Network Attack Defense асаалттай үед SSH түлхүүрээр (PKI) хэрхэн нэвтрэх вэ?

Network Attack Defense-ийн SSH хамгаалалт нь libssh-ийн өөрчилсөн хувилбарыг ашиглан клиентийн холболтыг бүтээгдэхүүнд прокси хийж, бүтээгдэхүүн нь алсын серверт холбогддог. Клиент–бүтээгдэхүүн болон бүтээгдэхүүн–алсын сервер хоорондын холболтууд зөвхөн transport давхарга дээр үүснэ.

Холболт хүлээн авахын өмнө прокси нь /opt/bitdefender-security-tools/etc/ssh хавтас дахь SSH түлхүүрүүдийг ачаалж өөрийн серверийг эхлүүлнэ.

Эхлээд ssh_host_rsa_key, дараа нь ssh_host_ed25518_key, эцэст нь ssh_host_ecdsa_key-г оролдоно.

Олдсон эхний түлхүүрийг ашиглана. Хэрэв нэг ч түлхүүр олдохгүй бол шинэ түлхүүрийн хос автоматаар үүсч, RSA түлхүүрийг ашиглана.

/opt/bitdefender-security-tools/etc/ssh хавтасны бүтэц нь VMware ESXi (5.0 ба түүнээс хойших)-д байдагтай адил. Үүнээс гадна /opt/bitdefender-security-tools/etc/ssh/keys-$user хавтас бүрт хэрэглэгч бүрийн хувийн түлхүүрээс гадна authorized_keys файлыг тохируулж болно. Прокси нь хэрэглэгчийн хувийн түлхүүрүүдийн аль нэгээр алсын хост руу нэвтэрч чадах үед энэ файл шаардлагатай.

Хавтасны бүтцийн жишээг харна уу:

# ls -lR etc/ssh/
etc/ssh/:
total 24
drwxr-xr-x. 2 root bitdefender   58 Oct 11 15:47 keys-root
drwxr-xr-x. 2 root bitdefender   58 Oct 11 15:50 keys-test
-rw-------. 1 root bitdefender  241 Oct  6 02:42 ssh_host_ecdsa_key
-rw-------. 1 root bitdefender  180 Oct  6 02:42 ssh_host_ecdsa_key.pub
-rw-------. 1 root bitdefender  395 Oct  6 02:42 ssh_host_ed25519_key
-rw-------. 1 root bitdefender  100 Oct  6 02:42 ssh_host_ed25519_key.pub
-rw-------. 1 root bitdefender 3272 Oct  6 02:42 ssh_host_rsa_key
-rw-------. 1 root bitdefender  744 Oct  6 02:42 ssh_host_rsa_key.pub

etc/ssh/keys-root:
total 12
-rw-------. 1 root bitdefender  400 Oct 11 15:47 authorized_keys
-rw-------. 1 root bitdefender 1679 Oct 22  2021 id_rsa
-rw-------. 1 root bitdefender  400 Oct 22  2021 id_rsa.pub

etc/ssh/keys-test:
total 12
-rw-------. 1 root bitdefender  400 Oct 11 15:50 authorized_keys
-rw-------. 1 root bitdefender 1679 Oct 11 15:50 id_rsa
-rw-------. 1 root bitdefender  400 Oct 11 15:50 id_rsa.pub

Нэвтрэлтийн дараалал дараах байдалтай:

• Прокси нь хэрэглэгчийн нэрийг авахын тулд клиентэд none нэвтрэлтийн аргыг санал болгоно.
• Прокси нь алсын серверт холболтоо эхлүүлнэ.
• Прокси нь /etc/ssh/keys-$user хавтаснаас олдсон бүх хувийн түлхүүрийг (байвал) ачаална.
• Хэрэв хэрэглэгчийн хувийн түлхүүрүүдийн аль ч нь алсын серверт нэвтрэхэд тохирохгүй бол эсвэл клиентийн PKI нэвтрэлт амжилтгүй болбол прокси нь MITM горимд орж, клиентэд нууц үгээр шууд нэвтрэх боломж олгоно.

Network Attack Defense асаалттай үед SSH түлхүүрээр нэвтрэлтийг тохируулах

Network Attack Defense болон SSH/SCP урсгалын шалгалт асаалттай үед SSH түлхүүрт суурилсан нэвтрэлт (PKI) ашигладаг орчинд нэмэлт тохиргоо шаардлагатай.

Өөрийн хэрэглээнд тохирох процедурыг дагана.

