Tor 출구 노드 333개가 SSH 연결을 가로채 비밀번호와 명령어를 빼돌림

글쓴이 본인인데, 감염된 호스트에서 ifconfig.me 같은 데로 외부 접속해 보고 어느 호스팅 업체인지 기록해서 HN에 올려주면 좋겠음

근데 왜 Tor로 SSH 접속을 하는 거임? 그게 제일 이해 안 됨

키 기반 인증 쓰면 비밀번호는 안 털리는 거 아님? 글에 링크된 Marc-Etienne 메일 보니까 호스팅 업체 관리 서버가 털려서 고객 VPS까지 Ebury에 감염된 적도 있다더라

Amazon은 IOMMU 같은 하드웨어 기능으로 호스트 쪽에서 게스트 메모리 접근을 막는다고 알고 있음. 그래서 업체가 RAM을 몰래 덤프한다는 말은 기술 스택에 따라 다른 듯

SSH 키 쓰면 중간자가 가짜 호스트 키를 내밀어도 진짜 서버가 클라이언트 키 교환을 못 받아서 인증에서 실패함. 키는 클라이언트 밖으로 안 나가니까 비밀번호 털리는 일도 없음

비밀번호가 좋으면 sshd에서 클라이언트 키랑 비밀번호를 순서대로 요구하게 설정할 수도 있음

로컬에 비밀번호로 암호화한 키 파일 두고 쓰는 방법도 있음. 키가 내 컴퓨터 밖으로 안 나가서 동작도 직접 확인할 수 있음

FIDO2 키면 아무거나 돼. 서버 OpenSSH가 ecdsa-sk나 ed25519-sk를 지원하면 되고 Yubikey 말고 Token2 같은 데도 괜찮음. 처음엔 ssh-keygen으로 소프트웨어 키부터 익히는 게 나음

나는 아이폰 Terminus 앱에서 Secure Enclave에 키 넣고 FaceID로 승인하는 중임. 맥 TouchID도 macOS ssh 클라이언트랑 같이 쓸 수 있음

3000개면 너무 적은 거 아님? 근데 트래픽이 많이 섞여 있어서 한 사람 걸 골라내기는 더 어렵다는 장점도 있음

미국에서 출구 노드 돌리면 합법이어도 장비 압수당한 전례가 있어서 일반인은 잘 안 돌림. 많은 나라에선 출구 노드 돌리면 경찰이 바로 찾아옴

이거 한 사람이 SSH 포트 리다이렉트로 Tor 출구의 10%를 날린 거임?

exitmap 10년 전에 내가 만든 건데 아직도 쓰인다니 신기함

SSH를 Tor로 쓰는 정당한 이유는 프라이버시 보호랑 hidden service 관리 정도임