Apa itu HMAC #

HMAC, atau Kode Otentikasi Pesan Berbasis Hash, adalah konstruksi kriptografi yang menggunakan kunci rahasia dan fungsi hash untuk memverifikasi integritas dan keaslian data atau pesan. HMAC menyediakan cara untuk memastikan bahwa data tidak dirusak selama transmisi dan data tersebut berasal dari sumber tepercaya. Mereka melibatkan penggabungan data dengan kunci rahasia, hashing hasilnya, dan kemudian membandingkannya dengan referensi HMAC di pihak penerima, menawarkan metode aman untuk mengonfirmasi validitas data dalam berbagai aplikasi, termasuk sistem komunikasi dan otentikasi yang aman.

Dalam layanan SSH (Secure Shell) seperti SSHd (daemon SSH), HMAC digunakan untuk meningkatkan keamanan komunikasi antara klien dan server. Selama proses pertukaran kunci SSH, server dan klien bernegosiasi mengenai serangkaian algoritma kriptografi, termasuk algoritma HMAC, yang akan digunakan untuk verifikasi integritas data. Algoritma HMAC yang dipilih, dikombinasikan dengan kunci rahasia bersama, digunakan untuk menghasilkan tag HMAC untuk paket keluar dan memverifikasi integritas paket masuk. Hal ini memastikan bahwa data yang dipertukarkan antara klien dan server tidak diubah selama transmisi, menjaga dari gangguan dan memastikan keaslian komunikasi, yang merupakan aspek penting dari model keamanan SSH.

Nonaktifkan sandi lemah di SSHD #

Untuk meningkatkan keamanan layanan SSHd, Anda mungkin perlu memodifikasi algoritma cipher, MAC, dan kunci SSH untuk memastikan bahwa tidak ada MD5 atau HMAC 96-bit yang digunakan ( hmac-md5 hmac-md5-96 hmac-sha1-96 ). Silakan lanjutkan dengan langkah-langkah berikut.

Periksa Konfigurasi SSHd yang Ada #

Periksa konfigurasi SSH saat ini untuk mengidentifikasi cipher, MAC, dan algoritma kunci yang diizinkan. Gunakan perintah berikut untuk mengumpulkan informasi ini:

root@noid-ee-01:~# sshd -T | grep "\(cipher\|macs\|kexalgorithms\)"
cipher chacha20-poly1305@openssh.com,aes128-ctr,aes192-ctr,aes256-ctr,aes128-gcm@openssh.com,aes256-gcm@openssh.com
macs umac-64-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com,hmac-sha1-etm@openssh.com,umac-64@openssh.com,umac-128@openssh.com,hmac-sha2-256,hmac-sha2-512,hmac-sha1
kexalgorithms curve25519-sha256,curve25519-sha256@libssh.org,ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,diffie-hellman-group14-sha256,diffie-hellman-group14-sha1

Edit Konfigurasi SSHD #

Untuk meningkatkan keamanan, pertimbangkan untuk menonaktifkan cipher dan MAC yang lebih lemah. Gunakan editor teks (seperti nano atau vi ) untuk mengedit file konfigurasi SSHD (terletak di /etc/ssh/sshd_config ). Hapus cipher dan MAC yang tidak ingin Anda izinkan dan simpan file tersebut. Jika konfigurasi tidak ada, tambahkan baris baru di akhir file.

ciphers aes128-ctr,aes192-ctr,aes256-ctr
macs hmac-sha1,hmac-sha2-256,hmac-sha2-512

Mulai ulang Layanan SSHD #

Setelah melakukan perubahan, restart layanan SSHD untuk menerapkan konfigurasi baru.

root@noid-ee-01:~# systemctl restart sshd

Periksa konfigurasi baru #

Verifikasi konfigurasi yang diperbarui menggunakan perintah yang sama seperti sebelumnya.

root@nid-ee-01:~# sshd -T | grep "\(ciphers\|macs\|kexalgorithms\)"
ciphers aes128-ctr,aes192-ctr,aes256-ctr
macs hmac-sha1,hmac-sha2-256,hmac-sha2-512
kexalgorithms curve25519-sha256,curve25519-sha256@libssh.org,ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,diffie-hellman-group14-sha256,diffie-hellman-group14-sha1

Langkah-langkah ini membantu memperkuat keamanan SSH dengan mengonfigurasi SSH untuk menggunakan cipher suite dan MAC yang lebih aman sekaligus menonaktifkan opsi yang lebih lemah, sehingga meningkatkan keamanan layanan SSHd secara keseluruhan. Perlu diketahui bahwa mengubah pengaturan ini dapat memengaruhi kompatibilitas dengan klien SSH yang lebih lama atau kurang aman, jadi pastikan perubahan Anda selaras dengan persyaratan keamanan spesifik Anda.