Secure Shell
| Secure Shell | |
|---|---|
 | |
| Jatorria | |
| Sortzailea(k) | Tatu Ylönen |
| Sorrera-urtea | 1995 |
| Azken bertsioa | 0.10.5 |
| Ezaugarriak | |
| Lizentzia | GNU Lesser General Public License |
| Fikzioa | |
| Erabiltzen du | cryptographic protocol (en)  , RFC 4252: The Secure Shell (SSH) Authentication Protocol (en) , RFC 4253: The Secure Shell (SSH) Transport Layer Protocol (en) eta session ID (en) |
SSH (Secure SHell; euskaraz: "Oskol Segurua") konputagailu-sare baten bidez urruneko gailuak eta zerbitzariak modu seguruan atzitzeko eta kudeatzeko sare protokolo eta aplikazio bat da. Protokolo honek aplikazio geruzan funtzionatzen du eta korrontean TCP 22 ataria (port) erabiltzen du defektuz.
SSH jatorriz telnet, rlogin edo rsh bezalako protokolo zaharkitu eta ez-seguruak ordezkatzeko diseinatu zen. Protokolo zahar horiek informazio guztia (erabiltzaile-izenak eta pasahitzak barne) testu lauan (zifratu gabe) bidaltzen zuten saretik; SSHk, ordea, konexioaren bi muturren arteko trafiko osoa enkriptatu egiten du, baimenik gabeko hirugarrenek datuak atzematea edo manipulatzea ekidinez.[1] [2]
Ezaugarri Nagusiak
[aldatu | aldatu iturburu kodea]- Urruneko terminala: Kontsola edo terminal aginduen bidez urruneko ordenagailua erabat maneiatzea ahalbidetzen du.
- Ingurune grafikoa (X11 Forwarding): Bezeroak X zerbitzari bat badu, urruneko aplikazio grafikoak tokiko makinan exekutatzea eta ikustea posible da.
- Datu-transferentzia segurua: SSH protokoloan oinarritutako SFTP (SSH File Transfer Protocol) eta SCP (Secure Copy) azpiprotokoloen bidez, fitxategiak modu enkriptatuan kopiatu daitezke gailuen artean.
- Tunelak eta bideratzea (Tunneling): Segurua ez den beste edozein aplikazioren datu-trafikoa kanal seguru baten barruatik (tunel baten bidez) bideratu dezake, segurtasun geruza estra bat gehituz.
- Gako bidezko autentifikazioa: Pasahitz tradizionalak erabili beharrekoan, kriptografia asimetrikoan oinarritutako gako-pareak (RSA, ED25519...) erabil daitezke zerbitzarietan segurtasunez eta pasahitzik gabe sartzeko.
SSHren erabilera
[aldatu | aldatu iturburu kodea]Ondorengo adibidean, `iker` izeneko erabiltzailea `jon` izeneko erabiltzailearen konputagailura modu seguruan konektatuko da gako-pare baten bidez (pasahitzik gabe sartu ahal izateko).
1. Gako-parea sortu
[aldatu | aldatu iturburu kodea]Lehenik eta behin, Ikerrek gako-pare bat (publikoa eta pribatua) sortu behar du bere ordenagailuan. Horretarako, RSA algoritmoa erabiliko du:
iker@bezeroa:~$ ssh-keygen -t rsa -b 4096
Agindu honek bi fitxategi sortzen ditu erabiltzailearen karpeta nagusian (`~/.ssh/` direktorioan):
- `id_rsa`: Gako pribatua (sekretua, inoiz partekatu behar ez dena eta pasahitz baten bidez babestua).
- `id_rsa.pub`: Gako publikoa (beste ordenagailuekin partekatzen dena).
