Làm cách nào để tắt thuật toán sshd?

Từ phần mềm quét lỗ hổng của tôi, tôi nhận được cờ/tin nhắn này

Các thuật toán trao đổi khóa yếu sau được bật: 

  diffie-hellman-nhóm-trao đổi-sha1
  diffie-hellman-group1-sha1

Tôi muốn tắt hai thuật toán này.

Tôi đã truy vấn sshd_config...

[root@vm01 ~]# sshd -T | grep "\(ciphers\|macs\|kexalgorithms\)"
thuật toán gssapikex gss-gex-sha1-,gss-group1-sha1-,gss-group14-sha1-
mật mã chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
mac hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256
kexalgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group14-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh -sha2-nistp256,diffie-hellman-group-exchange-sha256
[root@vm01 ~]# ssh -Q kex
diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group14-sha256
diffie-hellman-group16-sha512
diffie-hellman-group18-sha512
diffie-hellman-nhóm-trao đổi-sha1
diffie-hellman-nhóm-trao đổi-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
đường cong25519-sha256
đường cong25519-sha256@libssh.org
gss-gex-sha1-
gss-group1-sha1-
gss-group14-sha1-
[root@vm01 ~]# sshd -T | grep kex
thuật toán gssapikex gss-gex-sha1-,gss-group1-sha1-,gss-group14-sha1-
kexalgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group14-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh -sha2-nistp25

Như bạn có thể thấy từ đầu ra, các máy khách có thể sử dụng các thuật toán này. Không có đề cập đến các thuật toán vi phạm trong sshd_config, ngay cả trong mật mã tiết diện:

Mật mã chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr

Bất kỳ trợ giúp đánh giá cao.

Lưu ý tôi đang sử dụng OpenSSH 7.4

sshd_config

Mật mã chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
MAC hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256
KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group14-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh -sha2-nistp256,diffie-hellman-group-exchange-sha256,-diffie-hellman-group1-sha1,diffie-hellman-group-exchange-sha1

Theo như tôi biết thì OpenSHH hỗ trợ vô hiệu hóa các thuật toán hoặc mật mã trao đổi khóa cụ thể (và đó thực sự là hai thứ khác nhau), bằng cách thêm vào trước danh sách các thuật toán bạn muốn vô hiệu hóa bằng dấu gạch nối/dấu trừ -, mặc dù phổ biến hơn là thiết lập rõ ràng những gì bạn muốn cho phép.

Nhìn thấy: https://man.openbsd.org/sshd_config#KexAlgorithms

Nếu KexAlgorithms hiện chưa được đặt thì máy chủ của bạn đang sử dụng cài đặt mặc định. Bạn có thể để mặc định và vô hiệu hóa hai thuật toán trao đổi khóa yếu vi phạm đó bằng:

# sshd_config
...
KexAlgorithms -diffie-hellman-group1-sha1,diffie-hellman-group-exchange-sha1

Hoặc bạn có thể đặt các cài đặt mạnh rõ ràng hơn, chẳng hạn như (có thể phá vỡ khả năng tương thích ngược với các máy khách cũ):

# sshd_config
...
KexAlgorithms curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha256
Mật mã chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
MAC hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,umac-128 @openssh.com
    

Trong Phiên bản OpenSSH của tôi trong sshd_config, không thể sử dụng â+â hoặc â-â lúc đầu. Chỉ có thể tạo danh sách các thuật toán có thể sử dụng được phân tách bằng â,â