Apakah itu HMAC #

HMAC, atau Kod Pengesahan Mesej berasaskan Hash, ialah binaan kriptografi yang menggunakan kunci rahsia dan fungsi cincang untuk mengesahkan integriti dan ketulenan data atau mesej. HMAC menyediakan cara untuk memastikan bahawa data tidak diganggu semasa penghantaran dan ia berasal daripada sumber yang dipercayai. Ia melibatkan menggabungkan data dengan kunci rahsia, mencincang hasilnya, dan kemudian membandingkannya dengan rujukan HMAC di hujung penerima, menawarkan kaedah selamat untuk mengesahkan kesahihan data dalam pelbagai aplikasi, termasuk sistem komunikasi dan pengesahan yang selamat.

Dalam perkhidmatan SSH (Secure Shell) seperti SSHd (SSH daemon), HMAC digunakan untuk meningkatkan keselamatan komunikasi antara pelanggan dan pelayan. Semasa proses pertukaran kunci SSH, pelayan dan pelanggan berunding mengenai satu set algoritma kriptografi, termasuk algoritma HMAC, untuk digunakan untuk pengesahan integriti data. Algoritma HMAC yang dipilih, digabungkan dengan kunci rahsia yang dikongsi, digunakan untuk menjana teg HMAC untuk paket keluar dan mengesahkan integriti paket masuk. Ini memastikan bahawa data yang ditukar antara pelanggan dan pelayan tidak diubah semasa penghantaran, melindungi daripada gangguan dan memastikan keaslian komunikasi, aspek penting dalam model keselamatan SSH.

Lumpuhkan sifir lemah dalam SSHD #

Untuk meningkatkan keselamatan perkhidmatan SSHd, anda mungkin perlu mengubah suai algoritma sifer, MAC dan kunci SSH bagi memastikan tiada HMAC MD5 atau 96-bit yang digunakan ( hmac-md5 hmac-md5-96 hmac-sha1-96 ). Sila teruskan dengan langkah-langkah berikut.

Semak Konfigurasi SSHd Sedia Ada #

Periksa konfigurasi SSH semasa untuk mengenal pasti sifir, MAC dan algoritma utama yang dibenarkan. Gunakan arahan berikut untuk mengumpulkan maklumat ini:

root@noid-ee-01:~# sshd -T | grep "\(sifir\|macs\|kexalgorithm\)"
tulisan rahsia chacha20-poly1305@openssh.com,aes128-ctr,aes192-ctr,aes256-ctr,aes128-gcm@openssh.com,aes256-gcm@openssh.com
macs umac-64-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com,hmac-sha1-etm@openssh.com,umac-64@openssh.com,umac-128@openssh.com,hmac-sha2-256,hmac-sha2-512,hmac-sha1
kexalgoritma curve25519-sha256,curve25519-sha256@libssh.org,ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,diffie-hellman-group14-sha256,diffie-hellman-group14-sha1

Edit Konfigurasi SSHD #

Untuk meningkatkan keselamatan, pertimbangkan untuk melumpuhkan sifer dan MAC yang lebih lemah. Gunakan editor teks (seperti nano atau vi ) untuk mengedit fail konfigurasi SSHD (terletak di /etc/ssh/sshd_config ). Alih keluar sifer dan MAC yang anda tidak mahu benarkan dan simpan fail tersebut. Jika konfigurasi tidak wujud, tambahkan baris baharu pada penghujung fail.

ciphers aes128-ctr,aes192-ctr,aes256-ctr
macs hmac-sha1,hmac-sha2-256,hmac-sha2-512

Mulakan semula Perkhidmatan SSHD #

Selepas membuat perubahan, mulakan semula perkhidmatan SSHD untuk menggunakan konfigurasi baharu.

root@noid-ee-01:~# systemctl mulakan semula sshd

Semak konfigurasi baharu #

Sahkan konfigurasi yang dikemas kini menggunakan arahan yang sama seperti sebelumnya.

root@nid-ee-01:~# sshd -T | grep "\(ciphers\|macs\|kexalgorithms\)"
ciphers aes128-ctr,aes192-ctr,aes256-ctr
macs hmac-sha1,hmac-sha2-256,hmac-sha2-512
kexalgorithms curve25519-sha256,curve25519-sha256@libssh.org,ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,diffie-hellman-group14-sha256,diffie-hellman-group14-sha1

Langkah ini membantu mengukuhkan keselamatan SSH dengan mengkonfigurasi SSH untuk menggunakan suite sifir dan MAC yang lebih selamat sambil melumpuhkan pilihan yang lebih lemah, meningkatkan keselamatan keseluruhan perkhidmatan SSHd. Harap maklum bahawa mengubah tetapan ini mungkin memberi kesan kepada keserasian dengan pelanggan SSH yang lebih lama atau kurang selamat, jadi pastikan perubahan anda sejajar dengan keperluan keselamatan khusus anda.