☰

Cómo incluir en la lista negra ciertos cifrados y algoritmos de intercambio de claves en ssh y sshd

tag-icon • tag-icon linux ssh security cryptography
Cómo incluir en la lista negra ciertos cifrados y algoritmos de intercambio de claves en ssh y sshd

Para obtener una lista de todos los algoritmos compatibles, puedo ejecutar ssh -Q kex, que en mi máquina genera

diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group14-sha256
diffie-hellman-group16-sha512
diffie-hellman-group18-sha512
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
curve25519-sha256
[email protected]
[email protected]

También sé que puedo agregar una línea a mis archivos sshd_config y ssh_config como si quisiera incluir ciertos algoritmos en la lista blanca.KexAlgorithms [email protected],diffie-hellman-group-exchange-sha256

Sin embargo, no creo que me mantenga al tanto de mantener esta lista actualizada. Si mi versión de ssh se actualiza para incluir mejores cifrados, quiero poder aprovecharlos automáticamente (que es lo que sucedería si no modifico mi archivo de configuración). Al intentar eliminar algoritmos que no quiero usar (por ejemplo, diffie-hellman-group1-sha1), también me he limitado a no usar nada mejor que el mejor algoritmo admitido actualmente.

¿Hay alguna manera de configurar ssh y sshd para que digan "No considerar estos algoritmos" sin decir también "Y tampoco considerar nada excepto estos otros algoritmos"?

Aceptaría respuestas específicas para openssh y Linux, y puedes asumir que estoy usando versiones muy nuevas de software relevante.

Respuesta1

Desde la página de manual para ssh_config:

KexAlgorithms
Especifica los algoritmos KEX (intercambio de claves) disponibles. Varios algoritmos deben estar separados por comas. Si la lista especificada comienza con un carácter '+', los métodos especificados se agregarán al conjunto predeterminado en lugar de reemplazarlos. Si la lista especificada comienza con un carácter '-', los métodos especificados (incluidos los comodines) se eliminarán del conjunto predeterminado en lugar de reemplazarlos.

Utilice la opción '-' con todos los cifrados que desee incluir en la lista negra de la lista predeterminada del cliente.

Desafortunadamente, la página de manual sshd_configno parece documentar la misma opción en el extremo del servidor, pero funciona.

información relacionada