טיפ מעניין לשיפור אבטחת SSH

הפעם נראה א טיפ קצר ופשוט שיעזור לנו להשתפר אבטחה מהקשרים המרוחקים שלנו עם SSH.

ל- OpenSSH, שהיא החבילה שמספקות מערכות GNU / Linux לטיפול בחיבורי SSH, יש מגוון רחב של אפשרויות. קריאת הספר SSH המעטפת המאובטחת ובדפי האיש מצאתי את האפשרות -F, שאומרת ללקוח SSH להשתמש בקובץ תצורה שונה מזה שנמצא כברירת מחדל בספריה / etc / ssh.

כיצד נשתמש באפשרות זו?

כדלקמן:

ssh -F / path / to_your / config / file user @ ip / host

לדוגמא, אם יש לנו קובץ תצורה מותאם אישית בשם my_config בשולחן העבודה, ואנחנו רוצים להתחבר עם המשתמש קרלוס למחשב באמצעות ה- IP 192.168.1.258, נשתמש בפקודה באופן הבא:

ssh -F ~ / Desktop / my_config carlos@192.168.1.258

איך זה עוזר לאבטחת החיבור?

זכור שתוקף, שנמצא בתוך המערכת שלנו, ינסה מיד להשיג הרשאות מנהל אם אין לו כבר את זה, כך שיהיה לו די קל לבצע ssh כדי להתחבר לשאר המכונות ברשת. כדי למנוע זאת, נוכל להגדיר את קובץ / etc / ssh / ssh_config עם ערכים שגויים, וכאשר נרצה להתחבר באמצעות SSH נשתמש בקובץ התצורה שנשמור במיקום שרק אנו מכירים (אפילו בהתקן אחסון חיצוני), כלומר נגיד, יהיה לנו ביטחון על ידי חושך. באופן הזה התוקף היה תמה לגלות שהוא לא יכול להתחבר באמצעות SSH וכי הוא מנסה ליצור את החיבורים על פי המפורט בקובץ התצורה המוגדר כברירת מחדל, כך שיהיה לו קצת קשה להבין מה קורה, ונסבך אותו מאוד. העבודה.

זה נוסף כדי לשנות את יציאת ההאזנה של שרת SSH, להשבית את SSH1, לציין אילו משתמשים יכולים להתחבר לשרת, לאפשר במפורש איזה IP או טווח של IP יכולים להתחבר לשרת ועצות אחרות שנוכל למצוא ב http://www.techtear.com/2007/04/08/trucos-y-consejos-para-asegurar-ssh-en-linux הם יאפשרו לנו להגביר את האבטחה של חיבורי ה- SSH שלנו.

כל מה שתואר לעיל יכול להיעשות בשורה אחת. לטעמי זה יהיה די מייגע שנצטרך לכתוב שורה גדולה עם אפשרויות מרובות בכל פעם שאנחנו מנסים להתחבר באמצעות SSH למחשב מרוחק, למשל להלן דוגמא לדברים שאני אומר:

ssh -p 1056 -c blowfish -C -l קרלוס -q -I עצמי 192.168.1.258

-p מציין את היציאה שאליה יש להתחבר במארח המרוחק.
-c מציין כיצד יש להצפין את ההפעלה.
-C מציין שיש לדחוס את ההפעלה.
-l מציין את המשתמש שייכנס למארח המרוחק.
-q מציין כי הודעות אבחון מדוכאות.
-i מציין את הקובץ שאליו מזוהים (מפתח פרטי)

עלינו לזכור גם שנוכל להשתמש בהיסטוריית הטרמינל כך שלא נצטרך להקליד את הפקודה כולה בכל פעם שאנחנו זקוקים לה, דבר שתוקף יכול לנצל גם אותו, ולכן לא אמליץ עליו, לפחות בעת שימוש בחיבורי SSH.

נושא האבטחה הוא אמנם לא היתרון היחיד של אפשרות זו, אבל אני יכול לחשוב על אחרים, כמו למשל לקיים קובץ תצורה לכל שרת שאליו אנו רוצים להתחבר, ולכן נימנע מלכתוב את האפשרויות בכל פעם שנרצה ליצור חיבור לשרת. SSH עם תצורה ספציפית.

השימוש באפשרות -F יכול להיות שימושי מאוד במקרה שיש לך מספר שרתים עם תצורה שונה. אחרת, יהיה צורך לזכור את כל ההגדרות, וזה כמעט בלתי אפשרי. הפיתרון יהיה שיהיה קובץ תצורה שהוכן בצורה מושלמת בהתאם לדרישות של כל שרת, מה שמקל ומבטיח גישה לשרתים אלה.

בקישור הזה http://www.openbsd.org/cgi-bin/man.cgi?query=ssh_config תוכל לברר כיצד לערוך את קובץ התצורה של לקוח SSH.

זכרו, זהו רק טיפ אחד נוסף מתוך מאות שאנחנו יכולים למצוא כדי להבטיח SSH, כך שאם אתם רוצים לקבל חיבורים מרוחקים מאובטחים, עליכם לשלב את האפשרויות ש- OpenSSH מציע לנו.

זה הכל לעת עתה, אני מקווה שמידע זה ישמש אותך במידה מסוימת ואמתין להודעה נוספת על אבטחת SSH בשבוע הבא.