Katika wateja wa SSH OpenSSH na PuTTY ( katika PuTTY na katika OpenSSH), na kusababisha kuvuja kwa habari katika algorithm ya mazungumzo ya unganisho. Athari hii huruhusu mvamizi anayeweza kuingilia trafiki ya mteja (kwa mfano, mtumiaji anapounganisha kupitia kituo cha ufikiaji kisichotumia waya kinachodhibitiwa na mvamizi) kugundua jaribio la awali la kuunganisha mteja kwa seva pangishi wakati mteja bado hajahifadhi ufunguo wa mwenyeji.
Akijua kwamba mteja anajaribu kuunganisha kwa mara ya kwanza na bado hana ufunguo wa mwenyeji upande wake, mshambuliaji anaweza kutangaza muunganisho kupitia yenyewe (MITM) na kumpa mteja ufunguo wake wa mwenyeji, ambao mteja wa SSH atazingatia. kuwa ufunguo wa seva pangishi inayolengwa ikiwa haitathibitisha alama ya kidole muhimu . Kwa hivyo, mshambulizi anaweza kupanga MITM bila kuamsha mashaka ya mtumiaji na kupuuza vipindi ambavyo upande wa mteja tayari umehifadhi funguo za seva pangishi, jaribio la kubadilisha ambalo litasababisha onyo kuhusu mabadiliko ya ufunguo wa seva pangishi. Mashambulizi hayo yanatokana na uzembe wa watumiaji ambao hawaangalii alama za vidole za ufunguo wa mwenyeji wanapounganishwa kwa mara ya kwanza. Wale wanaoangalia alama za vidole muhimu wanalindwa kutokana na mashambulizi hayo.
Kama ishara ya kubainisha jaribio la kwanza la muunganisho, mabadiliko katika mpangilio wa orodha ya kanuni za ufunguo wa mwenyeji hutumiwa. Ikiwa uunganisho wa kwanza unatokea, mteja hupeleka orodha ya algorithms chaguo-msingi, na ikiwa ufunguo wa mwenyeji tayari uko kwenye cache, basi algorithm inayohusishwa imewekwa mahali pa kwanza (algorithms hupangwa kwa utaratibu wa upendeleo).
Shida inaonekana katika toleo la OpenSSH 5.7 hadi 8.3 na PuTTY 0.68 hadi 0.73. Tatizo katika toleo kwa kuongeza chaguo la kuzima muundo unaobadilika wa orodha ya algoriti za uchakataji wa vitufe vya mwenyeji ili kuorodhesha algoriti kwa mpangilio thabiti.
Mradi wa OpenSSH hauna mpango wa kubadilisha tabia ya mteja wa SSH, kwani ikiwa hutataja algorithm ya ufunguo uliopo hapo awali, jaribio litafanywa kutumia algorithm ambayo hailingani na ufunguo wa cached na. onyo kuhusu ufunguo usiojulikana litaonyeshwa. Wale. uchaguzi hutokea - ama uvujaji wa habari (OpenSSH na PuTTY), au maonyo kuhusu kubadilisha ufunguo (Dropbear SSH) ikiwa ufunguo uliohifadhiwa haufanani na algorithm ya kwanza katika orodha ya chaguo-msingi.
Ili kutoa usalama, OpenSSH inatoa mbinu mbadala za uthibitishaji wa ufunguo wa seva pangishi kwa kutumia maingizo ya SSHFP katika DNSSEC na vyeti vya seva pangishi (PKI). Unaweza pia kuzima uteuzi unaojirekebisha wa kanuni za ufunguo wa seva pangishi kupitia chaguo la HostKeyAlgorithms na utumie chaguo la UpdateHostKeys ili kuruhusu mteja kupata funguo za ziada za seva pangishi baada ya uthibitishaji.
Chanzo: opennet.ru