搜索

[25378] 2016-08-15_五条强化SSH安全的建议

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2016-08-15_五条强化SSH安全的建议 五 条 强 化   S S H   安 全 的 建 议 原 创   译 者 ： m a y w a n t i n g   L i n u x 中 国   2 0 1 6 - 0 8 - 1 5 采 用 这 些 简 单 的 建 议 ， 使 你 的   O p e n S S H   会 话 更 加 安 全 。 当 你 查 看 你 的   S S H   服 务 日 志 ， 可 能 你 会 发 现 充 斥 着 一 些 不 怀 好 意 的 尝 试 性 登 录 。 这 里 有   5   条 常 规 建 议 （ 和 一 些 个 别 特 殊 策 略 ） 可 以 让 你 的   O p e n S S H   会 话 更 加 安 全 。 1 .   强 化 密 码 登 录 强 化 密 码 登 录 密 码 登 录 很 方 便 ， 因 为 你 可 以 从 任 何 地 方 的 任 何 机 器 上 登 录 。 但 是 它 们 在 暴 力 攻 击 面 前 也 是 脆 弱 的 。 尝 试 以 下 策 略 来 强 化 你 的 密 码 登 录 。 使 用 一 个 密 码 生 成 工 具 ， 例 如   p w g e n 。 p w g e n   有 几 个 选 项 ， 最 有 用 的 就 是 密 码 长 度 的 选 项 （ 例 如 ， 产 生 一 个 1 2 位 字 符 的 密 码 ） 不 要 重 复 使 用 密 码 。 忽 略 所 有 那 些 不 要 写 下 你 的 密 码 的 建 议 ， 然 后 将 你 的 所 有 登 录 信 息 都 记 在 一 个 本 子 上 。 如 果 你 不 相 信 我 的 建 议 ， 那 总 可 以 相 信 安 全 权 威   B r u c e   S c h n e i e r [ 1 ]   吧 。 如 果 你 足 够 细 心 ， 没 有 人 能 够 发 现 你 的 笔 记 本 ， 那 么 这 样 能 够 不 受 到 网 络 上 的 那 些 攻 击 。 你 可 以 为 你 的 登 录 记 事 本 增 加 一 些 额 外 的 保 护 措 施 ， 例 如 用 字 符 替 换 或 者 增 加 新 的 字 符 来 掩 盖 笔 记 本 上 的 登 录 密 码 。 使 用 一 个 简 单 而 且 好 记 的 规 则 ， 比 如 说 给 你 的 密 码 增 加 两 个 额 外 的 随 机 字 符 ， 或 者 使 用 单 个 简 单 的 字 符 替 换 ， 例 如     替 换 成   。 为 你 的   S S H   服 务 开 启 一 个 非 默 认 的 监 听 端 口 。 是 的 ， 这 是 很 老 套 的 建 议 ， 但 是 它 确 实 很 有 效 。 检 查 你 的 登 录 ； 很 有 可 能   2 2   端 口 是 被 普 遍 攻 击 的 端 口 ， 其 他 端 口 则 很 少 被 攻 击 。 使 用   F a i l 2 b a n [ 2 ]   来 动 态 保 护 你 的 服 务 器 ， 是 服 务 器 免 于 被 暴 力 攻 击 。 使 用 不 常 用 的 用 户 名 。 绝 不 能 让   r o o t   可 以 远 程 登 录 ， 并 避 免 用 户 名 为 “ a d m i n ” 。 2 .   解 决 解 决     报 错 报 错 当 我 的   s s h   登 录 失 败 ， 并 显 示 “ T o o   m a n y   a u t h e n t i c a t i o n   f a i l u r e s   f o r   c a r l a ” 的 报 错 信 息 时 ， 我 很 难 过 。 我 知 道 我 应 该 不 介 意 ， 但 是 这 报 错 确 实 很 碍 眼 。 而 且 ， 正 如 我 聪 慧 的 奶 奶 曾 经 说 过 ， 伤 痛 之 感 并 不 能 解 决 问 题 。 解 决 办 法 就 是 在 你 的 （ 客 户 端 的 ）     文 件 设 置 强 制 密 码 登 录 。 如 果 这 个 文 件 不 存 在 ， 首 先 创 个     目 录 。 p w g e n   1 2 # * T o o   M a n y   A u t h e n t i c a t i o n   F a i l u r e s ~ / . s s h / c o n f i g ~ / . s s h /
然 后 在 一 个 文 本 编 辑 器 创 建     文 件 ， 输 入 以 下 行 ， 使 用 你 自 己 的 远 程 域 名 替 换   H o s t N a m e 。 （ L C T T   译 注 ： 这 种 错 误 发 生 在 你 使 用 一 台   L i n u x   机 器 使 用   s s h   登 录 另 外 一 台 服 务 器 时 ， 你 的   . s s h   目 录 中 存 储 了 过 多 的 私 钥 文 件 ， 而   s s h   客 户 端 在 你 没 有 指 定 - i   选 项 时 ， 会 默 认 逐 一 尝 试 使 用 这 些 私 钥 来 登 录 远 程 服 务 器 后 才 会 提 示 密 码 登 录 ， 如 果 这 些 私 钥 并 不 能 匹 配 远 程 主 机 ， 显 然 会 触 发 这 样 的 报 错 ， 甚 至 拒 绝 连 接 。 