ssh-audit

ssh-audit es una herramienta para auditoría de servidores SSH.

Características

• soporte de servidores con protocolos SSH1 y SSH2;
• captura de banner, reconocimiento de dispositivo, software y sistema operativo, detección de compresión;
• recopilación de algoritmos de intercambio de claves, clave de host, cifrado y código de autenticación de mensajes;
• información de salida de algoritmos (disponible desde, eliminado/deshabilitado, inseguro/débil/heredado, etc.);
• recomendaciones de algoritmos de salida (agregar o eliminar según la versión de software reconocida);
• información de seguridad de salida (problemas relacionados, lista de CVEs asignados, etc.);
• análisis de compatibilidad de versiones SSH basado en información de algoritmos;
• información histórica de OpenSSH, Dropbear SSH y libssh;
• sin dependencias, compatible con Python 2.6+, Python 3.x y PyPy;

Uso

usage: ssh-audit.py [-1246pbnvl] <host>

   -1,  --ssh1             force ssh version 1 only
   -2,  --ssh2             force ssh version 2 only
   -4,  --ipv4             enable IPv4 (order of precedence)
   -6,  --ipv6             enable IPv6 (order of precedence)
   -p,  --port=<port>      port to connect
   -b,  --batch            batch output
   -n,  --no-colors        disable colors
   -v,  --verbose          verbose output
   -l,  --level=<level>    minimum output level (info|warn|fail)
   

• si se usan tanto IPv4 como IPv6, el orden de precedencia se puede establecer usando -46 o -64.
• el indicador -b (batch) generará secciones sin encabezado y sin líneas vacías (implica el indicador verbose).
• el indicador -v (verbose) antepondrá a cada línea el tipo de sección y el nombre del algoritmo.

ejemplo

Historial de cambios

v1.7.0 (2016-10-26)

• implementar opciones para permitir especificar el uso de IPv4/IPv6 y el orden de precedencia
• implementar opción para especificar el puerto remoto (comportamiento anterior conservado por compatibilidad)
• agregar soporte de colores para Microsoft Windows a través de dependencia opcional colorama
• corregir problemas de codificación y decodificación, agregar pruebas, no fallar en errores de codificación
• usar mypy-lang para verificación estática de tipos y verificar todo el código

v1.6.0 (2016-10-14)

• implementar sección de recomendaciones de algoritmos (basada en software reconocido)
• implementar soporte completo de libssh (historial de versiones, algoritmos, seguridad, etc.)
• corregir reconocimiento de banner SSH-1.99 y funcionalidad de comparación de versiones
• no mostrar algoritmos vacíos (ocurre en servidores mal configurados)
• hacer que la salida sea consistente para versiones de Python 3.x
• agregar muchas más pruebas (conf, banner, software, SSH1/SSH2, salida, etc.)
• usar Travis CI para probar múltiples versiones de Python (2.6-3.5, pypy, pypy3)

v1.5.0 (2016-09-20)

• crear sección de seguridad para información de seguridad relacionada
• coincidir y mostrar lista de CVEs asignados y problemas de seguridad para Dropbear SSH
• implementar soporte completo de SSH1 con información de huella digital
• retroceder automáticamente a SSH1 en caso de desajuste de protocolo
• agregar nuevas opciones para forzar SSH1 o SSH2 (ambos permitidos por defecto)
• analizar información del banner y convertirla a versión específica de software y sistema operativo
• no usar relleno en modo batch
• varias correcciones (Cisco sshd, bloqueos raros, manejo de errores, etc.)

v1.0.20160902

• implementar opción de salida por lotes (batch)
• implementar opción de nivel mínimo de salida
• corregir compatibilidad con Python 2.6

v1.0.20160812

• implementar función de compatibilidad de versiones SSH
• corregir advertencia incorrecta de algoritmo mac
• corregir error tipográfico en versión de Dropbear SSH
• analizar encabezado previo al banner
• mejor manejo de errores

v1.0.20160803

• usar banner de OpenSSH 7.3
• agregar nuevos algoritmos de intercambio de claves

v1.0.20160207

• usar banner de OpenSSH 7.2
• advertencias adicionales para OpenSSH 7.2
• corregir mensajes de fallo de OpenSSH 7.0
• agregar mensaje de fallo de rijndael-cbc de OpenSSH 6.7

v1.0.20160105

• múltiples advertencias adicionales
• soporte para algoritmo none
• mejor manejo de compresión
• asegurar lectura de suficientes datos (corrige algunos SSH en Linux)

v1.0.20151230

• soporte para Dropbear SSH

v1.0.20151223

• versión inicial