6

Просматривая справочную страницу для sshd_config, я вижу список алгоритмов по умолчанию для шифров, обмена ключами (KEX) и MAC. В моей настройке я выбрал подмножество этих алгоритмов для использования (т.е. я не хочу разрешать старые или слабые алгоритмы). Что я хочу знать; в каком порядке согласовываются алгоритмы?

Я знаю, что клиент и сервер должны договориться о том, какой алгоритм использовать. Но нужно ли упорядочивать список из наиболее предпочтительных -> наименее предпочтительных? Или наоборот? Списки на справочной странице, по-видимому, упорядочены сначала по группам алгоритмов, в первую очередь по предпочтительным группам, но в каждой группе алгоритмы, по-видимому, упорядочены от наименее предпочтительных к большинству.

По сути, мой вопрос сводится к тому, будет ли клиент и сервер согласовывать "самый сильный" алгоритм, который они оба поддерживают (где "самый сильный" определен внутри OpenSSH), или он выберет первый / последний алгоритм в обоих (сервер и клиент) списки поддерживаемых алгоритмов?

Как я могу сказать, какие алгоритмы согласованы для данного соединения? Я запустил ssh с -v -v -v и вижу много выпадений из kex_parse_kexinit. Но я не могу сказать, какой алгоритм определяется из этого выброса.

Спасибо

1 ответ1

1

Вы можете увидеть более точные детали того, как различные алгоритмы согласованы в RFC 4253, раздел 7.1, но в основном:

  • Алгоритмы в ssh_config (или в ~/.ssh/config) и в sshd_config ранжируются по предпочтениям, от высшего к низшему.
  • Сервер выбирает первый алгоритм в списке клиента, который он также поддерживает. Следовательно, выбор смещен в сторону предпочтений клиента.

Алгоритмы шифрования и MAC отображаются в подробном выводе, например

debug1: kex: server->client aes128-ctr umac-64@openssh.com zlib@openssh.com
debug1: kex: client->server aes128-ctr umac-64@openssh.com zlib@openssh.com

В последний раз, когда я проверял, OpenSSH не говорит, какой именно алгоритм Kex он выбирает. Возможно, это изменится в будущем.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками .