🏼 📔 🈹 DNSSEC के साथ अधिक सुरक्षित SSH कनेक्टिविटी 📎 👨‍👧 🤢

एसएसएच का उपयोग करने वाले हर कोई जानता है कि पहली बार जब वे सर्वर से जुड़ते हैं, तो एक संदेश कुंजी के फिंगरप्रिंट की पुष्टि करता हुआ दिखाई देता है। इसके अलावा, कुंजी क्लाइंट साइड पर संग्रहीत है, और जब तक सहेजे गए कुंजी को नहीं बदला जाता है तब तक यह संदेश फिर से प्रदर्शित नहीं होता है। लेकिन इस प्रक्रिया का व्यावहारिक अर्थ क्या है?

वास्तविक जीवन में, लगभग कोई भी MiTM हमलों की संभावना के बारे में सोचने के बिना सर्वर के एसएसएच कुंजी के फिंगरप्रिंट की जांच नहीं करता है। SSHFP DNS रिकॉर्ड के आगमन के साथ, सर्वर कुंजी फिंगरप्रिंट DNS में संग्रहीत किया जा सकता है और DNSSEC का उपयोग करके प्रमाणित किया जा सकता है। इस मामले में, आपको पहले कनेक्शन पर कुंजी की पुष्टि करने की आवश्यकता नहीं है। यह आलेख आपको दिखाएगा कि अपने SSH सर्वर के लिए SSHFP रिकॉर्ड कैसे कॉन्फ़िगर करें।

टेस्ट सर्वर

सबसे पहले, हमें एक सर्वर की आवश्यकता है। RuVDS पैनल में, SSH एक्सेस के लिए विवरण सर्वर कार्ड पर तुरंत स्थित हैं। हम कनेक्शन के लिए आईपी एड्रेस और पासवर्ड सेव करते हैं।

आप केवल अपने आईपी के लिए एसएसएच एक्सेस की अनुमति देने के लिए कंट्रोल पैनल से सीधे फ़ायरवॉल को कॉन्फ़िगर कर सकते हैं।

SSHFP को कॉन्फ़िगर करने के लिए, एक डोमेन को सर्वर के आईपी पते पर निर्देशित किया जाना चाहिए; हम इस डोमेन के लिए DNS रिकॉर्ड कॉन्फ़िगर करेंगे।

SSH में कुंजियाँ कैसे काम करती हैं

उदाहरणों में, हम केवल ओपनएसएसएच पैकेज पर विचार करेंगे, क्योंकि यह सबसे लोकप्रिय विकल्प है।

एक नया सर्वर स्थापित करते समय, यादृच्छिक SSH कुंजी उत्पन्न होती हैं, आमतौर पर ओपनएसएसएच पैकेज को स्थापित करते समय या पहले बूट के दौरान यदि तैयार सिस्टम चित्र का उपयोग किया जाता है, तो यह तुरंत होता है।

मुख्य फाइलें यहां स्थित हैं:

$ ls -la /etc/ssh/ssh_host_*_key*

/etc/ssh/ssh_host_dsa_key
/etc/ssh/ssh_host_dsa_key.pub
/etc/ssh/ssh_host_ecdsa_key
/etc/ssh/ssh_host_ecdsa_key.pub
/etc/ssh/ssh_host_ed25519_key
/etc/ssh/ssh_host_ed25519_key.pub
/etc/ssh/ssh_host_rsa_key
/etc/ssh/ssh_host_rsa_key.pub

इस सूची में एक ही बार में विभिन्न प्रकारों की कई कुंजियाँ हैं: dsa, rsa, ecdsa, ed25519। यह विभिन्न एसएसएच ग्राहकों के साथ संगतता के लिए किया जाता है। कनेक्शन चरण में, क्लाइंट और सर्वर इस बात पर सहमत होते हैं कि किस एल्गोरिथ्म का उपयोग किया जाएगा। क्लाइंट प्रस्तावित एल्गोरिथ्म का समर्थन नहीं करने पर सर्वर को एक अलग एल्गोरिथ्म का उपयोग करने के लिए कह सकता है। सर्वर क्लाइंट को अपनी कुंजी का सार्वजनिक हिस्सा भेजता है और उपयोगकर्ता को अपने फिंगरप्रिंट को मैन्युअल रूप से जांचने के लिए प्रेरित किया जाता है।

