GN⁺: SSH-audit: SSH 서버 및 클라이언트 보안 감사(Audit) 도구
(github.com/jtesta)- SSH 서버 및 클라이언트 구성을 감사하는 도구
- SSH1 및 SSH2 프로토콜 서버를 모두 지원
- SSH 클라이언트 구성을 분석하고, 배너 확인 및 장치 또는 소프트웨어와 운영 체제를 인식하며, 압축을 감지할 수 있음
- 키 교환, 호스트 키, 암호화 및 메시지 인증 코드 알고리듬을 수집
- 알고리듬에 대한 정보 출력(언제부터 사용했는지, 제거/비활성화 여부, unsafe/weak/legacy 여부 등)
- 알고리듬 추천 (인식된 소프트웨어 버전에 따라 추가 또는 제거)
- 보안 정보 출력 (관련 이슈, 할당된 CVE 리스트등 )
- 알고리듬 정보에 따른 SSH 버전 호환성 분석
- OpenSSH, Dropbear SSH, libssh의 역사적 정보가 포함
- Policy Scan을 통해 강화된/표준 구성을 준수하는지 확인
- 리눅스/윈도우즈 지원
- 파이썬 3.7 ~ 3.11 지원
- 의존성 없음
Hacker News 의견
- 보안을 위한 서버 구성의 중요성에 대한 기사, 기본적으로 이러한 구성이 서버에 포함되지 않는 이유에 대해 의문을 제기함.
- 언급된 구성에는 RSA 및 ED25519 키를 재생성하고 활성화, 작은 Diffie-Hellman 모듈을 제거, 지원되는 키 교환, 암호, MAC 알고리즘을 제한하는 것이 포함됨.
- SSL Labs의 SSL Test와 비교하여 SSH를 위한 유사한 도구가 유익할 것이라는 제안이 있음.
- 사용자가 NixOS 강화에 대한 경험을 공유하고 테스트 링크를 제공함.
- 다른 사용자가 sshd_config에 세 줄을 추가하여 보안을 향상시키지만, Dropbear가 Encrypt-then-MAC 알고리즘을 지원하지 않는다고 지적함.
- 텔레그램 설문조사를 비공개 그룹에서 두 번째 요소로 사용하여 모든 SSH 서버에 대한 독특한 보안 조치를 공유함.
- 미국 국가안보국에 의해 백도어가 설치된 것으로 의심되는 타원곡선의 사용에 대한 논쟁이 있으며, 일부 사용자는 이를 편집증으로 간주함.
- Trust On First Use (TOFU)의 잠재적인 불안전성을 무시하면서 암호화에 초점을 맞춘 강화 가이드에 대한 비판이 있음.