Geroji „OpenSSH“ praktika

OpenSSH (Atidarykite „Secure Shell“) yra programų rinkinys, leidžiantis užšifruotą ryšį per tinklą, naudojant protokolas SSH. Jis buvo sukurtas kaip nemokama ir atvira programos alternatyva Secure Shell, kuri yra patentuota programinė įranga. « '.

Kai kurie vartotojai gali manyti, kad geroji patirtis turėtų būti taikoma tik serveriuose, o taip nėra. Daugelyje GNU / Linux paskirstymų pagal numatytuosius nustatymus yra „OpenSSH“ ir reikia atsiminti keletą dalykų.

saugumas

Tai yra 6 svarbiausi dalykai, į kuriuos reikia atsižvelgti konfigūruojant SSH:

1. Naudokite tvirtą slaptažodį.
2. Pakeiskite numatytąjį SSH prievadą.
3. Visada naudokite 2 SSH protokolo versiją.
4. Išjungti prieigą prie šaknies.
5. Apriboti vartotojo prieigą.
6. Naudokite raktų autentifikavimą.
7. Kitos parinktys

Tvirtas slaptažodis

Geras slaptažodis yra tas, kurį sudaro raidiniai ir skaitiniai arba specialieji simboliai, tarpai, didžiosios ir mažosios raidės ir kt. Čia viduje DesdeLinux Mes parodėme keletą būdų, kaip sukurti gerus slaptažodžius. Gali aplankyti šis straipsnis y šis kitas.

Pakeiskite numatytąjį prievadą

Numatytasis SSH prievadas yra 22. Norėdami jį pakeisti, tereikia redaguoti failą / etc / ssh / sshd_config. Mes ieškome eilutės, kurioje sakoma:

#Port 22

mes jį nekomentuojame ir pakeičiame 22 kitu numeriu .. pavyzdžiui:

Port 7022

Norėdami sužinoti prievadus, kurių nenaudojame savo kompiuteryje / serveryje, galime atlikti terminale:

$ netstat -ntap

Dabar, norėdami pasiekti savo kompiuterį ar serverį, turime tai padaryti naudodami -p parinktį taip:

$ ssh -p 7022 usuario@servidor

Naudokite 2 protokolą

Kad įsitikintume, jog naudojame 2 SSH protokolo versiją, turime redaguoti failą / etc / ssh / sshd_config ir ieškokite eilutės, kurioje sakoma:

# 2 protokolas

Mes nepaisome jo ir perkrauname SSH paslaugą.

Neleiskite prieigos kaip root

Kad šakninis vartotojas negalėtų pasiekti SSH nuotoliniu būdu, ieškome failo/ etc / ssh / sshd_config linija:

#PermitRootLogin no

ir mes to nekomentuojame. Manau, kad verta paaiškinti, jog prieš tai atlikdami turime įsitikinti, kad mūsų vartotojas turi reikiamus leidimus atlikti administracines užduotis.

Apriboti vartotojų prieigą

Taip pat nepakenks leisti prieigą per SSH tik tam tikriems patikimiems vartotojams, todėl grįžtame prie failo / etc / ssh / sshd_config ir pridedame eilutę:

„AllowUsers elav usemoslinux kzkggaara“

Kur akivaizdu, vartotojai „elav“, „usemoslinux“ ir „kzkggaara“ galės pasiekti.

Naudokite raktų autentifikavimą

Nors šis metodas yra labiausiai rekomenduojamas, turime būti ypač atsargūs, nes prie serverio prisijungsime neįvedę slaptažodžio. Tai reiškia, kad jei vartotojui pavyksta įeiti į mūsų seansą arba pavogtas kompiuteris, galime patekti į bėdą. Tačiau pažiūrėkime, kaip tai padaryti.

Pirmas dalykas yra sukurti porą raktų (viešųjų ir privačių):

ssh-keygen -t rsa -b 4096

Tada mes perduodame raktą kompiuteriui / serveriui:

ssh-copy-id -i ~/.ssh/id_rsa.pub elav@200.8.200.7

Galiausiai byloje turime būti nekomentuoti / etc / ssh / sshd_config linija:

AuthorizedKeysFile .ssh/authorized_keys

Kitos parinktys

Laukimo laiką, per kurį vartotojas gali sėkmingai prisijungti prie sistemos, galime sutrumpinti iki 30 sekundžių

LoginGraceTime 30

Kad išvengtume ssh atakų per TCP spoofing, palikdami ssh šifruotą gyvą ne ilgiau kaip 3 minutėms, galime suaktyvinti šias 3 parinktis.

TCPKeepAlive no ClientAliveInterval 60 ClientAliveCountMax 3

Išjunkite „rhosts“ arba „shosts“ failų naudojimą, kurie saugumo sumetimais raginami nenaudoti.

IgnoreRhosts taip IgnoreUserKnownHosts taip RhostsAuthentication ne RhostsRSAAuthentication ne

Prisijungdami patikrinkite galiojančius vartotojo leidimus.

StrictModes yes

Įgalinti privilegijų atskyrimą.

UsePrivilegeSeparation yes

Išvados:

Atlikdami šiuos veiksmus galime suteikti papildomą saugumą savo kompiuteriams ir serveriams, tačiau niekada neturime pamiršti, kad yra svarbus veiksnys: kas yra tarp kėdės ir klaviatūros. Štai kodėl aš rekomenduoju skaityti šis straipsnis.

Fuente: „HowToForge“