ssh-audit

ssh-audit è uno strumento per il controllo (auditing) dei server SSH.

Caratteristiche

• Supporto per server con protocollo SSH1 e SSH2;
• acquisisce banner, riconosce il dispositivo o software e sistema operativo, rileva la compressione;
• raccoglie algoritmi di key-exchange, host-key, crittografia e codice di autenticazione del messaggio;
• fornisce informazioni sugli algoritmi (disponibile da, rimosso/disabilitato, non sicuro/debole/legacy, ecc.);
• fornisce raccomandazioni sugli algoritmi (aggiungere o rimuovere in base alla versione del software riconosciuto);
• fornisce informazioni di sicurezza (problemi correlati, elenco CVE assegnato, ecc.);
• analizza la compatibilità della versione SSH in base alle informazioni sugli algoritmi;
• informazioni storiche da OpenSSH, Dropbear SSH e libssh;
• nessuna dipendenza, compatibile con Python 2.6+, Python 3.x e PyPy;

Utilizzo

usage: ssh-audit.py [-1246pbnvl] <host>

   -1,  --ssh1             forza solo la versione ssh 1
   -2,  --ssh2             forza solo la versione ssh 2
   -4,  --ipv4             abilita IPv4 (ordine di precedenza)
   -6,  --ipv6             abilita IPv6 (ordine di precedenza)
   -p,  --port=<port>      porta a cui connettersi
   -b,  --batch            output in batch
   -n,  --no-colors        disabilita i colori
   -v,  --verbose          output verboso
   -l,  --level=<level>    livello di output minimo (info|warn|fail)
   

• se vengono usati sia IPv4 che IPv6, l'ordine di precedenza può essere impostato usando -46 o -64.
• il flag batch -b produrrà sezioni senza intestazione e senza righe vuote (implica il flag verbose).
• il flag verbose -v anteporrà a ogni riga il tipo di sezione e il nome dell'algoritmo.

esempio

Changelog

v1.7.0 (2016-10-26)

• implementate opzioni per consentire di specificare l'uso di IPv4/IPv6 e l'ordine di precedenza
• implementata opzione per specificare la porta remota (comportamento precedente mantenuto per compatibilità)
• aggiunto supporto per i colori su Microsoft Windows tramite dipendenza opzionale colorama
• risolti problemi di codifica e decodifica, aggiunti test, non crashare su errori di codifica
• utilizzato mypy-lang per il controllo statico dei tipi e verifica di tutto il codice

v1.6.0 (2016-10-14)

• implementata sezione di raccomandazioni sugli algoritmi (basata sul software riconosciuto)
• implementato supporto completo per libssh (storico versioni, algoritmi, sicurezza, ecc.)
• corretta la riconoscimento del banner SSH-1.99 e funzionalità di confronto delle versioni
• non vengono più mostrati algoritmi vuoti (accade per server malconfigurati)
• reso l'output coerente per le versioni Python 3.x
• aggiunti molti più test (conf, banner, software, SSH1/SSH2, output, ecc.)
• utilizzato Travis CI per testare multiple versioni di Python (2.6-3.5, pypy, pypy3)

v1.5.0 (2016-09-20)

• creata sezione di sicurezza per informazioni di sicurezza correlate
• abbinato ed emesso l'elenco CVE assegnato e i problemi di sicurezza per Dropbear SSH
• implementato supporto completo per SSH1 con informazioni sull'impronta digitale (fingerprint)
• fallback automatico a SSH1 in caso di disaccordo sul protocollo
• aggiunte nuove opzioni per forzare SSH1 o SSH2 (entrambi consentiti per impostazione predefinita)
• analizzate le informazioni del banner e convertite in software specifico e versione del sistema operativo
• nessun padding in modalità batch
• diverse correzioni (Cisco sshd, rari blocchi, gestione errori, ecc.)

v1.0.20160902

• implementata opzione di output in batch
• implementata opzione di livello di output minimo
• corretta compatibilità con Python 2.6

v1.0.20160812

• implementata funzionalità di compatibilità delle versioni SSH
• corretto avviso errato sull'algoritmo mac
• corretto errore di battitura sulla versione di Dropbear SSH
• analizzato header pre-banner
• migliore gestione degli errori

v1.0.20160803

• utilizzato banner OpenSSH 7.3
• aggiunti nuovi algoritmi di key-exchange

v1.0.20160207

• utilizzato banner OpenSSH 7.2
• ulteriori avvisi per OpenSSH 7.2
• corretti messaggi di fallimento per OpenSSH 7.0
• aggiunto messaggio di fallimento per rijndael-cbc da OpenSSH 6.7

v1.0.20160105

• molteplici avvisi aggiuntivi
• supporto per l'algoritmo none
• migliore gestione della compressione
• assicurata la lettura di dati sufficienti (corregge alcuni SSH Linux)

v1.0.20151230

• supporto per Dropbear SSH

v1.0.20151223

• versione iniziale