ทำไมการลงชื่อเข้าใช้รูทผ่าน SSH แย่มากจนทุกคนแนะนำให้ปิดการใช้งาน

ทุกคนบนอินเทอร์เน็ตแนะนำให้ปิดการใช้งานการเข้าสู่ระบบรูทผ่านSSHเพราะเป็นวิธีปฏิบัติที่ไม่ดีและช่องโหว่ด้านความปลอดภัยในระบบ แต่ไม่มีใครอธิบายได้ว่าทำไมมันถึงเป็นเช่นนั้น

อะไรเป็นสิ่งที่อันตรายในการเปิดใช้งานการเข้าสู่ระบบรูท

และอะไรคือความแตกต่างระหว่างชื่อผู้ใช้สัญลักษณ์ X และรหัสผ่านสัญลักษณ์ Y หรือชื่อผู้ใช้รูทและรหัสผ่านสัญลักษณ์ X + Y จากจุดรักษาความปลอดภัยในมุมมองในกรณีที่ได้รับอนุญาตให้ตรวจสอบรหัสผ่าน?

ทำไมการรูทมากกว่า SSH จึงไม่ดี

มีบอทมากมายที่พยายามลงชื่อเข้าใช้คอมพิวเตอร์ของคุณผ่าน SSH บอทเหล่านี้ทำงานด้วยวิธีดังต่อไปนี้

พวกเขาดำเนินการอย่างเช่นssh root@$IPแล้วลองรหัสผ่านมาตรฐานเช่น "root" หรือ "password123" พวกเขาทำสิ่งนี้ตราบเท่าที่พวกเขาสามารถทำได้จนกว่าพวกเขาจะพบรหัสผ่านที่ถูกต้อง บนเซิร์ฟเวอร์ที่สามารถเข้าถึงได้ทั่วโลกคุณจะเห็นรายการบันทึกจำนวนมากในไฟล์บันทึกของคุณ ฉันสามารถไปได้มากถึง 20 ต่อนาทีขึ้นไป

เมื่อผู้โจมตีมีโชค (หรือมีเวลาเพียงพอ) และค้นหารหัสผ่านพวกเขาจะสามารถเข้าถึงรูทได้และนั่นหมายความว่าคุณกำลังมีปัญหา

แต่เมื่อคุณไม่อนุญาตให้รูทเข้าสู่ระบบผ่าน SSH บอทต้องคาดเดาชื่อผู้ใช้ก่อนจากนั้นจึงใช้รหัสผ่านที่ตรงกัน ดังนั้นสมมติว่ารายการรหัสผ่านที่เป็นไปได้มีNรายการและรายชื่อผู้ใช้ที่เป็นไปได้นั้นมีMขนาดใหญ่มาก บอทมีชุดของN*Mรายการที่จะทดสอบดังนั้นจึงทำให้บอทนั้นยากขึ้นเล็กน้อยเมื่อเทียบกับรูทเคสที่มีขนาดเพียงชุดNเดียว

บางคนจะบอกว่าสิ่งนี้เพิ่มเติมMไม่ได้รับความปลอดภัยอย่างแท้จริงและฉันยอมรับว่ามันเป็นการปรับปรุงความปลอดภัยเพียงเล็กน้อยเท่านั้น แต่ฉันคิดถึงสิ่งนี้มากขึ้นเพราะกุญแจคล้องเล็ก ๆ เหล่านี้ซึ่งไม่ปลอดภัย แต่พวกเขาขัดขวางผู้คนจำนวนมากจากการเข้าถึงได้ง่าย แน่นอนว่าใช้ได้เฉพาะเมื่อเครื่องของคุณไม่มีชื่อผู้ใช้มาตรฐานอื่น ๆ เช่น tor หรือ apache

เหตุผลที่ดีกว่าที่จะไม่อนุญาตให้รูทคือรูทนั้นสามารถสร้างความเสียหายได้มากกว่าเครื่องที่ผู้ใช้มาตรฐานสามารถทำได้ ดังนั้นหากโชคดีที่พวกเขาพบรหัสผ่านของคุณระบบทั้งหมดจะหายไปในขณะที่ใช้บัญชีผู้ใช้มาตรฐานคุณสามารถจัดการไฟล์ของผู้ใช้นั้นได้ (ซึ่งยังคงแย่มาก)

