sys:повышение_безопасности_ssh_сервера [Моя склеротичка]

Эта страница только для чтения. Вы можете посмотреть её исходный текст, но не можете его изменить. Сообщите администратору, если считаете, что это неправильно.

{{tag>ssh}}
====== Повышение безопасности ssh сервера ======


Указываем:
  - каким ключам/алгоритмам мы будем доверять,
  - кого можно пускать по ssh
<code bash>
cat >> /etc/ssh/sshd_config <<EOT

######################################################################
#
##   Local settings
#
######################################################################

KexAlgorithms curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha256
Ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com,chacha20-poly1305@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com

AllowUsers sabitov

EOT
</code>

Удаляем ключи, которым нет веры. Чтобы ssh не создавал их по новой, создаём закольцованные симлинки. 
Пересоздаём RSA ключ, но уже существенно большей длины.
Удаляем короткие модули
<code bash>
cd /etc/ssh
rm /etc/ssh/ssh_host_{rsa,dsa,ecdsa}_key{,.pub} /etc/ssh/ssh_host_key{,.pub}
ln -s ssh_host_key ssh_host_key
ln -s ssh_host_dsa_key ssh_host_dsa_key
ln -s ssh_host_ecdsa_key ssh_host_ecdsa_key
ssh-keygen -t rsa -b 4096 -N '' -f ssh_host_rsa_key < /dev/null
cat /etc/ssh/moduli | awk '{ if ($5 !~ /1535|2047|3071/) print;}' > /tmp/1
cat /tmp/1 > /etc/ssh/moduli
rm /tmp/1
</code>

Dixi
<code bash>
/etc/init.d/sshd restart
</code>

Список литературы:

[[http://www.opennet.ru/tips/2877_ssh_crypt_setup_security_nsa.shtml|Хорошая статья на эту же тему.]]