ssh-audit
ssh-audit è uno strumento per il controllo (auditing) dei server SSH.
Caratteristiche
- Supporto per server con protocollo SSH1 e SSH2;
- acquisisce banner, riconosce il dispositivo o software e sistema operativo, rileva la compressione;
- raccoglie algoritmi di key-exchange, host-key, crittografia e codice di autenticazione del messaggio;
- fornisce informazioni sugli algoritmi (disponibile da, rimosso/disabilitato, non sicuro/debole/legacy, ecc.);
- fornisce raccomandazioni sugli algoritmi (aggiungere o rimuovere in base alla versione del software riconosciuto);
- fornisce informazioni di sicurezza (problemi correlati, elenco CVE assegnato, ecc.);
- analizza la compatibilità della versione SSH in base alle informazioni sugli algoritmi;
- informazioni storiche da OpenSSH, Dropbear SSH e libssh;
- nessuna dipendenza, compatibile con Python 2.6+, Python 3.x e PyPy;
Utilizzo
usage: ssh-audit.py [-1246pbnvl] <host>
-1, --ssh1 forza solo la versione ssh 1
-2, --ssh2 forza solo la versione ssh 2
-4, --ipv4 abilita IPv4 (ordine di precedenza)
-6, --ipv6 abilita IPv6 (ordine di precedenza)
-p, --port=<port> porta a cui connettersi
-b, --batch output in batch
-n, --no-colors disabilita i colori
-v, --verbose output verboso
-l, --level=<level> livello di output minimo (info|warn|fail)
- se vengono usati sia IPv4 che IPv6, l'ordine di precedenza può essere impostato usando
-46 o -64.
- il flag batch
-b produrrà sezioni senza intestazione e senza righe vuote (implica il flag verbose).
- il flag verbose
-v anteporrà a ogni riga il tipo di sezione e il nome dell'algoritmo.
esempio
Changelog
v1.7.0 (2016-10-26)
- implementate opzioni per consentire di specificare l'uso di IPv4/IPv6 e l'ordine di precedenza
- implementata opzione per specificare la porta remota (comportamento precedente mantenuto per compatibilità)
- aggiunto supporto per i colori su Microsoft Windows tramite dipendenza opzionale colorama
- risolti problemi di codifica e decodifica, aggiunti test, non crashare su errori di codifica
- utilizzato mypy-lang per il controllo statico dei tipi e verifica di tutto il codice
v1.6.0 (2016-10-14)
- implementata sezione di raccomandazioni sugli algoritmi (basata sul software riconosciuto)
- implementato supporto completo per libssh (storico versioni, algoritmi, sicurezza, ecc.)
- corretta la riconoscimento del banner SSH-1.99 e funzionalità di confronto delle versioni
- non vengono più mostrati algoritmi vuoti (accade per server malconfigurati)
- reso l'output coerente per le versioni Python 3.x
- aggiunti molti più test (conf, banner, software, SSH1/SSH2, output, ecc.)
- utilizzato Travis CI per testare multiple versioni di Python (2.6-3.5, pypy, pypy3)
v1.5.0 (2016-09-20)
- creata sezione di sicurezza per informazioni di sicurezza correlate
- abbinato ed emesso l'elenco CVE assegnato e i problemi di sicurezza per Dropbear SSH
- implementato supporto completo per SSH1 con informazioni sull'impronta digitale (fingerprint)
- fallback automatico a SSH1 in caso di disaccordo sul protocollo
- aggiunte nuove opzioni per forzare SSH1 o SSH2 (entrambi consentiti per impostazione predefinita)
- analizzate le informazioni del banner e convertite in software specifico e versione del sistema operativo
- nessun padding in modalità batch
- diverse correzioni (Cisco sshd, rari blocchi, gestione errori, ecc.)
v1.0.20160902
- implementata opzione di output in batch
- implementata opzione di livello di output minimo
- corretta compatibilità con Python 2.6
v1.0.20160812
- implementata funzionalità di compatibilità delle versioni SSH
- corretto avviso errato sull'algoritmo mac
- corretto errore di battitura sulla versione di Dropbear SSH
- analizzato header pre-banner
- migliore gestione degli errori
v1.0.20160803
- utilizzato banner OpenSSH 7.3
- aggiunti nuovi algoritmi di key-exchange
v1.0.20160207
- utilizzato banner OpenSSH 7.2
- ulteriori avvisi per OpenSSH 7.2
- corretti messaggi di fallimento per OpenSSH 7.0
- aggiunto messaggio di fallimento per rijndael-cbc da OpenSSH 6.7
v1.0.20160105
- molteplici avvisi aggiuntivi
- supporto per l'algoritmo none
- migliore gestione della compressione
- assicurata la lettura di dati sufficienti (corregge alcuni SSH Linux)
v1.0.20151230
- supporto per Dropbear SSH
v1.0.20151223
arthepsy/ssh-audit
