SSH güvenliğini nasıl artırabilirim? Hem anahtar hem de şifre isteyebilir miyim?

Küçük bir sunucu ağım var ve genel güvenliği artırmak istiyorum. Bir VPN kurmak için yeterli zamanım / param / paranoyam yok - sistemimin güvenliğini arttırmanın temel yolu nedir?

Bir şey, kullanıcıların hem anahtarlarını göndermelerini hem de bir şifre girmelerini istemek olabilir. Çünkü "ssh anahtar parola" hakkında her şey bir parola olmadan sshing hakkında çünkü bu google için zor. :-)

Her zaman oynamak istediğim bir şema, gelen bağlantıların sadece dyndns ip adreslerinin bir beyaz listesinden gelmesini gerektiriyor. Bazı güvenlik başkanlarının bu düşüncenin düşüncesinde kusacağını biliyorum, ama asıl mesele, bir kutuyu kullanmak için çok önemli bir karmaşıklık katacağıdır.

Ne düşünüyorsun? Orada başka ne var?

Şifre ve anahtar ile giriş "sadece anahtar ile" ile aynıdır. Anahtar oluşturma sırasında sizden parola girmeniz istenir. Boş bırakırsanız, şifre girmeniz istenmez. Bazı parolaları doldurursanız, her giriş yapmak istediğinizde sizden istenir.

Güvenlik konusunda endişeleriniz varsa, bu forumda trilyon kez belirtilen şu önerileri dikkate alın:

• Kök için ssh girişini devre dışı bırak
• Yalnızca tanımlanmış ip adreslerinden ssh erişimine izin ver (iptables, hosts.allow, ...)
• Ssh portunu başka bir porta taşıyın (güvenlikten daha belirsiz; ancak işe yarıyor)
• Yabancı giriş denemelerini izleyin ve buna göre tepki verin
• Sisteminizi güncel tutun

Vs vs.

Güncelleme: OpenSSH sunucusuyla hem ortak anahtar hem de yerel sistem şifresi gerektirme konusunda lütfen cevaba bakınız .

İlginç bulduğum bir fikir port çalma - temel olarak, ssh bağlantısı kurmak için, ssh sunucusu bir bağlantı isteğini kabul etmeden önce, diğer bağlantı noktalarının bir sırasını araştırmanız gerekir. Doğru bağlantı noktaları dizisi kullanılmazsa, yanıt gelmez, bu nedenle etkin olarak çalışan bir ssh sunucusu yokmuş gibi görünür. Bağlantı noktalarının sırası özelleştirilebilir ve hedeflediğiniz kullanıcılarla paylaşılabilir; diğer herkes etkili bir şekilde bağlantı kuramaz.

Bunu kendim denemedim, ancak duyduğumdan (aslında çok fazla değil) ek yük ihmal edilebilir ve görünürlük profilinizi muazzam bir şekilde düşürür.

Doğrudan SSH'de etkinleştirme ile ilgili yamalar ve ilgili birçok tartışma:

• https://bugzilla.mindrot.org/show_bug.cgi?id=983

Bu, ForceCommandyapılandırma seçeneğinin kullanımı ile birleştirilmiş bir parola doğrulama komut dosyasına sahip olarak değişiklik yapılmadan da yapılabilir .

• http://www.tuxz.net/blog/archives/2010/03/17/how_to_quickly_setup_two-factor_ssh_authentication/

Son olarak, bunun için hiçbir modül mevcut olmasa da, ortak anahtar kimlik doğrulamasını PAM'a taşıdıysanız, PAM kimlik doğrulaması başarılı sayılmadan önce her iki adımı da geçmeniz gerekebilir.

Sadece kullan

RequiredAuthentications publickey, password

içinde sshd_configsen ssh.com gelen sshd kullanıyorsanız. Bu özellik OpenSSH'de mevcut değildir.

Güvenliği artırmak için bir defalık şifreler de kullanabilirsiniz . Bu, kullanıcıların daha önce bir sonraki şifreyi oluşturmaları durumunda, tuş kaydediciye sahip olabilecek güvenli olmayan bir terminalden giriş yapmalarını sağlar. Ayrıca, her zaman yanınızda taşıdığınız eski Java MIDP telefonlarına bile kurulabilen parola oluşturucular vardır.

Ben hiç bir sshd, rdp ya da IP kısıtlaması olmadan böyle bir yönetim hizmetleri çalıştırmak asla tavsiye ederim. Aslında, VPN üzerinden bağlanan yöneticilere bu tür hizmetlere erişimi sınırlamanızı öneririm.

Hem anahtar hem de şifre istemeyle ilgili orijinal sorunuzla ilgili olarak, RHEL veya CentOS 6.3 çalıştırıyorsanız, bu artık mümkündür. RHEL 6.3 sürüm notları sizin sshd_config bu ekleme meselesi, tarif

RequiredAuthentications2 publickey,password

3molo ile kesinlikle katılıyorum. OpenSSH, Linux ve Unix'in varsayılan SSH sunucusudur. Bunu değiştirmek için hiçbir nedenimiz yok, özellikle güvenlik için. VPN, trafiğimizi şifreleyebilen ve 2 adımlı şifre yetkilendirmesi sağlayabilen en iyi çözüm olmalıdır.

Kimsenin neden bahsetmediğinden emin değilim - - artık güvenli kabul edilmeyen varsayılan 1024 bit'ten daha uzun anahtarlar oluşturduğunuzdan emin olmalısınız.