จากซอฟต์แวร์สแกนช่องโหว่ของฉัน ฉันได้รับแฟล็ก/ข้อความนี้
เปิดใช้งานอัลกอริธึมการแลกเปลี่ยนคีย์ที่อ่อนแอต่อไปนี้:
diffie-hellman-group-exchange-sha1
diffie-Hellman-group1-sha1
ฉันต้องการปิดใช้งานอัลกอริทึมทั้งสองนี้
ฉันสอบถาม sshd_config...
[รูท@vm01 ~]# sshd -T | grep "\(ciphers\|macs\|kexalgorithms\)"
gssapikexalgorithms gss-gex-sha1-,gss-group1-sha1-,gss-group14-sha1-
ยันต์ chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
macs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256
kexalgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group14-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,ecdh-sha2-nistp521,ecdh-sha2-nistp384, ecdh -sha2-nistp256,diffie-hellman-group-exchange-sha256
[รูท@vm01 ~]# ssh -Q kex
diffie-Hellman-group1-sha1
diffie-Hellman-group14-sha1
diffie-Hellman-group14-sha256
diffie-Hellman-group16-sha512
diffie-Hellman-group18-sha512
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
เส้นโค้ง25519-sha256
curve25519-sha256@libssh.org
gss-gex-sha1-
gss-group1-sha1-
gss-group14-sha1-
[รูท@vm01 ~]# sshd -T | เกรป เค็กซ์
gssapikexalgorithms gss-gex-sha1-,gss-group1-sha1-,gss-group14-sha1-
kexalgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group14-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,ecdh-sha2-nistp521,ecdh-sha2-nistp384, ecdh -sha2-nistp25
ดังที่คุณเห็นจากผลลัพธ์ ลูกค้าสามารถใช้อัลกอริทึมเหล่านี้ได้ ไม่มีการกล่าวถึงอัลกอริทึมที่ไม่เหมาะสมใน sshd_config แม้แต่ในไฟล์ ยันต์ ส่วน:
ยันต์ chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
ความช่วยเหลือใด ๆ ที่ชื่นชม
หมายเหตุ ฉันใช้ OpenSSH 7.4
sshd_config
ยันต์ chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256
KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group14-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,ecdh-sha2-nistp521,ecdh-sha2-nistp384, ecdh -sha2-nistp256,diffie-hellman-group-exchange-sha256,-diffie-hellman-group1-sha1,diffie-hellman-group-exchange-sha1
เท่าที่ฉันทราบ OpenSHH รองรับการปิดใช้งานอัลกอริธึมการแลกเปลี่ยนคีย์หรือการเข้ารหัสเฉพาะ (และจริงๆ แล้วเป็นสองสิ่งที่แตกต่างกัน) โดยเพิ่มรายการอัลกอริทึมที่คุณต้องการปิดใช้งานด้วยยัติภังค์/ลบ -แม้ว่าโดยทั่วไปแล้วจะเป็นการตั้งค่าอย่างชัดเจนว่าคุณต้องการอนุญาตอะไร
ดู: https://man.openbsd.org/sshd_config#KexAlgorithms
หากไม่ได้ตั้งค่า KexAlgorithms แสดงว่าเซิร์ฟเวอร์ของคุณใช้การตั้งค่าเริ่มต้น คุณสามารถปล่อยให้เป็นค่าเริ่มต้นและปิดใช้งานอัลกอริธึมการแลกเปลี่ยนคีย์ที่อ่อนแอทั้งสองอันที่ไม่เหมาะสมด้วย:
#sshd_config
...
อัลกอริทึม Kex -diffie-hellman-group1-sha1,diffie-hellman-group-exchange-sha1
หรือคุณสามารถตั้งค่าที่ชัดเจนมากขึ้นเช่น (ซึ่งอาจทำลายความเข้ากันได้แบบย้อนหลังกับไคลเอนต์เก่า):
#sshd_config
...
KexAlgorithms curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha256
ยันต์ chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,umac-128 @openssh.com
คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา
