9.5. Протокол соединений
9.5.1. Безопасность конечных точек
Безопасность конечных точек предполагается для протокола соединений. При компрометации сервера все терминальные сессии, перенаправление портов или доступ в систему также подвергаются компрометации. Способов предотвращения этого риска нет.
При компрометации клиента, если серверу не удается остановить атаку на уровне протокола аутентификации, все показанные службы (подсистемы и перенаправление) становятся уязвимыми для атаки. Разработчикам следует обеспечивать для администраторов механизмы управления доступными службами для снижения уровня уязвимости. Такие механизмы могут включать выбор хостов и портов, которые могут использоваться в качестве цели перенаправления, хостов, к которым пользователи получают shell-лоступ или на которых разрешается показанные подсистемы.
9.5.2. Перенаправление
Протокол SSH поддерживает перенаправление (proxy forwarding) для других протоколов типа SMTP, POP3 и HTTP. Это может представлять интерес для сетевых администраторов, которые заинтересованы в контроле доступа удаленных пользователей к некоторым приложениям. Важно отметить, что перенаправление протоколов может приводить к нарушению политики безопасности для сайта, поскольку позволяет организовать незаметные туннели через межсетевые экраны. Разработчикам следует обеспечивать для администраторов механизмы контроля перенаправдения, позволяющие обеспечить выполнение политики безопасности для сайтов.
Кроме того, возможно обратное перенаправление, которое также позволяет обходить контроль в межсетевых экранах.
Как было сказано выше перенаправление предполагает безопасность конечных точек. Компрометация конечной точки будет приводить к компрометации всех данных, передаваемых с использованием перенаправления.