Handshake do SSH e Autenticação por Chave do Host

O SSH começa com uma conexão TCP à porta 22. Depois que ela é estabelecida, o cliente e o servidor trocam cadeias de versão, como SSH-2.0-OpenSSH_9.3, que identificam a versão do protocolo e a implementação. Essa troca de versões permite que ambos confirmem a compatibilidade antes de prosseguir.

Após a troca de versões, ambas as partes enviam pacotes SSH_MSG_KEXINIT que listam os algoritmos compatíveis. Essas listas abrangem métodos de troca de chaves, tipos de chaves de servidor, cifras simétricas, algoritmos MAC e compactação. A interseção das duas listas determina os algoritmos escolhidos para a sessão.

A chave da sessão é estabelecida usando um algoritmo de troca de chaves, como Diffie-Hellman ou ECDH. O cliente e o servidor geram, cada um, pares de chaves efêmeras, trocam valores públicos e calculam independentemente o mesmo segredo compartilhado. Esse segredo compartilhado serve de base para a derivação da chave da sessão sem jamais ser transmitido diretamente.

O servidor comprova sua identidade assinando o hash da troca de chaves com sua chave privada de servidor. A chave de servidor pode ser RSA, ECDSA ou estar no formato moderno Ed25519. O cliente usa a chave pública correspondente para verificar essa assinatura, confirmando que está se comunicando com o servidor legítimo, e não com um impostor.

Na primeira conexão com um servidor novo, o cliente ainda não conhece a chave pública do servidor. O SSH exibe a impressão digital da chave e solicita que o usuário a aceite. Esse modelo de Confiança no Primeiro Uso armazena a chave em known_hosts e detecta alterações em conexões futuras, alertando sobre possíveis ataques do tipo intermediário.

A maneira mais segura de verificar a chave de um servidor novo é usar um canal fora de banda. Um administrador pode ler a impressão digital do servidor pessoalmente ou por meio de um canal seguro verificado e compará-la com o que o cliente SSH exibe. Isso impede que uma chave fraudulenta seja aceita silenciosamente na primeira conexão.

O arquivo known_hosts armazena linhas no formato: hostname algorithm base64-key comment. Cada entrada representa uma identidade de servidor confiável. Quando você se conecta a um servidor que já está em known_hosts, o SSH verifica se a chave apresentada corresponde à chave armazenada e recusa a conexão se houver uma divergência.

Após a troca de chaves, ambas as partes derivam independentemente as chaves da sessão usando o segredo compartilhado, o hash da troca e o identificador da sessão. São derivadas chaves separadas para cada direção da comunicação e para as operações de criptografia e MAC. Isso significa que as chaves usadas no tráfego do cliente para o servidor são diferentes das chaves usadas no tráfego do servidor para o cliente.

Depois que as chaves da sessão são estabelecidas, toda a comunicação SSH subsequente é criptografada e autenticada. A cifra negociada, como AES-256-GCM ou ChaCha20-Poly1305, protege a confidencialidade, enquanto o MAC garante a integridade. Até mesmo o nome de usuário e as credenciais de autenticação são enviados dentro desse túnel criptografado.

As chaves de servidor RSA de 2048 ou 4096 bits têm amplo suporte, mas são mais lentas. As chaves ECDSA baseadas em curvas NIST são mais rápidas, mas algumas pessoas desconfiam dos parâmetros das curvas NIST. As chaves Ed25519 baseadas em Curve25519 são a recomendação moderna: pequenas, rápidas, altamente seguras e sem dependência dos parâmetros das curvas NIST. A maioria dos servidores SSH modernos oferece Ed25519 por padrão.

O handshake do SSH consiste em: conexão TCP, troca de versões, negociação de algoritmos, troca de chaves que estabelece as chaves da sessão, verificação da chave do servidor e autenticação do usuário. Todas as etapas após a troca de versões ocorrem dentro de um canal criptografado e protegido contra alterações, estabelecido pela fase de troca de chaves.

Como um cliente verifica a chave do servidor SSH em conexões posteriores à primeira?

Nesta lição: o TCP estabelece a conexão na porta 22, as cadeias de versão são trocadas, a negociação de algoritmos seleciona as cifras e os métodos de troca de chaves, ECDH ou DH estabelece um segredo compartilhado, as chaves da sessão são derivadas separadamente para cada direção, o servidor se autentica com a assinatura da sua chave de servidor e o cliente verifica a chave em known_hosts usando TOFU na primeira conexão.