☰

So setzen Sie bestimmte Chiffren und Schlüsselaustauschalgorithmen in SSH und SSHD auf die schwarze Liste

tag-icon • tag-icon linux ssh security cryptography
So setzen Sie bestimmte Chiffren und Schlüsselaustauschalgorithmen in SSH und SSHD auf die schwarze Liste

Um eine Liste aller unterstützten Algorithmen zu erhalten, kann ich ausführen ssh -Q kex, was auf meinem Computer ausgibt

diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group14-sha256
diffie-hellman-group16-sha512
diffie-hellman-group18-sha512
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
curve25519-sha256
[email protected]
[email protected]

Ich weiß auch, dass ich meinen sshd_config- und ssh_config-Dateien eine Zeile hinzufügen kann, beispielsweise wenn ich bestimmte Algorithmen auf die Whitelist setzen möchte.KexAlgorithms [email protected],diffie-hellman-group-exchange-sha256

Ich glaube jedoch nicht, dass ich es schaffen werde, diese Liste auf dem neuesten Stand zu halten. Wenn meine SSH-Version aktualisiert wird und bessere Chiffren enthält, möchte ich diese automatisch nutzen können (was passieren würde, wenn ich meine Konfigurationsdatei nicht ändere). Indem ich versuche, Algorithmen zu eliminieren, die ich nicht verwenden möchte (zum Beispiel diffie-hellman-group1-sha1), habe ich mich auch darauf festgelegt, nichts Besseres als den besten derzeit unterstützten Algorithmus zu verwenden.

Gibt es eine Möglichkeit, ssh und sshd so zu konfigurieren, dass sie sagen „Diese Algorithmen nicht berücksichtigen“, ohne gleichzeitig zu sagen „Und auch nichts außer diesen anderen Algorithmen berücksichtigen“?

Ich würde Antworten akzeptieren, die speziell auf OpenSSH und Linux zugeschnitten sind, und Sie können davon ausgehen, dass ich sehr neue Versionen der relevanten Software verwende.

Antwort1

Aus der Manpage für ssh_config:

KexAlgorithms
Gibt die verfügbaren KEX-Algorithmen (Key Exchange) an. Mehrere Algorithmen müssen durch Kommas getrennt werden. Wenn die angegebene Liste mit einem „+“-Zeichen beginnt, werden die angegebenen Methoden an den Standardsatz angehängt, anstatt sie zu ersetzen. Wenn die angegebene Liste mit einem „-“-Zeichen beginnt, werden die angegebenen Methoden (einschließlich Platzhalter) aus dem Standardsatz entfernt, anstatt sie zu ersetzen.

Verwenden Sie die Option „-“ mit allen Chiffren, die Sie aus der Standardliste auf dem Client entfernen möchten.

Leider scheint die Manpage sshd_confignicht die gleiche Option auf der Serverseite zu dokumentieren, aber sie funktioniert.

verwandte Informationen