Ενδιαφέρουσα συμβουλή για τη βελτίωση της ασφάλειας SSH

Αυτή τη φορά θα δούμε ένα σύντομη και απλή συμβουλή που θα μας βοηθήσουν να βελτιωθούμε ασφάλεια των απομακρυσμένων συνδέσεών μας με SSH.

Το OpenSSH, το οποίο είναι το πακέτο που παρέχεται από συστήματα GNU / Linux για το χειρισμό συνδέσεων SSH, έχει μια μεγάλη ποικιλία επιλογών. Διαβάζοντας το βιβλίο SSH Το ασφαλές κέλυφος και στις σελίδες man βρήκα την επιλογή -F, η οποία λέει στον πελάτη SSH να χρησιμοποιήσει ένα διαφορετικό αρχείο διαμόρφωσης από αυτό που βρέθηκε από προεπιλογή στον κατάλογο / etc / ssh.

Πώς χρησιμοποιούμε αυτήν την επιλογή;

Ως εξής:

ssh -F / path / to_your / config / file user @ ip / host

Για παράδειγμα, εάν έχουμε ένα προσαρμοσμένο αρχείο διαμόρφωσης που ονομάζεται my_config στην επιφάνεια εργασίας και θέλουμε να συνδεθούμε με τον χρήστη Carlos στον υπολογιστή με το ip 192.168.1.258, τότε θα χρησιμοποιούσαμε την εντολή ως εξής:

ssh -F ~ / Desktop / my_config carlos@192.168.1.258

Πώς βοηθά στην ασφάλεια της σύνδεσης;

Θυμηθείτε ότι ένας εισβολέας που βρίσκεται μέσα στο σύστημά μας θα προσπαθήσει αμέσως να αποκτήσει δικαιώματα διαχειριστή εάν δεν τα έχει ήδη, οπότε θα ήταν αρκετά εύκολο για αυτόν να εκτελέσει ssh για να συνδεθεί με τα υπόλοιπα μηχανήματα στο δίκτυο. Για να το αποφύγουμε αυτό, μπορούμε να διαμορφώσουμε το αρχείο / etc / ssh / ssh_config με λανθασμένες τιμές και όταν θέλουμε να συνδεθούμε μέσω SSH θα χρησιμοποιήσουμε το αρχείο διαμόρφωσης που θα έχουμε αποθηκεύσει σε μια τοποθεσία που μόνο γνωρίζουμε (ακόμη και σε εξωτερικό συσκευή αποθήκευσης), δηλαδή, θα έχουμε ασφάλεια από το σκοτάδι. Με αυτόν τον τρόπο ο εισβολέας θα μπερδευόταν να διαπιστώσει ότι δεν μπορεί να συνδεθεί χρησιμοποιώντας SSH και ότι προσπαθεί να κάνει τις συνδέσεις σύμφωνα με αυτό που καθορίζεται στο προεπιλεγμένο αρχείο διαμόρφωσης, οπότε θα είναι δύσκολο για αυτόν να συνειδητοποιήσει τι συμβαίνει και εμείς θα τον περιπλέξει πολύ τη δουλειά.

Αυτό προστέθηκε για να αλλάξετε τη θύρα ακρόασης του διακομιστή SSH, να απενεργοποιήσετε το SSH1, να καθορίσετε ποιοι χρήστες μπορούν να συνδεθούν στον διακομιστή, να επιτρέπουν ρητά σε ποια IP ή εύρος IP μπορούν να συνδεθούν στον διακομιστή και άλλες συμβουλές που μπορούμε να βρούμε http://www.techtear.com/2007/04/08/trucos-y-consejos-para-asegurar-ssh-en-linux θα μας επιτρέψουν να αυξήσουμε την ασφάλεια των συνδέσεων SSH μας.

Όλα όσα περιγράφονται παραπάνω μπορούν να γίνουν σε μία γραμμή. Για το γούστο μου, θα ήταν πολύ κουραστικό να γράφω μια μεγάλη γραμμή με πολλές επιλογές κάθε φορά που προσπαθούμε να συνδεθούμε μέσω SSH σε έναν απομακρυσμένο υπολογιστή, για παράδειγμα τα ακόλουθα θα ήταν ένα δείγμα αυτού που σας λέω:

ssh -p 1056 -c blowfish -C -l carlos -q -i εγώ 192.168.1.258

-p Καθορίζει τη θύρα για σύνδεση στον απομακρυσμένο κεντρικό υπολογιστή.
-c Καθορίζει τον τρόπο κρυπτογράφησης της περιόδου λειτουργίας.
-C Υποδεικνύει ότι η συνεδρία πρέπει να συμπιεστεί.
-l Υποδεικνύει τον χρήστη με τον οποίο θα συνδεθεί στον απομακρυσμένο κεντρικό υπολογιστή.
-q Υποδεικνύει ότι τα διαγνωστικά μηνύματα έχουν καταργηθεί.
-i Υποδεικνύει το αρχείο προς αναγνώριση (ιδιωτικό κλειδί)

Πρέπει επίσης να θυμόμαστε ότι θα μπορούσαμε να χρησιμοποιήσουμε το ιστορικό του τερματικού για να αποφύγουμε να πληκτρολογήσουμε ολόκληρη την εντολή κάθε φορά που το χρειαζόμαστε, κάτι που θα μπορούσε επίσης να εκμεταλλευτεί ένας εισβολέας, οπότε δεν θα το συνιστούσα, τουλάχιστον κατά τη χρήση του Συνδέσεις SSH.

Παρόλο που το ζήτημα ασφάλειας δεν είναι το μόνο πλεονέκτημα αυτής της επιλογής, μπορώ να σκεφτώ άλλους, όπως το να έχουμε ένα αρχείο διαμόρφωσης για κάθε διακομιστή στον οποίο θέλουμε να συνδεθούμε, οπότε θα αποφύγουμε να γράφουμε τις επιλογές κάθε φορά που θέλουμε να κάνουμε σύνδεση ένας διακομιστής SSH με συγκεκριμένη διαμόρφωση.

Η χρήση της επιλογής -F μπορεί να είναι πολύ χρήσιμη σε περίπτωση που έχετε πολλούς διακομιστές με διαφορετική διαμόρφωση. Διαφορετικά, θα πρέπει να θυμόμαστε όλες τις ρυθμίσεις, κάτι που είναι πρακτικά αδύνατο. Η λύση θα ήταν να έχουμε ένα αρχείο διαμόρφωσης τέλεια προετοιμασμένο σύμφωνα με τις απαιτήσεις κάθε διακομιστή, διευκολύνοντας και διασφαλίζοντας την πρόσβαση σε αυτούς τους διακομιστές.

Σε αυτόν τον σύνδεσμο http://www.openbsd.org/cgi-bin/man.cgi?query=ssh_config Μπορείτε να μάθετε πώς να επεξεργαστείτε το αρχείο διαμόρφωσης πελάτη SSH.

Θυμηθείτε, αυτή είναι μια ακόμη συμβουλή των εκατοντάδων που μπορούμε να βρούμε για να διασφαλίσουμε το SSH, οπότε αν θέλετε να έχετε ασφαλείς απομακρυσμένες συνδέσεις, πρέπει να συνδυάσετε τις δυνατότητες που μας προσφέρει το OpenSSH.

Αυτό είναι όλο για τώρα, ελπίζω ότι αυτές οι πληροφορίες θα σας βοηθήσουν και θα περιμένω μια άλλη ανάρτηση σχετικά με την ασφάλεια SSH την επόμενη εβδομάδα.