Phenquestions
Les mesures de sécurisation du serveur SSH vont de basiques à avancées, et comme nous l'avons dit plus tôt, vous pouvez les choisir en fonction du niveau de sécurité dont vous avez besoin. Vous pouvez sauter l'une des mesures prescrites si vous avez une connaissance suffisante des conséquences et si vous êtes en bonne position pour y faire face. De plus, nous ne pouvons jamais dire qu'une seule étape assurera une sécurité à 100%, ou qu'une certaine étape est meilleure qu'une autre.
Tout dépend du type de sécurité dont nous avons réellement besoin. Par conséquent, aujourd'hui, nous avons l'intention de vous donner un aperçu très approfondi des étapes de base et avancées pour sécuriser un serveur SSH dans Ubuntu 20.04. En dehors de ces méthodes, nous partagerons également avec vous quelques astuces supplémentaires pour sécuriser votre serveur SSH en bonus. Alors commençons par la discussion intéressante d'aujourd'hui.
Méthode de sécurisation du serveur SSH dans Ubuntu 20.04 :
Toutes les configurations SSH sont stockées dans son fichier /etc/ssh/sshd_config. Ce fichier est considéré comme très crucial pour le fonctionnement normal de votre serveur SSH. Par conséquent, avant d'apporter des modifications à ce fichier, il est fortement recommandé de créer une sauvegarde de ce fichier en exécutant la commande suivante dans votre terminal :
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
Si cette commande est exécutée avec succès, aucune sortie ne vous sera présentée, comme indiqué dans l'image ci-dessous :
Après avoir créé une sauvegarde de ce fichier, cette étape est facultative et est effectuée si vous souhaitez vérifier toutes les options actuellement activées dans ce fichier de configuration. Vous pouvez le vérifier en exécutant la commande suivante dans votre terminal :
Les options actuellement activées du fichier de configuration SSH sont affichées dans l'image ci-dessous. Vous pouvez faire défiler cette liste pour voir toutes les options.
Vous pouvez maintenant commencer à sécuriser votre serveur SSH tout en passant des étapes de base aux étapes avancées dans Ubuntu 20.04.
Étapes de base pour sécuriser le serveur SSH dans Ubuntu 20.04 :
Les étapes de base pour sécuriser un serveur SSH dans Ubuntu 20.04 sont les suivants :
Étape #1 : Ouverture du fichier de configuration SSH :
Vous pouvez ouvrir le fichier de configuration SSH en exécutant la commande indiquée ci-dessous dans votre terminal :
sudo nano /etc/ssh/sshd_config
Le fichier de configuration SSH est affiché dans l'image suivante :
Étape n°2 : Désactivation de l'authentification par mot de passe :
Au lieu d'utiliser des mots de passe pour l'authentification, les clés SSH sont considérées comme plus sécurisées. Par conséquent, si vous avez généré les clés SSH pour l'authentification, vous devez désactiver l'authentification par mot de passe. Pour cela, vous devez localiser la variable « PasswordAuthentication », la décommenter et définir sa valeur sur « non », comme le souligne l'image ci-dessous :
Étape 3 : Rejeter/refuser les mots de passe vides :
Parfois, les utilisateurs trouvent extrêmement pratique de créer des mots de passe vides pour éviter de mémoriser des mots de passe complexes. Cette pratique peut s'avérer préjudiciable à la sécurité de votre serveur SSH. Par conséquent, vous devez rejeter toutes les tentatives d'authentification avec des mots de passe vides. Pour cela, vous devez localiser la variable « PermitEmptyPasswords » et simplement la décommenter car sa valeur est déjà définie sur « non » par défaut, comme le souligne l'image suivante :
Étape n°4 : Interdire la connexion root :
Vous devez strictement interdire les connexions root pour empêcher tout intrus d'accéder au niveau racine à votre serveur. Vous pouvez le faire en localisant la variable « PermitRootLogin », en la décommentant et en définissant sa valeur sur « non », comme le souligne l'image ci-dessous :
Étape n°5 : Utilisation du protocole SSH 2 :
Le serveur SSH peut fonctionner sur deux protocoles différents, je.e., Protocole 1 et Protocole 2. Le protocole 2 implémente des fonctionnalités de sécurité plus avancées, c'est pourquoi il est préféré au protocole 1. Cependant, le protocole 1 est le protocole par défaut de SSH, et il n'est pas explicitement mentionné dans le fichier de configuration SSH. Par conséquent, si vous souhaitez travailler avec le protocole 2 au lieu du protocole 1, vous devez ajouter explicitement la ligne « Protocole 2 » à votre fichier de configuration SSH comme indiqué dans l'image suivante :
Étape n°6 : Définir un délai d'expiration de session :
Parfois, les utilisateurs laissent leur ordinateur sans surveillance pendant très longtemps. Pendant ce temps, tout intrus peut venir et accéder à votre système tout en violant sa sécurité. C'est là que le concept de session timeout entre en jeu. Cette fonctionnalité est utilisée pour déconnecter un utilisateur s'il reste inactif pendant une longue période afin qu'aucun autre utilisateur ne puisse accéder à son système.
