Защищать сервер Ubuntu OpenSSH от атак грубой силы, но без брандмауэра или пары ключей SSH?

Этот ответ намеревается дать возможный способ удовлетворения основного вопроса: защитить сервер Ubuntu OpenSSH от атак грубой силы, но без пары межсетевого экрана или ключа SSH?

На самом деле я предпочитаю использовать пару межсетевых экранов и SSH-ключей и нашел ответ, предоставленный Дагом Смитисом, действительно полезным.

Защитите SSH с помощью двухфакторной аутентификации

Двухфакторная аутентификация (2FA) - это тип многофакторной аутентификации. В этом примере 2FA подтверждает заявленную личность пользователя, используя комбинацию этих двух разных компонентов:

• Основанный на времени, шестизначный код токена - код аутентификации. По умолчанию эти токены действуют в течение 30 секунд, плюс дополнительно добавляются 60 секунд, чтобы компенсировать возможный перекос времени.

• Пароль пользователя, который сам по себе должен быть достаточно безопасным.

На самом деле, когда вы установили PermitRootLogin no и имена пользователей выбраны удачно, для меня этот метод можно назвать 3FA.

Кроме того, если компьютер, на который вы входите, не защищен от попыток входа в систему методом подбора, вы можете включить ограничение скорости для модуля аутентификации.

Давай начнем:

1. Установите зависимости

sudo apt-get install libpam-google-authenticator

2. Отредактируйте файлы конфигурации

• редактировать /etc/pam.d/sshd и добавьте эту директиву:

  # Google Authenticator
  auth required pam_google_authenticator.so
  

  Добавьте его в начало файла. Таким образом, система сначала запросит код аутентификации, а только затем запросит пароль. Добавьте его в конец файла - система спросит первый пароль.

• редактировать /etc/ssh/sshd_config и измените или добавьте эти директивы:

  ChallengeResponseAuthentication yes
  UsePAM yes
  PasswordAuthentication no           # You can leave this 'yes' it doesn't matter.
  

3. Активируйте двухфакторную аутентификацию для пользователя

Переключитесь на пользователя, который должен использовать двухфакторную аутентификацию и введите в терминале:

$ google-authenticator Enter

Вы хотите, чтобы токены аутентификации основывались на времени (да / нет) y Введите
https://www.google.com/chart?chs=200x200&chld=M|0&cht=qr&chl=otpauth://totp/user@host%3Fsecret%3DE3CY3TNSNBXXXXXX


Ваш новый секретный ключ: E3CY3TNSNBXXXXXX
Ваш проверочный код 229999
Ваши аварийные скретч-коды:
  19999711
  ...

Вы хотите, чтобы я обновил ваш файл "/home/user/.google_authenticator" (да / нет) y Введите

Вы хотите запретить многократное использование одного и того же токена аутентификации? Это ограничивает вас одним входом примерно каждые 30 секунд, но увеличивает ваши шансы заметить или даже предотвратить атаки типа "человек посередине". 
(y / n) y Enter

По умолчанию токены работают в течение 30 секунд, и для компенсации возможного перекоса времени между клиентом и сервером мы разрешаем дополнительный токен до и после текущего времени. Если у вас возникли проблемы с плохой синхронизацией времени, вы можете увеличить размер окна по умолчанию от 1:30 минут до 4 минут. Вы хотите сделать это 
(y / n) y Enter

Если компьютер, на который вы входите, не защищен от попыток входа в систему методом подбора, вы можете включить ограничение скорости для модуля аутентификации. По умолчанию это ограничивает злоумышленников не более 3 попыток входа в систему каждые 30 секунд. Вы хотите включить ограничение скорости 
(y / n) y Enter

Этот диалог создаст файл аутентификации с именем .google_authenticator размещены в домашнем каталоге пользователя. Этот файл может также использоваться для учетных записей других пользователей, если вы хотите, чтобы все они использовали одинаковые токены. Кроме того, этот файл можно настроить, а также использовать для 2FA в Apache2, но это уже другая история.

4. Генерация кодов аутентификации

Секретный ключ - E3CY3TNSNBXXXXXX - сгенерированный на предыдущем этапе используется для генерации кодов аутентификации в некотором приложении как:

• Аутентификатор командной строки
• Эти настольные приложения, упомянутые здесь
• Расширения для веб-браузеров описаны здесь
• Google Authenticator для Android
• Google Authenticator для iPhone / iPad

5. Пример использования

В этом примере используется расширение Authenticator для Chromium/Chrome:

6. Дальнейшее чтение

• Основной источник этого ответа: Как защитить SSH с помощью двухфакторной аутентификации;
• Многофакторная аутентификация - как включить аутентификацию SSH с помощью приложения OATH-TOTP (описанный здесь метод) в дополнение к паре ключей SSH.

РЕДАКТИРОВАТЬ:

В некоторых случаях может быть разница между часами Google и часами сервера. Вот несколько советов по этому вопросу:

• Что такое команда для обновления времени и даты из интернета

• Дата: невозможно установить дату: операция не разрешена

• Linux: добавьте x секунд к текущей дате

К сожалению: если это VPS, возможно, у вас нет прав для этого... Если вы используете VPS, свяжитесь с вашим провайдером, чтобы решить эту проблему для вас.

^{В случае, если ваш провайдер не хочет отвечать вашим требованиям, вышеуказанная настройка будет работать, но с временным сдвигом. Тип} date ^{в консоли вашего сервера и измерьте это время. Тогда просто поработайте с этим временным сдвигом между моментом генерации кода аутентификации и моментом его использования.}

Вам не нужно ничего устанавливать для такой защиты - просто добавьте соответствующие правила в вашу систему iptables.

1. Обязательное правило:

В начале вашего набора правил разрешите любому связанному трафику возвращаться на сервер:

sudo iptables -A INPUT -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT

2. Правила обнаружения и блокировки:

Установить динамический список Badguy. Обнаружение и удаление плохих IP-адресов, которые выполняют парольные атаки на SSH. Как только они попадают в список BADGUY, система отбрасывает все их пакеты:

sudo iptables -A INPUT -i eth0 -m recent --update --hitcount 3 --seconds 90000 --name BADGUY_SSH -j LOG --log-prefix "SSH BAD:" --log-level info
sudo iptables -A INPUT -i eth0 -m recent --update --hitcount 3 --seconds 90000 --name BADGUY_SSH -j DROP
sudo iptables -A INPUT -i eth0 -p tcp -m tcp --dport 22 -m recent --set --name BADGUY_SSH -j ACCEPT

• В приведенном выше коде 90000 секунд (25 часов) - это время блока.

• Любая попытка заблокированного IP-адреса, даже не связанная с SSH (в зависимости от других правил, которые вы можете иметь или не иметь, и порядка), сбрасывает таймер времени блокировки.

3. Обнаружение твердения:

Ограничьте количество неверных паролей на соединение до 2. По умолчанию установлено значение 6.

Как sudo редактировать /etc/ssh/sshd_configи там поставили:

    MaxAuthTries 2