Quão seguro é um túnel ou conexão SSH?

Eu sempre aconselho as pessoas a usar um túnel SSH para garantir sua navegação em WIFIs abertos ou em outras situações inseguras.
Recentemente, um amigo me perguntou como um túnel SSH é seguro depois de sugerir o tunelamento SSH. Tropecei um pouco e reiterei "é seguro".

Mesmo que ele estivesse satisfeito com essa resposta, isso me incomodou um pouco que eu não conseguia responder completamente.
Então a pergunta sai para vocês:

"Quão seguro é um túnel SSH?"

Gostaria apenas de citar um pouco da Wikipedia aqui:

Mesmo que uma cifra simétrica seja atualmente inquebrável, explorando as fraquezas estruturais em seu algoritmo, é possível percorrer todo o espaço das chaves no que é conhecido como ataque de força bruta. Como chaves simétricas mais longas exigem exponencialmente mais trabalho para busca de força bruta, uma chave simétrica suficientemente longa torna essa linha de ataque impraticável.

Com uma chave de comprimento n bits, existem 2 ⁿ chaves possíveis. Esse número cresce muito rapidamente à medida que n aumenta. A lei de Moore sugere que o poder da computação dobra aproximadamente a cada 18 a 24 meses, mas mesmo esse efeito de duplicação deixa os comprimentos de chave simétricos maiores atualmente considerados aceitáveis ​​e bem fora de alcance. O grande número de operações (2 ¹²⁸) necessário para experimentar todas as chaves de 128 bits possíveis é amplamente considerado fora do alcance das técnicas convencionais de computação digital no futuro próximo. No entanto, são previstas formas alternativas de tecnologia de computação que podem ter um poder de processamento superior ao dos computadores clássicos. Se um computador quântico de tamanho adequado, capaz de executar o algoritmo de Grover de maneira confiável, se tornar disponível, isso reduziria uma chave de 128 bits à segurança de 64 bits, aproximadamente o equivalente ao DES. Esse é um dos motivos pelos quais o AES suporta um comprimento de chave de 256 bits. Veja a discussão sobre a relação entre comprimentos de chave e ataques de computação quântica na parte inferior desta página para obter mais informações.

Assim, uma chave de 128 bits teria 340.282.366.920.938.463.463.374.607.431.768.211.456 permutações possíveis. Imagine passar por tudo isso. Mesmo um computador desktop poderoso pode apenas tentar alguns por segundo.

Portanto, embora seja teoricamente possível descriptografar por força bruta um fluxo SSH, no momento em que a chave foi descriptografada pelo computador mais poderoso que se possa imaginar, duas coisas teriam acontecido:

1. A chave teria sido alterada pelo SSH
2. Todos nós teríamos morrido e o sol explodiu e destruiu a terra.

^{<aviso: não é especialista em criptografia>}

O SSHv2 usa principalmente os mesmos algoritmos que o TLS / SSL:

• DH , recentemente ECDH ou RSA para troca de chaves;
• RSA , DSA ou ECDSA para autenticação de servidor (e muitas vezes, autenticação de cliente).
• AES para criptografia simétrica (todo o fluxo de dados é criptografado usando uma chave gerada aleatoriamente).

Todos eles são amplamente utilizados e comprovadamente seguros para o uso diário.

No entanto, em qualquer protocolo, a segurança depende de saber que você está se comunicando com o servidor certo. No caso do SSH (configuração padrão), na primeira vez em que você se conecta ao servidor, é necessário verificar sua impressão digital . (Não apenas confirme sem verificar, como muitas pessoas fazem.) Na próxima vez, a chave do servidor será verificada em uma cópia em cache para evitar ataques do tipo intermediário - mas apenas se a chave correta estiver em cache em primeiro lugar.

(Em comparação, o TLS / SSL lida com o descrito acima usando certificados X.509 emitidos por autoridades conhecidas que são confiáveis ​​para não assinar certificados falsos.)

O verdadeiro problema da segurança SSH são os certificados. Muitas empresas distribuem chaves seguras para conexões SSH, e não é a primeira vez que os bancos de dados que contêm essas chaves são invadidos. Portanto, a melhor solução para garantir a segurança é gerar seu próprio par de chaves, mas isso é um aborrecimento e é por isso que contamos com essas empresas ... Até que sejam invadidas e não tenhamos que verificar 340.282.366.920.938.463.463.374.607.431.768.211.456 chaves, mas apenas as onces no banco de dados ..