Protejați accesul SSH folosind Spiped On OpenBSD

Deoarece accesul SSH este cel mai important punct de intrare pentru administrarea serverului dvs., a devenit un vector de atac utilizat pe scară largă.

Pașii de bază pentru securizarea SSH includ: dezactivarea accesului rădăcină, dezactivarea completă a autentificării parolei (și utilizarea tastelor în schimb) și schimbarea porturilor (puțin de-a face cu securitatea, cu excepția minimizării scanerelor de porturi comune și a spamului de jurnal).

Următorul pas ar fi o soluție firewall PF cu urmărirea conexiunilor. Această soluție ar gestiona stările de conexiune și ar bloca orice IP care are prea multe conexiuni. Acest lucru funcționează excelent și este foarte ușor de făcut cu PF, dar demonul SSH este încă expus la Internet.

Ce zici de a face SSH complet inaccesibil din exterior? Aici intervine spiped . Din pagina de pornire:

Spiped (pronunțat "ess-pipe-dee") este o utilitate pentru crearea de conducte criptate și autentificate simetric între adresele soclului, astfel încât una se poate conecta la o adresă (de exemplu, o priză UNIX pe localhost) și să aibă în mod transparent o conexiune stabilită cu o altă adresa (de exemplu, o priză UNIX pe un sistem diferit). Aceasta este similară cu funcționalitatea „ssh-L”, dar nu folosește SSH și necesită o cheie simetrică partajată în prealabil.

Grozav! Din fericire pentru noi, are un pachet OpenBSD de înaltă calitate, care face toate pregătirile pentru noi, astfel încât să putem începe prin instalarea acestuia:

sudo pkg_add spiped

Acest lucru instalează, de asemenea, un script de inițiere frumos, astfel încât să putem merge înainte și să-l activăm:

sudo rcctl enable spiped

Și în sfârșit începeți-l:

sudo rcctl start spiped

Scriptul init te asigură că cheia este creată pentru noi (de care vom avea nevoie într-un pic de o mașină locală).

Ceea ce trebuie să facem acum, este să dezactivăm sshdascultarea pe adresa publică, să blocăm portul 22 și să permitem portul 8022 (care este implicit utilizat în scriptul init spip).

Deschideți /etc/ssh/sshd_configfișierul și schimbați (și necomentați) ListenAddresslinia pentru a citi 127.0.0.1:

ListenAddress 127.0.0.1

Dacă utilizați reguli PF pentru blocarea portului, asigurați-vă că treceți portul 8022 (și puteți lăsa portul 22 blocat), de exemplu:

pass in on egress proto tcp from any to any port 8022

Asigurați-vă că reîncărcați regulile pentru a-l activa:

sudo pfctl -f /etc/pf.conf

Acum nu ne trebuie decât să copiem cheia spipară generată ( /etc/spiped/spiped.key) de pe server pe o mașină locală și să reglăm configurația SSH, ceva de-a lungul următoarelor linii:

Host HOSTNAME
ProxyCommand spipe -t %h:8022 -k ~/.ssh/spiped.key

spipe/spipedEvident, trebuie să aveți instalat și pe o mașină locală. Dacă ați copiat cheia și ați ajustat numele / căile, atunci ar trebui să vă puteți conecta la acea ProxyCommandlinie din ~/.ssh/configfișierul dvs.

După ce ați confirmat că funcționează, putem reporni sshdpe un server:

sudo rcctl restart sshd

Si asta e! Acum ați eliminat complet un vector de atac mare și aveți un serviciu mai puțin ascultat pe o interfață publică. Conexiunile dvs. SSH ar trebui să pară acum provenite de la localhost, de exemplu:

username    ttyp0    localhost                Thu Nov 06 07:58   still logged in

Un avantaj al utilizării Vultr este că fiecare Vultr VPS oferă un client online de tip VNC frumos disponibil pe care îl putem folosi în cazul în care ne blocăm din greșeală. Experimentați departe!