Wie kann ich die SSH-Sicherheit erhöhen? Kann ich sowohl einen Schlüssel als auch ein Passwort benötigen?

Ich habe ein kleines Netzwerk von Servern und möchte die allgemeine Sicherheit erhöhen. Ich habe nicht genug Zeit / Geld / Paranoia, um ein VPN einzurichten. Wie kann ich die Sicherheit meines Systems grundlegend erhöhen?

Möglicherweise müssen Benutzer ihren Schlüssel senden und ein Kennwort eingeben. Dies ist ein bisschen schwer zu googeln, weil alles über "ssh key password" über "sshing without a password" handelt. :-)

Ein Schema, mit dem ich schon immer spielen wollte, besteht darin, dass eingehende Verbindungen nur von einer Whitelist mit dyndns-IP-Adressen stammen. Ich weiß, dass sich einige Sicherheitsköpfe bei dem Gedanken an die Idee übergeben würden, aber die Tatsache ist, dass die Nutzung einer Box eine sehr bedeutende Komplexität mit sich bringen würde.

Was denkst du? Was gibt es sonst noch?

Das Login mit Passwort und Schlüssel ist dasselbe wie "nur mit Schlüssel". Während der Schlüsselerstellung werden Sie aufgefordert, eine Passphrase einzugeben. Wenn Sie dieses Feld leer lassen, werden Sie nicht nach einem Passwort gefragt. Wenn Sie eine Passphrase eingeben, werden Sie bei jeder Anmeldung dazu aufgefordert.

Wenn Sie sich Sorgen um die Sicherheit machen, sollten Sie einige der in diesem Forum millionenfach genannten Ratschläge berücksichtigen:

• Deaktivieren Sie die SSH-Anmeldung für root
• Erlaube ssh Zugriff nur von definierten IP Adressen (iptables, hosts.allow, ...)
• Verschieben Sie den SSH-Port auf einen anderen Port (mehr Unbekanntheit als Sicherheit, aber es funktioniert)
• Überwachen Sie ausländische Anmeldeversuche und reagieren Sie entsprechend
• Halten Sie Ihr System auf dem neuesten Stand

Usw.

Update: In der Antwort hier erfahren Sie, wie Sie bei einem OpenSSH-Server sowohl einen öffentlichen Schlüssel als auch ein lokales Systemkennwort benötigen.

Eine Idee, die ich interessant fand, ist Port-Knocking. Um eine SSH-Verbindung herzustellen, müssen Sie zunächst eine Sequenz anderer Ports prüfen, bevor der SSH-Server eine Verbindungsanforderung bestätigt. Wenn die richtige Reihenfolge der Ports nicht verwendet wird, erfolgt keine Antwort. Es sieht also so aus, als ob kein SSH-Server ausgeführt wird. Die Reihenfolge der Ports ist anpassbar und kann mit Ihren vorgesehenen Benutzern geteilt werden. Alle anderen können effektiv keine Verbindung herstellen.

Ich habe das selbst nicht ausprobiert, aber nach dem, was ich gehört habe (was eigentlich nicht viel ist), ist der Overhead vernachlässigbar und senkt Ihr Sichtbarkeitsprofil enorm.

Patches für die direkte Aktivierung in SSH und viele relevante Diskussionen:

• https://bugzilla.mindrot.org/show_bug.cgi?id=983

Dies kann auch ohne Änderung durchgeführt werden, indem ein Kennwortüberprüfungsskript mit der Verwendung der ForceCommandKonfigurationsoption kombiniert wird .

• http://www.tuxz.net/blog/archives/2010/03/17/how_to_quickly_setup_two-factor_ssh_authentication/

Wenn Sie die Authentifizierung mit öffentlichem Schlüssel auf PAM verschoben haben, ist es möglich, dass beide Schritte ausgeführt werden müssen, bevor PAM die Authentifizierung als erfolgreich ansieht.

Benutz einfach

RequiredAuthentications publickey, password

in, sshd_configwenn Sie sshd von ssh.com verwenden. Diese Funktion ist in OpenSSH nicht verfügbar.

Sie können auch Einmalpasswörter verwenden , um die Sicherheit zu erhöhen. Auf diese Weise können sich Benutzer von einem unsicheren Terminal aus anmelden, das möglicherweise über einen Keylogger verfügt, wenn sie zuvor das nächste Kennwort generiert haben. Es gibt auch Passwortgeneratoren, die auch auf älteren Java-MIDP-Telefonen installiert werden können und die Sie immer dabei haben.

Ich würde empfehlen, dass Sie niemals einen sshd-, rdp- oder ähnlichen Verwaltungsdienst ohne IP-Beschränkung ausführen. In der Tat würde ich vorschlagen, den Zugriff auf solche Dienste auf Administratoren zu beschränken, die über VPN eine Verbindung herstellen.

In Bezug auf Ihre ursprüngliche Frage, ob Sie sowohl einen Schlüssel als auch ein Passwort benötigen, ist dies jetzt möglich, wenn Sie RHEL oder CentOS 6.3 ausführen. In den Versionshinweisen zu RHEL 6.3 wird dies beschrieben. Fügen Sie dies zu Ihrer sshd_config hinzu

RequiredAuthentications2 publickey,password

Ich stimme 3molo sehr zu. OpenSSH ist der Standard-SSH-Server von Linux und Unix. Es gibt keinen Grund für uns, dies zu ändern, insbesondere aus Sicherheitsgründen. VPN sollte die beste Lösung sein, die unseren Datenverkehr verschlüsseln und die zweistufige Kennwortautorisierung bereitstellen kann.

Ich bin mir nicht sicher, warum es niemand erwähnt hat, aber - Sie sollten sicherstellen, dass die Schlüssel länger als standardmäßig 1024 Bit generiert werden, was nicht mehr als sicher gilt.