Come posso aumentare la sicurezza ssh? Posso richiedere sia una chiave che una password?

Ho una piccola rete di server e vorrei aumentare la sicurezza generale. Non ho abbastanza tempo / denaro / paranoia per configurare una VPN: qual è il modo di base per aumentare la sicurezza del mio sistema?

Una cosa potrebbe essere quella di richiedere agli utenti di inviare la propria chiave e immettere una password. Questo è un po 'difficile per google perché tutto ciò che riguarda "password chiave ssh" riguarda lo sshing senza password. :-)

Uno schema con cui ho sempre desiderato giocare è richiedere che le connessioni in entrata provengano solo da una whitelist di indirizzi IP dyndns. So che alcuni responsabili della sicurezza vomiterebbero al pensiero dell'idea, ma il fatto è che aggiungerebbe una complessità molto significativa per sfruttare una scatola.

Cosa pensi? Cos'altro c'è là fuori?

L'accesso con password e chiave è uguale a "solo con chiave". Durante la creazione della chiave, viene richiesto di inserire la passphrase. Se lo lasci vuoto, non ti verrà chiesta una password. Se compili una passphrase, ti verrà chiesto ogni volta che vuoi accedere.

Se sei preoccupato per la sicurezza, prendi in considerazione alcuni di questi consigli menzionati trilioni di volte in questo forum:

• Disabilita login ssh per root
• Consentire l'accesso ssh solo da indirizzi IP definiti (iptables, hosts.allow, ...)
• Sposta la porta ssh su un'altra porta (più oscurità che sicurezza, ma funziona)
• Monitorare i tentativi di accesso stranieri e reagire di conseguenza
• Mantieni il tuo sistema aggiornato

Ecc. Ecc.

Aggiornamento: fare riferimento alla risposta qui per sapere come richiedere sia una chiave pubblica che una password di sistema locale con un server OpenSSH.

Un'idea che ho trovato interessante è il port knocking : fondamentalmente, per stabilire la connessione ssh, devi prima sondare una sequenza di altre porte, prima che il server ssh riconoscerà una richiesta di connessione. Se non viene utilizzata la sequenza corretta di porte, non vi è alcuna risposta, quindi sembra che non vi sia alcun server SSH in esecuzione. La sequenza di porte è personalizzabile e può essere condivisa con gli utenti previsti; tutti gli altri non sarebbero effettivamente in grado di connettersi.

Non ho provato questo da solo, ma da quello che ho sentito (che non è molto, in realtà) l'overhead è trascurabile e riduce notevolmente il tuo profilo di visibilità.

Patch relative all'abilitazione diretta in SSH e molte discussioni rilevanti:

• https://bugzilla.mindrot.org/show_bug.cgi?id=983

Questo può essere fatto anche senza modifiche avendo uno script di verifica della password combinato con l'uso ForceCommanddell'opzione di configurazione.

• http://www.tuxz.net/blog/archives/2010/03/17/how_to_quickly_setup_two-factor_ssh_authentication/

Infine, sebbene non esista alcun modulo, se si sposta l'autenticazione della chiave pubblica su PAM, sarà possibile richiedere entrambi i passaggi prima che PAM consideri l'autenticazione riuscita.

Basta usare

RequiredAuthentications publickey, password

in sshd_configse si utilizza sshd da ssh.com. Questa funzione non è disponibile in OpenSSH.

È inoltre possibile utilizzare password monouso per aumentare la sicurezza. Ciò consentirebbe agli utenti di accedere da un terminale non sicuro, che potrebbe avere un keylogger, se in precedenza avevano generato la password successiva. Inoltre, ci sono generatori di password che possono essere installati anche su vecchi telefoni Java MIDP, che porti sempre con te.

Consiglierei di non eseguire mai un servizio sshd, rdp o tali servizi di gestione senza alcuna restrizione IP. In effetti, suggerirei di limitare l'accesso a tali servizi agli amministratori che si connettono tramite VPN.

Per quanto riguarda la tua domanda originale su come richiedere sia una chiave che una password, se stai eseguendo RHEL o CentOS 6.3 questo è ora possibile. Le note sulla versione di RHEL 6.3 lo descrivono, si tratta di aggiungere questo al tuo sshd_config

RequiredAuthentications2 publickey,password

Sono pienamente d'accordo con 3molo. OpenSSH è il server SSH predefinito di Linux e Unix. Non abbiamo motivo di cambiarlo, soprattutto per motivi di sicurezza. La VPN dovrebbe essere la soluzione migliore, che può crittografare il nostro traffico e fornire l'autorizzazione della password in due passaggi.

Non so perché nessuno lo abbia menzionato, ma dovresti assicurarti di generare le chiavi più a lungo dei 1024 bit predefiniti che non sono più considerati sicuri.