Muokataan sivua SSH-turvatoimet
Siirry navigaatioon
Siirry hakuun
Kumoaminen voidaan suorittaa. Varmista alla olevasta vertailusta, että haluat saada aikaan tämän lopputuloksen, ja sen jälkeen julkaise alla näkyvät muutokset.
Nykyinen versio | Oma tekstisi | ||
Rivi 1: | Rivi 1: | ||
Tässä artikkelissa listataan erilaisia keinoja joilla luvattomia [[SSH]]-kirjautumisia voidaan välttää ja riskejä rajata. | Tässä artikkelissa listataan erilaisia keinoja joilla luvattomia [[SSH]]-kirjautumisia voidaan välttää ja riskejä rajata. | ||
== | ==Fail2ban== | ||
Fail2ban-skripti seuraa kirjautumisyrityksiä, ja estää yhteydet määritellyksi ajaksi (esim. 15 minuuttia) IP-osoitteista, joista epäonnistuneita yrityksiä tulee liikaa. Tämä torjuu tehokkaasti mm. sanakirjahyökkäyksiä. Fail2banin saa ohjelman omilta [http://www.fail2ban.org/ kotisivuilta] tai useimpien jakelujen pakettienhallinnasta, esim. [[Debian]]issa ja [[Ubuntu]]ssa asennus onnistuu helposti ([[pääkäyttäjä]]nä): | |||
apt-get install fail2ban | |||
==Hyvät salasanat== | ==Hyvät salasanat== | ||
Salasana jää herkästi järjestelmän heikoimmaksi lenkiksi. Käytä esimerkiksi [[apg]]:tä salasanan generoimiseen. Pitkään on suositeltu että salasanoja ei laitettaisi lapulle, mutta mikäli taipumuksenasi on tämän sijaan käyttää samaa salasanaa joka paikassa, muistilapun laatiminen lienee sittenkin parempi vaihtoehto. Mikäli käytät jonkun koneen tiettyä SSH-tiliä vain yhdeltä koneelta, [[SSH#Tunnistaminen_avainparilla|avainparilla tunnistautuminen]] ja salasanan lukitseminen (<tt>[[passwd]] -l</tt>) saattaisi olla hyvä ratkaisu. | Salasana jää herkästi järjestelmän heikoimmaksi lenkiksi. Käytä esimerkiksi [[apg]]:tä salasanan generoimiseen. Pitkään on suositeltu että salasanoja ei laitettaisi lapulle, mutta mikäli taipumuksenasi on tämän sijaan käyttää samaa salasanaa joka paikassa, muistilapun laatiminen lienee sittenkin parempi vaihtoehto. Mikäli käytät jonkun koneen tiettyä SSH-tiliä vain yhdeltä koneelta, [[SSH#Tunnistaminen_avainparilla|avainparilla tunnistautuminen]] ja salasanan lukitseminen (<tt>[[passwd]] -l</tt>) saattaisi olla hyvä ratkaisu. | ||
== Portin vaihto == | |||
SSH kuuntelee vakiona porttia 22, mutta sen voi laittaa johonkin muuhunkin porttiin ja torjua näin joitakin hyökkäyksiä. Laitat vain tiedostoon /etc/ssh/sshd_config seuraavasti: | |||
#Port 22 #Entinen portti kommentoituna | |||
Port 54433 #Uusi portti | |||
== Pääkäyttäjänä kirjautumisen estäminen == | == Pääkäyttäjänä kirjautumisen estäminen == | ||
Rivi 16: | Rivi 18: | ||
Pääkäyttäjän kirjautuminen voidaan estää muokkaamalla tiedostoa <tt>/etc/ssh/sshd_config</tt>. Tiedostossa pitäisi olla rivi | Pääkäyttäjän kirjautuminen voidaan estää muokkaamalla tiedostoa <tt>/etc/ssh/sshd_config</tt>. Tiedostossa pitäisi olla rivi | ||
PermitRootLogin no | PermitRootLogin no | ||
jos pääkäyttäjän kirjautumista ei sallita. Jos tiedostossa lukee <tt>PermitRootLogin yes</tt>, vaihda se | jos pääkäyttäjän kirjautumista ei sallita. Jos tiedostossa lukee <tt>PermitRootLogin yes</tt>, vaihda se ylläolevaan muotoon. | ||
Jotta muutokset tulevat voimaan, on ssh-palvelin käynnistettävä uudelleen: | Jotta muutokset tulevat voimaan, on ssh-palvelin käynnistettävä uudelleen: | ||
/etc/init.d/ssh restart | /etc/init.d/ssh restart | ||
[[Luokka:Tietoturva]][[Luokka:Verkko]] | |||
[[Luokka:Tietoturva]] | |||
[[Luokka: |