نصيحة مهمة لتحسين أمان SSH

هذه المرة سنرى ملف نصيحة قصيرة وبسيطة سيساعدنا ذلك على التحسن أمن من اتصالاتنا البعيدة مع SSH.

OpenSSH ، وهي الحزمة التي توفرها أنظمة GNU / Linux للتعامل مع اتصالات SSH ، لديها مجموعة متنوعة من الخيارات. قراءة الكتاب SSH القشرة الآمنة وفي صفحات الدليل وجدت الخيار -F ، والذي يخبر عميل SSH باستخدام ملف تكوين مختلف عن الملف الموجود افتراضيًا في الدليل / etc / ssh.

كيف نستخدم هذا الخيار؟

على النحو التالي:

ssh -F / path / to_your / config / file user @ ip / host

على سبيل المثال ، إذا كان لدينا ملف تكوين مخصص باسم my_config على سطح المكتب ، ونريد الاتصال بالمستخدم Carlos بالكمبيوتر باستخدام عنوان IP 192.168.1.258 ، فسنستخدم الأمر كما يلي:

ssh -F ~ / سطح المكتب / my_config carlos@192.168.1.258

كيف تساعد في أمن الاتصال؟

تذكر أن المهاجم الموجود داخل نظامنا سيحاول على الفور الحصول على امتيازات المسؤول إذا لم يكن لديه بالفعل ، لذلك سيكون من السهل جدًا عليه تنفيذ ssh للاتصال ببقية الأجهزة على الشبكة. لتجنب ذلك ، يمكننا تكوين ملف / etc / ssh / ssh_config بقيم غير صحيحة ، وعندما نريد الاتصال عبر SSH ، سنستخدم ملف التكوين الذي سنحفظه في مكان نعرفه فقط (حتى على جهاز تخزين خارجي) ، وهذا هو نقول ، سيكون لدينا الأمن بالظلام. بهذه الطريقة سيشعر المهاجم بالحيرة ليجد أنه لا يمكنه الاتصال باستخدام SSH وأنه يحاول إجراء الاتصالات وفقًا لما هو محدد في ملف التكوين الافتراضي ، لذلك سيكون من الصعب عليه إدراك ما يحدث ، وسوف نعقده كثيرًا العمل.

تمت إضافة هذا لتغيير منفذ الاستماع لخادم SSH ، وتعطيل SSH1 ، وتحديد المستخدمين الذين يمكنهم الاتصال بالخادم ، والسماح صراحةً بأي IP أو نطاق من عناوين IP يمكن الاتصال بالخادم والنصائح الأخرى التي يمكننا العثور عليها http://www.techtear.com/2007/04/08/trucos-y-consejos-para-asegurar-ssh-en-linux سيسمحون لنا بزيادة أمان اتصالات SSH الخاصة بنا.

كل ما هو موصوف أعلاه يمكن أن يتم في سطر واحد. بالنسبة لذوقي ، سيكون من الممل جدًا أن أضطر إلى كتابة سطر كبير بخيارات متعددة في كل مرة نحاول فيها تسجيل الدخول عبر SSH إلى جهاز كمبيوتر بعيد ، على سبيل المثال ، سيكون ما يلي عينة مما أقوله:

ssh -p 1056 -c السمكة المنتفخة -C -l Carlos -q -i نفسي 192.168.1.258

-p يحدد المنفذ الذي سيتم الاتصال به على المضيف البعيد.
-c يحدد كيفية تشفير الجلسة.
-C يشير إلى أنه يجب ضغط الجلسة.
-l يشير إلى المستخدم الذي سيتم من خلاله تسجيل الدخول إلى المضيف البعيد.
-q يشير إلى أنه تم منع رسائل التشخيص.
-i يشير إلى الملف المراد تعريفه بـ (المفتاح الخاص)

يجب أن نتذكر أيضًا أنه يمكننا استخدام محفوظات الجهاز لتجنب الاضطرار إلى كتابة الأمر بالكامل في كل مرة نحتاج إليها ، وهو أمر يمكن للمهاجم الاستفادة منه أيضًا ، لذلك لا أوصي به ، على الأقل في استخدام اتصالات SSH.

على الرغم من أن مشكلة الأمان ليست الميزة الوحيدة لهذا الخيار ، إلا أنه يمكنني التفكير في الآخرين ، مثل وجود ملف تكوين لكل خادم نريد الاتصال به ، لذلك سنتجنب كتابة الخيارات في كل مرة نريد إجراء اتصال بخادم SSH بتكوين محدد.

يمكن أن يكون استخدام الخيار -F مفيدًا جدًا في حالة وجود عدة خوادم بتكوين مختلف. خلاف ذلك ، يجب تذكر جميع الإعدادات ، وهو أمر مستحيل عمليا. يتمثل الحل في الحصول على ملف تكوين مُعد تمامًا وفقًا لمتطلبات كل خادم ، مما يسهل ويضمن الوصول إلى تلك الخوادم.

في هذا الرابط http://www.openbsd.org/cgi-bin/man.cgi?query=ssh_config يمكنك معرفة كيفية تحرير ملف تكوين عميل SSH.

تذكر ، هذه مجرد نصيحة واحدة من بين المئات التي يمكننا العثور عليها لضمان SSH ، لذلك إذا كنت ترغب في الحصول على اتصالات بعيدة آمنة ، فيجب عليك الجمع بين الإمكانيات التي يوفرها لنا OpenSSH.

هذا كل شيء في الوقت الحالي ، وآمل أن تساعدك هذه المعلومات وتنتظر منشورًا آخر حول أمان SSH الأسبوع المقبل.