Добри практики с OpenSSH

OpenSSH (Отворете Secure Shell) е набор от приложения, които позволяват криптирана комуникация през мрежа, използвайки протокол SSH. Създаден е като безплатна и отворена алтернатива на програмата Secure Shell, който е патентован софтуер. « Уикипедия.

Някои потребители могат да мислят, че добрите практики трябва да се прилагат само на сървъри и това не е така. Много дистрибуции на GNU / Linux включват OpenSSH по подразбиране и има няколко неща, които трябва да имате предвид.

сигурност

Това са 6-те най-важни точки, които трябва да имате предвид при конфигурирането на SSH:

1. Използвайте силна парола.
2. Променете порта по подразбиране на SSH.
3. Винаги използвайте версия 2 на SSH протокола.
4. Деактивирайте коренния достъп.
5. Ограничете потребителския достъп.
6. Използвайте удостоверяване с ключ.
7. Други опции

Силна парола

Добра парола е тази, която съдържа буквено-цифрови или специални знаци, интервали, главни и малки букви... и т.н. Тук в DesdeLinux Показахме няколко метода за генериране на добри пароли. Може да се посети тази статия y това друго.

Променете порта по подразбиране

Портът по подразбиране за SSH е 22. За да го променим, трябва само да редактираме файла / И т.н. / SSH / sshd_config. Търсим реда, който казва:

#Port 22

ние го коментираме и променяме 22 за друго число .. например:

Port 7022

За да знаем портовете, които не използваме в нашия компютър / сървър, можем да изпълним в терминала:

$ netstat -ntap

Сега за достъп до нашия компютър или сървър трябва да го направим с опцията -p, както следва:

$ ssh -p 7022 usuario@servidor

Използвайте протокол 2

За да сме сигурни, че използваме версия 2 на SSH протокола, трябва да редактираме файла / И т.н. / SSH / sshd_config и потърсете реда, който казва:

# Протокол 2

Коментираме го и рестартираме услугата SSH.

Не разрешавайте достъп като root

За да попречим на root потребителя да има достъп до отдалечен достъп чрез SSH, поглеждаме във файла/ И т.н. / SSH / sshd_config линията:

#PermitRootLogin no

и ние го коментираме. Мисля, че си струва да се изясни, че преди да направим това, трябва да се уверим, че нашият потребител има необходимите разрешения за изпълнение на административни задачи.

Ограничете достъпа на потребителите

Също така не вреди да се разреши достъп чрез SSH само на определени доверени потребители, затова се връщаме към файла / И т.н. / SSH / sshd_config и добавяме реда:

AllowUsers elav usemoslinux kzkggaara

Когато очевидно потребителите elav, usemoslinux и kzkggaara са тези, които ще имат достъп.

Използвайте удостоверяване с ключ

Въпреки че този метод е най-препоръчителен, трябва да внимаваме особено, защото ще имаме достъп до сървъра, без да въвеждаме паролата. Това означава, че ако потребител успее да влезе в нашата сесия или компютърът ни бъде откраднат, ние можем да имаме проблеми. Нека обаче да видим как да го направим.

Първото нещо е да създадете чифт ключове (публични и частни):

ssh-keygen -t rsa -b 4096

След това предаваме нашия ключ на компютъра / сървъра:

ssh-copy-id -i ~/.ssh/id_rsa.pub elav@200.8.200.7

Накрая трябва да имаме некомментиран файл / И т.н. / SSH / sshd_config линията:

AuthorizedKeysFile .ssh/authorized_keys

Други опции

Можем да намалим времето за изчакване, в което потребителят може успешно да влезе в системата до 30 секунди

LoginGraceTime 30

За да избегнем ssh атаки чрез TCP Spoofing, оставяйки ssh страната криптирана жива за максимум 3 минути, можем да активираме тези 3 опции.

TCPKeepAlive no ClientAliveInterval 60 ClientAliveCountMax 3

Деактивирайте използването на файлове с rhosts или shosts, които от съображения за сигурност се призовават да не се използват.

IgnoreRhosts да IgnoreUserKnownHosts да RhostsAuthentication не RhostsRSAAuthentication no

Проверете ефективните разрешения на потребителя по време на влизане.

StrictModes yes

Активирайте разделянето на привилегиите.

UsePrivilegeSeparation yes

изводи:

Правейки тези стъпки, можем да добавим допълнителна сигурност към нашите компютри и сървъри, но никога не трябва да забравяме, че има важен фактор: какво е между стола и клавиатурата. Ето защо препоръчвам четене тази статия.

Fuente: HowToForge