"HASSH" - SSH क्लाइंट और सर्वर के लिए एक प्रोफ़ाइलिंग विधि।

"HASSH" एक नेटवर्क फ़िंगरप्रिंटिंग मानक है जिसका उपयोग विशिष्ट क्लाइंट और सर्वर SSH कार्यान्वयनों की पहचान करने के लिए किया जा सकता है। फ़िंगरप्रिंट्स को MD5 फ़िंगरप्रिंट के रूप में आसानी से संग्रहीत, खोजा और साझा किया जा सकता है।

HASSH का आविष्कार 2018 में Salesforce में किया गया था। हालांकि, यह प्रोजेक्ट अब Salesforce द्वारा सक्रिय रूप से अनुरक्षित नहीं किया जा रहा है। इसके मूल निर्माता, Ben Reardon, Corelight पर सक्रिय फोर्क का अनुरक्षण करते हैं।

HASSH किसमें मदद कर सकता है:

• अत्यधिक नियंत्रित, सुविदित वातावरण में उपयोग करें, जहां ज्ञात अच्छे सेट के बाहर कोई भी फ़िंगरप्रिंट अलर्ट योग्य हो।
• ब्रूट फोर्स या क्रेडेंशियल स्टफिंग पासवर्ड प्रयासों का पता लगाना, नियंत्रित करना और जांच करना संभव है, यह आईपी स्रोत की तुलना में अधिक ग्रैन्युलरिटी स्तर पर होता है - जो NAT या बॉटनेट जैसे व्यवहार से प्रभावित हो सकता है। hassh उपयोग किए जा रहे विशिष्ट क्लाइंट सॉफ़्टवेयर कार्यान्वयन की एक विशेषता होगी, भले ही आईपी NATed हो, जिससे यह कई अन्य SSH क्लाइंटों द्वारा साझा किया जाता है।
• क्लाइंट एल्गोरिदम सेट के घटकों के भीतर डेटा के गुप्त निष्कासन का पता लगाएँ। इस मामले में, एक विशेष रूप से कोडित SSH क्लाइंट SSH_MSG_KEXINIT पैकेटों की एक श्रृंखला के भीतर एक विश्वसनीय से कम विश्वसनीय वातावरण में डेटा बाहर भेज सकता है। DNS के माध्यम से अधिक ज्ञात निष्कासन के समान एक परिदृश्य में, डेटा को बुरे अभिनेताओं द्वारा नियंत्रित SSH सर्वर से प्रयासित, लेकिन अपूर्ण और अलॉग्ड कनेक्शनों की एक श्रृंखला के रूप में भेजा जा सकता है, जो तब इन डेटा टुकड़ों को रिकॉर्ड, डीकोड और पुनर्संरचित कर सकते हैं। अब तक, ऐसे प्रयास - सादा पाठ पैकेटों की सामग्री की तो बात ही छोड़िए - परिपक्व पैकेट विश्लेषकों या एंड पॉइंट सिस्टम पर भी लॉग नहीं किए जाते थे। इस शैली के निष्कासन का पता लगाना अब विसंगति पहचान या कई अलग-अलग hassh वाले SSH क्लाइंट पर अलर्ट करके आसानी से किया जा सकता है।
• अन्य प्रासंगिक संकेतकों के साथ संयोजन में उपयोग करें, उदाहरण के लिए Paramiko, Powershell, Ruby, Meterpreter, Empire द्वारा उपयोग किए जाने वाले असामान्य hassh द्वारा नेटवर्क खोज और पार्श्व आंदोलन प्रयासों का पता लगाएँ।
• दुर्भावनापूर्ण hassh को समझौते के संकेतक के रूप में साझा करें।
• क्लाइंट एप्लिकेशन नियंत्रण का एक अतिरिक्त स्तर बनाएं, उदाहरण के लिए कोई भी SSH सर्वर से कनेक्ट करने वाले सभी क्लाइंट को ब्लॉक कर सकता है जो अनुमोदित ज्ञात hassh मानों के सेट के बाहर हैं।
• फोरेंसिक संदर्भ में गैर-अस्वीकृति में योगदान दें - IPSource की तुलना में अमूर्तता के उच्च स्तर पर - जो NAT से प्रभावित हो सकता है, या जहां कई IP स्रोतों का उपयोग किया जाता है।
• भ्रामक एप्लिकेशन का पता लगाएं। उदा. एक hasshServer मान जो Cowrie/Kippo SSH हनीपॉट सर्वर इंस्टॉलेशन से संबंधित माना जाता है, जो सर्वर स्ट्रिंग में एक सामान्य OpenSSH सर्वर होने का दावा करता है।
• IOT एम्बेडेड सिस्टम से संबंधित hassh वाले उपकरणों का पता लगाएं। उदाहरणों में कैमरे, माइक, कीलॉगर, वायरटैप शामिल हो सकते हैं जो दृश्य से आसानी से छिप सकते हैं और एन्क्रिप्टेड चैनलों पर चुपचाप नियंत्रण सर्वर पर संचार कर सकते हैं।

HASSH कैसे काम करता है:

