Zertifizierungsinstantz für SSH-Keys?

In einem Posting auf der Bugtraq-Liste brachte mich Perry Metzger auf eine interessante Idee, die ich heute mal aufgreifen möchte.

Die Grundfrage, die sich stellt, ist: Wie kann ich sicher sein, dass der Hostkey in meiner ~/.ssh/known_hosts echt ist? Der Key darin wird von SSH übernommen, wenn ich mich das erste mal in den betreffenden Host einlogge. Im Prinzip kann aber bereits beim ersten Einloggen eine sog. Man-In-The-Middle Attacke stattfinden. Dies ist mit heutiger Software problemlos möglich (zB. mit dsniff).

Wenn nun bereits bei dem ersten Einloggen eine MITM (Man-in-the-middle) besteht, habe ich den gefälschten Hostkey in meiner ~/.ssh/known_hosts und mein ssh meint, der sei echt. So kann ein Cracker mich immer wieder auf seinen Host einloggen lassen, ohne dass ich es merke.

Viele werden jetzt sagen: Zertifizierung von Hostkeys und eine CA (wie bei PGP) muss her!

Dieser Idee muss ich im Prinzip zustimmen. Jedoch wird eine Zertifizierungsinstanz auch nicht viel daran ändern. Wie wir es von SSL- und PGP-CAs kennen, kosten diese (meistens) viel Geld. Viele Leute werden sich also nicht durchringen, einen Hostkey zu zertifizieren (es gibt auch viele HTTPS-Webseiten, die unzertifiziert sind) lassen.

Eine Remote-Login-Tool, dass Zertifikate unterstützt, wird also bei einem nicht-zertifizierten Hostkey melden "Das Zertifikat des Remote-Hosts ist nicht zertifiziert. Fortfahren? (yes/no)". Dies bringt keine zusätzliche Sicherheit, sondern verwirrt den User nur.

Ich halte SSH auch ohne Zertifizierungsmöglichkeiten für sicher genug. Damit wirklich jemand beim Ersten Login eine MITM-Attacke fahren kann, gehört doch recht viel Können und Wissen dazu. Und absolute Sicherheit gibt es nicht...

In dieser Angelegenheit würde mich eure Meinung interessieren! Schreibt einfach mal, wie ihr darüber denkt oder ob ihr andere Lösungvorschläge für dieses Problem habt.

Zum Schluss...

... möchte ich euch allen frohe und besinnliche Weihnachten wünschen!

Um Kommentare und Hinweise wäre ich sehr froh! Nutzt dazu am Besten die Kommentarfunktion von Symlink. Ihr könnt natürlich auch Fragen zur Kolumne stellen!