top of page
  • 作家相片Ellis Lin / SOC 資安主任

使用SSH遠端工作環境,需要注意的資安風險!

相信有不少人都曾經用過 SSH 來進行主機的管理。大多數的主機都會啟用 SSH 服務,提供給負責管理維運網路或系統的IT管理人員進行遠端登入使用。因為使用到SSH服務是很常見的,而且多半是屬於敏感重要的情況,因此當有網路犯罪者在嘗試攻擊的時候,通常會將 SSH 服務納入攻擊範圍內。因此讓我們了解一下什麼是 SSH 服務?以及要如何安全的使用SSH服務。


認識SSH服務

早期的網路環境,會利用像是 Telnet 、 rsh 等協定來進行遠端主機的登入,對於在90年代曾用過BBS站台的前輩或許有些記憶印象,這類的通訊方式是將文字訊息模式進行傳送,因此網路傳輸量很小,相對需要的網路頻寬少、傳輸速度快。不過,這些透過Telnet或rsh方式的通訊過程中是採取不加密的「明文傳輸 (或說 明碼傳輸)」,而明文傳輸也就意味著「傳送的內容能夠被看光光」的情況,因此存在著被監聽、中間人攻擊等安全性上的問題跟疑慮。

為了解決這樣的問題,因此設計了 SSH協定來取代 Telnet及rsh這類不安全的方式。SSH的全名為Secure SHell 安全加殼協定,是一種加密的安全網路傳輸協定,主要是在不安全的網路環境下為網路服務提供安全連線,常見的用途為遠端登入系統以及遠端執行指令等等。

現今,SSH已經是一種被廣泛使用的連線方式,包括眾所熟知的Linux、Unix、Windows等作業系統,還有各種網路及安全設備、雲端環境的系統以及容器化環境等等,都可見到提供 SSH 協定的功能支援。而這要歸功於 OpenSSH這個開源計畫的出現,因此目前大多都已經用 SSH 取代了之前不安全的連線方式。


該注意的SSH安全風險

雖然,不論是SSH安全通訊或OpenSSH開源軟體都是相對安全可信的方式,但仍舊會有「不安全的資安問題」需要關注!

SSH通訊方式以非對稱式加密的方式來進行身份驗證,常見有兩種登入的方式,一種是利用自動生成的公鑰和私鑰來進行加密連線,再利用密碼驗證登入。另一種方式是先產生一組金鑰,例如用 ssh-keygen 的方式產生,將產生的公鑰放在遠端的主機上,client 端上存放著私鑰,連線時直接透過金鑰進行驗證。以安全性來說,第一種密碼驗證的方式,可能會被攻擊者利用憑證填充攻擊的方式進行暴力破解,因此比較建議利用第二種金鑰驗證的方式進行連線,或是利用多因子驗證的方式進行連線。 SSH 服務安全性上比較常見的問題,例如有因為支援弱加密演算法而產生的弱點、披露的CVE漏洞等。前者可能加密內容會因此被破解,後者可能會發生攻擊者遠端執行任意程式碼的情況。想避免或是降低發生事件的風險,前者可以透過修改設定檔取消支援不安全的加密演算法,後者大多數的情況下是需要進行版本更新來修補漏洞。


安全的使用SSH服務

想要安全的使用SSH 服務,以下幾個建議提供參考:

  • 網路存取管控

SSH主要使用的網路埠為Port 22,因此對於連線的網路防火牆做好SSH (Port 22)的通訊管制是必要的基礎工作,甚至是對應系統主機的位址(IP 及 Mac)綁定,避免不需要提供SSH服務的系統被非法利用,並且對允許提供SSH服務的系統持續監控。

  • 使用存取管控

SSH服務的存取使用可能是來自於人或系統設備,因此應該盡量避免直接使用預設的高權限帳號登入,並且建議使用金鑰驗證的方式、或是採用多因子驗證進行連線。有2個重點更需要注意:

1. 第一是檢查『不允許提供SSH服務的系統』上是否開放了不必要的SSH服務,尤其是在Linux或UNIX的系統環境經常發生SSH服務為預設啟用,但是被IT管理者忽略。

2. 第二是檢查『允許提供SSH服務的系統』上是否有不必要的使用帳號,比如共用帳號或預設服務帳號,容易被遭到暴力破解並利用。

  • 漏洞安全管理

任何系統及服務都存在不安全風險,尤其是漏洞問題。因此在漏洞安全的重點有2個層面:

1. 掌握有關SSH通訊協定的漏洞安全問題,針對『通訊協定』,這是存在機制的問題,只要是利用SSH通訊服務相關的安全問題都可能被攻擊。

2. 掌握有關OpenSSH開源軟體的漏洞安全問題,針對『OpenSSH開源軟體』的漏洞問題,這也涉及軟體供應安全的議題,例如某個商用系統軟體中內置了OpenSSH作為SSH服務元件的情況。

  • 安全設定與稽核

1. 禁止使用容易被破解的弱加密演算法設定,避免SSH連線的加密訊息被攔截破解。

2. 設定存取的稽核要求,比如嘗試登入失敗的次數限制、限定登入閒置超時的自動登出、取得SSH登入跟使用的稽核紀錄等。


結論

SSH連線服務是一種使用性極為廣泛,並且多數使用情境是屬於管理操作性質,傳輸的訊息資料也相對敏感重要,因此也藉由本篇的說明來提供各位對於SSH安全有更多的認識了解。





參考連結

Σχόλια


bottom of page