Mikrotik.moscow [тема: Пожалуйста, добавьте более современный SSH в RouterOS.]

Пожалуйста, добавьте более современный SSH в RouterOS.

Wed, 03 Nov 2021 17:37:00 -0400

Пожалуйста, добавьте более современный SSH в RouterOS. RouterOS в форуме RouterOS.
Это уже есть, но вы его не видите, потому что иконка отображается в интерфейсе Winbox только если криптобиблиотека на вашем ПК поддерживает современную криптографию эпохи 2025 года.
03.11.2021 17:37:00, mkx.

Пожалуйста, добавьте более современный SSH в RouterOS.

Wed, 03 Nov 2021 16:28:00 -0400

Пожалуйста, добавьте более современный SSH в RouterOS. RouterOS в форуме RouterOS.
Постойте… а как насчёт потрясающей графики, где доступен выбор Strong Crypto в интерфейсе winbox Gui?!
03.11.2021 16:28:00, anav.

Пожалуйста, добавьте более современный SSH в RouterOS.

Wed, 03 Nov 2021 15:40:00 -0400

Пожалуйста, добавьте более современный SSH в RouterOS. RouterOS в форуме RouterOS.
Ладно, хорошо, давай придерживаться темы.
03.11.2021 15:40:00, oreggin.

Пожалуйста, добавьте более современный SSH в RouterOS.

Wed, 03 Nov 2021 13:24:00 -0400

Пожалуйста, добавьте более современный SSH в RouterOS. RouterOS в форуме RouterOS.
Конечно, но кто вообще (кроме меня?) проверяет все логи изменений перед тем, как вслепую обновлять софт? Я имею в виду… это апгрейд ssh-клиента, из-за которого ломается то, что вчера еще работало, и если делать всё по одному шагу, это было бы достаточно очевидно, не так ли? Кроме момента «О Боже, мой роутер взломали».
03.11.2021 13:24:00, mkx.

Пожалуйста, добавьте более современный SSH в RouterOS.

Wed, 03 Nov 2021 12:59:00 -0400

Пожалуйста, добавьте более современный SSH в RouterOS. RouterOS в форуме RouterOS.
Конечно, это не большая проблема, но многие из нас замечали: «Не могу войти в своё устройство, хотя вчера оно работало». И некоторые начинают думать: «Какой-то злодей взломал его, не иначе?». В вопросах безопасности нельзя быть слишком осторожным.
03.11.2021 12:59:00, oreggin.

Пожалуйста, добавьте более современный SSH в RouterOS.

Wed, 03 Nov 2021 06:36:00 -0400

Пожалуйста, добавьте более современный SSH в RouterOS. RouterOS в форуме RouterOS.
Ты распространяешь лёгкую версию паники. Даже современные SSH-клиенты (по крайней мере те, что я видел) могут подключаться к древним SSH-серверам, если добавить пару опций в команду ssh, например: ssh -o "HostKeyAlgorithms +ssh-dss" -o "KexAlgorithms +diffie-hellman-group1-sha1" @ Но серьёзно... SSH-сервер в ROS 6.48.4 поддерживает чуть более новые алгоритмы: алгоритм обмена ключами diffie-hellman-group-exchange-sha256 и алгоритмы хост-ключей rsa-sha2-256 (ssh-rsa был устаревшим в последних версиях openssh). Так что, если только ваша установка openssh не отключила слишком много старых алгоритмов (это конфигурация на уровне системы, так что администратор установки ssh-клиента может менять настройки по умолчанию), вы всё равно сможете подключаться к свежим версиям ROS без особых проблем. Чтобы было понятно: я не говорю, что MT не должна включать более современную реализацию SSH-сервера в ROS… Я просто хочу сказать, что ситуация не такая уж и плохая, как кажется.
03.11.2021 06:36:00, mkx.

Пожалуйста, добавьте более современный SSH в RouterOS.

Wed, 03 Nov 2021 05:01:00 -0400

Пожалуйста, добавьте более современный SSH в RouterOS. RouterOS в форуме RouterOS.
OpenSSH и другие SSH-клиенты следуют новым стандартам, чтобы предоставить всё более надёжные способы предотвращения несанкционированного доступа к нашим устройствам. Думаю, это общее дело. В ip ssh опция strong crypto включает более сильные шифры, но не активирует более современные алгоритмы проверки подписей публичных ключей, такие как SHA256/512-RSA. В OpenSSH 8.8 SHA1-RSA устарел и удалён из конфигурации по умолчанию. Как я уже говорил, в ROS поддерживается только первый поколение аутентификации RSA по публичному ключу, хотя сейчас мы уже на четвёртом поколении ED25519. ROS не распознаёт ни ECDSA, ни ED25519 публичные ключи. У нас есть несколько ИБП APC с очень старыми управляющими картами, которые не могут обновляться программно. В какой-то момент мы просто не сможем войти в эти устройства с помощью актуальных SSH-клиентов или веб-браузеров. К сожалению, нам придётся либо использовать древние ОС, чтобы иметь возможность войти в эти устройства, либо отключить защищённые методы входа и перейти на HTTP и telnet. Я бы не хотел, чтобы ROS дошёл до такого.
03.11.2021 05:01:00, oreggin.

