Цікава порада щодо покращення безпеки SSH

Цього разу ми побачимо a коротка і проста підказка що допоможе нам покращитися безпеку наших віддалених з'єднань з SSH.

OpenSSH, що є пакетом, що надається системами GNU / Linux для обробки з'єднань SSH, має широкий вибір опцій. Читання книги SSH Захищена оболонка а на сторінках керівництва я знайшов параметр -F, який повідомляє клієнту SSH використовувати інший файл конфігурації, відмінний від того, який за замовчуванням знайдено в каталозі / etc / ssh.

Як ми використовуємо цей варіант?

Так:

ssh -F / path / to_your / configuration / file user @ ip / host

Наприклад, якщо у нас на робочому столі є власний конфігураційний файл з ім'ям my_config, і ми хочемо підключитися до користувача Carlos до комп'ютера за допомогою ip 192.168.1.258, тоді ми використаємо команду наступним чином:

ssh -F ~ / Desktop / my_config carlos@192.168.1.258

Як це допомагає безпеці з'єднання?

Нагадаємо, що зловмисник, який перебуває всередині нашої системи, негайно спробує отримати привілеї адміністратора, якщо він їх ще не має, тому йому було б досить легко виконати ssh для підключення до решти машин у мережі. Щоб уникнути цього, ми можемо налаштувати файл / etc / ssh / ssh_config з неправильними значеннями, і коли ми хочемо підключитися через SSH, ми будемо використовувати файл конфігурації, який ми збережемо у місці, яке відомо лише нам (навіть на зовнішньому запам'ятовуючому пристрої), тобто скажімо, у нас була б безпека в темряві. Таким чином зловмисник був би спантеличений, виявивши, що він не може встановити з'єднання за допомогою SSH і що він намагається встановити з'єднання відповідно до того, що вказано у файлі конфігурації за замовчуванням, тому йому буде важко усвідомити, що відбувається, і ми будемо сильно ускладнювати його Робота.

Це додано, щоб змінити порт прослуховування сервера SSH, відключити SSH1, вказати, які користувачі можуть підключатися до сервера, явно дозволити, який IP або діапазон IP-адрес можна підключити до сервера, та інші поради, які ми можемо знайти в http://www.techtear.com/2007/04/08/trucos-y-consejos-para-asegurar-ssh-en-linux вони дозволять нам підвищити безпеку наших SSH-з'єднань.

Все описане вище можна зробити в один рядок. На мій смак було б досить нудно писати великий рядок із декількома опціями кожного разу, коли ми намагаємось увійти через SSH на віддалений ПК, наприклад, наступне буде прикладом того, що я вам кажу:

ssh -p 1056 -c рибалка -C -l carlos -q -i я 192.168.1.258

-p Вказує порт для підключення на віддаленому хості.
-c Вказує спосіб шифрування сеансу.
-C Позначає, що сеанс слід стиснути.
-l Позначає користувача, з яким потрібно увійти на віддалений хост.
-q Позначає, що діагностичні повідомлення придушені.
-i Позначає файл, який потрібно ідентифікувати (приватний ключ)

Ми також повинні пам’ятати, що ми могли б використовувати історію терміналу, щоб уникнути необхідності вводити всю команду щоразу, коли нам це потрібно, - те, чим зловмисник також міг би скористатися, тому я б не рекомендував цього, принаймні, при використанні з'єднань SSH.

Хоча проблема безпеки - не єдина перевага цього варіанту, я можу подумати і про інших, таких як наявність файлу конфігурації для кожного сервера, до якого ми хочемо підключитися, тому ми уникатимемо записувати параметри кожного разу, коли хочемо встановити з'єднання з сервером SSH з певною конфігурацією.

Використання параметра -F може бути дуже корисним, якщо у вас є кілька серверів з різною конфігурацією. В іншому випадку доведеться запам'ятати всі налаштування, що практично неможливо. Рішенням було б мати файл конфігурації, який буде ідеально підготовлений відповідно до вимог кожного сервера, полегшуючи та забезпечуючи доступ до цих серверів.

За цим посиланням http://www.openbsd.org/cgi-bin/man.cgi?query=ssh_config Ви можете дізнатись, як редагувати файл конфігурації клієнта SSH.

Пам’ятайте, це лише ще одна підказка із сотні, яку ми можемо знайти для забезпечення SSH, тому, якщо ви хочете мати безпечні віддалені з’єднання, ви повинні поєднати між можливостями, які нам пропонує OpenSSH.

Наразі все, сподіваюся, ця інформація допоможе вам і чекатиме наступного тижня про безпеку SSH.