smeppi fyrir 15 árum, 7 mánuðum Fjöldi lestra: 2768

OpenSSH á Ubuntu

Að setja upp SSH server á Ubuntu er afskaplega einfalt með OpenSSH pakkanum. Til þess að gera það almennilega þarf þó að hafa nokkra hluti við hendina
a) Tölvu sem virkar (má vera gömul)
b) Linux kerfi (þessi grein gerir ráð fyrir Ubuntu)
c) Nettengingu (duh)
d) Router sem með DMZ, einhverju svoleiðis, þannig hægt sé að forwarda portum fyrir sérstakar vélar. SpeedTouch routerar hafa þetta, ég veit ekki með þessa frá Tal/Vodafone/etc.

Server setup
Í fyrsta lagi þurfum við að sækja OpenSSH pakkann

sudo apt-get install openssh

Í raun er þetta tilbúið núna. En til þess að gera þetta öruggara þá skulum við stilla þetta smávegis.

sudo gedit /etc/ssh/sshd_config

sshd_config er config file fyrir SSH serverinn (SSH Deamon). Þarna eru nokkrir valmöguleikar. Að mínu mati er alveg nauðsynlegt að breyta nokkrum þeirra;

 Port 22  # Breyta þessu í eitthvað mun, mun hærra en 22
PermitRootLogin no    # Default er yes, það er bara stórhættulegt
PasswordAuthentication no    # Ef fylgt er Public-Key leiðbeiningum er mælt stórlega með þessu. Ef notast er við denyhosts eða fail2ban (eða eitthvað slíkt) skal hafa þetta í yes

Að öðru leyti virkar þetta fínt. Það er þó mjög leyfilegt að breyta þessu eins og maður vill.

Athugið að eftir að þið hafið breytt stillingum er nauðsynlegt að restarta servernum. Það er gert með:

sudo /etc/init.d/ssh restart

Einnig er hægt að setja start eða stop í stað restart.

Í öðru lagi er hægt að fara tvær og jafnvel fleiri leiðir. Hægt er að hafa serverinn bara svona, en það gerir öðrum kleift að bruteforca sig inná serverinn. Það viljum við ekki að gerist. Þess vegna setjum við upp extra-varnir. Hægt er að setja upp pakka á borð við denyhosts eða fail2ban og er það frekar einfalt. En það sem ég mæli með er að setja upp RSA eða DSA lykil sem maður verður að hafa til að tengjast servernum.

Public Key setup
Til að útskýra þetta betur munum við nota tvö prefixa, server$ er fyrir vélina þar sem OpenSSH pakkinn er og client$ er fyrir þann sem ætlar að tengjast vélinni.

client$ mkdir ~/.ssh
client$ chmod 700 ~/.ssh
client$ ssh-keygen -q -f ~/.ssh/id_rsa -t rsa

Mælt er með því að passphrase sé meira en 16 stafir.

client$ scp ~/.ssh/id_rsa.pub ADDRESSA.Á.SERVER: 
# Tvípunkturinn er nauðsynlegur
# Einnig er hægt að færa þetta yfir með usb lykli eða senda email eða slíkt.
server$ mkdir ~/.ssh
server$ chmod 700 ~/.ssh
server$ cat ~/id_rsa.pub >> ~/.ssh/authorized_keys
server$ chmod 600 ~/.ssh/authorized_keys
rm ~/id_rsa.pub

Þá ætti þetta að vera komið. Hægt er að gera þetta the other way around líka, en þá er ssh-keygen gert á servernum og id_rsa skráin (ekki .pub) færð yfir. Skoðið líka /etc/ssh/ssh_config á client ef þið lendið í vandræðum með að tengjast eftir þetta.

Opna Port
Þessar stillingar ættu að vera nóg til þess að tengjast vélinni á lani. Hins vegar er það frekar tæpt mission. Til þess að geta tengst hvar sem er í heiminum þá þurfum við að opna fyrir portið sem við völdum áðan. Þið ættuð að geta fundið leiðbeiningar fyrir ykkar router á http://www.port-forward.com .