Ce délai d'attente peut être défini en localisant la variable « ClientAliveInterval », en la décommentant et en lui affectant la valeur (en secondes) de votre choix. Dans notre cas, nous lui avons attribué la valeur « 300 secondes » ou « 5 minutes ». Cela signifie que si l'utilisateur reste éloigné du serveur SSH pendant « 300 secondes », il sera automatiquement déconnecté comme indiqué dans l'image ci-dessous :
Étape # 7 : Autoriser des utilisateurs spécifiques à accéder au serveur SSH :
Le serveur SSH n'est pas un serveur dont l'accès est requis par tout autre utilisateur. Par conséquent, son accès doit être limité aux seuls utilisateurs qui en ont réellement besoin. Pour autoriser des utilisateurs spécifiques à accéder au serveur SSH, vous devez ajouter une variable nommée « AllowUsers » au fichier de configuration SSH, puis écrire les noms de tous les utilisateurs auxquels vous souhaitez autoriser l'accès au serveur SSH séparés par un espace. Dans notre cas, nous voulions seulement autoriser un utilisateur à accéder au serveur SSH. C'est pourquoi nous n'avons ajouté que son nom comme mis en évidence dans l'image suivante :
Étape # 8 : Limiter le nombre de tentatives d'authentification :
Chaque fois qu'un utilisateur essaie d'accéder à un serveur, et qu'il est incapable de s'authentifier pour la première fois, il essaie de le faire à nouveau. L'utilisateur continue de faire ces tentatives jusqu'à ce qu'il soit en mesure de s'authentifier avec succès, ce qui lui permet d'accéder au serveur SSH. Ceci est considéré comme une pratique hautement non sécurisée car un pirate informatique peut lancer une attaque par force brute (une attaque qui tente à plusieurs reprises de deviner un mot de passe jusqu'à ce que la bonne correspondance soit trouvée). En conséquence, il pourra accéder à votre serveur SSH.
C'est pourquoi il est fortement recommandé de limiter le nombre de tentatives d'authentification pour éviter les attaques par devinette de mot de passe. La valeur par défaut des tentatives d'authentification sur le serveur SSH est définie sur « 6 ». Cependant, vous pouvez le modifier en fonction du niveau de sécurité dont vous avez besoin. Pour cela, vous devez localiser les variables "MaxAuthTries", les décommenter et définir sa valeur sur le nombre souhaité. Nous voulions limiter les tentatives d'authentification à « 3 », comme le souligne l'image ci-dessous :
Étape n°9 : Exécuter le serveur SSH en mode test :
A présent, nous avons pris toutes les mesures de base pour sécuriser notre serveur SSH sur Ubuntu 20.04. Cependant, nous devons toujours nous assurer que les options que nous venons de configurer fonctionnent correctement. Pour cela, nous allons d'abord enregistrer et fermer notre fichier de configuration. Après cela, nous allons essayer d'exécuter notre serveur SSH en mode test. S'il s'exécute avec succès en mode test, cela impliquera qu'il n'y a pas d'erreurs dans votre fichier de configuration. Vous pouvez exécuter votre serveur SSH en mode test en exécutant la commande suivante dans votre terminal :
sudo sshd -t
Lorsque cette commande est exécutée avec succès, elle n'affichera aucune sortie sur le terminal, comme indiqué dans l'image ci-dessous. Cependant, s'il y a des erreurs dans votre fichier de configuration, l'exécution de cette commande rendra ces erreurs sur le terminal. Vous serez alors censé corriger ces erreurs. Ce n'est qu'alors que vous pourrez aller plus loin.
