Les mots de passe SSH peuvent-ils être détectés par Wi-Fi?

15

Lorsque vous ssh, le mot de passe que vous entrez pour vous connecter peut-il être intercepté si vous utilisez une connexion Wi-Fi publique non fiable (café, bibliothèque, aéroport, etc.).

ssh security wifi pp31
la source

Réponses:

8

Vous pouvez certainement capturer des paquets sur un réseau wi-fi public, mais si vous utilisez SSH et que vos mots de passe ne sont pas envoyés en clair, il faudrait beaucoup de temps pour déchiffrer la chose que vous capturerez.

Karlson
la source
Donc, par défaut lorsque vous utilisez ssh, le mot de passe que vous avez entré est crypté?
pp31
3
Il est communiqué sur un canal crypté.
Karlson
1
SSH ne même pas avoir une option pour envoyer des mots de passe en clair. Contrairement, par exemple, à TLS / SSL. Cette "fonctionnalité" de TLS permet une session en texte brut même si les deux côtés ont un support crypto: un côté prend en charge les suites de chiffrement A, B et N (N = chiffre nul), l'autre prend en charge C, D et N, donc les deux côtés finissent se contenter de N. TLS a d' autres vulnérabilités connues , ce qui suggère que SSH n'est pas à l'abri d'erreurs similaires. Mon meilleur conseil: ceinture et bretelles .
Warren Young
6

SSH est conçu pour être utilisable sur un réseau non approuvé. Wifi, filaire, peu importe: SSH suppose que tout le trafic peut être surveillé par un attaquant, et même que l'attaquant tentera d'intercepter les paquets et de les remplacer par différents.

La première fois que vous exécutez ssh depuis un client particulier vers un serveur particulier, ssh vous demande

The authenticity of host 'example.com (192.0.2.42)' can't be established.
RSA key fingerprint is 01:23:45:67:89:ab:cd:ef:01:23:45:67:89:ab:cd:ef.
Are you sure you want to continue connecting (yes/no)?

À ce stade, vous devez vérifier que l'identité du serveur distant (donnée par l'empreinte digitale clé) est celle que vous attendez; un attaquant pourrait essayer de passer pour le serveur. Une fois cette vérification effectuée, et pour chaque connexion ultérieure de ce client à ce serveur, vous pouvez être sûr que la communication ne peut pas être espionnée et fiable (en ce que les commandes que vous tapez vont vraiment au serveur et les réponses sont vraiment celles envoyées par le serveur).

Les écouteurs ne peuvent pas obtenir les données dans la session ssh, mais ils peuvent observer la quantité de trafic ainsi que son timing. Cela pourrait divulguer des données confidentielles ; les mots de passe saisis de manière interactive sont particulièrement à risque: ils sont faciles à reconnaître au début de la connexion, et ils sont envoyés caractère par caractère, de sorte que l'écoute peut mesurer le temps entre les frappes, et chaque mesure lui facilite un peu la tâche deviner le mot de passe ( plus facile ne veut pas dire facile !). Cette faiblesse n'affecte pas l'authentification par clé publique, ce qui est recommandé par rapport aux mots de passe pour la sécurité et la convivialité.

Gilles 'SO- arrête d'être méchant'
la source
******* impressionnant!
Rolf
0

SSH est crypté. Mais la règle d'or est que, même si c'est difficile, vous ne devez jamais supposer que tout ce qui est envoyé par le biais d'un canal public ne peut pas être écouté.

Une fois, je suis entré dans un article sur la vulnérabilité des mots de passe SSH à l'analyse statistique - c'est une façon de casser les informations d'identification.

Les mots de passe peuvent être reniflés, il n'est tout simplement pas facile d'obtenir le texte clair correspondant.

Vous pouvez également explorer d'autres stratégies d'authentification, telles que les paires de clés public-privé, qui peuvent ne pas être aussi faciles à casser que les mots de passe (dans la mesure où vous ne pouvez pas factoriser rapidement les nombres premiers).

njsg
la source
1
Vous pensez probablement à « Timing Analysis of Keystrokes and Timing Attacks on SSH » de Song, Wagner et Tian. L'authentification par clé publique n'est en effet pas vulnérable.
Gilles 'SO- arrête d'être méchant'
Merci! En fait, je l'ai lu sur un site Web (et non l'article lui-même), mais c'était l'article et le "problème", j'ai donc mis à jour ma réponse en conséquence.
njsg