Error libcrypto Saat SSH

Table of Contents

Error ssh_dispatch_run_fatal: Connection to xx.xx.xx.xx port 22: error in libcrypto merupakan salah satu masalah yang semakin sering ditemui oleh pengguna OS Linux modern (seperti Fedora, RHEL, AlmaLinux, Ubuntu, dan turunannya) saat mencoba SSH ke server lama (legacy server) seperti RHEL 6, CentOS 6, dan sejenisnya.

Error ini umumnya terjadi karena adanya ketidakcocokan kebijakan dan algoritma kriptografi antara klien dan server.

Penyebab Umum
#

Beberapa kondisi yang paling sering memicu error ini antara lain:

Klien SSH menggunakan OpenSSH versi baru (misalnya 8.7 ke atas) yang ditautkan dengan OpenSSL 3.x
Server tujuan masih bergantung pada algoritma kriptografi lawas, seperti:
- SHA-1
- DSA
- RSA dengan panjang kunci 1024 bit
Kebijakan kriptografi di sisi klien (crypto-policies) secara default menolak algoritma lama
Terjadi ketidakcocokan pada:
- cipher
- key exchange (KEX)
- host key algorithm antara klien dan server

Solusi
#

1. Mengubah Kebijakan Kriptografi ke Mode LEGACY
#

Cara tercepat dan paling umum adalah menurunkan kebijakan kriptografi sistem ke mode LEGACY, yang akan mengaktifkan kembali algoritma lama (termasuk SHA-1, DSA, dan lainnya).

sudo update-crypto-policies --set LEGACY

Jika hanya membutuhkan dukungan SHA-1, Anda dapat menggunakan kebijakan yang lebih spesifik dan relatif lebih aman dibandingkan LEGACY.

sudo update-crypto-policies --set DEFAULT:SHA1

2. Konfigurasi SSH Per-Host
#

Untuk membatasi penggunaan algoritma lama hanya pada host tertentu, tambahkan konfigurasi berikut ke dalam file ~/.ssh/config:

Host legacy-server
    HostName 192.168.50.81
    Port 212
    User youruser
    KexAlgorithms +diffie-hellman-group14-sha1
    HostKeyAlgorithms +ssh-rsa
    PubkeyAcceptedAlgorithms +ssh-rsa

Tidak semua kasus dapat diselesaikan hanya dengan konfigurasi ini, terutama jika OpenSSL sudah menolak signature SHA-1 secara internal.

Tabel Komparasi Solusi
#

Solusi	Efektivitas	Risiko Keamanan	Kemudahan Implementasi	Catatan
`update-crypto-policies --set LEGACY`	Sangat tinggi	Tinggi	Sangat mudah	Berlaku global, sebaiknya hanya digunakan sementara
`update-crypto-policies --set DEFAULT:SHA1`	Tinggi	Sedang	Mudah	Lebih aman dibandingkan mode LEGACY
Konfigurasi SSH per-host	Sedang	Rendah	Mudah	Tidak selalu berhasil jika OpenSSL menolak SHA-1
Konfigurasi OpenSSL per-session	Sedang	Rendah	Menengah	Relatif aman, perlu konfigurasi manual
VM / container dengan OS lama	Tinggi	Rendah	Sulit	Aman, namun membutuhkan resource tambahan
Upgrade server / firmware	Sangat tinggi	Sangat rendah	Sulit	Solusi ideal, tetapi sering tidak memungkinkan