Tabby 的 SSH 主机密钥验证形同虚设，完全无法阻止中间人攻击

[drymonfidelia]

之前在 /t/1074154 问 V 友有没有开源的 SSH 客户端推荐，很多人推荐了 Tabby ，今天闲下来打算试试，这类工具我用前都会先简单测试一下安全性，结果我都还没开始用，第一个测试就发现了大问题 https://github.com/Eugeny/tabby/issues/9955

[q000q000]

换到 Windows Terminal 了，使用体验很好。

[drymonfidelia]

@q000q000 不好用，没 sftp 传文件麻烦得要死，有的机器我没权限装 rz/sz

[totoro625]

推荐一个： https://terminal.icu

[Rorysky]

这是否是 ssh 本身的行为？ 挨个尝试 鉴权方式

[drymonfidelia]

@totoro625 这个不开源，连安全检查都做不了

[drymonfidelia]

@Rorysky 挨个尝试鉴权方式也绝对不能在主机密钥验证前就把鉴权数据发出去，这样中间人就能直接完成身份验证了

[drymonfidelia]

我提 issue 用密码验证纯粹是复现方便，公钥验证我没测试，但密码验证这么简单的逻辑都能出问题公钥验证也有这个问题的概率极大

[restkhz]

做的好，提个 CVE 呗？

[drymonfidelia]

@restkhz 已经提了

[cookii]

不懂技术细节，但我一直用 tabby😂