Dobre praktyki z OpenSSH

OpenSSH (Otwórz Secure Shell) to zestaw aplikacji, które umożliwiają szyfrowaną komunikację w sieci przy użyciu rozszerzenia Protokół SSH. Powstał jako bezpłatna i otwarta alternatywa dla programu Secure Shell, które jest oprogramowaniem zastrzeżonym. « Wikipedia.

Niektórzy użytkownicy mogą pomyśleć, że dobre praktyki powinny być stosowane tylko na serwerach, a tak nie jest. Wiele dystrybucji GNU / Linuksa domyślnie zawiera OpenSSH i jest kilka rzeczy, o których należy pamiętać.

Bezpieczeństwo

Oto 6 najważniejszych punktów, o których należy pamiętać podczas konfigurowania SSH:

1. Użyj silnego hasła.
2. Zmień domyślny port SSH.
3. Zawsze używaj wersji 2 protokołu SSH.
4. Wyłącz dostęp do roota.
5. Ogranicz dostęp użytkowników.
6. Użyj uwierzytelniania klucza.
7. Inne opcje

Silne hasło

Un buen password es aquel que contiene caracteres alfanuméricos o especiales, espacios, mayúsculas y minúsculas… etc. Acá en DesdeLinux hemos mostrado varios métodos para generar buenas contraseñas. Pueden visitar ten artykuł y ten inny.

Zmień domyślny port

Domyślny port SSH to 22. Aby go zmienić, wystarczy tylko edytować plik / etc / ssh / sshd_config. Szukamy linii, która mówi:

#Port 22

odkomentowujemy go i zmieniamy 22 na inny numer .. na przykład:

Port 7022

Aby poznać porty, których nie używamy na naszym komputerze / serwerze, możemy wykonać w terminalu:

$ netstat -ntap

Teraz, aby uzyskać dostęp do naszego komputera lub serwera, musimy to zrobić z opcją -p w następujący sposób:

$ ssh -p 7022 usuario@servidor

Użyj protokołu 2

Aby upewnić się, że używamy wersji 2 protokołu SSH, musimy edytować plik / etc / ssh / sshd_config i poszukaj linii, która mówi:

# Protokół 2

Odkomentowujemy go i ponownie uruchamiamy usługę SSH.

Nie zezwalaj na dostęp jako root

Aby uniemożliwić użytkownikowi root zdalny dostęp przez SSH, szukamy w pliku/ etc / ssh / sshd_config linia:

#PermitRootLogin no

i odkomentowujemy to. Myślę, że warto wyjaśnić, że przed wykonaniem tego musimy upewnić się, że nasz użytkownik ma niezbędne uprawnienia do wykonywania zadań administracyjnych.

Ogranicz dostęp dla użytkowników

Nie zaszkodzi też zezwolić na dostęp przez SSH tylko pewnym zaufanym użytkownikom, więc wracamy do pliku / etc / ssh / sshd_config i dodajemy linię:

Zezwalaj użytkownikom na użyciemoslinux kzkggaara

Oczywiście użytkownicy elav, usemoslinux i kzkggaara będą mogli uzyskać dostęp.

Użyj uwierzytelniania klucza

Chociaż ta metoda jest najbardziej zalecana, musimy zachować szczególną ostrożność, ponieważ będziemy uzyskiwać dostęp do serwera bez podawania hasła. Oznacza to, że jeśli użytkownikowi uda się wejść do naszej sesji lub nasz komputer zostanie skradziony, możemy mieć kłopoty. Zobaczmy jednak, jak to zrobić.

Pierwszą rzeczą jest utworzenie pary kluczy (publicznego i prywatnego):

ssh-keygen -t rsa -b 4096

Następnie przekazujemy nasz klucz do komputera / serwera:

ssh-copy-id -i ~/.ssh/id_rsa.pub elav@200.8.200.7

Wreszcie musimy odkomentować w pliku / etc / ssh / sshd_config linia:

AuthorizedKeysFile .ssh/authorized_keys

Inne opcje

Możemy skrócić czas oczekiwania, w którym użytkownik może pomyślnie zalogować się do systemu, do 30 sekund

LoginGraceTime 30

Aby uniknąć ataków ssh przez TCP Spoofing, pozostawiając zaszyfrowane aktywne po stronie ssh przez maksymalnie 3 minuty, możemy aktywować te 3 opcje.

TCPKeepAlive no ClientAliveInterval 60 ClientAliveCountMax 3

Wyłącz używanie plików rhosts lub shosts, których ze względów bezpieczeństwa odradza się.

IgnoreRhosts tak IgnoreUserKnownHosts tak RhostsAuthentication no RhostsRSAAuthentication nie

Sprawdź obowiązujące uprawnienia użytkownika podczas logowania.

StrictModes yes

Włącz rozdzielanie uprawnień.

UsePrivilegeSeparation yes

Wnioski:

Wykonując te czynności, możemy zwiększyć bezpieczeństwo naszych komputerów i serwerów, ale nigdy nie możemy zapominać, że istnieje ważny czynnik: co jest między krzesłem a klawiaturą. Dlatego polecam lekturę ten artykuł.

źródło: Jak wykuwać