URL: https://linuxfr.org/users/teddyber/journaux/d%C3%A9tecter-le-tunneling-ssh Title: Détecter le tunneling SSH Authors: teddyber Date: 2008年06月30日T18:13:26+02:00 Tags: réseau Score: 0 Bonjour, Le tunneling SSH pour ceux qui ne connaissent pas (mais qui sur ce site ne le pratique pas quotidiennement pour accéder à son serveur à la maison pour contrôler la température de son bain... bref, je m'égare), le tunneling SSH donc, c'est l'utilisation d'une fonctionnalité du protocole SSH qui permet de faire passer un protocole quelconque à travers la connexion SSH qui elle-même est une connexion SSL comme une autre. Le but étant, la plupart du temps, de masquer l'utilisation d'un protocole habituellement proscrit (smtp, pop, vnc, protocole de gestion de la baignoire, etc.), voire de traverser un proxy qui pense bêtement faire du HTTPS... Une équipe de chercheurs italiens a publié un papier ([http://www.ieeexplore.ieee.org/xpl/freeabs_all.jsp?isnumber=(...)](http://www.ieeexplore.ieee.org/xpl/freeabs_all.jsp?isnumber=4533036&arnumber=4533370&count=1109&index=333)) expliquant comment différencier une connexion légitime d'une autre et expliquant comment identifier différents types de protocoles (en particulier du p2p) pour pouvoir faire tomber ces connexions. le principe de la différenciation est basé sur une étude comportementale de la connexion (taille et fréquence des paquets, etc.) L'article expliquant rapidement mais dans un langage plus compréhensible (mais en anglais) est là : [http://coderrr.wordpress.com/2008/06/28/detecting-ssh-tunnel(...)](http://coderrr.wordpress.com/2008/06/28/detecting-ssh-tunnels/) . En gros : - la méthode ne fonctionne pour l'instant que si l'on maîtrise le serveur SSH distant mais elle pourrait rapidement évoluer pour s'en affranchir - il y a quelques détections de faux positifs (dans le cas d'une ré-authentification) mais les chercheurs disent que ce n'est pas grave, un utilisateur légitime ré-essayera et pourra se connecter. Mouais... - l'idée derrière tout ça est pour un FAI (grand public ou bien une société vis-à-vis de ses utilisateurs) de pouvoir filtrer et/ou brider certains types de trafic - il est également indiqué que la méthode serait contournable par des outils de tunneling spécialement conçus pour modifier les tailles et fréquence d'envoi de paquets pour perturber la détection... Bref, le chat et la souris...rien de neuf... voilà voilà...