domanda firma ssh (nessun metodo di scambio chiavi corrispondente trovato)

Question

domanda firma ssh (nessun metodo di scambio chiavi corrispondente trovato)

#1 da (1 voti)

4

Recentemente ho seguito il consiglio su questo blog per stringere il mio SSH sicurezza, che includeva la limitazione degli algoritmi di scambio delle chiavi a quelli non vulnerabili alle capacità note (o presunte note) degli attacchi Prime su DH.

Sono contento del setup e funziona bene, ma da quando lo ho installato sul mio server, ora vedo molti messaggi come questi nei log:

sshd[19853]: fatal: Unable to negotiate with XXX: no matching key exchange method found. Their offer: diffie-hellman-group14-sha1,diffie-hellman-group-exchange-sha1,diffie-hellman-group1-sha1 [preauth]

Questo non mi riguarda, sono le solite connessioni casuali alla porta 22 che stavo vedendo in precedenza, eccetto che ora sono state rifiutate allo scambio di chiavi invece che durante il tentativo di autenticazione dell'utente (ad esempio tentando di accedere come root, oracle , ecc.)

Sono l'unico utente sull'host in modo che tutti questi siano tentativi di probe / hack. Ma è interessante per me che la maggior parte delle connessioni tentate si concentrano su questi algoritmi. Ecco la ripartizione delle firme più comuni che vedo:

> journalctl -n 1000 | grep sshd | grep  "no matching key exchange" | sed -r 's/.*Their offer: (.*) \[preauth\]//' | sort | uniq -c
      2 diffie-hellman-group-exchange-sha1,diffie-hellman-group-exchange-sha256
      4 diffie-hellman-group-exchange-sha256,diffie-hellman-group-exchange-sha1,diffie-hellman-group1-sha1,diffie-hellman-group14-sha1
      1 diffie-hellman-group-exchange-sha256,diffie-hellman-group-exchange-sha1,diffie-hellman-group14-sha1,diffie-hellman-group1-sha1
     63 diffie-hellman-group1-sha1,diffie-hellman-group14-sha1,diffie-hellman-group-exchange-sha1
    411 diffie-hellman-group14-sha1,diffie-hellman-group-exchange-sha1,diffie-hellman-group1-sha1

Per il più comune diffie-hellman-group14-sha1, diffie-hellman-group-exchange-sha1, diffie-hellman-group1-sha1 , sono curioso di sapere se questo è uno specifico firma (ad esempio, forse questo è l'impostazione predefinita in alcune versioni precedenti di SSH) o se questa è un'indicazione degli hacker che limitano intenzionalmente lo scambio di chiavi per concentrarsi su questi algoritmi più deboli.

La mia ricerca su google non rivela niente di valore, quindi mi rivolgo a questa comunità nella speranza che qualcuno abbia visto e studiato questo prima. Più curiosità di un problema da risolvere, ma sperare ancora che qualcuno qui abbia le conoscenze per soddisfare la curiosità. :)

ssh

posta Mark 30.10.2015 - 23:18

fonte

1 risposta

Leggi altre domande sui tag ssh

Variabile d'ambiente e scripting per exploit return-to-libc HTTP su GPRS - è sicuro?

score 1 · Accepted Answer

I'm curious if this is a specific signature (ie. perhaps this is the default in certain older versions of SSH) or if this is an indication of hackers purposely restricting key exchange to focus on these weaker algorithms.

I tuoi attaccanti non sono affatto interessati agli algoritmi di scambio delle chiavi, di per sé. Non importa se in questo caso sono deboli o meno. Lo scambio di chiavi consente al client di verificare l'identità del server e stabilisce la protezione crittografica per il resto della connessione (il MAC e le chiavi di crittografia). Il tuo aggressore è il cliente e non si preoccupa di nulla di ciò; tutto quello che vuole fare è provare un sacco di combinazioni di username / password comuni per vedere se può entrare. Quegli algoritmi di scambio di chiavi sono solo quelli comuni che, fino a poco tempo fa, erano quasi sempre abilitati; questi in particolare:

Diffie-Hellman-Gruppo 1-sha1
Diffie-Hellman-group14-sha1

... devono essere implementati da RFC 4253.