SSH-asetusten auditointi Nmapilla

SSH-konfiguraation auditointi on tärkeää, sillä vanhentuneet tai haavoittuvaiset kryptografiset asetukset voivat altistaa järjestelmät turvallisuusriskeille. Katsotaan vähän minkälaisia asetuksia SSH-palveluun voi määrittä ja miten Nmapin ssh2-enum-algos skriptiä voidaan käyttää SSH:n kryptoasetusten auditointiin.

SSH ja sen kryptografiset asetukset

SSH (Secure Shell) on protokolla, joka tarjoaa turvallisen tavan muodostaa salattu yhteys etäjärjestelmiin. Se on laajalti käytössä järjestelmänvalvojien ja tietoturva-asiantuntijoiden keskuudessa etäyhteyksien, tiedostojen siirron ja etäkomentojen suorittamiseen palvelimilla. SSH:n turvallisuus perustuu sen kryptografisiin asetuksiin, jotka määrittelevät, miten salaus ja autentikointi suoritetaan. Näitä asetuksia auditoidaan varmistamaan, että yhteys on suojattu nykyisten parhaiden käytäntöjen mukaisesti.

Salausalgoritmit (Ciphers)

Salausalgoritmit ovat keskeisiä SSH-yhteyksien turvallisuuden kannalta, sillä ne määrittelevät, miten data salataan yhteyden aikana. Modernit algoritmit, kuten AES (Advanced Encryption Standard) eri avainpituuksilla (esimerkiksi AES-128, AES-192, AES-256) ja ChaCha20, tarjoavat vahvan suojan. Vanhemmat algoritmit, kuten DES ja 3DES, ovat haavoittuvaisia ja niiden käyttöä tulisi välttää.

MAC-algoritmit (Message Authentication Codes)

MAC-algoritmit ovat tärkeitä datan eheyden ja aitouden varmistamiseksi. Ne tuottavat viestistä tiivisteen, joka varmistaa, että data ei ole muuttunut matkalla lähettäjältä vastaanottajalle. Suositeltuja MAC-algoritmeja ovat esimerkiksi hmac-sha2-256 ja hmac-sha2-512, kun taas vanhentuneita algoritmeja, kuten hmac-md5 ja hmac-sha1, tulisi välttää niiden heikkouksien vuoksi.

Avaintenvaihtoalgoritmit (Key Exchange Algorithms)

Avaintenvaihtoalgoritmit määrittelevät, miten yhteinen salausavain luodaan turvallisesti osapuolten välillä yhteyden alussa. Diffie-Hellman -ryhmä ja sen variantit, kuten ECDH (elliptic curve Diffie-Hellman) ja Curve25519, ovat suosittuja valintoja, koska ne tarjoavat vahvan suojan. Vanhemmat tai heikommat avaintenvaihtoalgoritmit, kuten diffie-hellman-group1-sha1, ovat alttiita hyökkäyksille ja niiden käyttöä tulisi välttää.