☰

Terrapin SSH攻撃を軽減する方法は？

tag-icon • tag-icon ssh security encryption openssh vulnerability
Terrapin SSH攻撃を軽減する方法は？

これSSHに対するテラピン攻撃詳細1「SSHプロトコルに対するプレフィックス切り捨て攻撃です。より正確には、TerrapinはSSHセキュアチャネルの整合性を損ないます。ハンドシェイク中にシーケンス番号を慎重に調整することで、攻撃者は最初にクライアントまたはサーバーから送信されたメッセージを必要なだけ削除できます。クライアントまたはサーバーがそれを認識しないままメッセージを保護します。

この攻撃を軽減するには、SSH設定をどのように変更しますか？

ベストアンサー1

これは怖い攻撃のように聞こえますが、修正するのは簡単です。攻撃を軽減するにはテラピン攻撃を止めるSSH構成の詳細に関する文書。特に、次のようにETM HMACおよびChaCha20パスワードをブロックする必要があります。

最新のRHELベースのLinuxシステム（Alma、Rocky Oracleなど）では、次のことが機能します。

# cat /etc/crypto-policies/policies/modules/TERRAPIN.pmod
cipher@ssh = -CHACHA20*
ssh_etm = 0

# update-crypto-policies --set DEFAULT:TERRAPIN
Setting system policy to DEFAULT:TERRAPIN
Note: System-wide crypto policies are applied on application start-up.
It is recommended to restart the system for the change of policies
to fully take place.

または、AES-GCMを強制することもできます。脆弱ではないシステムに暗号化ポリシーがないか使用していない場合update-crypto-policies（たとえば@StephenKittが指摘したように、Debian / Ubuntuはデフォルトで暗号化ポリシーを使用しない可能性があります）：

# cat /etc/ssh/sshd_config
[...]
Ciphers [email protected]

その後、テストテストツールもともと研究者が寄稿しました。

おすすめ記事