web-dev-qa-db-ja.com

DD-WRTでDropbearの暗号を構成するにはどうすればよいですか？

ルーターに最新のDD-WRTビルドをインストールし、SSHデーモンを有効にしました。デーモンは高いポートで世界をリッスンし、キー認証のみを受け入れます。これは良いスタートです。しかし ssh-audit は、DD-WRTのDropbearSSH構成でいくつかの失敗と警告を報告します。

$ python ssh-audit.py 10.0.1.1
# general
(gen) banner: SSH-2.0-dropbear_2018.76
(gen) software: Dropbear SSH 2018.76
(gen) compatibility: OpenSSH 7.3+ (some functionality from 6.6), Dropbear SSH 2016.73+
(gen) compression: disabled

# key exchange algorithms
(kex) diffie-hellman-group14-sha256  -- [info] available since OpenSSH 7.3, Dropbear SSH 2016.73
(kex) diffie-hellman-group14-sha1    -- [warn] using weak hashing algorithm
                                     `- [info] available since OpenSSH 3.9, Dropbear SSH 0.53
(kex) diffie-hellman-group1-sha1     -- [fail] removed (in server) since OpenSSH 6.7, unsafe algorithm
                                     `- [fail] disabled (in client) since OpenSSH 7.0, logjam attack
                                     `- [warn] using small 1024-bit modulus
                                     `- [warn] using weak hashing algorithm
                                     `- [info] available since OpenSSH 2.3.0, Dropbear SSH 0.28
(kex) [email protected]      -- [info] available since Dropbear SSH 2013.57

...

# algorithm recommendations (for Dropbear SSH 2018.76)
(rec) -diffie-hellman-group1-sha1    -- kex algorithm to remove
(rec) -diffie-hellman-group14-sha1   -- kex algorithm to remove
(rec) [email protected]  -- kex algorithm to append
(rec) +diffie-hellman-group16-sha512 -- kex algorithm to append
(rec) -aes128-cbc                    -- enc algorithm to remove
(rec) -aes256-cbc                    -- enc algorithm to remove
(rec) +3des-ctr                      -- enc algorithm to append
(rec) +twofish128-ctr                -- enc algorithm to append
(rec) +twofish256-ctr                -- enc algorithm to append
(rec) -hmac-md5                      -- mac algorithm to remove

DD-WRTのDropbearSSHデーモンのキー交換、暗号化、およびメッセージコードアルゴリズムを構成（有効化/無効化）する方法はありますか？ DD-WRTフォーラムとwikiを検索しましたが、決定的なものは見つかりませんでした。

sshsecuritydd-wrtdropbear
1
a paid nerd

暗号化アルゴリズムなどを変更するには、Dropbearのソースコードを変更してから自分でコンパイルする必要があります。あなたが言及したオプションは、Dropbear設定ユーティリティでは設定できません（Dropbearマニュアルによる）。これはおそらく、Dropbearが組み込みシステム（DD-WRTなど）用に設計されているためです。

Dropbear開発チームがこれらのサポートされているアルゴリズムに変更を加えるまで待つこともできますが、これらの変更がロードマップに含まれているかどうかはわかりません。

1
Aulis Ronkainen