ubuntuusers.de

Hallo!

Was ist ein SSH-Hostkey, kann er ein Sicherheitrisiko in den falschen Händen sein? (Im öffentlichem Netz)

Grund der Frage: Bei einem Portscan meines eigenen lokalen Servers wird mir der SSH-Port inklusive SSH-Hostkey angezeigt.

Der Schlüssel besteht ja aus zwei Teilen. Mit nur einem teil geht da eher wenig bis gar nichts.

LP-Tobi schrieb:

Was ist ein SSH-Hostkey, kann er ein Sicherheitrisiko in den falschen Händen sein? (Im öffentlichem Netz)

Grund der Frage: Bei einem Portscan meines eigenen lokalen Servers wird mir der SSH-Port inklusive SSH-Hostkey angezeigt.

Kommt ganz darauf an. In diesem Fall sage ich mal: nein, das ist kein Sicherheitsrisiko. 😉

Fangen wir mal bei den Grundlagen an: Schlüssel_(Kryptologie). Immer wenn man mit Verschlüsselung zu tun hat, muss man sich mit Schlüsseln auseinander setzen, denn der Schlüssel ermöglicht erst die Ver- und Entschlüsselung.

Häufig wird dabei auf asymmetrische Verfahren zurückgegriffen. Dabei besteht jeder Schlüssel aus zwei Teilen, einem privaten, geheimen Teil (private Key) sowie dem öffentlichen Teil (public Key). Jeder Teilnehmer benötigt in diesem System sein eigenes Schlüsselpaar. Die öffentlichen Schlüssel können und müssen dabei frei untereinander ausgetauscht werden.

Und hier kommt auch schon der Trick:

• mit dem öffentlichen Schlüssel kann eine Nachricht an den Besitzer des dazugehörigen privaten Schlüssel verschlüsselt werden.

• nur mit dem privaten Schlüssel lässt sich eine solche Nachricht wieder entschlüsseln.

• nur mit dem privaten Schlüssel lässt sich eine Signatur berechnen,

• mit dem dazugehörigen öffentlichen Schlüssel kann diese Signatur überprüft werden und somit der Urheber der Nachricht bestätigt werden.

Auf dem Server (auch Host genannt) ist in jedem Fall ein solches Schlüsselpaar vorhanden, das ist der Host-Key. Zum erfolgreichen Verbindungsaufbau teilt der Server (Host) dem Client seinen öffentlichen Schlüssel mit. Im Idealfall lässt sich dieser öffentliche Schlüssel auf einem anderen Kanal (z.B. durch persönlichen Kontakt) bestätigen. Während des Verbindungsaufbau wird der Server auch eine signierte Botschaft senden, um seine Identität zu bestätigen, so ist sicher gestellt, dass man wirklich mit dem richtigen System verbindet.

Und deshalb wird bei einem Port-Scan auf einem SSH-Server auch immer ein Host-Key ausgegeben (der öffentliche Schlüssel).

Für die Sicherheit und Funktion von SSH ist das gut und notwendig. Gefährlich würde es nur dann, wenn der Server seinen privaten Schlüssel irgendwie preis gäbe.

~jug