Bune practici cu OpenSSH

OpenSSH (Deschideți Secure Shell) este un set de aplicații care permit comunicații criptate pe o rețea, utilizând protocol SSH. A fost creat ca o alternativă gratuită și deschisă la program Secure Shell, care este software proprietar. « Wikipedia.

Unii utilizatori pot crede că bunele practici ar trebui aplicate numai pe servere și acest lucru nu este cazul. Multe distribuții GNU / Linux includ OpenSSH în mod implicit și există câteva lucruri de reținut.

Securitate

Acestea sunt cele mai importante 6 puncte de care trebuie să ții cont atunci când configurezi SSH:

1. Folosiți o parolă puternică.
2. Schimbați portul implicit al SSH.
3. Folosiți întotdeauna versiunea 2 a protocolului SSH.
4. Dezactivați accesul root.
5. Limitați accesul utilizatorilor.
6. Folosiți autentificarea cheii.
7. Alte opțiuni

O parolă puternică

O parolă bună este una care conține caractere alfanumerice sau speciale, spații, litere mari și mici... etc. Aici în DesdeLinux Am arătat mai multe metode de a genera parole bune. Se poate vizita acest articol y aceasta alta.

Schimbați portul implicit

Portul implicit pentru SSH este 22. Pentru a-l modifica, tot ce trebuie să facem este să edităm fișierul / Etc / ssh / sshd_config. Căutăm linia care spune:

#Port 22

îl decomentăm și schimbăm 22 pentru un alt număr .. de exemplu:

Port 7022

Pentru a cunoaște porturile pe care nu le folosim în computerul / serverul nostru, le putem executa în terminal:

$ netstat -ntap

Acum pentru a accesa computerul sau serverul nostru trebuie să o facem cu opțiunea -p după cum urmează:

$ ssh -p 7022 usuario@servidor

Utilizați Protocolul 2

Pentru a ne asigura că utilizăm versiunea 2 a protocolului SSH, trebuie să edităm fișierul / Etc / ssh / sshd_config și căutați linia care spune:

# Protocolul 2

Îl decomentăm și repornim serviciul SSH.

Nu permiteți accesul ca root

Pentru a împiedica utilizatorul root să poată accesa de la distanță prin SSH, căutăm în fișier/ Etc / ssh / sshd_config linia:

#PermitRootLogin no

și o descomentăm. Cred că merită clarificat faptul că, înainte de a face acest lucru, trebuie să ne asigurăm că utilizatorul nostru are permisiunile necesare pentru a efectua sarcini administrative.

Limitați accesul utilizatorilor

De asemenea, nu este rău să permitem accesul prin SSH numai anumitor utilizatori de încredere, așa că ne întoarcem la fișier / Etc / ssh / sshd_config și adăugăm linia:

AllowUsers elav usemoslinux kzkggaara

În mod evident, utilizatorii elav, usemoslinux și kzkggaara sunt cei care vor putea accesa.

Folosiți autentificarea cheii

Deși această metodă este cea mai recomandată, trebuie să avem o grijă deosebită, deoarece vom accesa serverul fără a introduce parola. Aceasta înseamnă că, dacă un utilizator reușește să intre în sesiunea noastră sau computerul nostru este furat, putem avea probleme. Cu toate acestea, să vedem cum să o facem.

Primul lucru este să creați o pereche de chei (publice și private):

ssh-keygen -t rsa -b 4096

Apoi trecem cheia către computer / server:

ssh-copy-id -i ~/.ssh/id_rsa.pub elav@200.8.200.7

În cele din urmă, trebuie să avem un comentariu, în fișier / Etc / ssh / sshd_config linia:

AuthorizedKeysFile .ssh/authorized_keys

Alte opțiuni

Putem reduce timpul de așteptare în care un utilizator se poate conecta cu succes la sistem la 30 de secunde

LoginGraceTime 30

Pentru a evita atacurile ssh prin TCP Spoofing, lăsând partea ssh criptată în viață pentru maximum 3 minute, putem activa aceste 3 opțiuni.

TCPKeepAlive nu ClientAliveInterval 60 ClientAliveCountMax 3

Dezactivați utilizarea fișierelor rhosts sau shosts, care din motive de securitate sunt îndemnate să nu fie utilizate.

IgnoreRhosts da IgnoreUserKnownHosts da RhostsAuthentication nu RhostsRSAAuthentication nu

Verificați permisiunile efective ale utilizatorului în timpul conectării.

StrictModes yes

Activați separarea privilegiilor.

UsePrivilegeSeparation yes

concluzii:

Făcând acești pași putem adăuga o securitate suplimentară computerelor și serverelor noastre, dar nu trebuie să uităm niciodată că există un factor important: ce este între scaun și tastatură. De aceea recomand să citesc acest articol.

Fuente: CumToForge