SSH (Secure Shell) යනු ඉංජිනේරුවන් අතර ඉතා ජනප්රිය, අකාරයක් නැති ප්රොටොකෝලයක්. නමුත් 2023 දෙසැම්බරේ පළවූ Terrapin (CVE-2023-48795) නමැති නව තාක්ෂණික ත්රාසජනක ක්රමයක්, ජාලයේ මැද සිටින ත්රාසකාරකයාට SSH සම්බන්ධතාවයේ පළමු පණිවුඩ කිහිපයක් මකා දැමීමට ඉඩ දෙයි. එම මකා දැමීමේදී කිසිදු ගුප්තකේතය හෝ මුරපදයක් බිඳ නොදෙයි, නමුත් සෙෂන් එකේ අනුක්රමික සංඛ්යාව (sequence number) වෙනස් වීම නිසා සම්බන්ධතාවය අඩුපාඩු ගන්නා ලදී.
කොහොමද මෙය සිදුවෙන්නේ?
SSH සම්බන්ධතාවයක් ආරම්භ කරන විට, දෙපාර්ශ්වය handshake එකක් කරයි. එහිදී version strings, algorithm negotiation, key exchange වැනි පියවරයන් පසුපස, තාවකාලිකව අගුළු නොලත් පණිවුඩ (SSH_MSG_IGNORE) සහ optional SSH_MSG_EXT_INFO පණිවුඩ යවයි. මෙම පියවර අතර අනුක්රමික සංඛ්යාව දැනටමත් ගණනය කරයි. ත්රාසකාරකයා, handshake කාලය තුළ, අමතර ignore පණිවුඩයක් යොදා ගනිමින් එක් පාර්ශ්වයක අනුක්රමික සංඛ්යාව වැඩි කරයි, පසුව සැබෑ පණිවුඩයක් මකා දමා, දෙපාර්ශ්වයේ අනුක්රමික සංඛ්යාව නැවත සමාන කරයි. ඒ නිසා, සත්ය encryption ආරම්භ වූ පසු, දෙපාර්ශ්වය “සමනල” බවට විශ්වාස කරයි, නමුත් ප්රථම පණිවුඩයක් ඉවත් කර ඇත.
ඇයි මෙය වැදගත්?
Terrapin ප්රහාරය, SSH හි “අනුරක්ෂිත” බවට අලුත් අවධානයක් ගෙන එයි. එය සයිෆර් බිඳ දැමීමක් නොව, ප්රොටොකෝලයේ “සංඛ්යාත” (sequence) පාලනයේ අඩුපාඩුවකි. ප්රධාන වශයෙන් ChaCha20-Poly1305 වැනි cipher/mode එකේ මෙම අඩුපාඩුව පෙනේ. මෙම ප්රහාරය මඟින් extension negotiation (SSH_MSG_EXT_INFO) මකා දැමීමෙන්, නවතම message authentication algorithm හෝ timing attack වලින් ආරක්ෂාවක් ලබා ගත හැකියාව අහිමි කරයි.
ශ්රී ලංකාවට ඇති වැදගත්කම
ශ්රී ලංකාවේ බොහෝ ආයතන, විශ්වවිද්යාල, තාක්ෂණික startup ගණනාවක් SSH භාවිතා කරයි. Terrapin ප්රහාරය ගැන අවබෝධය ඇති වීමෙන්:
- සැලසුම්කරුවන්ට handshake පියවරේ අගුළු නොලත් පණිවුඩ වල භාවිතය සීමා කර, අවශ්ය නම් authentication-enabled handshake පදනමක් ගොඩනැගීමට හැකියාව ලැබේ.
- ආරක්ෂාකාරී cipher/mode (උදා: AES-GCM) තෝරා ගැනීමේ වැදගත්කම තේරුම් ගත හැක.
- ශ්රී ලංකාවේ සයිබර් ආරක්ෂණ පුහුණුවලට නව කේස්-ස්ටඩි එකක් ලෙස මෙම ප්රහාරය ඇතුළත් කර, දැනුම වර්ධනය කළ හැක.
මෙම පාරිසරික අවදානම පුරාණය නොවන අතර, ඉදිරියේදී SSH client/server implementation වලට patches හෝ updates නිකුත් වීමට ඉඩ ඇත. අපගේ දේශීය තාක්ෂණික සමාජය ඒ වෙනස්කම්ට සූදානම් වීම අත්යවශ්යය.
අවසන් සටහන
Terrapin ප්රහාරය SSH ආරක්ෂාවට නව පණිවුඩයක් එක් කරයි: “කේතනය පරීක්ෂා කිරීමේදී, පණිවුඩ අනුක්රමයද ආරක්ෂිතව පවත්වා ගැනීම අත්යවශ්යයි”. ඒ නිසා, අපි සියලුම SSH සම්බන්ධතා නවතම යාවත්කාලීන සමඟ පවත්වාගෙන, handshake සැකසීමේදී අගුළු නොලත් පණිවුඩ වල භාවිතය සීමා කරමු.