ในความคิดเห็นมีการกล่าวถึงว่าผู้ใช้ปกติสามารถมีสิทธิ์ในการใช้งานsudoและหากรหัสผ่านของผู้ใช้นี้จะเดาได้ว่าระบบจะสูญหายโดยสิ้นเชิงเช่นกัน

โดยสรุปฉันจะบอกว่ามันไม่สำคัญว่ารหัสผ่านของผู้ใช้ที่ผู้โจมตีได้รับ เมื่อพวกเขาเดารหัสผ่านเดียวคุณจะไม่สามารถไว้วางใจระบบอีกต่อไป ผู้โจมตีสามารถใช้สิทธิ์ของผู้ใช้ในการดำเนินการคำสั่งด้วยsudoผู้โจมตีสามารถใช้ประโยชน์จากจุดอ่อนในระบบของคุณและได้รับสิทธิ์รูต หากผู้โจมตีเข้าถึงระบบของคุณคุณไม่สามารถไว้ใจได้อีกต่อไป

สิ่งที่ต้องจำที่นี่คือผู้ใช้ทุกคนในระบบของคุณที่ได้รับอนุญาตให้เข้าสู่ระบบผ่านทาง SSH นั้นเป็นจุดอ่อนเพิ่มเติม การปิดใช้งานรูททำให้คุณลบจุดอ่อนที่เห็นได้ชัดหนึ่งจุด

เหตุใดรหัสผ่านบน SSH จึงไม่ดี

เหตุผลในการปิดการใช้รหัสผ่านนั้นง่ายมาก

• ผู้ใช้เลือกรหัสผ่านที่ไม่ดี!

แนวคิดทั้งหมดของการลองใช้รหัสผ่านนั้นจะใช้ได้เมื่อคาดเดารหัสผ่านได้เท่านั้น ดังนั้นเมื่อผู้ใช้มีรหัสผ่าน "pw123" ระบบของคุณจะไม่ปลอดภัย ปัญหาอีกประการของรหัสผ่านที่ผู้ใช้เลือกคือรหัสผ่านของพวกเขาจะไม่สุ่มอย่างแท้จริงเพราะจะจำได้ยาก

นอกจากนี้ยังเป็นกรณีที่ผู้ใช้มักจะนำรหัสผ่านของพวกเขากลับมาใช้เพื่อเข้าสู่ระบบ Facebook หรือบัญชี Gmail ของพวกเขาและสำหรับเซิร์ฟเวอร์ของคุณ ดังนั้นเมื่อแฮ็กเกอร์ได้รับรหัสผ่านบัญชี Facebook ของผู้ใช้รายนี้เขาจะสามารถเข้าสู่เซิร์ฟเวอร์ของคุณได้ ผู้ใช้สามารถสูญเสียข้อมูลได้อย่างง่ายดายผ่านฟิชชิงหรือเซิร์ฟเวอร์ Facebook อาจถูกแฮ็ก

แต่เมื่อคุณใช้ใบรับรองเพื่อเข้าสู่ระบบผู้ใช้จะไม่เลือกรหัสผ่านของเขา ใบรับรองขึ้นอยู่กับสตริงแบบสุ่มซึ่งยาวมากจาก 1024 Bits ถึง 4096 Bits (~ 128 - 512 ตัวรหัสผ่าน) นอกจากนี้ใบรับรองนี้ใช้เพื่อเข้าสู่เซิร์ฟเวอร์ของคุณเท่านั้นและไม่ได้ใช้กับบริการภายนอกใด ๆ

การเชื่อมโยง

http://bsdly.blogspot.de/2013/10/the-hail-mary-cloud-and-lessons-learned.html

บทความนี้มาจากความคิดเห็นและฉันต้องการให้ตำแหน่งที่โดดเด่นมากขึ้นเพราะมันลึกลงไปเล็กน้อยในเรื่องของ botnets ที่พยายามเข้าสู่ระบบผ่านทาง SSH วิธีที่พวกเขาทำมันมีลักษณะอย่างไรและล็อกไฟล์ สิ่งหนึ่งที่สามารถทำได้เพื่อหยุดพวกเขา มันถูกเขียนโดย Peter Hansteen

