OpenSSH mới: ưu tiên thuật toán hiện đại và giảm nợ bảo mật truy cập máy chủ

OpenSSH vẫn là cửa chính của hầu hết hạ tầng Linux và Unix. Vì vậy, mỗi thay đổi trong release note OpenSSH đều đáng được đội vận hành đọc kỹ, đặc biệt là những thay đổi liên quan tới thuật toán mã hóa, xác thực khóa, forwarding, agent và cấu hình mặc định. Một cụm máy chủ có thể được bảo vệ tốt ở tầng mạng nhưng vẫn rủi ro nếu chính sách SSH cũ cho phép thuật toán yếu hoặc luồng đăng nhập khó audit.

Việc đầu tiên là kiểm kê cấu hình thực tế: sshd_config, file include, Match block, authorized_keys, CA user certificate và bastion. Không nên chỉ nhìn template trong repository vì nhiều máy production đã được hotfix thủ công qua nhiều năm. Dùng sshd -T trên máy mẫu để thấy cấu hình sau khi merge, sau đó so sánh với baseline mong muốn: tắt đăng nhập mật khẩu nếu không cần, giới hạn root login, dùng PubkeyAuthentication, cân nhắc FIDO/U2F cho tài khoản quản trị quan trọng và ghi log đủ để điều tra.

Các thuật toán legacy như SHA-1, RSA quá ngắn, CBC hoặc MAC cũ nên được loại dần theo kế hoạch. Tuy nhiên, cắt ngay có thể làm gãy thiết bị mạng, appliance, backup job hoặc CI runner cũ. Cách an toàn là bật log, phát hiện client dùng thuật toán lỗi thời, thông báo chủ sở hữu, nâng client trước, rồi mới siết server. Với môi trường nhiều đối tác, hãy đặt thời hạn chuyển đổi rõ ràng.

Agent forwarding cần được xem như rủi ro cao. Nếu bắt buộc dùng bastion, ưu tiên ProxyJump, certificate ngắn hạn, hoặc giải pháp access broker có audit. Hạn chế AllowTcpForwarding và PermitTunnel theo nhóm thay vì mở toàn cục. Với automation, dùng key riêng cho từng job, command restriction và from= trong authorized_keys khi phù hợp.

OpenSSH không hào nhoáng, nhưng nó là nền móng vận hành. Một đợt rà soát SSH định kỳ giúp giảm bề mặt tấn công, cải thiện audit và tránh sự cố khi bản phát hành mới loại bỏ mặc định cũ.