Buone pratiche con OpenSSH

OpenSSH (Apri Secure Shell) è un insieme di applicazioni che consentono comunicazioni crittografate su una rete, utilizzando l'estensione protocollo SSH. È stato creato come alternativa gratuita e aperta al programma Secure Shell, che è un software proprietario. « wikipedia.

Alcuni utenti potrebbero pensare che le buone pratiche dovrebbero essere applicate solo sui server e non lo sono. Molte distribuzioni GNU / Linux includono OpenSSH per impostazione predefinita e ci sono alcune cose da tenere a mente.

Sicurezza

Questi sono i 6 punti più importanti da tenere a mente quando si configura SSH:

1. Usa una password complessa.
2. Cambia la porta predefinita di SSH.
3. Usa sempre la versione 2 del protocollo SSH.
4. Disabilita l'accesso root.
5. Limita l'accesso degli utenti.
6. Usa l'autenticazione con chiave.
7. Altre opzioni

Una password complessa

Una buona password è quella che contiene caratteri alfanumerici o speciali, spazi, lettere maiuscole e minuscole... ecc. Qui dentro DesdeLinux Abbiamo mostrato diversi metodi per generare buone password. Può visitare questo articolo y quest'altro.

Cambia la porta predefinita

La porta predefinita di SSH è 22. Per cambiarla, tutto ciò che dobbiamo fare è modificare il file /etc/ssh/sshd_config. Cerchiamo la riga che dice:

#Port 22

lo decommentiamo e cambiamo il 22 con un altro numero .. per esempio:

Port 7022

Per conoscere le porte che non stiamo utilizzando nel nostro computer / server possiamo eseguire nel terminale:

$ netstat -ntap

Ora per accedere al nostro computer o server dobbiamo farlo con l'opzione -p come segue:

$ ssh -p 7022 usuario@servidor

Usa protocollo 2

Per assicurarci di utilizzare la versione 2 del protocollo SSH, dobbiamo modificare il file /etc/ssh/sshd_config e cerca la riga che dice:

# Protocollo 2

Lo rimuoviamo dal commento e riavviamo il servizio SSH.

Non consentire l'accesso come root

Per evitare che l'utente root possa accedere da remoto tramite SSH, guardiamo nel file/etc/ssh/sshd_config la linea:

#PermitRootLogin no

e lo rimuoviamo dal commento. Penso che valga la pena chiarire che prima di fare ciò dobbiamo assicurarci che il nostro utente disponga delle autorizzazioni necessarie per eseguire attività amministrative.

Limita l'accesso da parte degli utenti

Inoltre non fa male consentire l'accesso tramite SSH solo a determinati utenti fidati, quindi torniamo al file /etc/ssh/sshd_config e aggiungiamo la riga:

ConsentiUtenti elav usemoslinux kzkggaara

Dove ovviamente, gli utenti elav, usemoslinux e kzkggaara sono quelli che potranno accedere.

Usa l'autenticazione con chiave

Sebbene questo metodo sia il più consigliato, dobbiamo prestare particolare attenzione perché accediamo al server senza inserire la password. Ciò significa che se un utente riesce ad accedere alla nostra sessione o il nostro computer viene rubato, possiamo essere nei guai. Tuttavia, vediamo come farlo.

La prima cosa è creare una coppia di chiavi (pubblica e privata):

ssh-keygen -t rsa -b 4096

Quindi passiamo la nostra chiave al computer / server:

ssh-copy-id -i ~/.ssh/id_rsa.pub elav@200.8.200.7

Infine dobbiamo avere decommentato, nel file /etc/ssh/sshd_config la linea:

AuthorizedKeysFile .ssh/authorized_keys

Altre opzioni

Possiamo ridurre a 30 secondi il tempo di attesa durante il quale un utente può accedere con successo al sistema

LoginGraceTime 30

Per evitare attacchi ssh tramite TCP Spoofing, lasciando attivo il criptato sul lato ssh per un massimo di 3 minuti, possiamo attivare queste 3 opzioni.

TCPKeepAlive no ClientAliveInterval 60 ClientAliveCountMax 3

Disabilitare l'uso di file rhosts o shosts, che per motivi di sicurezza si raccomanda di non essere utilizzati.

IgnoreRhosts sì IgnoreUserKnownHosts sì RhostsAuthentication no RhostsRSAAuthentication no

Verificare le autorizzazioni effettive dell'utente durante il login.

StrictModes yes

Abilita la separazione dei privilegi.

UsePrivilegeSeparation yes

Conclusioni:

Eseguendo questi passaggi possiamo aggiungere ulteriore sicurezza ai nostri computer e server, ma non dobbiamo mai dimenticare che c'è un fattore importante: cosa c'è tra la sedia e la tastiera. Ecco perché consiglio di leggere questo articolo.

fonte: ComeForgiare