Повысить безопасность SSH
fr:Accroître la sécurité de SSH
en:Increase the security of SSH
es:Aumentar la seguridad de SSH
pt:Aumentar a segurança do SSH
it:Aumentare la sicurezza di SSH
nl:Verhoging van de veiligheid van SSH
de:Erhöhen Sie die Sicherheit von SSH
zh:提高 SSH 的安全性
ar:زيادة أمان SSH
ja:SSH のセキュリティを高める
pl:Zwiększenie bezpieczeństwa SSH
ru:Повысить безопасность SSH
ro:Creşte securitatea SSH
he:להגביר את האבטחה של SSH
Эта статья является результатом автоматического перевода, выполняемого программного обеспечения. Вы можете посмотреть исходный статьи здесь.
fr:Accroître la sécurité de SSH
he:להגביר את האבטחה של SSH
ro:Creşte securitatea SSH
ru:Повысить безопасность SSH
pl:Zwiększenie bezpieczeństwa SSH
ja:SSH のセキュリティを高める
ar:زيادة أمان SSH
zh:提高 SSH 的安全性
de:Erhöhen Sie die Sicherheit von SSH
nl:Verhoging van de veiligheid van SSH
it:Aumentare la sicurezza di SSH
pt:Aumentar a segurança do SSH
es:Aumentar la seguridad de SSH
en:Increase the security of SSH
Как только это возможно, рекомендуется изменить по умолчанию порты критически важных служб и идентификаторов по умолчанию.
О SSH Давайте посмотрим, некоторые элементы, которые позволят укрепить безопасность этой службы.
Dans le cadre de la rédaction de cи article, nous nous sommes basés sur une distribution de type Debian Jessie. Suivant celle en place sur votre Сервер, la configuration peut être amenée à changer. Il faudra, par conséquent, adapter à vos besoins.
По умолчанию для подключения в SSH, необходимо установить соединение по порту 22. Изменить этот порт уже защищает вас от многих атак путем грубой силы.
Si vous souhaitez utiliser SSH sur un autre port que celui par défaut, il vous faudra donc modifier Port 22 par Port 55555 в файле /etc/ssh/sshd_config.
Для того, чтобы сделать грубой силы нападения менее эффективными, можно также отключить SSH-соединение через учетную запись root. Поэтому будет иметь одного пользователя, отличного от учетной записи по умолчанию и продолжить повышение привилегий от этой учетной записи права администратора.
On va donc passer l'option associée de PermitRootLogin yes à PermitRootLogin no et déclarer les utilisateurs autorisés à se connecter. Pour autoriser l'utilisateur ikoula à se connecter в SSH, il faudra donc ajouter la ligne suivante в файле de configuration : AllowUsers ikoula
Si au delà de deux minutes les informations de connexion ne sont pas saisies lors d'une connexion en SSH à votre Сервер, la connexion est coupée.
Этот период может быть пересмотрен в сторону понижения (После задержки и стабильность вашего соединения, конечно).
Trente secondes peuvent être suffisantes. Afin de modifier cette valeur, nous allons modifier le paramètre LoginGraceTime.
Nous allons donc maintenant modifier la ligne LoginGraceTime 120 par LoginGraceTime 30 dans le fichier /etc/ssh/sshd_config.
Мы теперь будем менять алгоритмы, используемые SSH для ограничения использования к некоторым путем добавления двух дополнительных строк в файл конфигурации службы SSH :
echo "Ciphers aes256-ctr,aes192-ctr,aes128-ctr" >> /etc/ssh/sshd_config
echo "MACs hmac-ripemd160" >> /etc/ssh/sshd_config
Debian по умолчанию всегда добавляет символьную строку SSH баннер. Проще говоря, если выполнять telnet на ваш Сервер (Telnet IP_SERVER 22), вот что вы получаете :
SSH-2.0-OpenSSH_6.7p1 Debian-5+deb8u2
Так что давайте выключить это поведение для того, чтобы не отображать имя нашего дистрибутива :
echo "DebianBanner no" >> /etc/ssh/sshd_config
Теперь давайте это :
SSH-2.0-OpenSSH_6.7p1
Изменения являются полными, так что давайте перезапустить службу для изменения обрабатываемое :
systemctl restart ssh.service
Можно также реализовать ограничение по IP-адресу для службы SSH (Если ваш Сервер Это не уже позади брандмауэра или ваши iptables правила еще не необходимых).
Мы поэтому запретить SSH-соединения к каждому и положить исключение для наших IP-адресов :
echo "sshd: ALL" >> /etc/hosts.deny
echo "sshd: 12.34.56.78, 98.76.54.32" >> /etc/hosts.allow
Таким образом только IP-адреса 12.34.56.78 et 98.76.54.32 будет разрешено подключаться к голосованию Сервер en SSH (Замените соответствующие IP адреса конечно).
Кроме того можно реализовать проверку подлинности путем обмена ключами, если вы пожелаете.
Включить автоматическое обновление комментариев