Офисное западло - Xakep Online

ХАКЕР.PRO
При помощи ClusterSSH можно легко управлять сразу несколькими системами
links
По адресу www.
jfranken.de/
homepages/johannes/
vortraege/ssh2_inhalt.
en.html ты найдешь
отличное руководство
по созданию
туннелей.
В Debian и Ubuntu для аутентификации по умолчанию
используется GSSAPI (Generic Security Services Application
Programming Interface), что обычно требует времени. Есть
смысл использовать этот механизм только совместно с
Kerberos 5, иначе его можно отключить, уменьшив задержку.
Одновременно запретим использование одноразовых паролей
на базе системы S/Key:
GSSAPIAuthentication no
ChallengeResponseAuthentication no
Несколько параметров в sshd_config позволяют контролировать
время работы и бездействия клиента, но они не всегда
так уж полезны. Например, по умолчанию TCPKeepAlive
установлен в «yes»; это означает, что сервер будет периодически
проверять, находится ли клиент «на линии» — если он
не отвечает, соединение автоматически разрывается. И хотя с
ним системные ресурсы не расходуются зря, в целях безопасности
его лучше отключить:
TCPKeepAlive no
Хакер, анализируя такие пакеты, может провести ряд сетевых
атак, поэтому вместо TCPKeepAlive лучше использовать
директивы:
ClientAliveInterval 15
ClientAliveCountMax 3
Следующие два параметра позволяют контролировать неудачные
подключения к серверу:
LoginGraceTime 60
MaxStartups 2:50:10
Параметр LoginGraceTime определяет, по истечению какого
времени простаивающее подключение будет разорвано
(в секундах). Значение по умолчанию (120) явно завышено.
Количество параллельных неаутентифицированных подключений
к серверу контролируется при помощи MaxStartups.
Запись параметра имеет форму «start:rate:full». В
нашем случае она означает отключение с вероятностью 50%
при наличии двух неаутентифицированных связей с линейным
ростом вероятности до 100% при достижении 10.
Установки в файлах /etc/ssh/sshrc или ~/.ssh/rc
позволяют выполнить действия при регистрации пользователя.
Здесь можно использовать любые команды оболочки.
Например, отправляем на почту уведомление, что в систему
по ssh зашел пользователь:
$ sudo vim /etc/ssh/sshrc
echo $(date) $SSH_CONNECTION $USER $SSH_TTY |
mail -s "ssh login" admin@domain.ru
Таким образом, можно полностью контролировать
подключения.
Золотые ключики
Аутентификация при помощи пароля не всегда безопасна,
поэтому некоторые security-специалисты советуют ее отключить
и воспользоваться авторизацией по ключам:
PasswordAuthentication no
PubkeyAuthentication yes
Чтобы подстраховаться, стоит ограничить доступ беспарольным
клиентам. Нужные параметры можно указывать прямо в
~/.ssh/authorized_keys:
$ vim .ssh/authorized_keys
from="192.168.0.*,212.34.XX.YY" ssh-rsa
AAAA[...]
Здесь же допускается задавать команды, которые будут вызваны
при подключении:
command="ssh -t user@192.168.5.201" ssh-rsa
AAAA[...]
Этот подход можно использовать для создания бэкапов. Генерируем
пару ключей (секретный и публичный):
$ sudo ssh-keygen -t rsa -C 'remote backup'
Generating public/private rsa key pair.
Enter file in which to save the key (/home/
user/.ssh/id_rsa): /home/user/.ssh/id_rsa_
backup
Добавляем публичный ключ в список авторизованных ключей
на удаленной системе:
$ ssh remotehost "mkdir -m 700 .ssh; umask
130
xàêåð 06 /114/ 08