Aumentare la sicurezza di SSH

fr:Accroître la sécurité de SSH en:Increase the security of SSH es:Aumentar la seguridad de SSH pt:Aumentar a segurança do SSH it:Aumentare la sicurezza di SSH nl:Verhoging van de veiligheid van SSH de:Erhöhen Sie die Sicherheit von SSH zh:提高 SSH 的安全性 ar:زيادة أمان SSH ja:SSH のセキュリティを高める pl:Zwiększenie bezpieczeństwa SSH ru:Повысить безопасность SSH ro:Creşte securitatea SSH he:להגביר את האבטחה של SSH
Il presente articolo è stato tradotto tramite un software di traduzione automatica. È possibile visualizzare l'origine articolo qui.

fr:Accroître la sécurité de SSH he:להגביר את האבטחה של SSH ro:Creşte securitatea SSH ru:Повысить безопасность SSH pl:Zwiększenie bezpieczeństwa SSH ja:SSH のセキュリティを高める ar:زيادة أمان SSH zh:提高 SSH 的安全性 de:Erhöhen Sie die Sicherheit von SSH nl:Verhoging van de veiligheid van SSH it:Aumentare la sicurezza di SSH pt:Aumentar a segurança do SSH es:Aumentar la seguridad de SSH en:Increase the security of SSH

Una volta che questo è possibile, si consiglia di modificare gli identificatori predefiniti e le porte di default dei servizi critici.

Su SSH, vediamo alcuni elementi che rafforzeranno la sicurezza di questo servizio.

Dans le cadre de la rédaction de ce article, nous nous sommes basés sur une distribution de type Debian Jessie. Suivant celle en place sur votre Server, la configuration peut être amenée à changer. Il faudra, par conséquent, adapter à vos besoins.

Per impostazione predefinita, per connettersi in SSH, è necessario stabilire una connessione sulla porta 22. Modificare questa porta già può proteggere da molti attacchi di forza bruta.

Si vous souhaitez utiliser SSH sur un autre port que celui par défaut, il vous faudra donc modifier Port 22 par Port 55555 nel file. /etc/ssh/sshd_config.

Al fine di rendere gli attacchi brute-force meno efficace, è inoltre possibile disattivare la connessione SSH attraverso l'account di root. Avrà pertanto un utente diverso dall'account predefinito e procedere con un'elevazione di privilegi da questo account per avere diritti di amministratore.

On va donc passer l'option associée de PermitRootLogin yes à PermitRootLogin no et déclarer les utilisateurs autorisés à se connecter. Pour autoriser l'utilisateur ikoula à se connecter in SSH, il faudra donc ajouter la ligne suivante nel file. de configuration : AllowUsers ikoula

Si au delà de deux minutes les informations de connexion ne sont pas saisies lors d'une connexion en SSH à votre Server, la connexion est coupée. Questo periodo può essere rivisto verso il basso (seguendo la latenza e la stabilità della tua connessione, naturalmente). Trente secondes peuvent être suffisantes. Afin de modifier cette valeur, nous allons modifier le paramètre LoginGraceTime. Nous allons donc maintenant modifier la ligne LoginGraceTime 120 par LoginGraceTime 30 dans le fichier /etc/ssh/sshd_config.

Ora cambieremo gli algoritmi utilizzati da SSH per limitare l'utilizzo di alcuni aggiungendo due righe aggiuntive nel file di configurazione del servizio SSH :

echo "Ciphers aes256-ctr,aes192-ctr,aes128-ctr" >> /etc/ssh/sshd_config

echo "MACs hmac-ripemd160" >> /etc/ssh/sshd_config

Debian di default aggiunge sempre una stringa di caratteri per il banner SSH. Per dirla semplicemente, se eseguire un telnet al vostro Server (Telnet IP_SERVER 22), qui è che cosa ottenete :

SSH-2.0-OpenSSH_6.7p1 Debian-5+deb8u2

Quindi cerchiamo di disattivare questo comportamento al fine di non visualizzare il nome della nostra distribuzione :

echo "DebianBanner no" >> /etc/ssh/sshd_config

Ora, vediamo di farla :

SSH-2.0-OpenSSH_6.7p1

Le modifiche sono complete, quindi cerchiamo di riavviare il servizio essere efficaci le modifiche :

systemctl restart ssh.service

È inoltre possibile implementare la restrizione di indirizzo IP per il servizio SSH (Se il vostro Server è non già un firewall ad esempio o il tuo iptables regole fare non già il necessario).

Noi pertanto vietare connessioni SSH a tutti e mettere un'eccezione per i nostri indirizzi IP :

echo "sshd: ALL" >> /etc/hosts.deny

echo "sshd: 12.34.56.78, 98.76.54.32" >> /etc/hosts.allow

Così, solo gli indirizzi IP 12.34.56.78 et 98.76.54.32 sarà consentito connettersi per votare Server en SSH (Sostituire con l'appropriato, IP indirizzi naturalmente).

In alternativa, è possibile implementare l'autenticazione tramite lo scambio delle chiavi, se lo si desidera.

Ordina per data Ordina per punteggio

Attivare l'aggiornamento automatico dei commenti

Non si dispone dei permessi necessari per inviare commenti.