☰

Как внести в черный список определенные шифры и алгоритмы обмена ключами в ssh и sshd

tag-icon • tag-icon linux ssh security cryptography
Как внести в черный список определенные шифры и алгоритмы обмена ключами в ssh и sshd

Чтобы получить список всех поддерживаемых алгоритмов, я могу запустить ssh -Q kex, что на моей машине выведет

diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group14-sha256
diffie-hellman-group16-sha512
diffie-hellman-group18-sha512
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
curve25519-sha256
[email protected]
[email protected]

Я также знаю, что могу добавить строку в файлы sshd_config и ssh_config, например, если я хочу добавить в белый список определенные алгоритмы.KexAlgorithms [email protected],diffie-hellman-group-exchange-sha256

Однако я не думаю, что я смогу поддерживать этот список в актуальном состоянии. Если моя версия ssh будет обновлена ​​для включения лучших шифров, я хочу иметь возможность использовать их автоматически (что и произойдет, если я не изменю свой файл конфигурации). Пытаясь исключить алгоритмы, которые я не хочу использовать (например, diffie-hellman-group1-sha1), я также запер себя в неиспользовании ничего лучше лучшего из поддерживаемых в настоящее время алгоритмов.

Есть ли способ настроить ssh и sshd так, чтобы они говорили «Не учитывать эти алгоритмы», не говоря при этом «А также не учитывать ничего, кроме этих других алгоритмов»?

Я приму ответы, касающиеся OpenSH и Linux, и вы можете предположить, что я использую самые новые версии соответствующего программного обеспечения.

решение1

Из страницы руководства для ssh_config:

KexAlgorithms
Указывает доступные алгоритмы KEX (Key Exchange). Несколько алгоритмов должны быть разделены запятыми. Если указанный список начинается с символа «+», то указанные методы будут добавлены к набору по умолчанию, а не заменены. Если указанный список начинается с символа «-», то указанные методы (включая подстановочные знаки) будут удалены из набора по умолчанию, а не заменены.

Используйте опцию «-» со всеми шифрами, которые вы хотите внести в черный список из списка по умолчанию на клиенте.

К сожалению, на странице руководства, sshd_configпохоже, не документирована та же опция на стороне сервера, но она работает.

Связанный контент