Làm thế nào tôi có thể tăng bảo mật ssh? Tôi có thể yêu cầu cả khóa và mật khẩu không?

Tôi có một mạng lưới máy chủ nhỏ và tôi muốn tăng cường bảo mật chung. Tôi không có đủ thời gian / tiền bạc / hoang tưởng để thiết lập VPN - cách cơ bản nào để tôi có thể tăng tính bảo mật cho hệ thống của mình?

Một điều có thể là yêu cầu người dùng gửi cả khóa và nhập mật khẩu. Điều này hơi khó để google vì mọi thứ về "mật khẩu khóa ssh" là về sshing mà không cần mật khẩu. :-)

Một lược đồ mà tôi luôn muốn chơi với nó là yêu cầu các kết nối đến chỉ đến từ danh sách trắng các địa chỉ IP của dyndns. Tôi biết một số người đứng đầu an ninh sẽ nôn mửa khi nghĩ về ý tưởng này, nhưng thực tế của vấn đề là nó sẽ tăng thêm độ phức tạp rất đáng kể để khai thác một hộp.

Bạn nghĩ sao? Có gì khác ngoài đó?

Việc đăng nhập bằng mật khẩu và khóa giống như "chỉ với khóa". Trong quá trình tạo khóa, bạn được yêu cầu nhập cụm mật khẩu. Nếu bạn để trống, bạn sẽ không được yêu cầu nhập mật khẩu. Nếu bạn điền một số cụm mật khẩu, bạn sẽ được yêu cầu sử dụng nó mọi lúc khi bạn muốn đăng nhập.

Nếu bạn lo ngại về bảo mật, hãy xem xét một số lời khuyên được đề cập hàng nghìn tỷ lần trong diễn đàn này:

• Vô hiệu hóa đăng nhập ssh cho root
• Chỉ cho phép truy cập ssh từ các địa chỉ IP được xác định (iptables, hosts.allow, ...)
• Di chuyển cổng ssh sang cổng khác (tối nghĩa hơn là bảo mật, nhưng nó hoạt động)
• Theo dõi các nỗ lực đăng nhập nước ngoài và phản ứng phù hợp
• Luôn cập nhật hệ thống của bạn

Vân vân.

Cập nhật: Vui lòng tham khảo câu trả lời tại đây để biết cách yêu cầu cả khóa công khai và mật khẩu hệ thống cục bộ với máy chủ OpenSSH.

Một ý tưởng tôi thấy thú vị là gõ cổng - về cơ bản, để thiết lập kết nối ssh, trước tiên bạn phải thăm dò một chuỗi các cổng khác, trước khi máy chủ ssh sẽ xác nhận yêu cầu kết nối. Nếu chuỗi cổng chính xác không được sử dụng, không có phản hồi, vì vậy có vẻ như không có máy chủ ssh nào đang chạy. Trình tự các cổng có thể tùy chỉnh và có thể được chia sẻ với người dùng dự định của bạn; tất cả những người khác sẽ không thể kết nối.

Tôi đã không thử điều này bản thân mình, nhưng từ những gì tôi đã nghe (thực tế không nhiều), chi phí không đáng kể và nó làm giảm đáng kể hồ sơ khả năng hiển thị của bạn.

Các bản vá liên quan đến việc kích hoạt trực tiếp trong SSH và nhiều cuộc thảo luận liên quan:

• https://ormszilla.mindrot.org/show_orms.cgi?id=983

Điều này cũng có thể được thực hiện mà không cần sửa đổi bằng cách có một kịch bản xác minh mật khẩu kết hợp với việc sử dụng ForceCommandtùy chọn cấu hình.

• http://www.tuxz.net/blog/archives/2010/03/17/how_to_quickly_setup_two-factor_ssh_authentication/

Cuối cùng, mặc dù không có mô-đun nào tồn tại cho nó, nhưng nếu bạn đã di chuyển xác thực khóa chung sang PAM thì bạn sẽ có thể yêu cầu cả hai bước để vượt qua trước khi PAM coi xác thực thành công.

Chỉ dùng

RequiredAuthentications publickey, password

trong sshd_confignếu bạn đang sử dụng sshd từ ssh.com. Tính năng này không có sẵn trong OpenSSH.

Bạn cũng có thể sử dụng mật khẩu một lần để tăng tính bảo mật. Điều này sẽ cho phép người dùng đăng nhập từ một thiết bị đầu cuối không an toàn, có thể có keylogger, nếu trước đó họ đã tạo mật khẩu tiếp theo. Ngoài ra, có những trình tạo mật khẩu có thể được cài đặt ngay cả trên các điện thoại Java MIDP cũ hơn mà bạn luôn mang theo bên mình.

Tôi khuyên bạn không bao giờ nên chạy sshd, rdp hoặc các dịch vụ quản lý như vậy mà không hạn chế IP. Trên thực tế, tôi sẽ đề xuất giới hạn quyền truy cập vào các dịch vụ như vậy đối với các quản trị viên kết nối qua VPN.

Về câu hỏi ban đầu của bạn về việc yêu cầu cả khóa và mật khẩu, nếu bạn đang chạy RHEL hoặc CentOS 6.3, điều này hiện có thể thực hiện được. Các ghi chú RHEL 6.3 phát hành mô tả nó, đó là một vấn đề này thêm vào sshd_config của bạn

RequiredAuthentications2 publickey,password

Tôi hoàn toàn đồng ý với 3molo. OpenSSH là máy chủ SSH mặc định của Linux và Unix. Không có lý do gì để chúng tôi thay đổi nó, đặc biệt là về bảo mật. VPN phải là giải pháp tốt nhất, có thể mã hóa lưu lượng của chúng tôi và cung cấp ủy quyền mật khẩu 2 bước.

Không chắc chắn tại sao không ai đề cập đến nó nhưng - bạn nên đảm bảo tạo các khóa dài hơn 1024 bit mặc định không còn được coi là an toàn.