÄ«mekļa hostingu ar DDoS aizsardzÄ«bu, VPS VDS serveriem šŸ”„ Iegādājieties uzticamu tÄ«mekļa hostingu ar DDoS aizsardzÄ«bu, VPS VDS serveriem | ProHoster