"hassh" और "hasshServer" MD5 हैश हैं जो विभिन्न SSH क्लाइंट और सर्वर एप्लिकेशन द्वारा समर्थित एल्गोरिदम के एक विशिष्ट सेट से निर्मित होते हैं। ये एल्गोरिदम प्रारंभिक TCP तीन-तरफा हैंडशेक के बाद "SSH_MSG_KEXINIT" संदेशों के रूप में सादा-पाठ पैकेट के रूप में आदान-प्रदान किए जाते हैं, और अंतिम एन्क्रिप्टेड SSH चैनल की स्थापना का एक अभिन्न हिस्सा हैं। इन एल्गोरिदम का अस्तित्व और क्रम इतना अद्वितीय है कि इसका उपयोग "क्लाइंट" या "सर्वर" स्ट्रिंग जैसे उच्च स्तरीय स्पष्ट पहचानकर्ताओं की परवाह किए बिना, अंतर्निहित क्लाइंट और सर्वर एप्लिकेशन या अद्वितीय कार्यान्वयन की पहचान करने में मदद के लिए एक फ़िंगरप्रिंट के रूप में किया जा सकता है।

उदाहरण 1: क्लाइंट फ़िंगरप्रिंटिंग - "hassh"

"Cyberduck" SFTP क्लाइंट (विशेष रूप से SSH-2.0-Cyberduck/6.7.1.28683 (Mac OS X/10.13.6) (x86_64) के लिए, समर्थित एल्गोरिदम का सेट इस प्रकार है:

इन एल्गोरिदमों को ";" के सीमांकक के साथ जोड़ने से hasshAlgorithms मिलता है, जो विस्तृत विश्लेषण के लिए उपयोगी है।
[email protected],diffie-hellman-group-exchange-sha256,ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256,diffie-hellman-group-exchange-sha1,diffie-hellman-group1-sha1,diffie-hellman-group14-sha1,diffie-hellman-group14-sha256,diffie-hellman-group15-sha512,diffie-hellman-group16-sha512,diffie-hellman-group17-sha512,diffie-hellman-group18-sha512,[email protected],diffie-hellman-group15-sha256,[email protected],[email protected],diffie-hellman-group16-sha256,[email protected],[email protected],[email protected];aes128-cbc,aes128-ctr,aes192-cbc,aes192-ctr,aes256-cbc,aes256-ctr,blowfish-cbc,blowfish-ctr,cast128-cbc,cast128-ctr,idea-cbc,idea-ctr,serpent128-cbc,serpent128-ctr,serpent192-cbc,serpent192-ctr,serpent256-cbc,serpent256-ctr,3des-cbc,3des-ctr,twofish128-cbc,twofish128-ctr,twofish192-cbc,twofish192-ctr,twofish256-cbc,twofish256-ctr,twofish-cbc,arcfour,arcfour128,arcfour256;hmac-sha1,hmac-sha1-96,hmac-md5,hmac-md5-96,hmac-sha2-256,hmac-sha2-512;[email protected],zlib,none

अंत में hassh केवल hasshAlgorithms का MD5 है, और इसका उपयोग भंडारण, खोज और साझाकरण के लिए किया जाता है। कुछ उदाहरण निम्नलिखित हैं:

de30354b88bae4c2810426614e1b6976 Powershell Renci.SshNet.SshClient.0.0.1 (Empire एक्सप्लॉइट मॉड्यूल द्वारा उपयोग) fafc45381bfde997b6305c4e1600f1bf Ruby/Net::SSH_5.0.2 x86_64-linux (Metasploit एक्सप्लॉइट मॉड्यूल द्वारा उपयोग) b5752e36ba6c5979a575e43178908adf Python Paramiko_2.4.1 (Metasploit एक्सप्लॉइट मॉड्यूल द्वारा उपयोग) 16f898dd8ed8279e1055350b4e20666c Dropbear_2012.55 (IOT एम्बेडेड सिस्टम में उपयोग)
8a8ae540028bf433cd68356c1b9e8d5b CyberDuck Version 6.7.1 (28683)
06046964c022c6407d15a27b12a6a4fb OpenSSH_7.7p1 Ubuntu-4

उदाहरण 2: सर्वर फ़िंगरप्रिंटिंग - "hasshServer"

एक मानक SSH-2.0-OpenSSH_5.3 SSH सर्वर के लिए, समर्थित एल्गोरिदम का सेट इस प्रकार है:

इन एल्गोरिदमों को ";" के सीमांकक के साथ जोड़ने से hasshServerAlgorithms मिलता है, जो विस्तृत विश्लेषण के लिए उपयोगी है।
diffie-hellman-group-exchange-sha256,diffie-hellman-group-exchange-sha1,diffie-hellman-group14-sha1,diffie-hellman-group1-sha1;aes128-ctr,aes192-ctr,aes256-ctr,arcfour256,arcfour128,aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,aes192-cbc,aes256-cbc,arcfour,[email protected];hmac-md5,hmac-sha1,[email protected],hmac-ripemd160,[email protected],hmac-sha1-96,hmac-md5-96;none,[email protected]

अंत में hasshServer केवल hasshServerAlgorithms का MD5 है, कुछ उदाहरण निम्नलिखित हैं: c1c596caaeb93c566b8ecf3cae9b5a9e SSH-2.0-dropbear_2016.74 d93f46d063c4382b6232a4d77db532b2 SSH-2.0-dropbear_2016.72 2dd9a9b3dbebfaeec8b8aabd689e75d2 SSH-2.0-AWSCodeCommit
696e7f84ac571fdf8fa5073e64ee2dc8 SSH-2.0-FTP

संदर्भ:

• RFC4253 द सिक्योर शेल (SSH) ट्रांसपोर्ट लेयर प्रोटोकॉल
• Salesforce इंजीनियरिंग ब्लॉग

श्रेय:

hassh और hasshServer की कल्पना और विकास Salesforce में डिटेक्शन क्लाउड टीम के भीतर Ben Reardon (@benreardon) द्वारा किया गया था, जिसमें Adel Karimi (@0x4d31) और JA3 क्रू से प्रेरणा और योगदान लिया गया: John B. Althouse , Jeff Atkinson और Josh Atkins