Estou configurando um servidor SSH no Ubuntu 14.04.1 Server Edition. O objetivo é usar apenas autenticação de chave pública e permitir apenas determinados nomes de usuário.
Minhas chaves públicas e privadas são criadas e uma senha é definida na chave privada. Copiei a chave pública para o servidor (processo exato descrito abaixo) e consegui fazer o SSH no servidor pela primeira vez usando este comando
ssh -i /path/to/id_rsa -p 50000 [email protected]
Fui solicitada a senha da chave privada e tive permissão para fazer login. Ótimo.
No entanto, toda vez que faço SSH de volta ao servidor, não sou mais solicitada a senha da minha chave privada. Posso até fazer login sem especificar o caminho para minha chave privada, assim:
ssh -p 50000 [email protected]
Posso até excluir ~/.ssh/known_hosts no cliente (Mac OS X 10.8) e fazer SSH com sucesso no servidor via
ssh -p 50000 [email protected]
Então, minhas perguntas são:
- O que o servidor está usando para me autenticar se não estiver usando minha chave privada, a senha da chave nem o conteúdo do ~/.ssh/known_hosts do cliente?
- Meu servidor SSH é inseguro? Cópia de sshd_config incluída abaixo.
Obrigado pela ajuda.
Processo de criação de chave
- at your computer (not the server) do
- generate the keys: ssh-keygen -t rsa -b 4096
- public key is saved at ~/.ssh/id_rsa.pub
- private key is saved at ~/.ssh/id_rsa
- copy id_rsa.pub to server and append to ~/.ssh/authorized_keys
- ssh-copy-id username@remotehost
- a more secure method is to copy via usb drive
- make a backup: cp authorized_keys authorized_keys.original
- add public key to file: cat id_rsa.pub >> authorized_keys
- if your home directory is encrypted (mine is)
- in sshd_config: AuthorizedKeysFile /etc/ssh/%u/authorized_keys
- move the authorized_keys file to /etc/ssh/me/authorized_keys
- mkdir /etc/ssh/me
- chmod u=rwx,go= /etc/ssh/me
- chown me /etc/ssh/me
- mv ~/.ssh/authorized_keys /etc/ssh/me/authorized_keys
- chmod u=rw,go= /etc/ssh/me/authorized_keys
- chown me /etc/ssh/me/authorized_keys
sshd_config
# User modified sshd_config.
# See the sshd_config(5) manpage for details.
#### Networking options ####
# Listen on a non-standard port > 1024. Default is 22.
Port 50000
# Use these options to restrict which interfaces/protocols sshd will bind to
#ListenAddress ::
#ListenAddress 0.0.0.0
# Only use protocol version 2.
Protocol 2
X11Forwarding no
X11DisplayOffset 10
# Helps the server recognize problems and the connection will be killed.
TCPKeepAlive yes
#### Networking options ####
#### Key Configuration ####
# HostKeys for protocol version 2
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key
# Privilege Separation is turned on for security.
UsePrivilegeSeparation yes
# Use public key authentication
PubkeyAuthentication yes
#AuthorizedKeysFile %h/.ssh/authorized_keys
AuthorizedKeysFile /etc/ssh/%u/authorized_keys
#### Key Configuration ####
### Authentication ###
# 30 seconds to enter your key passphrase.
LoginGraceTime 30
# No root login.
PermitRootLogin no
# Force permissions checks on keyfiles and directories.
StrictModes yes
HostbasedAuthentication no
# Don't trust ~/.ssh/known_hosts for RhostsRSAAuthentication.
IgnoreUserKnownHosts yes
# To enable empty passwords, change to yes (NOT RECOMMENDED).
PermitEmptyPasswords no
# Disable challenge and response auth. Unnecessary when using keys.
ChallengeResponseAuthentication no
# Disable the use of passwords completly, only use public/private keys.
PasswordAuthentication no
# Using keys, no need for PAM (Pluggable Authentication Modules).
# Also allows SSHD to be run as a non-root user.
UsePAM no
# Don't use login(1)
UseLogin no
AllowUsers me
### Authentication ###
### Misc ###
# Logging
SyslogFacility AUTH
LogLevel VERBOSE
# Print the last time the user logged in.
PrintLastLog yes
# Maximum number of concurrent unauthenticated connections to the SSH daemon (the number of users still logging in).
MaxStartups 10:30:60
# Display login banner.
Banner /etc/issue.net
# Allow client to pass locale environment variables.
# Accept language variables to help the shell session display properly for the client.
AcceptEnv LANG LC_*
# External file transfer daemon to use for sftp requests.
Subsystem sftp /usr/lib/openssh/sftp-server
# Should the SSH daemon itself read and display the message of the day file.
PrintMotd no
### Misc ###
Configuração de firewall
- allow incoming connections to port 50000
- sudo ufw allow in 50000
- Rate-limit the connections
For example, deny connections if an IP address has attempted to initiate
6 or more connections in the last 30 seconds.
- sudo ufw limit ssh
Responder1
Seu computador cliente provavelmente armazenou as credenciais em cache, então provavelmente ainda está usando sua chave privada. Se você reiniciar o computador, deverá inserir a senha novamente. (além disso, se suas chaves estiverem em
~/.ssh/
, esse é o local padrãossh
para verificação delas)Sua configuração SSH parece boa, assim como as configurações do firewall (supondo que esteja definido como padrão para negar). Não posso comentar sobre a segurança do seu sistema como um todo.
Deixe-me saber se isso falta alguma coisa.