因 此 本 条 是 通 过 禁 用 本 地 私 钥 的 方 式 来 强 制 使 用 密 码 登 录 — — 显 然 这 并 不 可 取 ， 如 果 你 确 实 要 避 免 用 私 钥 登 录 ， 那 你 应 该 用     选 项 登 录 。 显 然 这 条 和 下 两 条 是 互 相 矛 盾 的 ， 所 以 请 无 视 本 条 即 可 。 ） 3 .   使 用 公 钥 认 证 使 用 公 钥 认 证 公 钥 认 证 比 密 码 登 录 安 全 多 了 ， 因 为 它 不 受 暴 力 密 码 攻 击 的 影 响 ， 但 是 并 不 方 便 因 为 它 依 赖 于   R S A   密 钥 对 。 首 先 ， 你 要 创 建 一 个 公 钥 / 私 钥 对 。 下 一 步 ， 私 钥 放 于 你 的 客 户 端 电 脑 ， 并 且 复 制 公 钥 到 你 想 登 录 的 远 程 服 务 器 。 你 只 能 从 拥 有 私 钥 的 电 脑 登 录 才 能 登 录 到 远 程 服 务 器 。 你 的 私 钥 就 和 你 的 家 门 钥 匙 一 样 敏 感 ； 任 何 人 获 取 到 了 私 钥 就 可 以 获 取 你 的 账 号 。 你 可 以 给 你 的 私 钥 加 上 密 码 来 增 加 一 些 强 化 保 护 规 则 。 使 用   R S A   密 钥 对 管 理 多 个 用 户 是 一 种 好 的 方 法 。 当 一 个 用 户 离 开 了 ， 只 要 从 服 务 器 删 了 他 的 公 钥 就 能 取 消 他 的 登 录 。 以 下 例 子 创 建 一 个 新 的   3 0 7 2   位 长 度 的 密 钥 对 ， 它 比 默 认 的   2 0 4 8   位 更 安 全 ， 而 且 为 它 起 一 个 独 一 无 二 的 名 字 ， 这 样 你 就 可 以 知 道 它 属 于 哪 个 服 务 器 。 以 下 创 建 两 个 新 的 密 钥 ,     和   ，   是 你 的 私 钥 - - 不 要 传 播 它 ！ 现 在 用     命 令 安 全 地 复 制 你 的 公 钥 到 你 的 远 程 服 务 器 。 你 必 须 确 保 在 远 程 服 务 器 上 有 可 用 的   S S H   登 录 方 式 。 2 .   5 .   1 .   $   m k d i r   ~ / . s s h 2 .   $   c h m o d   7 0 0   ~ / . s s h ~ / . s s h / c o n f g 1 .   H o s t N a m e   r e m o t e . s i t e . c o m 2 .   P u b k e y A u t h e n t i c a t i o n = n o - o   P u b k e y A u t h e n t i c a t i o n = n o 1 .   $   s s h - k e y g e n   - t   r s a   - b   3 0 7 2   - f   i d _ m a i l s e r v e r i d _ m a i l s e r v e r i d _ m a i l s e r v e r . p u b i d _ m a i l s e r v e r s s h - c o p y - i d 1 .   $   s s h - c o p y - i d   - i     i d _ r s a . p u b   u s e r @ r e m o t e s e r v e r 3 .   / u s r / b i n / s s h - c o p y - i d :   I N F O :   a t t e m p t i n g   t o   l o g   i n   w i t h   t h e   n e w   k e y ( s ) ,   t o   f i l t e r   o u t   a n y   t h a t   a r e   a l r e a d y   i n s t a l l e d 4 .   u s e r @ r e m o t e s e r v e r ' s   p a s s w o r d :
7 .     会 确 保 你 不 会 无 意 间 复 制 了 你 的 私 钥 。 从 上 述 输 出 中 复 制 登 录 命 令 ， 记 得 带 上 其 中 的 单 引 号 ， 以 测 试 你 的 新 的 密 钥 登 录 。 它 将 用 你 的 新 密 钥 登 录 ， 如 果 你 为 你 的 私 钥 设 置 了 密 码 ， 它 会 提 示 你 输 入 。 4 .   取 消 密 码 登 录 取 消 密 码 登 录 一 旦 你 已 经 测 试 并 且 验 证 了 你 的 公 钥 可 以 登 录 ， 就 可 以 取 消 密 码 登 录 ， 这 样 你 的 远 程 服 务 器 就 不 会 被 暴 力 密 码 攻 击 。 如 下 设 置 你 的 远 程 服 务 器 你 的 远 程 服 务 器 的     文 件 。 然 后 重 启 服 务 器 上 的   S S H   守 护 进 程 。 5 .   设 置 别 名 设 置 别 名   - -   这 很 快 捷 而 且 很 酷 这 很 快 捷 而 且 很 酷 你 可 以 为 你 的 远 程 登 录 设 置 常 用 的 别 名 ， 来 替 代 登 录 时 输 入 的 命 令 ， 例 如   。 你 可 以 使 用   。 