Wat zijn HMAC's #

HMAC's, oftewel Hash-based Message Authentication Codes, zijn cryptografische constructies die een geheime sleutel en een hashfunctie gebruiken om de integriteit en authenticiteit van gegevens of berichten te verifiëren. HMAC's bieden een manier om te garanderen dat gegevens tijdens de overdracht niet zijn gemanipuleerd en dat ze afkomstig zijn van een vertrouwde bron. Ze combineren de gegevens met een geheime sleutel, hashen het resultaat en vergelijken het vervolgens met een referentie-HMAC aan de kant van de ontvanger. Dit biedt een veilige methode om de validiteit van gegevens te bevestigen in diverse toepassingen, waaronder beveiligde communicatie- en authenticatiesystemen.

In SSH (Secure Shell)-services zoals SSHd (SSH-daemon) worden HMAC's gebruikt om de beveiliging van de communicatie tussen een client en een server te verbeteren. Tijdens het SSH-sleuteluitwisselingsproces onderhandelen de server en de client over een reeks cryptografische algoritmen, waaronder het HMAC-algoritme, die worden gebruikt voor het verifiëren van de gegevensintegriteit. Het gekozen HMAC-algoritme, gecombineerd met een gedeelde geheime sleutel, wordt gebruikt om HMAC-tags te genereren voor uitgaande pakketten en de integriteit van inkomende pakketten te verifiëren. Dit garandeert dat de gegevens die tussen de client en de server worden uitgewisseld, niet zijn gewijzigd tijdens de transmissie, wat bescherming biedt tegen manipulatie en de authenticiteit van de communicatie waarborgt, een essentieel aspect van het beveiligingsmodel van SSH.

Zwakke cijfers in SSHD uitschakelen #

Om de beveiliging van de SSHd-service te verbeteren, moet u mogelijk de cipher-, MAC- en sleutelalgoritmen van SSH aanpassen om ervoor te zorgen dat er geen MD5 of 96-bits HMAC wordt gebruikt ( hmac-md5, hmac-md5-96, hmac-sha1-96 ). Volg hiervoor de onderstaande stappen.

Controleer de bestaande SSHd-configuratie #

Onderzoek de huidige SSH-configuratie om de toegestane codes, MAC's en sleutelalgoritmen te identificeren. Gebruik de volgende opdracht om deze informatie te verzamelen:

root@noid-ee-01:~# sshd -T | grep "\(cijfers\|macs\|kexalgoritmen\)"
cijfers chacha20-poly1305@openssh.com,aes128-ctr,aes192-ctr,aes256-ctr,aes128-gcm@openssh.com,aes256-gcm@openssh.com
macs umac-64-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com,hmac-sha1-etm@openssh.com,umac-64@openssh.com,umac-128@openssh.com,hmac-sha2-256,hmac-sha2-512,hmac-sha1
kexalgoritmen curve25519-sha256,curve25519-sha256@libssh.org,ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,diffie-hellman-group14-sha256,diffie-hellman-group14-sha1

SSHD-configuratie bewerken #

Om de beveiliging te verbeteren, kunt u overwegen zwakkere versleutelingsmethoden en MAC-adressen uit te schakelen. Gebruik een teksteditor (zoals nano of vi ) om het SSHD-configuratiebestand te bewerken (te vinden op /etc/ssh/sshd_config ). Verwijder de versleutelingsmethoden en MAC-adressen die u niet wilt toestaan ​​en sla het bestand op. Als de configuratie niet bestaat, voeg dan nieuwe regels toe aan het einde van het bestand.

ciphers aes128-ctr,aes192-ctr,aes256-ctr
macs hmac-sha1,hmac-sha2-256,hmac-sha2-512

Start de SSHD-service opnieuw #

Nadat u de wijzigingen hebt aangebracht, start u de SSHD-service opnieuw op om de nieuwe configuratie toe te passen.

root@noid-ee-01:~# systemctl herstart sshd

Controleer de nieuwe configuratie #

Controleer de bijgewerkte configuratie met dezelfde opdracht als hiervoor.

root@nid-ee-01:~# sshd -T | grep "\(ciphers\|macs\|kexalgorithms\)"
ciphers aes128-ctr,aes192-ctr,aes256-ctr
macs hmac-sha1,hmac-sha2-256,hmac-sha2-512
kexalgorithms curve25519-sha256,curve25519-sha256@libssh.org,ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,diffie-hellman-group14-sha256,diffie-hellman-group14-sha1

Deze stappen versterken de SSH-beveiliging door SSH te configureren voor het gebruik van veiligere cipher suites en MAC's, terwijl zwakkere opties worden uitgeschakeld. Dit verbetert de algehele beveiliging van de SSH-service. Houd er rekening mee dat het wijzigen van deze instellingen de compatibiliteit met oudere of minder veilige SSH-clients kan beïnvloeden. Zorg er daarom voor dat uw wijzigingen aansluiten op uw specifieke beveiligingsvereisten.