Premiers pas avec la sécurité SSH : 13 façons d'établir une connexion sécurisée sous Linux

SSH est un protocole utilisé pour se connecter et gérer à distance les serveurs Linux. Il peut crypter la transmission de données et empêcher les attaques de l'homme du milieu et les écoutes clandestines. Cependant, SSH lui-même peut également être confronté à certaines menaces de sécurité, telles que le piratage de mot de passe par force brute, l'analyse de port, le détournement de session, etc. Par conséquent, nous devons prendre certaines mesures pour protéger notre connexion au serveur SSH et améliorer la sécurité et la fiabilité. Cet article présentera 13 façons d'établir une connexion SSH sécurisée sous Linux, notamment la modification du port par défaut, la désactivation de la connexion root, l'utilisation de l'authentification par clé, la limitation des tentatives de connexion, l'utilisation d'un pare-feu, l'utilisation de l'authentification à deux facteurs, etc.

1. Désactivez la connexion de l'utilisateur root

Tout d’abord, désactivez l’accès SSH pour l’utilisateur root et créez un nouvel utilisateur avec les privilèges root. La désactivation de l'accès au serveur pour l'utilisateur root est une stratégie défensive qui empêche les attaquants d'accéder à votre système. Par exemple, vous pouvez créer un utilisateur nommé exampleroot comme suit :

useradd -m exampleroot
passwd exampleroot
usermod -aG sudo exampleroot

Voici une brève explication de la commande ci-dessus :

La commande

useradd est utilisée pour créer un nouvel utilisateur. Le paramètre -m créera un dossier pour l'utilisateur créé dans le répertoire personnel.

La commande

passwd est utilisée pour attribuer un mot de passe à un nouvel utilisateur. N'oubliez pas que les mots de passe attribués aux utilisateurs doivent être des mots de passe complexes et difficiles à deviner.

usermod -aG sudo ajoute l'utilisateur nouvellement créé au groupe des administrateurs.

Après avoir créé l'utilisateur, certaines modifications doivent être apportées au fichier sshd_config. Vous pouvez trouver ce fichier dans /etc/ssh/sshd_config. Ouvrez le fichier à l'aide de n'importe quel éditeur de texte et apportez les modifications suivantes :

# Authentication: 

#LoginGraceTime 2m 
PermitRootLogin no 
AllowUsers exampleroot

Le paramètre PermitRootLogin empêche les utilisateurs root d'obtenir un accès à distance via SSH. L’inclusion de exampleroot dans la liste AllowUsers donne à l’utilisateur les autorisations nécessaires.

Enfin, redémarrez le service SSH à l'aide de la commande suivante :

sudo systemctl restart ssh

Si cela échoue et que vous recevez un message d'erreur, essayez la commande ci-dessous. Cela peut varier en fonction de la distribution Linux que vous utilisez.

sudo systemctl restart sshd

2. Changez le port SSH par défaut

Le port de connexion SSH par défaut est 22. Bien entendu, tous les attaquants le savent et doivent donc modifier le numéro de port par défaut pour garantir la sécurité SSH. Même si un attaquant peut facilement trouver de nouveaux numéros de port à l'aide d'une analyse Nmap, le but ici est de rendre le travail de l'attaquant plus difficile.

Pour modifier le numéro de port, ouvrez /etc/ssh/sshd_config et apportez les modifications suivantes au fichier :

Include /etc/ssh/sshd_config.d/*.conf

Port 5922

Après avoir terminé cette étape, utilisez à nouveau la commande sudo systemctl restart ssh pour redémarrer le service SSH. Vous pouvez maintenant accéder au serveur en utilisant le port que vous venez de définir.

Si vous utilisez un pare-feu, vous devez y apporter les modifications de règles nécessaires. Exécutez la commande netstat -tlpn et vous pourrez voir que le numéro de port pour SSH a changé.

3. Il est interdit de se connecter avec un mot de passe vide

Il se peut qu'il y ait un utilisateur sans mot de passe sur votre système, que vous avez peut-être créé accidentellement. Pour empêcher ces utilisateurs d'accéder au serveur, vous pouvez définir la valeur de la ligne PermitEmptyPasswords dans le fichier sshd_config sur no.

PermitEmptyPasswords no

4. Limiter le nombre de tentatives de connexion/d'accès

Par défaut, vous pouvez utiliser autant de tentatives de mot de passe pour accéder au serveur. Cependant, un attaquant pourrait exploiter cette vulnérabilité pour forcer brutalement le serveur.

Vous pouvez mettre fin automatiquement aux connexions SSH en spécifiant le nombre de tentatives de mot de passe autorisées dans le fichier sshd_config.

Pour ce faire, modifiez la valeur MaxAuthTries.