你 的 客 户 端 机 器 上 的     文 件 可 以 参 照 如 下 设 置 如 果 你 正 在 使 用 公 钥 登 录 ， 可 以 参 照 这 个 ： 6 .   N u m b e r   o f   k e y ( s )   a d d e d :   1 8 .   N o w   t r y   l o g g i n g   i n t o   t h e   m a c h i n e ,   w i t h :       " s s h   ' u s e r @ r e m o t e s e r v e r ' " 9 .   a n d   c h e c k   t o   m a k e   s u r e   t h a t   o n l y   t h e   k e y ( s )   y o u   w a n t e d   w e r e   a d d e d . s s h - c o p y - i d 1 .   $   s s h   ' u s e r @ r e m o t e s e r v e r ' / e t c / s s h d _ c o n f i g 1 .   P a s s w o r d A u t h e n t i c a t i o n   n o s s h   - u   u s e r n a m e   - p   2 2 2 2   r e m o t e . s i t e . w i t h . l o n g - n a m e s s h   r e m o t e 1 ~ / . s s h / c o n f i g 1 .   H o s t   r e m o t e 1 2 .   H o s t N a m e   r e m o t e . s i t e . w i t h . l o n g - n a m e 3 .   P o r t   2 2 2 2 4 .   U s e r   u s e r n a m e 5 .   P u b k e y A u t h e n t i c a t i o n   n o 1 .   H o s t   r e m o t e 1 2 .   H o s t N a m e   r e m o t e . s i t e . w i t h . l o n g - n a m e
O p e n S S H   文 档 [ 3 ]   很 长 而 且 详 细 ， 但 是 当 你 掌 握 了 基 础 的   S S H   使 用 规 则 之 后 ， 你 会 发 现 它 非 常 的 有 用 ， 而 且 包 含 很 多 可 以 通 过   O p e n S S H   来 实 现 的 炫 酷 效 果 。 v i a :   h t t p s : / / w w w . l i n u x . c o m / l e a r n / 5 - s s h - h a r d e n i n g - t i p s 作 者 ： C A R L A   S C H R O D E R [ 4 ]   译 者 ： m a y w a n t i n g [ 5 ]   校 对 ： w x y [ 6 ] 本 文 由   L C T T [ 7 ]   原 创 翻 译 ， L i n u x 中 国 [ 8 ]   荣 誉 推 出 [ 1 ] :   h t t p s : / / w w w . s c h n e i e r . c o m / b l o g / a r c h i v e s / 2 0 0 5 / 0 6 / w r i t e _ d o w n _ y o u r . h t m l [ 2 ] :   h t t p : / / w w w . f a i l 2 b a n . o r g / w i k i / i n d e x . p h p / M a i n _ P a g e [ 3 ] :   h t t p : / / w w w . o p e n s s h . c o m / [ 4 ] :   h t t p s : / / w w w . l i n u x . c o m / u s e r s / c s c h r o d e r [ 5 ] :   h t t p s : / / g i t h u b . c o m / m a y w a n t i n g [ 6 ] :   h t t p s : / / g i t h u b . c o m / w x y [ 7 ] :   h t t p s : / / g i t h u b . c o m / L C T T / T r a n s l a t e P r o j e c t [ 8 ] :   h t t p s : / / l i n u x . c n / 推 荐 文 章 推 荐 文 章 点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章 3 .   P o r t   2 2 2 2 4 .   U s e r   u s e r n a m e 5 .   I d e n t i t y F i l e     ~ / . s s h / i d _ r e m o t e s e r v e r
将 文 章 分 享 给 朋 友 是 对 我 们 最 好 的 赞 赏 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理