Quanto è sicuro il proxy socks5 su ssh?

Un'indagine dovrebbe facilmente concludere che un computer sulla loro rete, assegnato a voi, si connette a un host ISP di livello consumer sulla porta 443 utilizzando SSH e non HTTPS (l'ispezione del contenuto può facilmente determinare quale protocollo si sta utilizzando, tra cui la possibilità di rilevare il traffico SSH ).

Il contenuto esatto di questo traffico dovrebbe essere opaco (ma anche questo non è garantito) senza qualcosa di malevolo o un'analisi molto avanzata.

Ci sono alcuni modi in cui possono essere raccolte più informazioni:

• Perdita di dati accidentali (le altre risposte qui si riferiscono a questo)
• Un attacco Man-in-the-Middle - Assicurati di aver ottenuto Impronta digitale SSH a destra
• Software / hardware sul computer o area di lavoro per intercettare i dati locali non crittografati
• Richiesta (o intercettazione) del lato non crittografato del tuo ISP home del tuo
• Un attacco del canale laterale o analisi avanzata della frequenza.

Un esempio di analisi di frequenza: ci sono alcuni modelli di video e audio; Ho persino sentito parlare di rapporti che suggeriscono che l'audio live crittografato può essere decifrato in base al volume di dati (le pause si comprimono bene, le parole non sono così buone, ed è tutto in tempo reale).

Considerate solo le raffiche di dati, dovrebbe essere ovvio che non stai usando solo una shell. Immagino che non sarebbe difficile determinare se stai navigando sul web, anche se non so se questo sia facilmente scoperto con gli strumenti esistenti.

Considerati alcuni attributi di determinati siti Web (ad esempio, il modo in cui i siti caricano in modo dinamico nuovi contenuti richiedono una certa frequenza di polling e possono estrapolare una certa gamma ristretta di dati), potrebbe anche essere possibile notare i siti che si stanno visitando, sebbene io dubito che l'analisi della frequenza possa determinare il contenuto esatto (un attacco di canale laterale ha una buona possibilità).

Se sei preoccupato per un attacco da canale laterale o malware o hardware sofisticati (ad esempio una telecamera dietro la tua sedia), è probabile che essere licenziati sia l'ultimo dei tuoi dubbi :-) Abbiamo almeno qualche anno prima quel tipo di tecnologia diventa abbastanza onnipresente da essere schierata per mantenere i dipendenti sul bersaglio. I datori di lavoro che cercano di essere tali draconiani optano per l'opzione economica e semplicemente bloccano il traffico SSH agli host non approvati (indipendentemente dalla porta).

Come per il DNS: normalmente , il principio del protocollo SOCKS è che quando un client vuole connettersi al server example.com sulla porta 80, invia attraverso il tunnel il messaggio "per favore apri una connessione alla porta 80 di example.com e inoltra i byte avanti e indietro ", quindi il nome example.com verrà risolto sull'altra estremità del tunnel (qui, il tuo router di casa). Come indica @ M'vy, Firefox può fare diversamente, nel qual caso si deve supporre che il messaggio SOCKS parlerà dell'indirizzo IP risolto.

Come per il proxy aziendale, funziona come funzionerebbe per SSL: il browser invia un ordine "CONNECT" al proxy, con un nome e una porta di destinazione, e chiede al proxy di propagare i byte in entrambe le direzioni. Nel tuo caso, il proxy aziendale ritiene che stia inoltrando una connessione SSL, ma in realtà questo è un SSH. Il proxy è ancora "all'esterno" crittograficamente parlando; non vedrà i dati e, in particolare, non saprà nemmeno quali siti si sta navigando. Il proxy aziendale vede una una connessione abbastanza impegnativa, tra il tuo sistema desktop e il tuo router di casa.

Si noti, tuttavia, che i protocolli SSH e SSL non utilizzano lo stesso tipo di intestazioni, quindi il proxy aziendale potrebbe notare che ciò che passa attraverso non è SSL (anche se utilizza la porta tradizionale HTTPS 443) ma in realtà SSH. A seconda degli strumenti di sorveglianza e degli sforzi del sysadmin, il proxy può decidere che le cose sono pericolose e segnalare un allarme.

La connessione tra te e il tuo proxy è crittografata. Passa attraverso il proxy aziendale, che può vedere solo il traffico crittografato.

Come hai detto, il proxy registrerà una connessione con l'indirizzo IP del proxy e potrà eventualmente monitorare la quantità di dati che passa attraverso quella connessione (è un modo comune per rilevare il proxy).

È possibile che le richieste DNS non stiano andando dal tuo proxy, sembra che il browser Chrome lo faccia di default, ma non Firefox per il quale devi passare il valore di network.proxy.socks_remote_dns a True in about:config .

Riguardo ad un attacco Man In the Middle, devi assicurarti che la chiave host fornita al login corrisponda all'impronta del tuo server. Come promemoria, PuTTY memorizza l'impronta digitale nota nel registro in: HKEY_CURRENT_USER\Software\SimonTatham\PuTTY\SshHostKeys e l'impronta digitale del server SSHd può essere verificata eseguendo:

for file in /etc/ssh/*sa_key.pub                                                                                
do
    ssh-keygen -lf $file
done