सर्वर कनेक्शन के समय क्लाइंट को सार्वजनिक कुंजी का फिंगरप्रिंट भेजता है।

यदि यह पहला कनेक्शन है, तो क्लाइंट को मैन्युअल रूप से फिंगरप्रिंट को सत्यापित करने के अनुरोध के साथ एक संदेश प्रदर्शित किया जाएगा:

The authenticity of host 'example.com (123.45.67.89)' can't be established.
ECDSA key fingerprint is SHA256:7Q4nIqjuo/lSXWFkt9RaJYVHrT6LUAc6KWrdQ4/DDeA.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

इस स्तर पर, हम सभी आम तौर पर बिना किसी हिचकिचाहट के हाँ पर क्लिक करते हैं और कुंजी का फिंगरप्रिंट एक फ़ाइल में सहेजा जाता है ~/.ssh/known_hosts। अब, यदि सर्वर पर कुंजी बदल जाती है, तो क्लाइंट को संभावित MiTM हमले के बारे में एक संदेश दिखाया जाएगा। यह माना जाता है कि पहली बार, ग्राहक ने अपने दम पर एक महत्वपूर्ण जांच की और इसकी प्रामाणिकता के बारे में सुनिश्चित किया।

यह दृष्टिकोण काफी जोखिम भरा है, क्योंकि अगर हमलावर पहले कनेक्शन के क्षण को जब्त करने में कामयाब हो जाता है, तो वह अपनी कुंजी को खिसकाने और कनेक्शन को बाधित करने में सक्षम होगा। C HTTPS के मामले में, हमारे पास एक तृतीय पक्ष है जो एक प्रमाण पत्र के साथ सर्वर कुंजी की पुष्टि करता है। यदि वेब पर SSH के समान दृष्टिकोण का उपयोग किया जाता है, तो हम लगातार कुंजी सत्यापन संदेशों से परेशान हो जाएंगे और MiTM के हमले हर जगह होंगे, क्योंकि कोई भी चाबियों की जांच नहीं करेगा, लेकिन बस हमेशा सहमत होगा।

हम DNS में एक कुंजी प्रिंट स्टोर करते हैं। SSHFP प्रविष्टियाँ क्या हैं

यह कैसे पता करें कि सर्वर द्वारा प्रस्तावित SSH कुंजी वास्तव में वास्तविक है और यह MiTM हमला नहीं है? दरअसल, सर्वर में प्रवेश करने और कुंजी को सत्यापित करने के लिए, आपको पहले पासवर्ड दर्ज करना होगा। लेकिन फिर हमलावर सर्वर को तुरंत हैक करने और उस पर सभी डेटा को बदलने में सक्षम हो जाएगा, इतना है कि हम पकड़ को नोटिस नहीं करेंगे। इसलिए, हमें वास्तविक कनेक्शन से पहले कुंजी की प्रामाणिकता को सत्यापित करने का एक तरीका चाहिए।

लंबे समय तक, कनेक्ट करने से पहले सर्वर की SSH कुंजी की जांच करने का एकमात्र तरीका एक अलग चैनल का उपयोग करना था, उदाहरण के लिए, सर्वर व्यवस्थापक से सर्वर कुंजी फिंगरप्रिंट प्रदान करने के लिए कहें। यह असुविधाजनक है, इसलिए समस्या को अनदेखा करना और बिना किसी हिचकिचाहट के हमेशा सहमत होना आसान है।

SSHFP DNS सर्वर कनेक्ट करने से पहले SSHFP DNS के माध्यम से अनुमति देता है

- SSH कुंजियाँ संग्रहीत करने के लिए DNS रिकॉर्ड्स का प्रकार। SSH कुंजी के फिंगरप्रिंट को DNS सर्वर में TXT रिकॉर्ड की तरह रखा जाता है और DNSSEC कुंजी के साथ हस्ताक्षरित किया जाता है। यही है, जब होस्ट नाम का उपयोग करके पहली बार सर्वर से कनेक्ट होता है, तो क्लाइंट डीएनएस के माध्यम से सर्वर कुंजी के फिंगरप्रिंट को पहले से जान सकेगा, और यदि यह प्रस्तावित सर्वर से मेल खाता है, तो चेतावनी के बिना कनेक्ट करें ।

