Siguria dhe të dhënat

Hostet e besuar (known_hosts)

Lidhja e parë me një host kap shenjën e gishtit të çelësit publik (SHA-256) dhe e ruan atë pasi konfirmon. Lidhjet pasuese krahasojnë shenjën e gishtit — nëse ndonjëherë ndryshon merr një alarm të qartë.

Menaxho listën te Cilësimet → Siguria → Hostet e besuar — çdo zë tregon hostin, algoritmin e çelësit (Ed25519, RSA, ECDSA…) dhe shenjën e gishtit, dhe mund të hiqet.

Si mbrohet lidhja

DR-Terminal përdor implementimin e vet të SSH, të forcuar kundër sulmuesve aktivë dhe serverave armiqësorë:

• Çelësi i host-it verifikohet gjatë handshake-ut, para se të dërgohet ndonjë gjë sekrete. Nëse një ndërmjetës (man-in-the-middle) paraqet çelësin e gabuar, lidhja ndërpritet te shkëmbimi i çelësave — fjalëkalimi ose çelësi yt privat nuk e lë kurrë pajisjen.
• Vetëm algoritme të fortë, si parazgjedhje. Algoritmet e vjetër, të prirur ndaj downgrade — nënshkrimet dhe MAC-et SHA-1, ssh-rsa, Diffie-Hellman 1024-bit — janë çaktivizuar. Lidhjet përdorin shkëmbim modern çelësash (së pari hibridet post-kuantike sntrup761x25519-sha512 dhe mlkem768x25519-sha256, pastaj Curve25519, ECDH, Diffie-Hellman ≥ 2048-bit), shifra (AES-GCM, ChaCha20-Poly1305, AES-CTR) dhe tipe çelësash host-i (Ed25519, ECDSA, RSA-SHA2). Një server që ofron vetëm diçka më të dobët nuk mund të lidhet — përveçse kur e riaktivizon qëllimisht një algoritëm të vjetër te Algoritmet SSH (më poshtë).
• Pa downgrade të heshtur. Nënshkrimi që përdor serveri duhet të përputhet me atë që u negociua, kështu që nuk mund të kthehet te një më i dobët pas shpine.
• Terrapin (CVE-2023-48795) është zbutur përmes shkëmbimit të rreptë të çelësave.
• Rezistent ndaj një serveri armiqësor ose me defekte. Gjatësitë e paketave, fushat e mesazheve dhe dritaret e kanaleve që vijnë nga rrjeti kontrollohen të gjitha për kufij, kështu që një server keqdashës nuk mund ta rrëzojë aplikacionin ose t'i shterojë kujtesën — as para se të autentikohesh.

Këto mbrojtje janë aktive automatikisht. Ndërvepron me to vetëm përmes kërkesës për hoste të besuar më sipër.

Algoritmet SSH (të avancuara)

Cilësimet → Siguria → Algoritmet SSH të lejon të rregullosh çfarë u propozon klienti serverave — për një pajisje të vjetër që flet vetëm një shifër të vjetër, ose për të fiksuar renditjen që i beson. Faqja ka nga një seksion për çdo kategori negocimi:

• Shkëmbimi i çelësave, Shifrat, MAC (integriteti) — aktivizo ose çaktivizo çdo algoritëm dhe zhvendose lart ose poshtë; renditja është renditja e preferencës që i dërgohet serverit (fiton algoritmi i parë që e mbështesin të dyja palët).
• Çelësat e hostit — vetëm aktiv/joaktiv.
• Kompresimi — një çelës po/jo (i çaktivizuar si parazgjedhje). Po propozon së pari [email protected] me none si rezervë për serverët pa zlib; Jo propozon vetëm none, kështu që serveri nuk mund ta aktivizojë kompresimin. Kompresimi ndihmon në lidhje të ngadalta dhe kushton CPU në të dyja anët.

Algoritmet që biblioteka i dërgon të çaktivizuar mbajnë një etiketë të vogël ngjyrë qelibari legacy — ato mbeten të fikur derisa t'i aktivizosh. Një kategori nuk mund të mbetet kurrë bosh: algoritmi i fundit i aktivizuar nuk mund të çaktivizohet. Rivendos pranë titullit të një seksioni e kthen atë te parazgjedhjet e bibliotekës.

