SSH-audit: herramienta de auditoría de seguridad para servidores y clientes SSH

• Herramienta para auditar configuraciones de servidores y clientes SSH
• Compatible con servidores de los protocolos SSH1 y SSH2
• Puede analizar configuraciones de clientes SSH, verificar banners, identificar dispositivos o software y sistemas operativos, y detectar compresión
• Recopila algoritmos de intercambio de claves, claves de host, cifrado y códigos de autenticación de mensajes
• Muestra información sobre los algoritmos (desde cuándo se usan, si fueron eliminados o deshabilitados, si son unsafe/weak/legacy, etc.)
• Recomendaciones de algoritmos (agregar o quitar según la versión de software detectada)
• Muestra información de seguridad (issues relacionados, lista de CVE asignados, etc.)
• Análisis de compatibilidad de versiones SSH según la información de los algoritmos
• Incluye información histórica de OpenSSH, Dropbear SSH y libssh
• Verifica mediante Policy Scan si cumple con configuraciones reforzadas o estándar
• Compatible con Linux/Windows
• Compatible con Python 3.7 ~ 3.11
• Sin dependencias

[GN⁺]

Comentarios de Hacker News

• Un artículo sobre la importancia de la configuración del servidor para la seguridad, que cuestiona por qué este tipo de configuraciones no vienen incluidas por defecto en los servidores.
• La configuración mencionada incluye regenerar y habilitar claves RSA y ED25519, eliminar módulos Diffie-Hellman pequeños y limitar los algoritmos compatibles de intercambio de claves, cifrado y MAC.
• Se sugiere que sería útil una herramienta similar al SSL Test de SSL Labs, pero para SSH.
• Un usuario comparte su experiencia con el endurecimiento de NixOS y proporciona un enlace de prueba.
• Otro usuario señala que agregar tres líneas a sshd_config mejora la seguridad, pero que Dropbear no es compatible con algoritmos Encrypt-then-MAC.
• Se comparte una medida de seguridad singular para todos los servidores SSH: usar una encuesta de Telegram en un grupo privado como segundo factor.
• Hay un debate sobre el uso de curvas elípticas presuntamente intervenidas con puertas traseras por la Agencia de Seguridad Nacional de Estados Unidos, lo que algunos usuarios consideran paranoia.
• Hay críticas a las guías de endurecimiento enfocadas en el cifrado, mientras ignoran la posible inseguridad de Trust On First Use (TOFU).