NIST (National Institute for Standards and Technology; amerykański, Narodowy Instytut Standaryzacji i Technologii) opublikował wstępną wersję dokumentu “Security of Automated Access Management Using Secure Shell (SSH)" prezentującą porady dotyczące używania oprogramowania Secure Shell (SSH). Komentarze i uwagi dotyczące jego treści można składać do 26 września 2014 roku.

SSH to standard obejmujący zestaw protokołów komunikacyjnych, używany najczęściej przez administratorów systemów IT, do zdalnego logowania się do odległych fizycznie serwerów. Logowanie takie musi być oczywiście bezpieczne. Dlatego SSH wspiera różne metody uwierzytelniania użytkowników, oparte na hasłach, tokenach, cyfrowych podpisach czy publicznych kluczach. Problem polega na tym, że na skutek błędnego konfigurowania protokołu SSH, operacja zdalnego logowania nie jest należycie chroniona, co często wykorzystują cybersprzestępcy i włamują się do serwerów, wykradając z nich poufne dane czy wręcz przejmując nad nimi kontrolę.

Zobacz również:

• Rząd USA pomoże amerykańskim firmom wdrażać rozwiązania wykorzystujące technologię AI

A sytuacja w tym obszarze jest rzeczywiście niepokojąca. Świadczą o tym np. wyniki badania przeprowadzonego niedawno przez Ponemon Institute. Instytut zapytał się administratorów zarządzających centrami danych należącymi do ponad 2 tys. firm, jak radzą sobie z zagrożeniami. Okazuje się, że aż w 75 procentach firm system ochrony kluczy SSH działa nieprawidłowo i w efekcie eksploatowane serwery narażone są na ataki root-level. Badanie obejmowało centra danych w amerykańskich firmach, ale świat jest zglobalizowany i dlatego należy domniemywać, że podobna sytuacja panuje również w Europie oraz w Polsce. Jest to wiec powód, aby bić na alarm.

NIST opracował liczący 37 stron dokument, zawierający opis najlepszych praktyk, porady dotyczące zarządzania kluczami SSH oraz bezpieczne metody zarządzania środowiskiem SSH.

Według NIST, w środowisku wykorzystującym SSH istnieją dwa rodzaje mechanizmów uwierzytelniania wykorzystujących hasła: może to być mechanizm podstawowy lub wykorzystujący klawiaturę (keyboard-interactive authentication).

W standardowych wdrożeniach SSH mamy do czynienia najczęściej z podstawowym mechanizmem uwierzytelniania, podczas gdy mechanizmy odwołujące się do klawiatury są stosowane w nowszych wdrożeniach SSH, w których wspierają oprócz podstawowej metody uwierzytelniania, również dodatkowe mechanizmy, takie jak np. typu “one-time passwords” (hasła jednorazowe).

NIST rekomenduje, aby w systemach zapewniających administratorom automatyczny dostęp do serwerów nie stosować mechanizmów uwierzytelniania opartych na hasłach, ponieważ te mogą być względnie łatwo przejmowane przez cyberprzestępców. Natomiast te firmy, które nie stosują systemów zapewniających administratorom automatyczny dostęp do serwerów, powinny zmieniać hasła często i w określonych odstępach czasu, zgodnie z obowiązującymi w danej firmie politykami, zapewniającymi odpowiedni poziom bezpieczeństwa.

Istnieje też mechanizm uwierzytelniania typu “host-based”. Jest to klucz podawany przez klienta (weryfikowany przez serwer) potwierdzający jego tożsamość. NIST zwraca jednak uwagę, że ten mechanizm uwierzytelniania ma jeden słaby punkt – nie pozwala wprowadzać do konfiguracji SSH ograniczeń, na przykład określających jakie operacje administrator może wykonywać na danym serwerze, jakich nie może, czy też do jakich zasobów ma dostęp. I właśnie dlatego NIST zaleca – tego rodzaju mechanizmu nie powinno się stosować w systemach SSH zapewniających administratorom automatyczny dostęp do serwerów.