Как запретить клиенту использовать конкретный алгоритм HMAC при sftp подключении?

Question

[Ruslan Korniienko]

Нужно на сервере настроить чтобы принимало подключение только с использованием алгоритмов hmac-sha2-256 и hmac-sha2-512.
В /etc/ssh/sshd_config добавил строку MACs hmac-sha2-256,hmac-sha2-512

Теперь хочу смоделировать ситуацию, что клиент не предлагает эти алгоритмы.
Исходя из доки https://man7.org/linux/man-pages/man5/ssh_config.5.html hmac-sha2-256 и hmac-sha2-512 используются по умолчанию и подключение будет осуществленно.

Пробую задать в /etc/ssh/ssh_config использование конкретных алгоритмов: MACs hmac-sha1,hmac-md5
Но клиент все равно предлагает hmac-sha2-256 и hmac-sha2-512.

Пробовал команду чтобы явно указать какие алгоритмы использовать, например:

sftp -o MACs=[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],hmac-sha1 user@host

Но даже в таком случае в логах вижу что клиент предлагает hmac-sha2-256 и hmac-sha2-512.

Comments

[Alexey Dmitriev]

sshd после правки то перегружали?
Выглядит все довольно правильно.
nmap --script ssh2-enum-algos 127.0.0.1 -p 22
что показывает?

[asmelnik]

sftp -o MACs=[e-mail],.....
Пробел убрать не пробовали?
sftp -oMACs=[e-mail],.....
Вроде в man именно без пробела пример.

[asmelnik]

Ну и там еще можно c + и - поиграться.

[Ruslan Korniienko]

Alexey Dmitriev, перезагружал
Вот вывод с сервера и клиента. На сервере видно что используется что указано, на клиенте десь дефолтный набор:



asmelnik, попробовал, результат не изменился
Игрался с - в конфиг файле (исключает из дефолтного набора указанные алгоритмы), и так же не помогало. Вот к примеру указал исключить 3 алгоритма (hmac-md5 не дефолтный), но они все равно используются

[Alexey Dmitriev]

Ruslan Korniienko, попробуйте включить внутренний sftp в ssh сервере
типа так в sshd_config
#Subsystem sftp /usr/lib/openssh/sftp-server
Subsystem sftp internal-sftp

[Ruslan Korniienko]

Alexey Dmitriev, это не помогло.

Я решил проблему.
Я явно указал дополнительные параметры для шифрования(в конфиг или команду), например:

Ciphers=aes128-ctr,aes192-ctr,aes256-ctr
KexAlgorithms=diffie-hellman-group-exchange-sha256

Это позволило клиенту не использовать алгоритмы по умолчанию, и можно увидеть что сервер не получил ожидаемые алгоритмы и указал какие ожидает.