DNSSEC कॉन्फ़िगर करें

SSHFP का उपयोग करने के लिए, आपको DNSSEC कॉन्फ़िगर के साथ एक डोमेन नाम की आवश्यकता है। कई सार्वजनिक डीएनएस सेवाएं हैं जो डीएनएसएसईसी फ़ंक्शन के साथ एक डीएनएस नियंत्रण पैनल प्रदान करती हैं। इस तरह की सबसे लोकप्रिय सेवा CloudFlare है। उसके उदाहरण का उपयोग करके कॉन्फ़िगरेशन पर विचार करें। निम्न चरणों के लिए, डोमेन को क्लाउडफ्लेयर एनएस सर्वर को सौंप दिया जाना चाहिए।

EpStep 1 - एक कुंजी उत्पन्न करें

DNS पैनल पर जाएं -> DNSSEC सक्षम करें।

इस बिंदु पर, आपके डोमेन ज़ोन पर हस्ताक्षर करने के लिए कुंजियाँ बनाई जाएंगी। आपको सार्वजनिक कुंजी दिखाई जाएगी। उन्हें डोमेन रजिस्ट्रार की तरफ से जोड़ना होगा।

ArStep 2 - रजिस्ट्रार के लिए सार्वजनिक कुंजी जोड़ना

इसके बाद, आपको डोमेन रजिस्ट्रार से सार्वजनिक कुंजी वाले डीएस रिकॉर्ड बनाने की आवश्यकता है।
आपके रजिस्ट्रार के आधार पर, DNSSEC की-ऐडिंग इंटरफ़ेस अलग दिख सकता है। मूल्यों को भ्रमित नहीं करना महत्वपूर्ण है, क्योंकि उन्हें अलग-अलग नाम दिया जा सकता है और CloudFlare में दिखाए गए नामों से भिन्न हो सकते हैं।

नीचे दिए गए उदाहरण से पता चलता है कि CloudFlare पैनल में दिखाए गए मान Uniregistry रजिस्ट्रार के डोमेन कंट्रोल पैनल के मूल्यों से कैसे संबंधित हैं।

▍Step 3 - चेक ने DS रिकॉर्ड जोड़े

रजिस्ट्रार की तरफ से डीएस-रिकॉर्ड जोड़ने के बाद, आप जांच सकते हैं कि सेटिंग्स सही हैं। CloudFlare की तरफ, DNS रिकॉर्ड्स पर हस्ताक्षर तभी सक्रिय होंगे, जब रजिस्ट्रार के पक्ष में DS रिकॉर्ड्स को जोड़ने की शुद्धता का सत्यापन पास हो।

डीएस रिकॉर्ड के अतिरिक्त के लिए प्रतीक्षा करना

कुछ मिनटों या घंटों के बाद, यदि रिकॉर्ड सही ढंग से जोड़े गए थे, तो आपको ऐसा संदेश दिखाई देगा। इसका मतलब है कि डीएनएसएसईसी का उपयोग करके डीएनएस प्रतिक्रियाएं अब हस्ताक्षरित हैं।

▍Step 4 - DNSSEC ऑपरेशन को सत्यापित करें

अब आप dnssec-analyzer.verisignlabs.com जैसी ऑनलाइन सेवाओं का उपयोग करके हमारे डोमेन पर DNSSEC के संचालन का परीक्षण कर सकते हैं । सभी चेकमार्क हरे होने चाहिए।

DNSSEC मान्यता परिणाम

SSHFP प्रविष्टियां जोड़ना

हम सर्वर पर SSHFP रिकॉर्ड उत्पन्न करेंगे। हमारे उदाहरण में, हम myserver.com पते के साथ एक सर्वर का संचालन कर रहे हैं । इस डोमेन नाम के लिए, हमने पहले DNSSEC को कॉन्फ़िगर किया था।

सर्वर पर, कमांड निष्पादित करें:

#   SSHFP   SSH-
sudo ssh-keygen -r myserver.com

myserver.com IN SSHFP 1 1 057ecce168ace29d5a0099e3b63df2850e4c8e20
myserver.com IN SSHFP 1 2 52cd6099a304b9b8f57f2cd914e96a1b7477eb2f88c98c602
myserver.com IN SSHFP 2 1 42d677482e4450ee515d3aac94d96302a99bd4ec
myserver.com IN SSHFP 2 2 edda5fa445dc0da570c772a6df0d4012037e1a102840d29c4
...