Çdo lidhje e ruajtur mund ta mbishkruajë zgjedhjen globale: te formulari i lidhjes, Algoritmet SSH → I personalizuar hap të njëjtin redaktues vetëm për atë host (Parazgjedhur ndjek cilësimin global). Konfirmimi i redaktuesit përditëson formularin — më pas Ruaj lidhjen. Çfarë u negociua në të vërtetë — shkëmbimi i çelësave, çelësi i hostit, shifra, MAC, kompresimi — shfaqet te Informacioni i lidhjes në menunë e sesionit.

Cilësimet e reja zbatohen për lidhjet e hapura më pas. Një skedë e dytë te i njëjti host ripërdor lidhjen e gjallë SSH dhe rrjedhimisht algoritmet e saj — shkëputu dhe rilidhu për të rinegociuar.

Paralajmërim post-kuantik

Një sulmues “store now, decrypt later” (ruaje tani, deshifroje më vonë) regjistron trafikun e sotëm dhe e deshifron kur kompjuterët kuantikë të mund ta thyejnë shkëmbimin klasik të çelësave. DR-Terminal preferon shkëmbimin hibrid post-kuantik të çelësave (sntrup761x25519-sha512, mlkem768x25519-sha256 — të njëjtët që dërgon OpenSSH) dhe, si OpenSSH, paralajmëron kur një sesion përfundon në një klasik: një herë për lidhje shfaqet një dialog që thotë se shkëmbimi i çelësave nuk është post-kuantik dhe se serveri mund të ketë nevojë për përditësim. Mos e shfaq më e fik paralajmërimin përgjithmonë; ai ndodhet te Cilësimet → Siguria → Paralajmërim post-kuantik (aktiv si parazgjedhje).

Çelësat e eksportuar

Kur konverton ose eksporton një çelës privat (Çelësat SSH → Konverto) dhe vendos një frazëkalim, enkriptimi përdor një funksion të fortë të derivimit të çelësit të zgjedhur sipas formatit — bcrypt për OpenSSH, PBKDF2 për PKCS#8, Argon2id për PuTTY PPK v3 — dhe çdo salt e IV vjen nga një gjenerues i rastësishëm kriptografikisht i sigurt. Konvertuesi lexon dhe shkruan OpenSSH, PKCS#8, PKCS#1 dhe PuTTY PPK (v2/v3), si nga PEM ashtu edhe nga DER binar.

Ku jetojnë sekretet

Fjalëkalimet, çelësat privatë dhe frazëkalimet kurrë nuk serializohen në JSON-in e lidhjes. Ato shkojnë drejtpërdrejt te ruajtja e sigurt e platformës:

• Android — EncryptedSharedPreferences, e mbështetur nga Keystore harduerik.
• iOS — Keychain (e mbrojtur me biometri nëse e ke aktivizuar).
• Desktop — skedar i enkriptuar AES-256-GCM, çelësi rrjedhur nga profili i përdoruesit.

Rezervimi i konfigurimit i enkriptuar

Cilësimet → Konfigurimi → Export backup krijon një skedar .drterminal të mbrojtur me fjalëkalim. Ai përmban: lidhje (me kredencialet), grupe, hoste të besuar, çelësa SSH, faqerojtës SFTP, historikun e komandave, rregulla theksimi, copëza, profile serial dhe Telnet, preferencat e algoritmeve SSH, pamjen e terminalit dhe cilësimet, si dhe (në celular) konfigurimin e tastierës DevOps. Import backup rikthen të njëjtin paketim — i dobishëm kur kalon mes makinash.

Formati: JSON i enkriptuar me AES-256-GCM. Fjalëkalimi nuk ruhet kurrë në skedar — ai vetëm rrjedh çelësin e enkriptimit (PBKDF2, 100 000 përsëritje të SHA-256).

Importo ~/.ssh/config

Në Desktop mund të importosh në grup hoste nga një konfigurim OpenSSH ekzistues. Importuesi analizon zërat Host, HostName, User, Port, IdentityFile dhe ProxyJump dhe i shton si lidhje të ruajtura. Skedarët e çelësave të referuar nga IdentityFile ngarkohen nga disku në SecureStorage.

Nivelet e log-ut

Te Cilësimet → Terminali → Niveli i regjistrimit në skedar zgjidh çfarë arrin te ~/.dr-terminal/logs/ (Desktop) ose ekuivalenti në celular. Parazgjedhja: ERROR — zhurmë minimale. Për diagnostikë kalo te DEBUG.