Καλές πρακτικές με το OpenSSH

OpenSSH (Ανοίξτε το Secure Shell) είναι ένα σύνολο εφαρμογών που επιτρέπουν κρυπτογραφημένες επικοινωνίες μέσω δικτύου, χρησιμοποιώντας το πρωτόκολλο SSH. Δημιουργήθηκε ως μια ελεύθερη και ανοιχτή εναλλακτική λύση στο πρόγραμμα Secure Shell, το οποίο είναι ιδιόκτητο λογισμικό. « Wikipedia.

Ορισμένοι χρήστες μπορεί να πιστεύουν ότι οι καλές πρακτικές θα πρέπει να εφαρμόζονται μόνο σε διακομιστές και όχι. Πολλές διανομές GNU / Linux περιλαμβάνουν το OpenSSH από προεπιλογή και υπάρχουν μερικά πράγματα που πρέπει να θυμάστε.

ασφάλεια

Αυτά είναι τα 6 πιο σημαντικά σημεία που πρέπει να θυμάστε κατά τη διαμόρφωση του SSH:

1. Χρησιμοποιήστε έναν ισχυρό κωδικό πρόσβασης.
2. Αλλαγή της προεπιλεγμένης θύρας SSH.
3. Να χρησιμοποιείτε πάντα την έκδοση 2 του πρωτοκόλλου SSH.
4. Απενεργοποίηση πρόσβασης root.
5. Περιορίστε την πρόσβαση χρήστη.
6. Χρησιμοποιήστε τον έλεγχο ταυτότητας κλειδιού.
7. Άλλες επιλογές

Ένας ισχυρός κωδικός πρόσβασης

Ένας καλός κωδικός είναι αυτός που περιέχει αλφαριθμητικούς ή ειδικούς χαρακτήρες, κενά, κεφαλαία και πεζά γράμματα... κ.λπ. Εδώ μέσα DesdeLinux Έχουμε δείξει πολλές μεθόδους για τη δημιουργία καλών κωδικών πρόσβασης. Μπορεί να επισκεφθεί αυτό το άρθρο y αυτό το άλλο.

Αλλάξτε την προεπιλεγμένη θύρα

Η προεπιλεγμένη θύρα του SSH είναι 22. Για να το αλλάξουμε, το μόνο που πρέπει να κάνουμε είναι να επεξεργαστούμε το αρχείο / etc / ssh / sshd_config. Ψάχνουμε για τη γραμμή που λέει:

#Port 22

το ανεβάζουμε και αλλάζουμε το 22 για έναν άλλο αριθμό .. για παράδειγμα:

Port 7022

Για να γνωρίζουμε τις θύρες που δεν χρησιμοποιούμε στον υπολογιστή / διακομιστή μας μπορούμε να εκτελέσουμε στο τερματικό:

$ netstat -ntap

Τώρα για πρόσβαση στον υπολογιστή ή στον διακομιστή μας πρέπει να το κάνουμε με την επιλογή -p ως εξής:

$ ssh -p 7022 usuario@servidor

Χρησιμοποιήστε το πρωτόκολλο 2

Για να βεβαιωθούμε ότι χρησιμοποιούμε την έκδοση 2 του πρωτοκόλλου SSH, πρέπει να επεξεργαστούμε το αρχείο / etc / ssh / sshd_config και αναζητήστε τη γραμμή που λέει:

# Πρωτόκολλο 2

Αποσυσκευάζουμε και επανεκκίνηση της υπηρεσίας SSH.

Μην επιτρέπετε την πρόσβαση ως root

Για να αποτρέψουμε την πρόσβαση του root χρήστη από απόσταση μέσω SSH, κοιτάζουμε το αρχείο/ etc / ssh / sshd_config η γραμμή:

#PermitRootLogin no

και το αποτυγχάνουμε. Νομίζω ότι αξίζει να διευκρινιστεί ότι πριν κάνουμε αυτό πρέπει να διασφαλίσουμε ότι ο χρήστης μας έχει τα απαραίτητα δικαιώματα για την εκτέλεση διοικητικών εργασιών.

Περιορίστε την πρόσβαση από τους χρήστες

Επίσης, δεν είναι κακό να επιτρέπεται η πρόσβαση μέσω SSH μόνο σε ορισμένους αξιόπιστους χρήστες, επομένως επιστρέφουμε στο αρχείο / etc / ssh / sshd_config και προσθέτουμε τη γραμμή:

AllowUsers elav usemoslinux kzkggaara

Όπου προφανώς, οι χρήστες elav, usemoslinux και kzkggaara είναι αυτοί που έχουν πρόσβαση.

Χρησιμοποιήστε τον έλεγχο ταυτότητας κλειδιού

Αν και αυτή η μέθοδος είναι η πιο συνιστώμενη, πρέπει να προσέξουμε γιατί θα έχουμε πρόσβαση στον διακομιστή χωρίς να εισάγουμε τον κωδικό πρόσβασης. Αυτό σημαίνει ότι εάν ένας χρήστης καταφέρει να εισέλθει στη συνεδρία μας ή ο υπολογιστής μας έχει κλαπεί, ενδέχεται να έχουμε πρόβλημα. Ωστόσο, ας δούμε πώς να το κάνουμε.

Το πρώτο πράγμα είναι να δημιουργήσετε ένα ζευγάρι κλειδιών (δημόσια και ιδιωτικά):

ssh-keygen -t rsa -b 4096

Στη συνέχεια μεταβιβάζουμε το κλειδί μας στον υπολογιστή / διακομιστή:

ssh-copy-id -i ~/.ssh/id_rsa.pub elav@200.8.200.7

Τέλος, πρέπει να έχουμε αφαιρεθεί στο αρχείο / etc / ssh / sshd_config η γραμμή:

AuthorizedKeysFile .ssh/authorized_keys

Άλλες επιλογές

Μπορούμε να μειώσουμε τον χρόνο αναμονής κατά τον οποίο ένας χρήστης μπορεί να συνδεθεί με επιτυχία στο σύστημα σε 30 δευτερόλεπτα

LoginGraceTime 30

Για να αποφύγουμε τις επιθέσεις ssh μέσω του TCP Spoofing, αφήνοντας το κρυπτογραφημένο ζωντανό στην πλευρά ssh ενεργό για 3 λεπτά το πολύ, μπορούμε να ενεργοποιήσουμε αυτές τις 3 επιλογές.

TCPKeepAlive no ClientAliveInterval 60 ClientAliveCountMax 3

Απενεργοποιήστε τη χρήση αρχείων rhosts ή shosts, τα οποία για λόγους ασφαλείας καλούνται να μην χρησιμοποιηθούν.

IgnoreRhosts yes IgnoreUserKnownHosts yes RhostsAuthentication no RhostsRSAΑυτοποίηση όχι

Ελέγξτε τα πραγματικά δικαιώματα του χρήστη κατά τη σύνδεση.

StrictModes yes

Ενεργοποίηση διαχωρισμού προνομίων.

UsePrivilegeSeparation yes

Συμπεράσματα:

Κάνοντας αυτά τα βήματα μπορούμε να προσθέσουμε επιπλέον ασφάλεια στους υπολογιστές και τους διακομιστές μας, αλλά δεν πρέπει ποτέ να ξεχνάμε ότι υπάρχει ένας σημαντικός παράγοντας: τι υπάρχει ανάμεσα στην καρέκλα και το πληκτρολόγιο. Γι 'αυτό προτείνω να διαβάσετε αυτό το άρθρο.

πηγή: HowToForge