/ / / Ssh / फ़ोल्डर से सभी कुंजी के लिए फिंगरप्रिंट उत्पन्न किए जाएंगे । आप चुनिंदा रूप से फ़ाइल पथ निर्दिष्ट करके विशिष्ट कुंजी के लिए उंगलियों के निशान उत्पन्न कर सकते हैं।

अब इन सभी रिकॉर्डों को DNS पैनल में जोड़ा जाना चाहिए, हमारे मामले में Cloudflare।

Cloudflare पैनल में SSHFP रिकॉर्ड जोड़ना

तो, आपको पिछले चरण में प्राप्त सभी कुंजियों को जोड़ने की आवश्यकता है। अब आप सत्यापित कर सकते हैं कि कुंजियाँ जोड़ी गई हैं:

dig SSHFP myserver.com

जवाब में आपको सभी कुंजियों को जोड़ा जाना चाहिए। नई प्रविष्टियों पर हस्ताक्षर करने में समय लग सकता है, इसलिए प्रतिक्रिया में कुंजियाँ तुरंत प्रकट नहीं हो सकती हैं। यह आमतौर पर 10-15 मिनट से अधिक नहीं लेता है।

सर्वर से कनेक्ट करें

DNS के माध्यम से कुंजियों की वैधता को सत्यापित करने के लिए SSH क्लाइंट के लिए, आपको सेटिंग में इसे सक्षम करने की आवश्यकता है। क्लाइंट कॉन्फ़िगरेशन उपयोगकर्ता के होम फ़ोल्डर में स्थित है। वहां एक लाइन जोड़ें।

#  
vi ~/.ssh/config

VerifyHostKeyDNS yes

अब आप सर्वर से जुड़ सकते हैं। प्रयोग की शुद्धता के लिए, आप फिंगरप्रिंट के साथ लाइन को ~ / .ssh / ज्ञात_होस्ट से हटा सकते हैं । स्पष्टता के लिए, आप -v विकल्प जोड़ सकते हैं

#   
ssh -v root@myserver.com


# DNS  ,  SSHFP 
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: expecting SSH2_MSG_KEX_ECDH_REPLY
.....
DNS lookup error: data does not exist

# DNS  ,   
#    DNSSEC
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: expecting SSH2_MSG_KEX_ECDH_REPLY
....
debug1: found 8 insecure fingerprints in DNS
debug1: matching host key fingerprint found in DNS


# DNS  ,    DNSSEC
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: expecting SSH2_MSG_KEX_ECDH_REPLY
....
debug1: found 8 secure fingerprints in DNS
debug1: matching host key fingerprint found in DNS
debug1: ssh_rsa_verify: signature correct

यदि सब कुछ सही तरीके से कॉन्फ़िगर किया गया है, तो पहली बार जब आप सर्वर से कनेक्ट होते हैं, तो आपको कुंजी के फिंगरप्रिंट को मैन्युअल रूप से सत्यापित करने के लिए नहीं कहा जाएगा। यह DNSSEC सत्यापन का समर्थन करने के लिए सिस्टम DNS रिज़ॉल्वर की भी आवश्यकता है।

यह याद रखना महत्वपूर्ण है कि SSHFP केवल डोमेन नाम से सर्वर से कनेक्ट होने पर काम करेगा और IP या किसी अन्य डोमेन से कनेक्ट होने पर काम नहीं करेगा जिसमें SSHFP रिकॉर्ड नहीं है।

DNSSEC के साथ अधिक सुरक्षित SSH कनेक्टिविटी