"HASSH" - un Método de Perfilado para Clientes y Servidores SSH.

"HASSH" es un estándar de huellas digitales de red que se puede utilizar para identificar implementaciones específicas de Cliente y Servidor SSH. Las huellas digitales se pueden almacenar, buscar y compartir fácilmente en forma de una huella digital MD5.

HASSH fue inventado en Salesforce en 2018. Sin embargo, el proyecto ya no es mantenido activamente por Salesforce. Su creador original, Ben Reardon, mantiene el fork activo en Corelight

¿Con qué puede ayudar HASSH:

• Uso en entornos altamente controlados y bien comprendidos, donde cualquier huella digital fuera de un conjunto conocido y bueno es alertable.
• Es posible detectar, controlar e investigar intentos de fuerza bruta o Cred Stuffing a un nivel de granularidad más alto que la Fuente IP, la cual puede verse afectada por NAT o comportamiento similar a botnet. El hassh será una característica de la implementación específica del software Cliente que se esté utilizando, incluso si la IP está sujeta a NAT de modo que es compartida por muchos otros clientes SSH.
• Detectar exfiltración encubierta de datos dentro de los componentes de los conjuntos de algoritmos del Cliente. En este caso, un Cliente SSH especialmente codificado puede enviar datos desde un entorno confiable a uno menos confiable dentro de una serie de paquetes SSH_MSG_KEXINIT. En un escenario similar a la exfiltración más conocida a través de DNS, los datos podrían enviarse como una serie de conexiones intentadas, pero incompletas y no registradas, a un servidor SSH controlado por actores maliciosos que luego pueden grabar, decodificar y reconstituir estos fragmentos de datos en su forma original. Hasta ahora, tales intentos (y mucho menos el contenido de los paquetes en texto claro) no se registran ni siquiera por analizadores de paquetes maduros o en sistemas finales. La detección de este estilo de exfiltración ahora se puede realizar fácilmente mediante la detección de anomalías o alertas sobre Clientes SSH con múltiples hassh diferentes.
• Uso junto con otros indicadores contextuales, por ejemplo, detectar intentos de descubrimiento de red y movimiento lateral mediante hassh inusuales, como los utilizados por Paramiko, PowerShell, Ruby, Meterpreter, Empire.
• Compartir hassh maliciosos como Indicadores de Compromiso.
• Crear un nivel adicional de control de aplicaciones Cliente, por ejemplo, se podría bloquear a todos los Clientes que se conecten a un servidor SSH que estén fuera de un conjunto conocido y aprobado de valores hassh.
• Contribuir al No Repudio en un contexto forense, a un nivel de abstracción más alto que la Fuente IP, la cual puede verse afectada por NAT o cuando se utilizan múltiples Fuentes IP.
• Detectar aplicaciones engañosas. Por ejemplo, un valor hasshServer que se sabe que pertenece a la instalación del servidor honeypot SSH Cowrie/Kippo, que pretende ser un servidor OpenSSH común en la Cadena del Servidor.
• Detectar dispositivos con un hassh conocido que pertenece a sistemas embebidos IoT. Los ejemplos pueden incluir cámaras, micrófonos, keyloggers, escuchas telefónicas que podrían ocultarse fácilmente y comunicarse silenciosamente a través de canales cifrados de vuelta a un servidor de control.

¿Cómo funciona HASSH:

"hassh" y "hasshServer" son hashes MD5 construidos a partir de un conjunto específico de algoritmos que son soportados por varias aplicaciones Cliente y Servidor SSH. Estos algoritmos se intercambian después del handshake TCP inicial de tres vías como paquetes en texto claro conocidos como mensajes "SSH_MSG_KEXINIT", y son una parte integral del establecimiento del canal SSH cifrado final. La existencia y el orden de estos algoritmos es lo suficientemente único como para que pueda usarse como una huella digital para ayudar a identificar la aplicación Cliente y Servidor subyacente o la implementación única, independientemente de identificadores ostensibles de nivel superior como las cadenas "Cliente" o "Servidor".

Ejemplo 1: Huella digital del Cliente - el "hassh"

Para el cliente SFTP "Cyberduck" (específicamente SSH-2.0-Cyberduck/6.7.1.28683 (Mac OS X/10.13.6) (x86_64)", el conjunto de algoritmos soportados es el siguiente:

Función	Algoritmos vistos en paquetes SSH_MSG_KEXINIT
Métodos de intercambio de claves	[email protected],diffie-hellman-group-exchange-sha256,ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256,diffie-hellman-group-exchange-sha1,diffie-hellman-group1-sha1,diffie-hellman-group14-sha1,diffie-hellman-group14-sha256,diffie-hellman-group15-sha512,diffie-hellman-group16-sha512,diffie-hellman-group17-sha512,diffie-hellman-group18-sha512,[email protected],diffie-hellman-group15-sha256,[email protected],[email protected],diffie-hellman-group16-sha256,[email protected],[email protected],[email protected]
Cifrado	aes128-cbc,aes128-ctr,aes192-cbc,aes192-ctr,aes256-cbc,aes256-ctr,blowfish-cbc,blowfish-ctr,cast128-cbc,cast128-ctr,idea-cbc,idea-ctr,serpent128-cbc,serpent128-ctr,serpent192-cbc,serpent192-ctr,serpent256-cbc,serpent256-ctr,3des-cbc,3des-ctr,twofish128-cbc,twofish128-ctr,twofish192-cbc,twofish192-ctr,twofish256-cbc,twofish256-ctr,twofish-cbc,arcfour,arcfour128,arcfour256
Autenticación de mensajes	hmac-sha1,hmac-sha1-96,hmac-md5,hmac-md5-96,hmac-sha2-256,hmac-sha2-512
Compresión	[email protected],zlib,none

Concatenar estos algoritmos juntos con un delimitador de ";" da los hasshAlgorithms, que es útil para análisis detallado.
[email protected],diffie-hellman-group-exchange-sha256,ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256,diffie-hellman-group-exchange-sha1,diffie-hellman-group1-sha1,diffie-hellman-group14-sha1,diffie-hellman-group14-sha256,diffie-hellman-group15-sha512,diffie-hellman-group16-sha512,diffie-hellman-group17-sha512,diffie-hellman-group18-sha512,[email protected],diffie-hellman-group15-sha256,[email protected],[email protected],diffie-hellman-group16-sha256,[email protected],[email protected],[email protected];aes128-cbc,aes128-ctr,aes192-cbc,aes192-ctr,aes256-cbc,aes256-ctr,blowfish-cbc,blowfish-ctr,cast128-cbc,cast128-ctr,idea-cbc,idea-ctr,serpent128-cbc,serpent128-ctr,serpent192-cbc,serpent192-ctr,serpent256-cbc,serpent256-ctr,3des-cbc,3des-ctr,twofish128-cbc,twofish128-ctr,twofish192-cbc,twofish192-ctr,twofish256-cbc,twofish256-ctr,twofish-cbc,arcfour,arcfour128,arcfour256;hmac-sha1,hmac-sha1-96,hmac-md5,hmac-md5-96,hmac-sha2-256,hmac-sha2-512;[email protected],zlib,none

Finalmente, el hassh es simplemente el MD5 de hasshAlgorithms, y se utiliza para almacenamiento, búsqueda y compartición. Algunos ejemplos a continuación: