Bagaimana cara menonaktifkan SSLv3 di server OpenSSH SSH untuk menghindari POODLE?

8

Setelah kerentanan POODLE yang baru ditemukan , saya ingin menonaktifkan SSLv3 di semua server SSH saya. Bagaimana saya mencapai ini dengan OpenSSH?

ssh ssl vulnerability poodle drs
sumber
Bahkan tidak terpengaruh, periksa CVE-2014-3566
Braiam
@Braiam, saya diminta untuk mengajukan pertanyaan ini karena artikel yang terhubung menyarankan pengguna untuk mengamankan server SSH mereka dari kerentanan ini.
drs
Itu kesalahan mereka. Google, yang menemukannya tidak mengatakan apa-apa tentang SSH.
Braiam
1
-1 karena SSH dan SSL / TLS adalah dua protokol yang sama sekali berbeda. ZDnet bukan sumber teknis yang andal.
bortzmeyer
2
@Bortzmeyer sementara secara teknis Anda benar, pertanyaannya sebenarnya tidak terlalu buruk. Dan banyak orang mungkin bertanya hal yang sama.
peterph

Jawaban:

22

Ini bukan masalah untuk OpenSSH karena tidak menggunakan SSL.

kutipan - Apa perbedaan antara SSL vs SSH? Mana yang lebih aman?

Mereka berbeda pada hal-hal yang ada di sekitar terowongan. SSL secara tradisional menggunakan sertifikat X.509 untuk mengumumkan server dan kunci publik klien; SSH memiliki format sendiri. Juga, SSH dilengkapi dengan seperangkat protokol untuk apa yang masuk ke dalam terowongan (multiplexing beberapa transfer, melakukan otentikasi berbasis kata sandi di dalam terowongan, manajemen terminal ...) sementara tidak ada hal seperti itu di SSL, atau, lebih tepatnya, ketika hal-hal seperti itu digunakan dalam SSL mereka tidak dianggap sebagai bagian dari SSL (misalnya, ketika melakukan otentikasi HTTP berbasis kata sandi dalam terowongan SSL, kami mengatakan bahwa itu adalah bagian dari "HTTPS", tetapi itu benar-benar bekerja dengan cara yang mirip untuk apa yang terjadi dengan SSH).

Secara konseptual, Anda bisa mengambil SSH dan mengganti bagian terowongan dengan yang dari SSL. Anda juga dapat mengambil HTTPS dan mengganti hal SSL dengan SSH-with-data-transport dan hook untuk mengekstrak kunci publik server dari sertifikatnya. Tidak ada ketidakmungkinan ilmiah dan, jika dilakukan dengan benar, keamanan akan tetap sama. Namun, tidak ada set konvensi yang luas atau alat yang ada untuk itu.

Sebagai bukti lebih lanjut, saya akan mengarahkan Anda ke RFC 4253 , yang membahas "Protokol Transport Layer Secure Shell (SSH)". Ini adalah lapisan transport kustom SSH sendiri, itu tidak menggunakan yang sama yang HTTPS / SSL gunakan.

Dokumen ini menjelaskan protokol transport layer SSH, yang biasanya berjalan di atas TCP / IP. Protokol dapat digunakan sebagai dasar untuk sejumlah layanan jaringan aman. Ini memberikan enkripsi yang kuat, otentikasi server, dan perlindungan integritas. Ini juga dapat memberikan kompresi.

Terakhir, Tanya Jawab dari situs keamanan SE berjudul: Kerentanan "Pudel" SSL3 ini mengatakan tentang serangan POODLE.

kutipan

Serangan Poodle bekerja dalam konteks plaintext yang dipilih, seperti BEAST dan CRIME sebelumnya. Penyerang tertarik pada data yang dilindungi dengan SSL, dan ia dapat:

  • menyuntikkan data miliknya sebelum dan sesudah nilai rahasia yang ingin diperoleh;
  • memeriksa, memotong dan memodifikasi byte yang dihasilkan pada kabel.

Skenario utama dan tentang satu-satunya skenario yang masuk akal di mana kondisi tersebut dipenuhi adalah konteks Web: penyerang menjalankan titik akses WiFi palsu, dan menyuntikkan beberapa Javascript sendiri sebagai bagian dari halaman Web (HTTP, bukan HTTPS) yang dicari oleh korban. Javascript yang jahat membuat browser mengirim permintaan ke situs HTTPS (katakanlah, situs Web bank) yang mana browser korban memiliki cookie. Penyerang menginginkan cookie itu.

Jadi tidak ada tindakan yang perlu diambil untuk OpenSSH terhadap ancaman khusus ini.

Referensi

Lebih banyak membaca

slm
sumber