Sniðugt lesefni
http://sial.org/howto/openssh/publickey-auth/
https://help.ubuntu.com/community/SSHHowto/
http://www.ubuntugeek.com/securing-ssh.html # Denyhosts guide
http://kallasoft.com/using-fail2ban-to-prevent-brute-force-attacks/ # Fail2ban guide

indoubitably

opi fyrir 15 árum, 7 mánuðum

Önnur leið til að flytja public key-inn yfir svo maður þurfi ekki að logga sig inn á serverinn eftir á er einfaldlega

cat ~/.ssh/id_rsa.pub | ssh IP.TO.SERVER "[mkdir ~/.ssh; chmod 700 ~/.ssh;] cat >> ~/.ssh/authorized_keys"

með þessu þarna [...] ef þess þarf.

Ég set yfirleitt einnig þessar stillingar

Port [eitthvað annað en 22] til að forðast scriptkiddyana sem eru að reyna að bruteforce og gera ekkert annað en að filla messages loggana mína
MaxAuthTries 2
AllowUsers user1 user2 ..
MaxStartups 3:75:10

Annars fínasta grein.

Fyrra álit

kaemka fyrir 15 árum, 7 mánuðum

Flott grein. Hafði ekki hugmynd um þessar auka öryggisráðstafanir. Skipta þær virkilega einhverju máli ef maður er ekki með einhvern þekktan server?

Fyrra álit

smeppi fyrir 15 árum, 7 mánuðum

Nei í rauninni ekki, en ef einhver hefur upp á IP tölunni þinni og ákveður að prófa þá er betra að hafa einhverjar ráðstafanir.

Gleymdi að taka fram að það er hægt að skoða hvort einhver hafi reynt að tengjast í /var/log/auth.log skránni. Svo er önnur skrá sem heitir mjög svipuðu nafni í /var/log/ og sýnir fyrir vikuna á undan.

indoubitably

Fyrra álit

kaemka fyrir 15 árum, 7 mánuðum

Ah. Þetta er vægast sagt gagnlegt að vita.

Fyrra álit

opi fyrir 15 árum, 7 mánuðum

Það er alveg slatta af vitleysingum sem bruteforce-a á vélar á ýmsum ip-tölvum og leita eftir ssh server, ef hann finnst þá logga þeir það niður og bruteforcea á þann server.

Ef þú ert með ssh server prufaðu bara að skoða loggana þína, það koma alveg rúmlega 1000 bruteforce attempts á vélina mína á dag. En það er ekkert vandamál ef maður veit að hann er öruggur, sterkt password, ekki leyft root, og langur tími milli tilrauna t.d. 10 sec. Ef maður er með 10 sec milli tilrauna þýðir það að viðkomandi nær ekki nema 6 tilraunum á mínútu, hann væri því verulega lengi að ætla að reyna að bruteforcea eitthvað af viti.

Fyrra álit

kaemka fyrir 15 árum, 7 mánuðum

Hef reyndar ekki enn séð ástæði til að opna port til að leyfa aðgang frá netinu, en þetta hljómar eins og áhugaverð tilraun.

Hvað er þetta fólk þá að gera? Bara prófa random ip tölur uppá hvort það sé ssh server þar eða? Hljómar ekki eins og skemmtilegasta áhugamál í heimi.

Fyrra álit

opi fyrir 15 árum, 7 mánuðum

Þetta eru bara ‘scriptkiddies’ að reyna að vera einhverjir ‘1337 h4x0rs’. Sé ssh serverinn ágætlega vel uppsettur, og passwordið tiltölulega langt, þá þarf nú varla að hafa áhyggjur. hingað til hafa þeir ekki einusinni náð usernameinu mínu rétt (þurfa náttúrulega að bruteforce-a username og password).

Fyrra álit

smeppi fyrir 15 árum, 7 mánuðum

Ef ég mætti spyrja, afhverju blockaru þá ekki bara, þú veist, bara manually?

Eða ertu svona, living on the edge 8)

hehe, sorrí, langaði bara að segja þetta :D

indoubitably

Fyrra álit

opi fyrir 15 árum, 7 mánuðum

Hefur lítið uppá sig, ekki sama ip talan alltaf, oftast kemur bara eitt bruteforce ‘run’ á ákveðinni iptölu og svo ekkert frá henni aftur.

