O sshd_config TPCKeepAlive ainda está usando um canal não criptografado e, portanto, vulnerável

Question

Esta publicação de 2008 no ubuntuforums recomenda a desativação de TCPKeepAlive

Disable TCP KeepAlive messages. These messages are spoofable and are sent outside of the encrypted channel, and ClientAliveInterval is an encrypted, unspoofable (that I know of) alternative, so I see no reason to use TCPKeepAlive.

Esse ainda é o caso? É seguro usar TCPKeepAlive ou é melhor usar ClientAliveInterval ?

Estou perguntando isso porque o digitalocean usa TCPKeepAlive por padrão e, se houver vulnerabilidade, eles não parariam de usá-lo?

    

Answer 1

Você não deve acreditar em tudo que lê na Internet. :) Não há nenhum problema de segurança com a ativação de TCPKeepAlive . Nunca houve tal problema. O significado do aviso no manual sshd_config(5) é que você não deve confiar em TCPKeepAlive sozinho , já que um invasor pode falsificá-lo para enganar o servidor e pensar que uma conexão ainda está ativa quando na verdade não é. Em vez disso, você deve usar TCPKeepAlive junto com ClientAliveInterval .

Você pode usar ClientAliveInterval sem TCPKeepAlive , mas na grande maioria dos casos, a desativação de TCPKeepAlive não atinge nenhum objetivo útil. O único efeito é que ssh conexões que estão ociosas por mais que o tempo limite do TCP em sua máquina (2 horas por padrão no Linux) serão fechadas. Isso é tudo que existe para isso.