¿Cuál es el inconveniente real de "CheckHostIP no"?

Question

¿Cuál es el inconveniente real de "CheckHostIP no"?

#1 de 40F4 (1 votos)

6

¿Cuáles son las implicaciones de seguridad reales de configurar CheckHostIP no en la configuración del cliente SSH?

Hay algunas discusiones sobre esto (por ejemplo, enlace ) y recomendaciones para configurarlo en yes para mayor seguridad (por ejemplo, . enlace , enlace ), pero algunas personas también dicen que realmente no importa para la seguridad ( enlace ).

¿Qué tipo de ataques son posibles con CheckHostIP no que se previenen / detectan con CheckHostIP yes ?

Pensamiento posterior: ¿ CheckHostIP no significa que la clave SSH del host de destino no se verifica en absoluto ? Si es así, ¿cómo me conecto de forma segura a una máquina con dirección IP dinámica?

ssh ssh-host-key

pregunta oliver 08.06.2017 - 22:28

fuente

1 respuesta

Lea otras preguntas en las etiquetas ssh ssh-host-key

VM vs Interposición de llamadas del sistema vs Aislamiento de fallas de software ¿Cómo se realizó el ataque DDoS a Dyn?

score 1 · Accepted Answer

CheckHostIP no significa que ssh no verifica la dirección IP del host en el archivo known_hosts. Por lo tanto, solo si CheckHostIP se establece en no , un servidor DNS puede devolver una dirección IP diferente como está escrito en el archivo conocido_hosts sin una advertencia del cliente ssh.

Por ejemplo, una entrada en un archivo conocido_hosts (no dañado) podría ser:

www.example.org,1.2.3.4 ssh-rsa AAAA...njvPw==

Si CheckHostIP se establece en no , un servidor DNS puede devolver una IP diferente como 1.2.3.4 como dirección para www.example.org. Pero la clave SSH todavía está marcada. CheckHostIP no significa solo esperar que la IP sea variable y permitir la comprobación de claves contra el nombre de host.

Por lo tanto, si (1) CheckHostIP se establece en no y (2) un atacante puede controlar el DNS y (3) tiene su clave privada, puede configurar un servidor que aparecerá primero como el original. Eso puede ser malo para la confidencialidad. Piense en un servidor de copia de seguridad. Pero ya si las condiciones previas 2 + 3 se cumplen, un atacante puede comprometer su sistema. Con CheckHostIP no solo son posibles más ataques.