Minha sessão SSH pode ser detectada pelo sysadmin?

Question

Meu amigo obtém acesso à Internet mais rápido na minha universidade, pois ele possui algumas instalações de pesquisa acadêmica. Nosso sysadmin garantiu que esse recurso só possa ser acessado por algumas máquinas com endereços MAC específicos. O spoofing MAC foi detectado por ele de alguma maneira e, portanto, essa teoria já foi testada.

Agora, posso criar um túnel SSH e usar sua rede sem ser detectado da mesma maneira que uma falsificação de MAC? Será que todo o uso será mostrado como feito por ele ou será que de alguma forma eu posso ver que há um túnel SSH ativo que tem usado a Internet de um pesquisador acadêmico? Se não, a criação de múltiplos saltos SSH será boa?

Uma última coisa. Como exatamente é uma chave privada de qualquer uso ao fazer um SSH? Isso ajudará a dar alguma forma de anonimato ao administrador de sistema?

Obrigado! Sai

    

Answer 1

Vamos definir o ambiente:

• Você está em uma máquina que eu chamo de home .
• Você tem acesso SSH a uma máquina na universidade, chamamos de univ .
• O endereço MAC de univ é listado em branco, portanto, ele tem acesso a essa rede privilegiada.

Então, sim, você pode criar facilmente um túnel SSH:

you@home$ ssh -D 1234 you@univ

Isso criará um proxy SOCKS ouvindo home port 1234 e redirecionando o tráfego por meio de univ machine. Você pode configurar esse proxy no seu navegador.

Isso pode ser detectado? Claro!

• O sysadmin pode notar uma certa quantidade de tráfego na rede.
• O tráfego pode ser claramente rastreado até a máquina univ .
• O sysadmin pode inspecionar a máquina para monitorar as conexões.
• A conexão ssh pode ser claramente detectada, incluindo o nome de usuário usado na conexão.

Então, sim, o sysadmin pode detectá-lo. Não, não será o mesmo procedimento do spoofing de MAC. E usar nome de usuário + senha ou nome de usuário + chave não faz diferença.

    

Answer 2

Isto parece ser uma maneira de colocar seu 'amigo' em apuros. O sysadmin pode quase certamente ver a existência de comunicação entre o host privilegiado e outros sistemas dentro da rede. O sysadmin também pode provavelmente ver a comunicação de saída do host privilegiado para o resto do mundo. Então, mesmo que ele não veja a sua sessão SSH, ele pode acreditar que seu amigo está abusando do privilégio dele.

Quanto à PKI empregada, o objetivo dela é exatamente o oposto da anonimização. A PKI é usada como um método para autenticar que o usuário e o usuário são realmente quem eles afirmam ser.