Goede praktijken met OpenSSH

OpenSSH (Beveiligde shell openen) is een set applicaties die gecodeerde communicatie via een netwerk mogelijk maakt met behulp van de protocol SSH. Het is gemaakt als een gratis en open alternatief voor het programma Secure Shell, dat is eigen software. « Wikipedia.

Sommige gebruikers denken misschien dat goede praktijken alleen op servers moeten worden toegepast en dat is niet het geval. Veel GNU / Linux-distributies bevatten standaard OpenSSH en er zijn een paar dingen om in gedachten te houden.

Veiligheid

Dit zijn de 6 belangrijkste punten om in gedachten te houden bij het configureren van SSH:

1. Gebruik een sterk wachtwoord.
2. Wijzig de standaardpoort van SSH.
3. Gebruik altijd versie 2 van het SSH-protocol.
4. Schakel root-toegang uit.
5. Beperk gebruikerstoegang.
6. Gebruik sleutelverificatie.
7. Andere opties

Een sterk wachtwoord

Een goed wachtwoord is een wachtwoord dat alfanumerieke of speciale tekens, spaties, hoofdletters en kleine letters enz. bevat. Hier binnen DesdeLinux We hebben verschillende methoden laten zien om goede wachtwoorden te genereren. Kan bezoeken dit artikel y deze andere.

Wijzig de standaardpoort

De standaardpoort voor SSH is 22. Om dit te wijzigen, hoeven we alleen maar het bestand te bewerken / Etc / ssh / sshd_config. We zoeken naar de regel die zegt:

#Port 22

we verwijderen het commentaar en veranderen de 22 voor een ander nummer .. bijvoorbeeld:

Port 7022

Om de poorten te kennen die we niet gebruiken op onze computer / server, kunnen we uitvoeren in de terminal:

$ netstat -ntap

Om toegang te krijgen tot onze computer of server, moeten we dit doen met de optie -p als volgt:

$ ssh -p 7022 usuario@servidor

Gebruik protocol 2

Om er zeker van te zijn dat we versie 2 van het SSH-protocol gebruiken, moeten we het bestand bewerken / Etc / ssh / sshd_config en zoek naar de regel die zegt:

#Protocol2

We verwijderen het commentaar en starten de SSH-service opnieuw.

Sta geen toegang toe als root

Om te voorkomen dat de rootgebruiker op afstand toegang kan krijgen via SSH, kijken we in het bestand/ Etc / ssh / sshd_config de lijn:

#PermitRootLogin no

en we maken er geen commentaar op. Ik denk dat het de moeite waard is om te verduidelijken dat voordat we dit doen, we ervoor moeten zorgen dat onze gebruiker de nodige machtigingen heeft om administratieve taken uit te voeren.

Beperk de toegang door gebruikers

Het kan ook geen kwaad om alleen bepaalde vertrouwde gebruikers toegang via SSH toe te staan, dus keren we terug naar het bestand / Etc / ssh / sshd_config en we voegen de regel toe:

Sta gebruikers toe elav usemoslinux kzkggaara

Waar uiteraard de gebruikers elav, usemoslinux en kzkggaara degenen zijn die toegang zullen hebben.

Gebruik sleutelverificatie

Hoewel deze methode het meest wordt aanbevolen, moeten we extra voorzichtig zijn omdat we toegang krijgen tot de server zonder het wachtwoord in te voeren. Dit betekent dat als een gebruiker erin slaagt onze sessie binnen te komen of onze computer wordt gestolen, we in de problemen kunnen komen. Laten we echter kijken hoe we het moeten doen.

Het eerste is om een ​​paar sleutels te maken (openbaar en privé):

ssh-keygen -t rsa -b 4096

Vervolgens geven we onze sleutel door aan de computer / server:

ssh-copy-id -i ~/.ssh/id_rsa.pub elav@200.8.200.7

Ten slotte moeten we in het bestand ongecommentarieerd hebben / Etc / ssh / sshd_config de lijn:

AuthorizedKeysFile .ssh/authorized_keys

Andere opties

We kunnen de wachttijd waarin een gebruiker succesvol kan inloggen op het systeem terugbrengen tot 30 seconden

LoginGraceTime 30

Om ssh-aanvallen via TCP-spoofing te voorkomen, waarbij de ssh-kant maximaal 3 minuten versleuteld blijft, kunnen we deze 3 opties activeren.

TCPKeepAlive geen ClientAliveInterval 60 ClientAliveCountMax 3

Schakel het gebruik van rhost- of shosts-bestanden uit, die om veiligheidsredenen niet mogen worden gebruikt.

IgnoreRhosts ja IgnoreUserKnownHosts ja RhostsAuthentication nee RhostsRSAAuthentication nee

Controleer de effectieve machtigingen van de gebruiker tijdens het inloggen.

StrictModes yes

Maak scheiding van bevoegdheden mogelijk.

UsePrivilegeSeparation yes

Conclusiones:

Door deze stappen uit te voeren kunnen we extra beveiliging toevoegen aan onze computers en servers, maar we mogen nooit vergeten dat er een belangrijke factor is: wat is er tussen de stoel en het toetsenbord. Daarom raad ik aan om te lezen dit artikel.

bron: Hoe te smeden