Ssh dsa host anahtarlarının şu andaki ihtiyacı nedir?

* Nix sunucularla uğraşmaya başladığımda, openssh sunucuları dsa ve rsa ana bilgisayar anahtarlarıyla birlikte geldi, openssh istemcileri rsa anahtarını tercih etti. Bu günlerde openssh sunucuları dsa, rsa ve ecdsa ana bilgisayar anahtarlarına sahiptir ve opensh istemcileri ecdsa ana bilgisayar anahtarını tercih eder.

Dsa ana bilgisayar anahtarları sağlamak için yine de openssh'i ne ölçüde yapılandırmam gerekiyor?

Çoğunlukla opensh olmayan istemci uygulamaları konusunda merak ediyorum.

En azından RSA desteği olmayan yaygın olarak kullanılan hiçbir şeyi düşünemiyorum ve gerçekten sadece DSA'yı destekleyen pencerelerde bir terminal emülatörü kullanıyorsanız, kullanmayı bırakıp macunu indirmeli veya güncellemelisiniz.

Seçenek uyumluluk sağlamak için var. Ancak, güvenlik yüzeyinize de katkıda bulunur; bir saldırgan, bir istemciyi yalnızca DSA için destek beyan etmeye ikna ederek kriptografinizi zayıflatabilir. Bu senaryo oldukça ileri sürülüyor. Sizi ilgilendiriyorsa, DSA'yı devre dışı bırakmalısınız.

Muhtemelen ciddi bir uzlaşmaya yol açacağını tahmin edebileceğim tek senaryo, kullanıcılarınızdan biri her zaman DSA ile pazarlık yapan ve DSA imzaları oluşturmak için yinelenen geçici değerler üreten güvenilmeyen veya güvenliği ihlal edilmiş bir bilgisayarda bir DSA anahtar çifti kullanmasıdır; sonuç, kullanıcının anahtarının tehlikeye atılması olabilir, ancak bu bir saldırgan için en az direnç yolu gibi görünmüyor. Sisteminiz uluslararası casuslar tarafından kullanılmadıkça muhtemelen endişelenmenize gerek yoktur. Kardeş sitelerimizden birinde bu soruyu görün: https://security.stackexchange.com/q/29262/12223 .

DSA'yı devre dışı bırakmanın doğrudan bir yolu yoktur. Debian bug 528046 bunu teklif eder ve bir yama sağlar (bir seçenek PubKeyTypes için) ve destekle bir araya geldi, ancak 2009'dan beri yukarı doğru hiçbir şey kanıtlamadan harekete geçmedi.

Cevabınız muhtemelen burada bulunur:

/security/5096/rsa-vs-dsa-for-ssh-authentication-keys

Çoğu öneri çeşitli nedenlerle RSA anahtarları içindir, bu nedenle DSA anahtarları geriye dönük uyumluluk için büyük ölçüde oradadır. DSA, RSA'nın hala patentli olduğu ve DSA'nın daha açık olduğu için SSH2 çıktığında tanıtıldı. O zamandan beri değişti.

Tüm bunlardan dolayı, DSA anahtarları neredeyse işe yaramaz. Çalışacaklar ve ssh-keygen istersen bile üretecek, ama birisi özellikle sormalı ve bu da onları zorlarsan RSA'yı kullanabileceği anlamına geliyor. Bildiğim kadarıyla hiçbir şey sadece DSA ile ilgili değildi. DSA anahtarları yasaklamak için uygundur.

Güvenlik açısından ortaya çıkabilmemin tek nedeni asal çarpanlara ayırmanın düşmesi ancak ayrık kayıt RSA'nın düşmemesi ancak DSA'nın durmasıdır. Bu durumda RSA'nın nasıl devre dışı bırakılacağını sorarsınız. Ayrık günlük hem RSA hem de DSA'dan daha düşükse. Ancak ssh'niz DSA için hala tam olarak 1024 bit gerektiriyorsa, şimdi düzeltin.