MaxAuthTries 3

5、使用SSH Version 2

SSH Version 2 的发布是因为第一版存在许多漏洞。默认情况下，您可以通过将 Protocol 参数添加到您的 sshd_config 文件中来启用使用SSH Version 2。

这样，您所有未来的连接都将使用 SSH2。

Include /etc/ssh/sshd_config.d/*.conf

Protocol 2

6、关闭TCP端口转发和X11转发

攻击者可以通过SSH连接进行端口转发，尝试获取访问您其他系统的权限。为了防止这种情况发生，您可以在sshd_config文件中关闭AllowTcpForwarding和X11Forwarding功能。

X11Forwarding no 
AllowTcpForwarding no

7、使用SSH密钥连接

连接到服务器最安全的方法之一是使用SSH密钥。使用SSH密钥，您可以无需密码访问服务器。此外，您可以通过更改sshd_config文件中的与密码相关的参数来完全关闭服务器的密码访问。

创建SSH密钥时，有两个密钥：公钥和私钥。公钥上传到您要连接的服务器，私钥存储在使用该密钥进行连接的计算机上。

在计算机上使用ssh-keygen命令创建SSH密钥。不要留空Passphrase字段，并记住您在此输入的密码。

如果您留空该字段，则只能通过SSH密钥文件进行访问。但是，如果设置了密码，您可以防止拥有密钥文件的攻击者访问它。

例如，您可以使用以下命令创建SSH密钥：

ssh-keygen

8、SSH连接的IP限制

大多数情况下，防火墙使用其标准框架阻止访问并旨在保护服务器。但是，这并不总是足够的，您需要增加此安全性潜力。

要做到这一点，请打开/etc/hosts.allow文件。通过在此文件中进行添加，您可以限制SSH权限，允许特定IP块或输入单个IP并使用拒绝命令阻止所有其余IP地址。

下面是一些示例设置。完成这些操作后，像往常一样重新启动SSH服务以保存更改。

IP-Restriction-for-SSH-Connection-1

9、有选择地允许用户和组访问

您可以配置sshd配置文件以有选择地允许或禁止用户和组从SSH登录到您的服务器。默认情况下，所有用户和组都允许访问。当您管理不应由除那些具有适当权限的人以外的任何人访问的生产服务器时，这是一种安全风险。

以下是您需要添加以允许/拒绝用户和组访问SSH的行：

AllowUsers: username sshuser@ip:port
AllowGroups: groupname
DenyUsers: username1 username2 sshuser@ip:port
DenyGroups: groupname

10、设置空闲超时时间间隔

如果一个受信任的用户离开他们的桌面未经注销，那么拥有他们电脑访问权限的对手可以利用这一点，在缺席或不活动的受信任用户的情况下对服务器进行恶意操作。

抵御这种情况的最简单方法是设置一个空闲超时时间间隔。在定义的一段不活动时间后，服务器将终止与用户的SSH连接，以防止在缺席或不活动的情况下未经授权的访问。

以下是您需要添加到ssh配置文件中以开启此设置的行：

ClientAliveInterval 120

根据配置文件中发出的命令，经过120秒的不活动时间后，连接将被终止。您可以更改数字以适应自己的喜好。

12、添加 Banner 警告语言

虽然这不是一种主动的安全措施，但添加 Banner 警告语言可以是一种有用的心理策略，用于防止不受欢迎的访客，并在他们试图以恶意意图连接到您的服务器时使对手处于不利位置。

要添加自定义 Banner 警告语言，请首先仔细准备横幅的文本或从互联网上抓取一个通用的文本文件，然后将以下行添加到您的配置文件中：

Banner /path/to/banner/banner.txt

12、强制使用强大的MAC算法

在SSH的上下文中，MAC代表消息认证码。MAC是一种加密算法，用于验证和确认客户端与服务器之间的数据传输。

设置强大的MAC算法非常重要，以确保数据的完整性和保密性，这是网络安全的两个关键支柱。以下是您需要在配置文件中添加的行：

Banner /path/to/banner/banner.txt

13、将LogLevel设置为监视SSH活动

您可以监视SSH活动的不同详细程度。默认情况下，此功能可能已关闭。建议您打开此功能，并将其设置为基本日志记录级别 – INFO，该级别仅记录用户的错误、消息、密钥验证、登录和注销活动。

如果您愿意，可以将其更改为更详细的级别，例如VERBOSE或DEBUG。以下是您需要在sshd配置文件中添加的行：

LogLevel INFO

现在，您的SSH服务器将生成基本日志数据，您可以通过导航到并读取基于Debian / Ubuntu的机器上的/var/log/auth.log*文件和基于RHEL / CentOS / Fedora的机器上的/var/log/secure文件来阅读此日志数据。

您可以查看整个日志文件并导航到带有sshd的部分，或者使用grep命令过滤内容并仅阅读sshd日志。

Linux 服务器安全的重要性

通过本文的介绍，我们学习了在Linux上建立SSH安全连接的13种方法，它们可以帮助我们防止一些常见的SSH攻击和漏洞，提高我们的服务器安全性和可信度。当然，这些方法并不是全部，还有一些其他的技巧和工具可以用来增强SSH的安全性，比如使用SSH代理、隧道、跳板等。我们建议你根据自己的实际情况和需求，选择合适的方法来保护你的SSH服务器连接。希望你喜欢这篇文章，并享受你的SSH体验。

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!