O perigo à espreita nos ataques SSH
-Vulnerabilidade
SSH (Secure Shell) é um protocolo de rede que permite a comunicação segura e criptografada entre dois sistemas. As conexões SSH são frequentemente usadas para acessar remotamente sistemas operacionais GNU/Linux, mas são frequentemente usadas para uma ampla gama de necessidades. Por exemplo, eles são usados para gerenciar dispositivos de hardware, como equipamentos de informática redes e produtos para a Internet das Coisas ( IoT ) usando a linha de comando.
O protocolo SSH oferece suporte a vários métodos de autenticação para verificar a identidade do usuário que está tentando acessar o sistema remoto. Os métodos comuns incluem autenticação baseada em senha e autenticação baseada em chave pública/privada. Já vimos recentemente que as chaves SSH privadas podem estar em risco devido a um erro de cálculo.
O ataque Terrapin é uma nova ameaça que explora pontos fracos identificados no SSH no nível de transporte de pacotes de dados. Ao manipular os chamados números de sequência durante o processo handshake , um invasor pode comprometer a integridade do canal SSH, especialmente quando certos modos criptográficos são usados ( ChaCha20-Poly1305 ou CBC com Encrypt-then-MAC ).
Qual é o processo de handshake em SSH
O processo de handshake consiste em uma série de trocas de mensagens que ocorrem no início da conexão SSH: elas estabelecem os parâmetros criptográficos e as chaves necessárias para proteger as comunicações subsequentes. OS números de sequência ou números de sequência são usados para numerar de forma única e ordenada as mensagens trocadas durante o handshake. Cada mensagem possui um número de sequência associado que indica sua posição e ordem na série de trocas de mensagens entre cliente e servidor (e vice-versa).
O uso de números de sequência contribui para proteger a conexão de ataques que possam tentar manipular ou interceptar mensagens trocadas durante o handshake. Se uma mensagem for modificada de forma não autorizada, a verificação do número de sequência revela a alteração, ajudando a detectar um potencial ataque.
Como funciona o ataque Terrapin
Um grupo de pesquisadores da Universidade do Ruhr (Bochum, Alemanha) constatou que ao manipular os números de sequência é possível comprometer o canal SSH. A agressão batizada Terrapin reduz a segurança da conexão SSH fazendo com que mensagens importantes de negociação sejam truncadas sem que o cliente ou servidor perceba.
A agressão pode resultar em downgrade de algoritmos de chave assimétrica usados para autenticação de usuários. Isto significa que os invasores podem enfraquecer a segurança da conexão SSH e desativar defesas adicionais.
A ampla adoção dos modos criptográficos mencionados acima torna o ataque Terrapin viável em cenários do mundo real. Os invasores podem explorar essas fraquezas em uma ampla gama de implementações de SSH com um ataque cuja gravidade depende, em última análise, dos dados trocados após a conclusão da fase de autenticação. aperto de mão.
Muitos desenvolvedores estão gradualmente tomando medidas para mitigar o problema de segurança. Uma solução é usar uma troca estrita de chaves que impossibilite a injeção de pacotes durante o handshake. No entanto, esta contramedida só será eficaz se implementada por ambas as partes, cliente e servidor.
O nome do ataque, Terrapin (tartaruga), refere-se ao casco ou armadura que protege as tartarugas. Em termos de informática, um “ shell ” é a interface através da qual os usuários interagem com o sistema operacional: neste caso, é feita referência a SSH shell.
Se e quando os administradores do sistema precisarem corrigir o problema de segurança
Na página dedicada à descrição do ataque, os autores do estudo explicam que o Terrapin explora fraquezas no protocolo de transporte SSH em combinação com algoritmos criptográficos e modos de criptografia mais recentes introduzidos com OpenSSH há mais de 10 anos. Os resultados da varredura realizada por especialistas destacam que além dos 77% dos servidores, o SSH na Internet suporta pelo menos um modo vulnerável.
O ataque requer uma agressão MiTM (man-in-the-middle) ativa, tornando-o complicado na Internet, mas certamente possível em uma rede local. Para garantir a segurança, se você não quiser esperar que um patches corretivo esteja disponível, os administradores podem desativar temporariamente a negociação de ChaCha20-Poly1305 ou qualquer cifra CBC em combinação com Encrypt-then-MAC. A substituição por algoritmos não afetados pelo problema, como AES-GCM , permite evitar qualquer risco.
Porém, tenha cuidado porque uma reconfiguração aproximada da conexão SSH pode resultar na perda de acesso ao sistema do servidor.
O scanner para verificar se clientes e servidores SSH estão vulneráveis
Os pesquisadores que trouxeram o Terrapin à superfície desenvolveram um aplicativo simples, escrito em Go, que funciona a partir da linha de comando e pode ser usado para determinar se um servidor ou cliente SSH está vulnerável ou menos.
O scanner se conecta ao servidor SSH (ou escuta uma conexão de cliente de entrada) para detectar se modos criptográficos vulneráveis são oferecidos e se a troca de chaves ocorre de maneira correta e rigorosa. A aplicação não realiza um handshake de procedimento real, nem realiza o código de exploração do ataque.
A representação visual inicial foi produzida utilizando Image Creator, uma ferramenta de software fornecida pelo Microsoft Bing.
barra lateral inferior relacionada 300
*️⃣ Link da fonte:
página dedicada à descrição do ataque, desenvolveu um aplicativo simples ,