🔒 SSH работает. Кто смотрит?

На связи CyberINS.

При перехвате SSH сессия продолжала работать как обычно, а атакующие видели команды. Вот ловушка: привычное поведение соединения — плохой повод успокоиться.

В атаке через выходные узлы Tor трафик перенаправляли на серверы-перехватчики. Подставной SSH-сервер предъявлял свой host key. Если ты принимал его и вводил пароль, секрет доставался атакующим.

Но вход по SSH-ключу так ретранслировать нельзя: подпись клиента привязана к конкретной сессии. Это существенная граница атаки, а не мелкая оговорка.

Мой вывод: если 1–5 октября ты принял незнакомый или изменившийся host key через Tor и ввел пароль, одного сожаления мало. Пароль стоит считать скомпрометированным, учетные данные сменить, сервер проверить на Ebury.

⏺ Разбор, на который опираюсь

#Tor #SSH // ❓ cyber in network security // max.ru/cyberins