OpenSSH: differenze tra le versioni

mautenzione hanno portato fisicamente le macchine fuori dai piedi, con l'avvio senza KDM.<br>

Da diverso tempo avevo pensato a SSH ma un pò per paura ho sempre tardato a provarlo, ora finalmente mi sono deciso ma

'''SSH''' ('''Secure SHell''', shell sicura) è un Protocollo di rete che permette di stabilire una sessione remota cifrata ad interfaccia a riga di comando con un altro host.

Il client SSH ha una interfaccia a riga di comando simile a quella di telnet e rlogin, ma l'intera comunicazione (ovvero sia l'autenticazione che la sessione di lavoro) avviene in maniera cifrata. Per questo motivo, SSH è diventato uno standard di fatto per l'amministrazione remota di sistemi unix e di dispositivi di rete, rendendo obsoleto il protocollo telnet, giudicato troppo pericoloso per la sua mancanza di protezione contro le intercettazioni.

 

Nella fase di accesso, il client ssh prova al server di essere in possesso della chiave privata, verrà quindi richiesta la passphase e in caso di successo viene consentito l'accesso.

In questa prima parte ci soffermeremo a parlare dell'installazione e della corretta configurazione secondo le richieste prima espresse .

L'installazione è molto semplice, basta impartire il solo comando indicato  

Dopo aver terminato l'installazione, è già possibile autenticarsi a ssh con le impostazioni di default che ora andremo a correggere .

La predefinita porta 22 mi andava stretta perchè spesso rientra nelle scanlist , così mi prendo una porta a caso ( dopo la 1024).

Nel mio caso , dovrò Nattare la porta scelta sul router , e come esempio userò la porta : 2974

basta seguire l'output e in pochi secondi avremo il nostro nuovo user con la sua home pulita .

Se l'utente non ci piace e vogliamo cambiarlo, occorrerà rimuoverlo e crearne un'altro .

Creare nella dir /home/m3gac4mmell0/.ssh il file authorized_keys , se la dir non esiste crearla con propietario l'user prescelto

 

Prestiamo attenzione ai permessi attribuiti .

Ora inseriamo le chiavi pubbliche nel file authorized_keys .

Come amante di MC e mcedit faccio la cosa maualmente , ma pare sia possibile usare un semplice comando :

Se la modifica viene fatta con un'editor di testo (''es. mcedit'') '''ATTENZIONE''' a inserire le chiavi in una singola riga.

Quella che riporto ora è la configurazione di SSH inserita nel file ''/etc/ssh/sshd_config'' .

La parte modificata per forzare l'accesso con le chiavi è di sole 3 righe

Se avete problemi basta riportare a yes le opzioni sopra indicate .

Oltre alla porta cambiata come segnalato a priori , occorre decommentare la riga :

In più ho preferito impostare a no questa :

* Se la sessione che si blocca per inutilizzo, provare con ''TCPKeepAlive yes'' .

* E' possibile porre alcune restrizioni aggiuntive quali ''AllowUsers'' e ''MaxAuthTries''.

La seguente parte è da considerarsi opzionale anche se per la sicurezza , da parte mia resta consigliata

Fail2ban serve per limitare gli accessi indesiderati, bannando per x secondi un IP che ha superato un numero di accessi impostato .

Attenzione perchè il ban riguarda solo la posta interessata .

Per maggiori info visitate la documentazione ufficiale, mentre per utilizzarlo come nel nostro caso interverremo operando alcune modifiche al file ''/etc/fail2ban/jail.conf'' .

L'opzione maxretry risulta doppia dato che è possibile diversificare l'uso a seconda dei servizi utilizzati, la prima opzione è generale, la seconda sottostante al servizio indicato personalizza la singola applicazione.

Per fare una prova e verificare subito se tutto funziona generiamo alcuni accessi con user sbagliato sul nostro server SSH e con il comando sotto riportato saremo subito in grado di verificare la presenza di errori.

Se avete abilitato il servizio di avviso a mezzo mail, questa sotto è una parte del messaggio che vi arriverà :

L'uso di blockcontrol è spiegato nell'e-zine n°4, detto ciò mi limiterò ad alcune considerazioni .

L'unica eccezzione che si aggiunge alla guida sull'e-zine riguarda l'apartura delle porte per la connessione all'interno del file di configurazione ''/etc/blockcontrol/blockcontrol.conf'', dove inseriremo in TCP-in e TCP-out la porta impostata per SSH .

Grazie all'aggiunta di filtri, possiamo chiude l'accesso a diversi range di IP , per un server consiglio il filtro proxy per ovviare al cambio IP se uno viene bannato .

Poi considero validi anche i filtri nazioni in cui non andrò mai e dalle quali non aspetto connessioni, come Cina,Taiwan, Korea e Russia dalle quali è più probabile ricevere connessioni malevole .

Per maggiori informazioni sulle liste disponibili verificare : http://www.iblocklist.com/lists.php

Per la connessione illustrerò in pochi passaggi che servono per configurare il client in ambiente Win e Linux .

Resta da definire il tipo di chiave, infatti è possibile scegliere tra 2 tipi di criptazione , RSA o DSA .

DSA offre più o meno lo stesso grado di robustezza di RSA, ma ha contro il tempo: è un algoritmo giovane, molto più di RSA. RSA è stato crittanalizzato per anni e non si è mai trovato il modo di forzarlo. DSA essendo sulla piazza da molto meno tempo quindi è stato studiato molto meno, e questo mi autorizza a ritenerlo meno collaudato di RSA, motivo per cui scelgo di non usarlo.

Dal punto di vista delle prestazioni sono ancora una volta simili: si tratta sempre di operazioni di complessità elevatissima, ma è anche vero che con le macchine che abbiamo a disposizione oggi, considerazioni come queste, basate sulle prestazioni lasciano un po' il tempo che trovano .

Prepariamo la nostra chiave, che sarà composta da una chiave pubblica e una privata .

 

Una volta creata la coppia di chiavi, dobbiamo andare a inserire la nostra chiave pubblica all'interno del file authorized_keys nella dir /home/user_SSH/.ssh/ dell'utente predefinito per la connessione SSH sul server .

Fatto questo siamo pronti per provare la connessione, usando la shell dal nostro user al quale abbiamo generato la coppia di chiavi .

Inseriamo quando richiesta la password usata per generare la chiave, e in pochi secondi ci troveremo all'interno del nostro server .

===MC===

Con MC può essere utile quando si devono trasferire dei file, infatti è possibile tenere aperta una delle due tab su SSH e l'altra in locale sulla nostra macchina.

 

et volià dopo ver inserito la password saremo dentro.

==Win==

Consiglio putty che ho provato e uso ancora in ufficio dove sono costretto all'uso di winXP, forse perchè in una vita precedente sono stato cattivo .

Prestiamo attenzione oltre alla generazione delle chiavi a come viene esportata la chiave in modo che sia compatibile con openssh .

Alla fine ci deve essere il simbolo =, la parte seguente è opzionale e potete ometterla senza problemi .

Al login dovrete inserire la password impostata nella chiave .

Per ora mi ritengo soddisfatto anche se la sicurezza non è mai troppa .

Dalla configurazione eseguita l'accesso deve essere fatto con il nome user corretto altrimenti fail2ban interviene bannando l'IP.