Interessant tip per millorar la seguretat de SSH

Aquesta vegada veurem un curt i senzill tip que ens ajudarà a millorar la seguretat de les nostres connexions remotes amb SSH.

OpenSSH, que és el paquet que proveeixen els sistemes GNU / Linux per gestionar connexions SSH, té una àmplia varietat d'opcions. Llegint el llibre SSH The Secure Shell i les pàgines de l'manual vaig trobar l'opció -F, la qual li informa el client SSH que utilitzi un arxiu de configuració diferent a què trobem per defecte en el directori / etc / ssh.

Com fem servir aquesta opció?

De la següent manera:

ssh -F / ruta / a_tu / arxiu / de_configuración usuari @ ip / host

Per exemple si tenim un arxiu de configuració personalitzat al nostre gust de nom my_config en l'Escriptori, i volem connectar-nos amb l'usuari carlos a l'ordinador amb la ip 192.168.1.258, llavors faríem servir la comanda com segueix:

ssh -F ~ / Escriptori / my_config carlos@192.168.1.258

Com ajuda a la seguretat de la connexió?

Recordem que un atacant a l'estar dins del nostre sistema intentarà immediatament obtenir privilegis d'administrador si és que no els tingués ja, llavors per a ell seria bastant fàcil executar ssh per connectar-se a la resta de les màquines de la xarxa. Per evitar això, podem configurar el fitxer / etc / ssh / ssh_config amb valors incorrectes, i quan desitgem connectar-nos via SSH farem servir l'arxiu de configuració que tindrem guardat en una ubicació que només nosaltres sabem (fins i tot en un dispositiu d'emmagatzematge extern), és a dir, tindríem seguretat per foscor. D'aquesta manera l'atacant quedaria desconcertat el trobar que no pot connectar-se usant SSH i que intenta fer les connexions d'acord a l'especificat en el fitxer de configuració per defecte pel que li resultarà una cosa difícil adonar-se del que passa, i li complicarem bastant el treball.

Això afegit a canviar el port d'escolta de servidor SSH, desactivar SSH1, especificar quins usuaris es poden connectar a l'servidor, permetre explícitament quines IP o rang d'IPs poden connectar-se a l'servidor i altres consells més que podrem trobar a http://www.techtear.com/2007/04/08/trucos-y-consejos-para-asegurar-ssh-en-linux ens permetran incrementar la seguretat de les nostres connexions SSH.

Tot el descrit anteriorment es pot fer en una sola línia. Per al meu gust seria bastant tediós haver d'escriure una gran línia amb múltiples opcions cada vegada que intentem logearnos via SSH a un pc remot, per exemple la següent seria una mostra del que els dic:

ssh -p 1056 -c blowfish -C -l-los -q -i myself 192.168.1.258

-p Especifica el port per connectar al host remot.
-c Especifica com es va a xifrar la sessió.
-C Indica que s'haurà comprimir la sessió.
-l Indica l'usuari amb el qual es logueará al host remot.
-q Indica que els missatges de diagnòstic siguin suprimits.
-i Indica l'arxiu amb el qual s'identificarà (clau privada)

També hem de recordar que podríem fer servir l'historial de l'terminal per no haver de teclejar tot la comanda cada vegada que ho necessitem, cosa que també un atacant podria aprofitar, de manera que no ho recomanaria, al menys en l'ús de connexions SSH.

Encara que la qüestió de seguretat no és l'únic avantatge d'aquesta opció, se m'ocorren altres, com ara tenir un arxiu de configuració per a cada servidor a què desitgem connectar-nos, així evitarem escriure les opcions cada vegada que desitgem fer una connexió a un servidor SSH amb una configuració específica.

Utilitza l'opció -F pot ser molt útil en el cas que es tinguin diversos servidors amb diferent configuració. En cas contrari, caldrà recordar totes les configuracions, el que resulta pràcticament impossible. La solució seria tenir un arxiu de configuració perfectament preparat segons els requeriments de cada servidor facilitant i assegurant els accessos a aquests servidors.

En aquest enllaç http://www.openbsd.org/cgi-bin/man.cgi?query=ssh_config podran trobar com editar el fitxer de configuració de client SSH.

Recordin aquest és només un tip més dels centenars que podem trobar per assegurar SSH, així que si volen tenir connexions remotes segures hauran de combinar entre les possibilitats que ens ofereix OpenSSH.

De moment és tot, espero els serveixi d'alguna cosa aquesta informació i esperin la setmana que una altra publicació sobre seguretat en SSH.