]> git.ipfire.org Git - people/ms/ipfire-2.x.git/commit
SSH: do not send spoofable TCP keep alive messages
authorPeter Müller <peter.mueller@ipfire.org>
Mon, 18 Apr 2022 20:40:41 +0000 (20:40 +0000)
committerPeter Müller <peter.mueller@ipfire.org>
Sat, 23 Apr 2022 14:27:56 +0000 (14:27 +0000)
commit7a981d94cb2c3e48ecaf07c506c8353a2c839d79
tree57252ee85f37c889e7c62e1b940bdbfaace28dea
parent018f80c6cd609184b72c08c1967b143a0637cc7f
SSH: do not send spoofable TCP keep alive messages

By default, both SSH server and client rely on TCP-based keep alive
messages to detect broken sessions, which can be spoofed rather easily
in order to keep a broken session opened (and vice versa).

Since we rely on SSH-based keep alive messages, which are not vulnerable
to this kind of tampering, there is no need to double-check connections
via TCP keep alive as well.

This patch thereof disables using TCP keep alive for both SSH client and
server scenario. For usability reasons, a timeout of 5 minutes (10
seconds * 30 keep alive messages = 300 seconds) will be used for both
client and server configuration, as 60 seconds were found to be too
short for unstable connectivity scenarios.

Signed-off-by: Peter Müller <peter.mueller@ipfire.org>
config/ssh/ssh_config
config/ssh/sshd_config