Protezione di SSH su Ubuntu 14.04

• Crea un nuovo utente
• Concessione dei privilegi di root dell'utente
• Protezione di SSH

Dopo aver creato un nuovo server, è necessario apportare alcune modifiche alla configurazione per rafforzare la sicurezza del server.

Crea un nuovo utente

Come utente root, hai i privilegi di fare tutto ciò che vuoi con il server, senza restrizioni. Per questo motivo , è meglio evitare di utilizzare l'account utente root per ogni attività sul server. Cominciamo creando un nuovo utente. Sostituisci usernamecon il nome utente desiderato:

adduser username

Scegli una nuova password sicura e rispondi alle domande di conseguenza (o premi semplicemente INVIO per utilizzare il valore predefinito).

Concessione dei privilegi di root dell'utente

I nuovi account utente non hanno privilegi di fuori della loro cartella home e non possono eseguire comandi che alterano il server (come install, updateo upgrade). Per evitare l'uso dell'account root, daremo all'utente i privilegi di root. Ci sono due modi per farlo:

Aggiunta dell'utente al gruppo sudo

Il modo più semplice è aggiungere l'utente al sudogruppo. Sostituisci usernamecon il nome utente desiderato:

adduser username sudo

Ciò aggiungerà l'utente al gruppo sudo. Questo gruppo ha il privilegio di eseguire i comandi con accesso sudo.

Modifica del file sudoers

L'altro modo è inserire il tuo utente nel sudoersfile. Se il tuo server ha più utenti con privilegi di root, questo approccio è leggermente migliore perché se qualcuno fa un casino con il sudogruppo, sarai ancora in grado di eseguire comandi con privilegi di root per lavorare sul server.

Innanzitutto, esegui questo comando:

visudo

Questo aprirà il sudoersfile. Questo file contiene le definizioni di gruppi e utenti che possono eseguire comandi con privilegi di root.

root    ALL=(ALL:ALL) ALL

Dopo questa riga, scrivi il tuo nome utente e concedi i privilegi di root completi. Sostituire di usernameconseguenza:

username    ALL=(ALL:ALL) ALL

Salvare e chiudere il file ( Ctrl + O e Ctrl + X in nano).

Test del tuo nuovo utente

Per accedere al tuo nuovo account utente senza logoute login, chiama semplicemente:

su username

Prova i permessi sudo usando questo comando:

sudo apt-get update

La shell chiederà la tua password. Se sudo è stato configurato correttamente, i repository dovrebbero essere aggiornati. Altrimenti, rivedere i passaggi precedenti.

Ora, disconnettiti dal nuovo utente:

exit

L'installazione del Sudo è completa.

Protezione di SSH

La parte successiva di questa guida prevede la protezione dell'accesso ssh al server. Innanzitutto, modifica la password di root:

passwd root

Scegli qualcosa di difficile da indovinare, ma che puoi ricordare.

Chiave SSH

Le chiavi SSH sono un modo più sicuro per accedere. Se non sei interessato alle chiavi SSH, passa alla parte successiva dell'esercitazione.

Utilizzare il seguente documento Vultr per creare una chiave SSH: Come si generano le chiavi SSH?

Dopo aver ottenuto la chiave pubblica , accedere nuovamente con il nuovo utente.

su username

Ora crea la .sshdirectory e il authorized_keysfile nella home directory di quell'account utente.

cd ~
mkdir .ssh
chmod 700 .ssh
touch .ssh/authorized_keys

Aggiungi la chiave pubblica che hai generato dall'altra esercitazione al authorized_keysfile.

 nano .ssh/authorized_keys

Salvare il file, quindi modificare le autorizzazioni di quel file.

chmod 600 .ssh/authorized_keys

Ritorna all'utente root.

exit

Configurazione SSH

Ora renderemo il demone SSH più sicuro. Cominciamo con il file di configurazione:

nano /etc/ssh/sshd_config

Cambia porta in entrata SSH

Questo passaggio cambierà la porta utilizzata per accedere al server, è del tutto facoltativo ma consigliato.

Trova la linea con la Portconfigurazione, dovrebbe apparire così:

Port 22

Ora cambia questa porta con qualsiasi porta tu voglia. Deve essere maggiore di 1024.

Port 4422

Disabilita il login root ssh

Questo passaggio disabiliterà l'accesso root tramite SSH, è del tutto facoltativo ma altamente raccomandato .

Trova questa linea:

PermitRootLogin yes

... e cambiarlo in:

PermitRootLogin no

Ciò renderà il server più sicuro contro i robot che provano la forza bruta e / o le password comuni con l'utente roote la porta 22.

Disabilita X11 in avanti

Questo passaggio disabiliterà l'inoltro X11, non farlo se usi un programma desktop remoto per accedere al tuo server.

Trova la linea X11:

X11Forwarding yes

... e cambia in:

X11Forwarding no

Riavvia il demone SSH

Ora che abbiamo apportato le modifiche per proteggere l'accesso SSH, riavvia il servizio SSH:

service ssh restart

Questo riavvierà e ricaricherà le impostazioni del server.

Test delle modifiche

Senza disconnettere la sessione SSH corrente, aprire un nuovo terminale o la finestra PuTTY e testare un altro accesso SSH.

ssh -p 4422 username@SERVER_IP_OR_DOMAIN

Se tutto è andato a buon fine, abbiamo rafforzato con successo la sicurezza del tuo server. Godere!