SSH跳转主机可以充当MITM吗？

Question

例如，假设一家公司在不受信任的服务器(例如“云”中的虚拟机)上有一个“集中”的SSH堡垒/跳转主机。

同时，企业/客户/任何网络(S)都有防火墙ACL，允许从堡垒/跳转主机到内部SSH服务器(S)的SSH通信。

邪恶的参与者是否有可能利用跳转主机来查看SSH流量？还是跳主机上的流量始终是端到端加密的？(也就是说，堡垒/跳转主机总是只看到加密的流，因为客户机和内部服务器之间的通信使用内部服务器的键盘)。

为了避免对术语产生疑问，当我谈到跳转主机时，我指的是如下命令：

ssh -J bastion.example.com internal.example.com

或

scp -oProxyJump=bastion.example.com internal.example.com

Answer 1

来自man ssh

-J [user@]host[:port] Connect to the target host by first making a ssh connection to the jump host and then establishing a TCP forwarding to the ulti- mate destination from there. Multiple jump hops may be specified separated by comma characters. This is a shortcut to specify a ProxyJump configuration directive.

当您的计算机通过跳转主机创建TCP隧道到目标时，将建立两个ssh连接，一个连接到跳转，另一个在隧道内。隧道里的那个会被加密。

跳伞可以劫持连接目标，但键不匹配。

Answer 2

当使用ProxyJump时，跳转主机无法从转发的ssh会话读取数据，因为这个会话应该是端到端加密的。

问题是，当您使用恶意服务器作为跳转主机时，跳转主机可以将您的第二个ssh会话重定向到另一个mitm服务器。如果使用密码身份验证，则可以建立完整的mitm。

即使是公钥身份验证也不能抵御mitm攻击。公钥身份验证使其更加困难，但并非不可能。当使用代理转发时，在中间攻击中的一个完整的人是可能的。

比较服务器指纹是唯一的事情，这有助于抵御这些攻击。

目前(2021年3月)，没有可用的mitm工具来拦截与代理跳转的连接。即使是"ssh-mitm“也无法拦截这些连接，因为端口转发实现有一些限制(可以修复)。

因此，有一些建议：

• 始终将服务器指纹与已知值进行比较。
• 不要将ssh代理转发到远程主机。
• 不要使用密码认证

如果跳转主机是恶意的，只要远程主机是安全的，并且主机密钥被验证为

，连接就应该是安全的。

披露:我是ssh-mitm的作者