| Aplikazio geruza | DNS, FTP, HTTP, HTTPS, IMAP, IRC, NFS, NNTP, NTP, POP3, SMB/CIFS, SMTP, SNMP, SSH, Telnet, SIP, gehiago |
| Aurkezpen geruza | ASN.1, MIME, SSL/TLS, XML, gehiago |
| Saio geruza | NetBIOS, gehiago |
| Garraio geruza | SCTP, SPX, TCP, UDP, gehiago |
| Sare geruza | AppleTalk, IP, IPX, NetBEUI, X.25, gehiago |
| Lotura geruza | ATM, Ethernet, Frame Relay, HDLC, PPP, Token Ring, Wi-Fi, STP, gehiago |
| Geruza fisikoa | Kable ardazkide, Zuntz optiko, Pare kordatu, Mikrouhin-sarea, Irrati bidezko sarea, RS-232, gehiago |
| *OSI ereduaren arabera | |
2. Gako publikoa urruneko makinan gaitu
[aldatu | aldatu iturburu kodea]Ikerrek bere gako publikoa Jonen konputagailura kopiatu behar du. Horretarako, modu errazena `ssh-copy-id` agindua erabiltzea da (Jonekin saioa hasiz eta haren IP helbidea zehaztuz):
iker@bezeroa:~$ ssh-copy-id jon@jonen_IP_helbidea
Alternatiba gisa, prozesu hau eskuz egin daiteke fitxategia SCP bidez transferituz eta Jonen makinako baimendutako gakoen zerrendara gehituz:
# 1. Gakoa Jonen makinara kopiatu
iker@bezeroa:~$ scp ~/.ssh/id_rsa.pub jon@jonen_IP_helbidea:/home/jon/id_rsa_iker.pub
# 2. SSH bidez konektatu eta gakoa baimendutako zerrendara (authorized_keys) erantsi
iker@bezeroa:~$ ssh jon@jonen_IP_helbidea
jon@zerbitzaria:~$ cat ~/id_rsa_iker.pub >> ~/.ssh/authorized_keys
jon@zerbitzaria:~$ rm ~/id_rsa_iker.pub
3. Urruneko konexioa burutu
[aldatu | aldatu iturburu kodea]Behin gako publikoa Jonen ordenagailuko `authorized_keys` fitxategian dagoela, Ikerrek ez du Jonen erabiltzaile-pasahitza sartu beharko konektatzean. Bere gako pribatuaren pasahitza baino ez zaio eskatuko saioa hasten duen lehen aldian (edo gako-kudeatzaile bat badu, ezta hori ere):
iker@bezeroa:~$ ssh jon@jonen_IP_helbidea
SSHren ahuleziak segurtasunaren aldetik
[aldatu | aldatu iturburu kodea]1998an SSH 1.5 inplementazioaren ahulezi bat argitaratu zen, non azaltzen baitzen posiblea zela datu gehigarriak txertatzea SSH fluxuan CRC-32 integritate-kontrola gaindituta.[3] 2001ean beste ahulezi bat geratu zen agerian: erasotzaileek posiblea zuten zifratutako saioaren azken blokea aldatzea.[4] Urte berean detektatu zen bezeroaren autentifikazioa beste zerbitzari batera berbidera zitekeela.[5] Arazo horiek eta beste batzuk kontuan hartuta SSH-1 zaharkitutzat jotzen da eta bezero zein zerbitzari gehienek SSH-2 erabiltzen dute.
2014an Der Spiegel aldizkariak informazio klasifikatu bat argitaratu zuen[6] non Edward Snowdenek iradokitzen baitzuen NSAk ahalmena zuela SSH trafikoa deszifratzeko. Ez ziren, baina, zehaztasun teknikoak erakutsi.
2023an man-in-the-middle eraso mota (erasotzailea konexioaren erdian) detektatu zen ssh gainean. Terrapin eraso deitzen zitzaion aurkitu zutenei erreferentzia eginez.[7] Erasoaren larritasuna mugatua da ssh jatorrizko saioa interbenitu behar delako eta eraso gehienak saioaren amaiera baino ez dutelako eragiten.[8] Ahulezia hori zuzendu zen geroago OpenSSH 9.6 bertsioan.
Erreferentziak
[aldatu | aldatu iturburu kodea]- ↑ Azkarate, Igor Leturia. (2013-02-01). «Interneteko komunikazioen segurtasuna I: Konfidentzialtasuna» Elhuyar Zientzia (kontsulta data: 2026-06-06).
- ↑ Pereira, Juanan. (2020-07-09). «Begirada bat Interneteko zerbitzarien segurtasunari» Sarean .eus (kontsulta data: 2026-06-06).
- ↑ «ssh Insertion Attack» www.coresecurity.com (kontsulta data: 2026-08-04).
- ↑ «US-CERT Vulnerability Note VU#315308» www.kb.cert.org (kontsulta data: 2026-08-04).
- ↑ «CERT/CC Vulnerability Note VU#684820» www.kb.cert.org (kontsulta data: 2026-08-04).
- ↑ (Ingelesez) Staff, SPIEGEL. (2014-12-28). «Inside the NSA's War on Internet Security» Der Spiegel ISSN 2195-1349. (kontsulta data: 2026-08-04).
- ↑ «Terrapin Attack» terrapin-attack.com (kontsulta data: 2026-08-04).
- ↑ OpenSSH 9.6 release notes 2023-12-18
Ikus, gainera
[aldatu | aldatu iturburu kodea]Kanpo estekak
[aldatu | aldatu iturburu kodea]- (Ingelesez) OpenSSH proiektuaren webgune ofiziala
