SSH 安全設定的大小事

OpenSSH_logo
圖片取自Wikipedia

 

前幾天幫朋友弄主機,看到/etc/hosts 被加入許多筆127.0.0.1 對應到不同的domain name,接著看登入紀錄發現,只留下當天下午之後的紀錄,其他的都不見了‵,個人的主機通常不會把log 丟到syslog server 上,系統上的帳號也被新增一個帳號,UID 還是0…,看來是被黑了…,最後發現,他沒把root 帳號SSH 連線的設定關掉,密碼也太過簡單。

給了朋友以下建議,順便寫出來。

關閉root 從SSH 登入

root 是整個系統的管理帳號,擁有控制系統的權限,所以要禁止root 從SSH 登入,需要以一般使用者帳號登入後再使用su 切換成root 或 sudo 以root 身分執行,當然root 也是要記得設定密碼。

編輯/etc/ssh/sshd_config,加入以下設定:

PermitRootLogin no

最後記得把sshd restart,才會從讀設定。

只開啟SSH 第2版

SSH v2在對稱式金鑰交換不像v1 由client 產生出,利用server 的公鑰加密傳回去,降低被攔截的機率,而且對稱式金鑰會定期重新產生,加密方法也增加AES 等,也加入公鑰驗證的機制防止中間人攻擊。

一樣在/etc/ssh/sshd_config,加入:

Protocol 2

防止暴力破解

想到的可以有4 個方式可以解決,

  1. 最基本的就是增加密碼的複雜度,不只是長度,也要避免使用鍵盤上連續的順序當作密碼,如果覺得密碼複雜度不足,建議快下passwd 改密碼。
  2. 限制最大登入失敗次數,把登入失敗次數過多的IP 給封鎖,可以利用fail2ban 或者sshguard 來實做,這些套件都是分析auth.log 利用iptables或 TCP Wrappers 來阻擋。
  3. 允許特定IP 登入,這對一般只有單一主機的人有點不可行,不過如果主機是放在學校可以利用TCP Wrappers (hosts.*) 或iptables 設定白名單,但是會想到那我不是就要在學校才能登入,現在大部分學校都有VPN 服務,也可以利用VPN 連回學校。
  4. 關閉密碼驗證功能,利用公私鑰驗證登入,可以在常用的主機產生出公私鑰或者把私鑰安全的放到網路空間,在不同主機時,只要將私鑰下載下來,因為私鑰要被竊取相對於密碼較低,但是放到網路空間,像Dropbox 上,安全一點可以在進行加密又或者在產生公私鑰時,可以設定密碼(passphrase),但是這樣利用公私鑰驗證登入時,需要輸入金鑰的密碼。

順便一提,最近常見的雙因素驗證 (Two-factor authentication) 也可以被用在SSH 上,除了使用者密碼外,也要輸入一個動態數值,利用Google Authenticator App 每30 秒動態產生值,現在已經有相關的套件實做。

發佈留言

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *

這個網站採用 Akismet 服務減少垃圾留言。進一步了解 Akismet 如何處理網站訪客的留言資料