Ciekawa wskazówka dotycząca poprawy bezpieczeństwa SSH

Tym razem zobaczymy krótka i prosta wskazówka które pomogą nam ulepszyć bezpieczeństwo naszych zdalnych połączeń z SSH.

OpenSSH, który jest pakietem dostarczanym przez systemy GNU / Linux do obsługi połączeń SSH, ma szeroką gamę opcji. Czytanie książki SSH Bezpieczna powłoka a na stronach podręcznika znalazłem opcję -F, która mówi klientowi SSH, aby użył innego pliku konfiguracyjnego niż ten znaleziony domyślnie w katalogu / etc / ssh.

Jak korzystamy z tej opcji?

W następujący sposób:

ssh -F / path / to_your / configuration / file user @ ip / host

Na przykład, jeśli mamy niestandardowy plik konfiguracyjny o nazwie my_config na pulpicie i chcemy połączyć się z użytkownikiem Carlos do komputera z adresem IP 192.168.1.258, to użylibyśmy następującego polecenia:

ssh -F ~ / Desktop / my_config carlos@192.168.1.258

W jaki sposób pomaga to w zabezpieczeniu połączenia?

Przypomnijmy, że osoba atakująca znajdująca się w naszym systemie będzie natychmiast próbowała uzyskać uprawnienia administratora, jeśli jeszcze ich nie ma, więc wykonanie ssh w celu połączenia się z pozostałymi maszynami w sieci byłoby dla niego dość łatwe. Aby tego uniknąć, możemy skonfigurować plik / etc / ssh / ssh_config z niepoprawnymi wartościami, a gdy będziemy chcieli połączyć się przez SSH użyjemy pliku konfiguracyjnego, który zapiszemy w lokalizacji, którą tylko znamy (nawet na zewnętrznym urządzenie pamięci masowej), to znaczy, że bylibyśmy chronieni ciemnością. W ten sposób atakujący byłby zdziwiony, gdyby stwierdził, że nie może połączyć się za pomocą SSH i że próbuje nawiązać połączenia zgodnie z tym, co jest określone w domyślnym pliku konfiguracyjnym, więc trudno mu będzie zorientować się, co się dzieje, a my bardzo skomplikuje mu pracę.

Dodano to, aby zmienić port nasłuchiwania serwera SSH, wyłączyć SSH1, określić, którzy użytkownicy mogą łączyć się z serwerem, wyraźnie zezwolić, który adres IP lub zakres adresów IP może łączyć się z serwerem i inne wskazówki, które możemy znaleźć w http://www.techtear.com/2007/04/08/trucos-y-consejos-para-asegurar-ssh-en-linux pozwolą nam zwiększyć bezpieczeństwo naszych połączeń SSH.

Wszystko opisane powyżej można zrobić w jednej linii. Jak na mój gust, pisanie dużej linii z wieloma opcjami za każdym razem, gdy próbujemy zalogować się przez SSH do zdalnego komputera, byłoby dość uciążliwe, na przykład poniżej byłby przykład tego, co mówię:

ssh -p 1056 -c blowfish -C -l carlos -q -i ja 192.168.1.258

-p Określa port, z którym należy się połączyć na zdalnym hoście.
-c Określa, w jaki sposób sesja ma być szyfrowana.
-C Wskazuje, że sesja powinna zostać skompresowana.
-l Wskazuje użytkownika, za pomocą którego należy zalogować się do zdalnego hosta.
-q Wskazuje, że komunikaty diagnostyczne są pomijane.
-i Wskazuje plik do zidentyfikowania za pomocą (klucz prywatny)

Musimy również pamiętać, że moglibyśmy wykorzystać historię terminala, aby uniknąć konieczności wpisywania całej komendy za każdym razem, gdy jej potrzebujemy, z czego atakujący również mógłby skorzystać, więc nie polecałbym tego, przynajmniej w użyciu Połączenia SSH.

Chociaż kwestia bezpieczeństwa nie jest jedyną zaletą tej opcji, mogę pomyśleć o innych, takich jak posiadanie pliku konfiguracyjnego dla każdego serwera, z którym chcemy się połączyć, więc unikniemy zapisywania opcji za każdym razem, gdy chcemy nawiązać połączenie serwer SSH o określonej konfiguracji.

Użycie opcji -F może być bardzo przydatne w przypadku kilku serwerów o różnej konfiguracji. W przeciwnym razie wszystkie ustawienia będą musiały zostać zapamiętane, co jest praktycznie niemożliwe. Rozwiązaniem byłoby posiadanie pliku konfiguracyjnego doskonale przygotowanego zgodnie z wymaganiami każdego serwera, ułatwiającego i zapewniającego dostęp do tych serwerów.

W tym linku http://www.openbsd.org/cgi-bin/man.cgi?query=ssh_config Możesz dowiedzieć się, jak edytować plik konfiguracyjny klienta SSH.

Pamiętaj, że to jeszcze jedna wskazówka z setek, które możemy znaleźć, aby zapewnić SSH, więc jeśli chcesz mieć bezpieczne połączenia zdalne, musisz połączyć możliwości, które oferuje nam OpenSSH.

Na razie to wszystko, mam nadzieję, że te informacje ci pomogą i czekam na kolejny post o bezpieczeństwie SSH w przyszłym tygodniu.