อาจเป็นสาเหตุบางประการที่ทำให้ไม่สามารถอนุญาตการเข้าสู่ระบบรูทโดยตรง

• พยายาม Bruteforce การล็อกอินรูตโดยตรงอาจส่งผลให้เกิดความเสียหายมากขึ้นจากการโจมตีแบบ bruteforce ที่ประสบความสำเร็จ
• การกำหนดค่าผิดพลาดในคีย์ SSH แบบ "ไม่ใช้รหัสผ่าน" (เกิดข้อผิดพลาดจากมนุษย์) อาจทำให้เครื่องของคุณปรากฏต่ออินเทอร์เน็ต

แต่นี่เป็นเพียงเคล็ดลับของภูเขาน้ำแข็ง คุณต้องกำหนดค่าข้อ จำกัด และการกำหนดค่าอื่น ๆ เช่น:

• เปลี่ยนพอร์ตเริ่มต้น (22)
• รหัสผ่านที่แข็งแกร่งและวลีรหัสผ่านที่แข็งแกร่ง
• ปิดใช้งานการรับรองความถูกต้องตามโฮสต์
• สร้างรายการผู้ใช้ที่อนุญาต
• กำหนดค่าการหมดเวลาที่ไม่ได้ใช้งาน
• บังคับใช้โปรโตคอล SSHv2
• ปิดการใช้งานรหัสผ่านที่ว่างเปล่า
• ใช้ fail2ban เพื่อวัดความดุร้าย
• บันทึกทุกอย่าง
• กำหนดค่าคีย์ SSH และเชื่อถือได้เฉพาะกับกุญแจสาธารณะที่. ssh / authorized_keys

คุณถูกต้องว่าชื่อผู้ใช้รูทและรหัสผ่านสัญลักษณ์ X + Y นั้นมีการเข้ารหัสอย่างน้อยเท่ากับชื่อผู้ใช้สัญลักษณ์ X และรหัสสัญลักษณ์ Y ในความเป็นจริงมันมีความปลอดภัยมากขึ้นทำให้ชื่อของผู้คนเดาได้ง่าย (บอตอาจลอง john, mike, bill, etc ... และ btw: นั่นคือสิ่งที่พวกเขาหลายคนทำแทนการลองรูท) และคุณโชคดีเป็นพิเศษหากเป็นการโจมตีเป้าหมายเพราะถ้ามีคนต้องการทำลายเซิร์ฟเวอร์ของ บริษัท มันจะไม่มีปัญหาในการค้นหาชื่อ (นิค) ของดูแลระบบ

และทันทีที่ผู้โจมตีเข้าถึงบัญชีที่ sysadmin ใช้สำหรับการเข้าสู่ระบบ ssh (และจากนั้นใช้suหรือsudoเพื่อทำงานของเขา) เขาสามารถติดเซสชันของผู้ใช้นั้นด้วยโปรแกรมซึ่งจะส่งรหัสผ่านรูทของผู้โจมตีเมื่อ sysadmin พิมพ์ต่อไป เวลา.

มันคือการเข้าสู่ระบบรูทประเภทใด ๆซึ่งควรพิจารณาเป็นแนวทางปฏิบัติที่ไม่ดีจากมุมมองความปลอดภัย การเข้าสู่ระบบของผู้ใช้ "ปกติ" -> su / sudo chain เพิ่มการตรวจสอบบัญชี ในภาษาอังกฤษแบบธรรมดา: ทำให้สามารถทราบได้ว่าใครทำอะไร

กรณีพิเศษอาจเป็นกรณีที่มีเพียงคนเดียวเท่านั้นที่มีสิทธิ์เข้าถึงรูท ในกรณีที่ใช้ผู้ใช้ "ปกติ" เพิ่มเติมจะไม่เพิ่มมูลค่ามากนัก (อย่างน้อยฉันก็ไม่สามารถเห็นคุณค่านั้นได้) แต่อย่างไรก็ตาม - คุณควรจะมีผู้ใช้ที่เรียบง่ายในระบบอยู่แล้ว (สำหรับงานที่ไม่เกี่ยวกับการบริหาร, ทำงาน wget ฯลฯ ;-))

