Подключение с OpenSSH 7.4p1 не принимается системой, использующей OpenSSH 8.7p1 – как это разрешить?

У меня есть следующая старая система Linux, и я использую проприетарный программный инструмент, который пытается скопировать файлы (с помощью sftp или curl) на более новую систему Linux, но это не удается. Системы:

При прослушке обмена мы видим:

• Пакет ответа группы обмена Diffie-Hellman сервера подтверждает следующие согласованные параметры:
  • Алгоритм обмена ключами (KEX): diffie-hellman-group-exchange-sha256 (совпадает с поддержкой клиента ✅)
  • Алгоритм шифрования: aes128-ctr (совпадает с поддержкой клиента ✅)
  • Алгоритм MAC: hmac-sha2-256 (совпадает с поддержкой клиента ✅)
  • Сжатие: нет (совпадает с поддержкой клиента ✅)
  • Тип хоста: ssh-rsa (совпадает с поддержкой клиента ✅, но см. ниже)
  • Тип подписи хоста: rsa-sha2-256 (возможная проблема ⚠️)

Тип ключа хоста в ответе KEX сервера — ssh-rsa, который поддерживает клиент. Однако тип подписи, используемый сервером, — rsa-sha2-256, который клиент не заявил о поддержке в своем сообщении SSH_MSG_KEXINIT.

Я изучил файлы /etc/ssh/ssh_config и /etc/ssh/sshd_config, чтобы найти изменение конфигурации, которое я мог бы сделать в системе Rocky Linux 9.5 для поддержки обмена, но не нашел его. Я также пытался добавить следующее в /etc/ssh/sshd_config (как предложено в этом другом случае), но это также не удалось:

# Разрешить выбор слегка устаревших шифров                                                                                                                                                                                                                                                                                                                              
Ciphers +aes128-cbc                                                                                                                                                                                                                                                                                                                                                   

# Разрешить согласование ключа шифра с использованием слабого DH                                                                                                                                                                                                                                                                                                                          
# (добавляйте group1, только если это *действительно* необходимо)                                                                                                                                                                                                                                                                                                                           
KexAlgorithms +diffie-hellman-group14-sha1,diffie-hellman-group1-sha1                                                                                                                                                                                                                                                                                                 

# Предлагать подписи SHA1 для публичного ключа хоста                                                                                                                                                                                                                                                                                                                               
HostKeyAlgorithms +ssh-rsa                                                                                                                                                                                                                                                                                                                                            

# Принимать подписи SHA1 для публичного ключа клиента                                                                                                                                                                                                                                                                                                                            
PubkeyAcceptedAlgorithms +ssh-rsa    

Реальным решением будет обновление этой старой производной CentOS 7, но прежде чем сделать это, мне нужно завершить несколько тестов, чтобы работа копирования файлов прошла успешно.

Поэтому я ищу временное решение, в котором я мог бы изменить конфигурацию системы Rocky Linux 9.5, чтобы разрешить передачу файлов. Кто-нибудь знает, какое изменение/дополнение конфигурации нужно сделать?

Корень проблемы в том, что RHEL 9 по умолчанию использует более строгие криптографические настройки в целом, что нарушает совместимость с устаревшими системами.

Вторая часть проблемы заключается в том, что RHEL 9 и производные от него, такие как Rocky Linux, изменяют криптографические настройки для SSHD таким образом, что они обходят/переопределяют любые криптографические настройки в /etc/ssh/sshd_config, используя “криптополитики”. См. https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/9/html/security_hardening/using-the-system-wide-cryptographic-policies_security-hardening

(В случае с sshd (и другими аналогичными демонами) криптополитика влияет на параметры командной строки, добавляемые системной службой systemd, которые переопределяют настройки, найденные в /etc/ssh/sshd_config.)

Ваши варианты для демон SSH на системе RHEL 9:

• Переключить систему на криптографическую политику, совместимую с более ранними выпусками, как описано в руководстве по укреплению безопасности RHEL 9. Запустите от имени root (или с sudo):

  # update-crypto-policies --set LEGACY
  Setting system policy to LEGACY
  

  и перезагрузите систему.

  Примечание: это изменяет все демоны и настройки системы и является чрезмерным, если вам нужно регулировать только настройки ssh и sshd.

• Исключить (только) sshd из системной криптографической политики.
  Вы можете отказаться, отредактировав /etc/sysconfig/sshd и раскомментировав строку # CRYPTO_POLICY=, (при необходимости затем можно дополнительно отрегулировать /etc/ssh/sshd_config и добавить устаревшие криптографические настройки). Это заставит демон ssh снова использовать только его файл конфигурации для криптографических настроек. Может понадобиться выполнить [sudo] systemctl daemon-reload и обязательно перезапустить демон ssh с помощью [sudo] systemctl restart sshd