# grep "Invalid" /var/log/messages* | awk '{print $10}' | sort | uniq -c | wc -l
   132 
   ## fjöldi ólíkra ip-talna sem hafa fengið 'invalid user' færslu í messages hjá mér
# grep "Invalid" /var/log/messages* | awk '{print $10}' | sort | uniq -c | sort -nr | head -n 5
   3474 195.56.65.40
   2150 148.243.223.210
   1607 121.241.214.200
   1460 61.239.250.165
   1201 210.193.7.13
   ## fjöldi færsla tengt hverri uptölu, top 5
# grep "Invalid" /var/log/messages* | awk '{print $8}' | sort | uniq -c | sort -r | head -n 5
    938 admin
    554 test
    241 user
    187 oracle
    169 guest
    ## fjöldi færsla tengt hverjum user í bruteforcinu (forðist að leyfa þessum userum á ssh)

Það eru til forrit sem banna sí-endurteknar árásir einsog þessar, sem fara í gegnum loggana og banna eftir ákveðnu ‘pattern-i’. Málið er að ég er með max-tries á 2 og leyfi ekki password login, svona bruteforce munu aldrei ná inn, ef einhver sem hefur hæfni, og slíkt vil komast hingað inn er lítið mál fyrir hann að komast framhjá slíkum ‘bann’ vörnum og getur jafnvel (sé ‘bann’ forritð illa sett upp t.d.) snúið þeim gegn mér (látið líta eins og árásin komi frá öðru ip-númeri og þarmeð bannað það). Þannig eins og ég sagði, þá mun það ekki hafa neitt uppá sig, nema spara mér örfá mb í messages loggunum.

Fyrra álit

HomoLuminous fyrir 15 árum, 7 mánuðum

Það er ekki hægt annað en að elska bash “skelina” og öll þessu skemmtilegu tól sem binutils koma með.

En annars finnst mér skondið að sjá “admin” en ekki “root”.

Fyrra álit

opi fyrir 15 árum, 7 mánuðum

Haha, já, þessi listi kemur ekkert voðalega á óvart nema bara það, afhverju admin? Búast þeir kannski við því að flestir séu búnir að loka á root login með ssh. Maður veit aldrei.

Fyrra álit

HomoLuminous fyrir 15 árum, 7 mánuðum

Ếg er að spá i að setja þetta upp á ubuntu hjá mér og opna port og alles, og nota þetta sem einhverskonar honeypot. Geyma þessar IP addressur. Skoða hvaðan þetta kemur allt.

Fyrra álit

opi fyrir 15 árum, 7 mánuðum

Gerðu þá enþá meira fjör úr þessu, settu upp tripwire og loggaðu allt í drasl, búðu svo til alla þessa notendur með tiltölulega auðveldu lykilorði og láttu iptables logga alla trafík, það væri geðveikt.

Minnir kannski smá á þetta http://xkcd.com/350/

Fyrra álit

HomoLuminous fyrir 15 árum, 7 mánuðum

Ég verð að viðurkenna að ég er ansi mikill linux noobi og ég þori ekki að setja upp þessa notendur þó svo að ég geri það svoleiðis að þeir hafi enginn privs. Ef ég gleymdi einhverjum einum hlut, þá gæti það þýtt vesen.

Það er eitthvað slíkt sem þú varst að meina, er það ekki?

Fyrra álit

Eldveggur fyrir 15 árum, 7 mánuðum

Það sem mér finnst þægilegast að gera er að keyra SSH á hærra porti segjum t.d. 5070 þá er maður laus við allt vesen því port 22 er lokað.

vi /etc/ssh/sshd_config

og breytir porti 22 í 5070

/etc/init.d/ssh(d) restart

svo er bara að logga sig inn á serverinn með

ssh -p 5070 servername.is -l notandi

SKO

Fyrra álit

Linux

Linux

Ofurhugar

Stjórnendur

Hverjir eru inni

Greinar

OpenSSH á Ubuntu

Dýr

Dægurmál

Fræði

Leikir

Lífið

Lífsstíll

Margmiðlun

Menning

Skjár

Sport

Tónlist

Tækni

Vélar

Hugi