Гарч буй SSH холболт

Хамгаалагдсан төгсгөлийн төхөөрөмж нь алсын сервер рүү SSH эсвэл SCP холболт эхлүүлдэг бол энэ процедурыг ашиглана:

1. 1/opt/bitdefender-security-tools/etc/ssh/keys-$user хавтас байхгүй бол үүсгэнэ. Энд $user нь алсын сервер дээр нэвтрэхэд ашигладаг хэрэглэгчийн нэр.
2. 2Алсын сервер дээр нэвтрэхэд ашигладаг SSH түлхүүрийн хосыг дөнгөж үүсгэсэн хавтас руу зөөнө.
3. 3Хамгаалагдсан төгсгөлийн төхөөрөмж дээрх хэрэглэгчид зориулж ssh-keygen-ээр шинэ SSH түлхүүрийн хос үүсгэнэ.
4. 4Нэг хавтас /opt/bitdefender-security-tools/etc/ssh/keys-$user дотор authorized_keys файл байхгүй бол үүсгэнэ.
5. 5Дөнгөж үүсгэсэн нийтийн түлхүүрийг (*.pub) өмнө үүсгэсэн authorized_keys файлд нэмнэ.

Жишээ

Дараах тохиргоог авч үзье:

• Хамгаалагдсан төгсгөлийн төхөөрөмж дээр local нэртэй хэрэглэгч байна.

• Алсын сервер дээр remote нэртэй хэрэглэгч байна.

• Холболтыг хамгаалагдсан төгсгөлийн төхөөрөмжөөс дараах байдлаар эхлүүлнэ:

```
ssh remote@remote-server
```

SSH түлхүүрээр нэвтрэлтийг тохируулахдаа:

1. 1/opt/bitdefender-security-tools/etc/ssh/keys-remote/ хавтас байхгүй бол үүсгэнэ.
2. 2Алсын сервер дээр нэвтрэхэд ашигладаг SSH түлхүүрийн хосыг дөнгөж үүсгэсэн хавтас руу зөөнө.
3. 3ssh-keygen-ээр local хэрэглэгчид зориулж шинэ SSH түлхүүрийн хос үүсгэнэ.
4. 4/opt/bitdefender-security-tools/etc/ssh/keys-remote/authorized_keys файл байхгүй бол үүсгэнэ.
5. 53-р алхамд үүсгэсэн нийтийн түлхүүрийг өмнө үүсгэсэн файлд нэмнэ.

Орж ирж буй SSH холболт

Алсын клиентүүд хамгаалагдсан төгсгөлийн төхөөрөмж рүү SSH эсвэл SCP холболт эхлүүлдэг бол энэ процедурыг ашиглана:

1. 1/opt/bitdefender-security-tools/etc/ssh/keys-$user хавтас байхгүй бол үүсгэнэ. Энд $user нь алсын клиентүүд хамгаалагдсан төгсгөлийн төхөөрөмж дээр нэвтрэхэд ашигладаг бүртгэл.

2. 2Шинээр үүсгэсэн хавтас дотор authorized_keys файл үүсгэнэ.

3. 3Тухайн хэрэглэгчийн одоо байгаа authorized_keys файлын (ихэвчлэн ~/.ssh дотор) агуулгыг дөнгөж үүсгэсэн файл руу хуулна.

4. 4$user-д зориулж шинэ SSH түлхүүрийн хос үүсгээд /opt/bitdefender-security-tools/etc/ssh/keys-$user хавтсанд хадгална.

5. 5Өмнөх алхамд үүсгэсэн нийтийн түлхүүрийг хамгаалагдсан төгсгөлийн төхөөрөмж дээрх authorized_keys файлд (ихэвчлэн ~/.ssh дотор) нэмнэ.

Ингэснээр Network Attack Defense-ийн SSH прокси нь хэрэглэгчийн өмнөөс дотоод SSH үйлчилгээнд нэвтэрч чадна.

Жишээ

Дараах тохиргоог авч үзье:

• Хамгаалагдсан төгсгөлийн төхөөрөмж дээр local нэртэй хэрэглэгч байна.

• Алсын клиент хамгаалагдсан төгсгөлийн төхөөрөмж рүү дараах байдлаар холбогдоно:

```
ssh local@protected-endpoint
```

SSH түлхүүрээр нэвтрэлтийг тохируулахдаа:

1. 1/opt/bitdefender-security-tools/etc/ssh/keys-local хавтас байхгүй бол үүсгэнэ.

2. 2/opt/bitdefender-security-tools/etc/ssh/keys-local/authorized_keys файл байхгүй бол үүсгэнэ.

3. 3Одоо байгаа ~/.ssh/authorized_keys файлын агуулгыг дөнгөж үүсгэсэн файл руу хуулна.

4. 4Шинэ SSH түлхүүрийн хос үүсгээд /opt/bitdefender-security-tools/etc/ssh/keys-local/ хавтсанд хадгална.

Жишээ:

```
ssh-keygen -t ed25519 -f /opt/bitdefender-security-tools/etc/ssh/keys-local/id_ed25519
```

5. 5Өмнө үүсгэсэн нийтийн түлхүүрийг ~/.ssh/authorized_keys файлд нэмнэ.