pfsense: SSH und die Terrapin Angriffsmethode - Patch verfügbar

[the other]

Moinsen,
es gibt derzeit eine neue Angriffsmethode für ssh-basierende Verbindungen: die Terrapin Angriffsmethode > https://terrapin-attack.com/ und https://www.golem.de/news/neue-angr...chluesselte-ssh-verbindungen-2312-180474.html.
Sollte also (generell, unabhängig von pfsense!!) der ssh Zugang auch über das Internet von extern offen und erreichbar sein, dann solltet ihr mal schauen, ob ihr sicher und gut aufgestellt seid!
Insgesamt scheint es nicht so leicht, die Voraussetzungen für einen erfolgreichen Angriff darüber herzustellen, trotzdem ein Wort der Warnung.
Um diesen Angriffsvektor zu eliminieren sollte bei Nutzung der pfsense der Patch eingespielt werden. Es geht verkürzt gesagt darum, dass bestimmte Verschlüsselungsalgorithmen, die angreifbar sind, genauer um ChaCha20-Poly1305 sowie Verschlüsselungen mit MAC (Encrypt-then-MAC, etm), deaktiviert werden.
Ich gebe offen zu, dass ich keineswegs tief in der Thematik drin stecke und hier auch nur Infos weiterleite!
Speziell zur Problematik in Zusammenhang mit der pfsense verlinke ich hier AUSNAHMSWEISE (liebe Mods... ) zum Beitrag im offiziellen Netgate Forum, wo sich auch weiter Hinweise zum Patch finden (in English, my dear): https://forum.netgate.com/topic/184941/terrapin-ssh-attack

Ich selber habe den Zugang via ssh nur und ausschließlich im LAN ermöglicht. Hier sinkt die Angriffsmöglichkeit wohl nochmal deutlich ab, auch das wird im ersten Beitrag (>Netgate Forum) kurz dargestellt.

 

[blurrrr]

Wenn es jemand geschafft hat, sich erfolgreich dazwischen zu setzen, dann hat man wohl noch ganz andere Probleme...

 

[the other]

Moinsen,
ja, den Spruch von Mr. Pingle fand ich auch nett...und da hat er ja auch recht mit.

 

[the other]

Moinsen,
Nachtrag: hab den Patch jetzt mal eingespielt...
Vorher mit nmap mal das im link genannte script durchlaufen lassen, natürlich auch die beiden "Problemkinder" entdeckt und dann (auch wenn kein ssh übers Internet und nur Heimnetz mit eher wenig MitM Risiko) den Patch runtergeladen und installiert. Kurzen Reboot gemacht und tadaa: ssh funktioniert, das script zeigt unter nmap nun kein ChaCha oder .etm mehr und mir geht es emotional besser. Ich mein, WENN ich im popeligen Heimnetz schon ne Firewall hab, dann MUSS ich eben auch ssh abdichten...oder?

 

[frosch2]

Den Patch habe ich jetzt auch eingespielt. Die pfSense ist zwar von außen nicht erreichbar, aber ich kann jetzt besser schlafen .

 

[Tommes]

Nur zur Info: Mittlerweile wird der Patch auch über das Paket System_Patches angeboten, nachdem man dieses einem Update unterzogen hat. Der Patch wird dann unter System/Patches angezeigt und applied werden.

 

[frosch2]

Nur am Rande, es gibt auch ein Update für Linux.