การเปิดใช้งานการเข้าสู่ระบบรูทเป็นสิ่งที่อันตราย

ผู้โจมตี (บ็อต / บ็อตเน็ต / แฮ็กเกอร์) จะต้องเดารหัสผ่านและควบคุมระบบของคุณได้อย่างสมบูรณ์หากคุณเปิดอินเทอร์เน็ต นอกจากนี้ไม่มีบัญชีระบบ (www-data, proxy และอื่น ๆ ) ที่จะสามารถเข้าสู่ระบบผ่าน SSH ได้ด้วยเหตุผลเดียวกัน

หากคุณปิดใช้งานการเข้าสู่ระบบด้วยรหัสผ่าน (เช่นใช้รหัสสาธารณะ) ให้คำนึงว่าใครก็ตามที่ถือกุญแจส่วนตัวจะได้รับการควบคุมระบบของคุณอย่างสมบูรณ์ ดูว่าเหตุใดการใช้รหัสสาธารณะกับผู้ใช้จึงดีกว่าด้านล่าง

และอะไรคือความแตกต่างระหว่างชื่อผู้ใช้สัญลักษณ์ X และรหัสผ่านสัญลักษณ์ Y หรือชื่อผู้ใช้รูทและรหัสผ่านสัญลักษณ์ X + Y จากจุดรักษาความปลอดภัยในมุมมองในกรณีที่ได้รับอนุญาตให้ตรวจสอบรหัสผ่าน?

ชื่อผู้ใช้พิเศษสามารถเพิ่มระดับความปลอดภัยได้ตั้งแต่: ก) ผู้โจมตีควรทราบทั้งคู่ชื่อผู้ใช้และรหัสผ่าน b) ในกรณีที่ผู้โจมตีละเมิดระบบของคุณจะไม่สามารถเข้าถึงบัญชีที่มีสิทธิพิเศษได้โดยเพิ่มความแตกต่างเล็กน้อยสำหรับผู้โจมตี

ในกรณีนี้รหัสสาธารณะก็เป็นข้อดีเช่นกันเนื่องจาก:

1. ผู้โจมตีต้องการรหัสสาธารณะของคุณ
2. ผู้โจมตีต้องการรหัสผ่าน (หรือวิธีการตรวจสอบ) เพื่อรับสิทธิ์ยกระดับ

มันไม่เลวร้ายอย่างที่คุณใช้ความระมัดระวัง ตัวอย่างคุณสามารถติดตั้ง CSF (กำหนดค่าเซิร์ฟเวอร์ไฟร์วอลล์) และตั้งค่าจำนวนความพยายามล้มเหลวที่ได้รับอนุญาตดังนั้นถ้ามีคนพยายามลองพูดมากกว่า 5 ความพยายามล้มเหลว? พวกเขาจะถูกบล็อกโดยอัตโนมัติ ดังนั้นส่วนแรกของผู้ตอบที่ดีที่สุดจะไม่เป็นปัญหาเลย เรื่องนี้เกิดขึ้นกับฉันหลายครั้งและโชคดีที่ผู้แนะนำทั้งหมดถูกบล็อกอย่างถาวร ฉันเดาว่าเซิร์ฟเวอร์มันไม่ใช่ปัญหาใหญ่ถ้าคุณเป็นคนเดียวที่จัดการเซิร์ฟเวอร์ แต่แน่นอนว่าถ้ามีผู้ดูแลระบบจำนวนมากหรือถ้าคุณทำงานในองค์กรก็ไม่ได้ใช้ ราก. สำหรับพีซีตั้งโต๊ะฉันคิดว่าการใช้บัญชีอื่นจะดีกว่าเนื่องจากมีความเสี่ยงด้านความปลอดภัยเนื่องจากคุณใช้ซอฟต์แวร์จำนวนมาก แต่ในเซิร์ฟเวอร์คุณไม่ต้อง ' อย่าไปสุ่มซอฟท์แวร์ที่คุณไม่ไว้วางใจคุณต้องทำให้มันต่ำที่สุดเท่าที่จะทำได้ ดังนั้นข้อสรุปคือไม่มีไม่อันตรายจริง ๆ ถ้าคุณรู้วิธีจัดการเซิร์ฟเวอร์อย่างถูกต้อง