Chroń dostęp SSH za pomocą Spiped na OpenBSD

Ponieważ dostęp SSH jest najważniejszym punktem wejścia do administrowania serwerem, stał się szeroko stosowanym wektorem ataków.

Podstawowe kroki w celu zabezpieczenia SSH obejmują: wyłączenie dostępu roota, całkowite wyłączenie uwierzytelniania hasła (i zamiast tego używanie kluczy) oraz zmianę portów (niewiele wspólnego z bezpieczeństwem, z wyjątkiem minimalizacji typowych skanerów portów i spamu w dzienniku).

Następnym krokiem byłoby rozwiązanie zapory ogniowej PF ze śledzeniem połączeń. To rozwiązanie zarządza stanami połączeń i blokuje każdy adres IP, który ma zbyt wiele połączeń. Działa to świetnie i jest bardzo łatwe w PF, ale demon SSH jest nadal narażony na działanie Internetu.

Co powiesz na to, aby SSH było całkowicie niedostępne z zewnątrz? To jest miejsce, gdzie przychodzi spiped . Ze strony głównej:

Spiped (wymawiane „ess-pipe-dee”) to narzędzie do tworzenia symetrycznie zaszyfrowanych i uwierzytelnionych potoków między adresami gniazd, aby można było połączyć się z jednym adresem (np. Gniazdem UNIX na localhost) i transparentnie nawiązać połączenie z innym adres (np. gniazdo UNIX w innym systemie). Jest to podobne do funkcji „ssh -L”, ale nie korzysta z SSH i wymaga wstępnie współdzielonego klucza symetrycznego.

Świetny! Na szczęście dla nas, ma wysokiej jakości pakiet OpenBSD, który wykonuje dla nas całą pracę przygotowawczą, więc możemy zacząć od instalacji:

sudo pkg_add spiped

Spowoduje to również zainstalowanie dla nas fajnego skryptu inicjującego, abyśmy mogli kontynuować i włączyć go:

sudo rcctl enable spiped

I wreszcie zacznij:

sudo rcctl start spiped

Skrypt init upewnia się, że klucz został dla nas utworzony (który za chwilę będziemy potrzebować na komputerze lokalnym).

To, co musimy teraz zrobić, to wyłączyć sshdsłuchanie na adresie publicznym, zablokować port 22 i zezwolić na port 8022 (który jest domyślnie używany w rozproszonym skrypcie init).

Otwórz /etc/ssh/sshd_configplik i zmień (i odkomentuj) ListenAddresswiersz do przeczytania 127.0.0.1:

ListenAddress 127.0.0.1

Jeśli używasz reguł PF do blokowania portów, pamiętaj, aby przekazać port 8022 (i możesz pozostawić port 22 zablokowany), np .:

pass in on egress proto tcp from any to any port 8022

Ponownie załaduj reguły, aby były aktywne:

sudo pfctl -f /etc/pf.conf

Teraz wszystko, czego potrzebujemy, to skopiowanie wygenerowanego klucza rozproszonego ( /etc/spiped/spiped.key) z serwera na komputer lokalny i dostosowanie naszej konfiguracji SSH, coś w następujący sposób:

Host HOSTNAME
ProxyCommand spipe -t %h:8022 -k ~/.ssh/spiped.key

Oczywiście musisz również spipe/spipedzainstalować na komputerze lokalnym. Jeśli skopiowałeś klucz i zmieniłeś nazwy / ścieżki, powinieneś być w stanie połączyć się z tą ProxyCommandlinią w swoim ~/.ssh/configpliku.

Po potwierdzeniu, że działa, możemy ponownie uruchomić sshdserwer:

sudo rcctl restart sshd

I to wszystko! Teraz całkowicie wyeliminowałeś jeden duży wektor ataku i masz mniej usług nasłuchujących na publicznym interfejsie. Wygląda na to, że Twoje połączenia SSH pochodzą z hosta lokalnego, na przykład:

username    ttyp0    localhost                Thu Nov 06 07:58   still logged in

Zaletą korzystania z Vultr jest to, że każdy Vultr VPS oferuje przyjemnego internetowego klienta typu VNC, z którego możemy skorzystać w przypadku, gdy przypadkowo się zablokujemy. Eksperymentuj!