Пожалуйста, добавьте более современный SSH в RouterOS.

Sat, 30 Oct 2021 23:10:00 -0400

Пожалуйста, добавьте более современный SSH в RouterOS. RouterOS в форуме RouterOS.
Отличное замечание!! Уму непостижимо, что они просто не сделали эту опцию на странице IP Services SSH и не установили её по умолчанию в значение YES. …
30.10.2021 23:10:00, anav.

Пожалуйста, добавьте более современный SSH в RouterOS.

Sat, 30 Oct 2021 16:25:00 -0400

Пожалуйста, добавьте более современный SSH в RouterOS. RouterOS в форуме RouterOS.
Спасибо за совет насчёт конфига ssh — это то, что будет становиться всё больнее, если не обновить.
30.10.2021 16:25:00, arfoll.

Пожалуйста, добавьте более современный SSH в RouterOS.

Wed, 20 Oct 2021 13:12:00 -0400

Пожалуйста, добавьте более современный SSH в RouterOS. RouterOS в форуме RouterOS.
Я создал тикет с запросом на эту функцию (SUP-61929), но пока на него не ответили... Ни положительно, ни отрицательно. Будем надеяться, что они работают над поддержкой ключей ed25519. (Я настроен оптимистично — раньше они всегда следовали за устареваниями в openssh.)
20.10.2021 13:12:00, eworm.

Пожалуйста, добавьте более современный SSH в RouterOS.

Wed, 20 Oct 2021 07:23:00 -0400

Пожалуйста, добавьте более современный SSH в RouterOS. RouterOS в форуме RouterOS.
Теперь с OpenSSH v8.8p1 я не могу использовать аутентификацию по RSA-публичному ключу, так как в этой версии она по умолчанию отключена, и мне приходится делать обходное решение в .ssh/config с PubkeyAcceptedKeyTypes +ssh-rsa, чтобы подключиться. Более того, в RC4 до сих пор поддерживается только аутентификация по RSA-публичному ключу, которая относится к первому поколению ключей. Второе поколение DSA уже устарело, третье поколение ECDSA пока не получило широкого распространения, а четвёртое поколение ED25519 в RouterOS пока недоступно. Так куда же двигаться дальше?
20.10.2021 07:23:00, oreggin.

Пожалуйста, добавьте более современный SSH в RouterOS.

Sun, 31 Oct 2021 14:59:00 -0400

Пожалуйста, добавьте более современный SSH в RouterOS. RouterOS в форуме RouterOS.
Упомянутые SSH клиенты не отказались от поддержки старых алгоритмов, они просто не рекомендуют использовать их в стандартной конфигурации. Как уже говорилось в предыдущих сообщениях, их довольно легко включить при необходимости.
31.10.2021 14:59:00, mkx.

Пожалуйста, добавьте более современный SSH в RouterOS.

Sun, 31 Oct 2021 13:26:00 -0400

Пожалуйста, добавьте более современный SSH в RouterOS. RouterOS в форуме RouterOS.
Какой SSH-клиент ты используешь? Почему называешь его современным, если он не умеет работать со старыми шифрами? Он мог бы и ругаться, но вот лишать поддержки — это просто позор. Тогда почему бы не убрать поддержку telnet? Может, стоит отказаться от последовательного порта, раз он такой древний?
31.10.2021 13:26:00, BartoszP.

Пожалуйста, добавьте более современный SSH в RouterOS.

Tue, 03 Aug 2021 22:46:00 -0400

Пожалуйста, добавьте более современный SSH в RouterOS. RouterOS в форуме RouterOS.
Всем привет! Это мой первый пост на форуме, и поскольку он немного в форме жалобы, хочу сразу сказать: я обожаю mikrotik. Уже пару лет пользуюсь rb3011 и rb4011 и глубоко впечатлён соотношением возможностей и цены.

А теперь сам выпад: современные SSH-клиенты отказываются работать с mikrotik, потому что его криптография ужасно устарела. Единственные доступные типы ключей — ssh-DSA, который устарел ещё в 2015 году, и ssh-RSA с подписью SHA-1, который тоже уже больше года считается недопустимым. Понимаю, что нужна обратная совместимость, и если mikrotik просто портирует современный openSSH, многим клиентам придётся перевыпустить ключи. Но раз routerOS 7 уже приносит серьёзные изменения, то именно сейчас, а не в точечном обновлении, самое время переключиться на последний openssh с EC-криптографией и поддержкой подписанных сертификатов. В противном случае, придётся использовать сломанную безопасность, пока поставщики настольных ОС обновляют SSH-клиенты до версий, которые уже не совместимы.

Тем, кто управляет своими роутерами через CLI, особенно с автоматизацией настройки типа ansible, крайне нужна работающая SSH.

С уважением, Lev
03.08.2021 22:46:00, leveche.