Étape n°10 : Rechargement du serveur SSH avec de nouvelles configurations :
Maintenant, lorsque le serveur SSH a fonctionné avec succès en mode test, nous devons le recharger pour qu'il puisse lire le nouveau fichier de configuration, je.e., les modifications que nous avons apportées au fichier de configuration SSH dans les étapes indiquées ci-dessus. Pour recharger le serveur SSH avec de nouvelles configurations, vous devez exécuter la commande suivante dans votre terminal :
sudo service sshd recharger
Si votre serveur SSH est redémarré avec succès, le terminal n'affichera aucune sortie, comme indiqué dans l'image ci-dessous :
Étapes avancées pour sécuriser le serveur SSH dans Ubuntu 20.04 :
Après avoir effectué toutes les étapes de base pour sécuriser le serveur SSH dans Ubuntu 20.04, vous pouvez enfin passer aux étapes avancées. Ceci n'est qu'un pas en avant pour sécuriser votre serveur SSH. Cependant, si vous n'avez l'intention d'atteindre qu'un niveau de sécurité modéré, les étapes décrites ci-dessus seront suffisantes. Mais si vous voulez aller un peu plus loin, vous pouvez suivre les étapes expliquées ci-dessous :
Étape #1 : Ouvrir le ~/.Fichier ssh/authorized_keys :
Les étapes de base de la sécurisation du serveur SSH sont implémentées dans le fichier de configuration SSH. Cela signifie que ces politiques seront valables pour tous les utilisateurs qui tenteront d'accéder au serveur SSH. Cela implique également que les étapes de base représentent une méthode générique de sécurisation du serveur SSH. Cependant, si nous essayons de considérer le principe de « défense en profondeur », nous réaliserons que nous devons sécuriser chaque clé SSH séparément. Cela peut être fait en définissant des paramètres de sécurité explicites pour chaque clé individuelle. Les clés SSH sont stockées dans le ~/.ssh/authorized_keys, nous allons donc d'abord accéder à ce fichier pour modifier les paramètres de sécurité. Nous allons exécuter la commande suivante dans le terminal pour accéder au ~/.fichier ssh/authorized_keys :
sudo nano ~/.ssh/authorized_keysL'exécution de cette commande ouvrira le fichier spécifié avec l'éditeur nano. Cependant, vous pouvez également utiliser n'importe quel autre éditeur de texte de votre choix pour ouvrir ce fichier. Ce fichier contiendra toutes les clés SSH que vous avez générées jusqu'à présent.
Étape 2 : Définition de configurations spécifiques pour des clés particulières :
Pour atteindre un niveau de sécurité avancé, les cinq options suivantes sont disponibles :
- pas de transfert d'agent
- pas de redirection de port
- no-pty
- no-user-rc
- pas de transfert X11
Ces options peuvent être écrites avant toute clé SSH de votre choix pour les rendre disponibles pour cette clé particulière. Même plus d'une option peut également être configurée pour une seule clé SSH. Par exemple, vous souhaitez désactiver la redirection de port pour une clé particulière ou, en d'autres termes, vous souhaitez implémenter aucune redirection de port pour une clé spécifique, la syntaxe sera la suivante :
DesiredSSHKey sans redirection de portIci, au lieu de la DesiredSSHKey, vous aurez une véritable clé SSH dans votre ~/.fichier ssh/authorized_keys. Après avoir appliqué ces options pour vos clés SSH souhaitées, vous devrez enregistrer le ~/.ssh/authorized_keys et fermez-le. Une bonne chose à propos de cette méthode avancée est qu'elle ne vous obligera pas à recharger votre serveur SSH après avoir effectué ces modifications. Ces modifications seront plutôt lues par votre serveur SSH automatiquement.
De cette façon, vous pourrez sécuriser chaque clé SSH en profondeur en appliquant les mécanismes de sécurité avancés.
Quelques conseils supplémentaires pour sécuriser le serveur SSH dans Ubuntu 20.04 :
Outre toutes les étapes de base et avancées que nous avons prises ci-dessus, il existe également quelques conseils supplémentaires qui peuvent s'avérer très utiles pour sécuriser le serveur SSH dans Ubuntu 20.04. Ces conseils supplémentaires ont été discutés ci-dessous :
Gardez vos données cryptées :
Les données qui résident sur votre serveur SSH, ainsi que celle qui reste en transit, doivent être cryptées et cela aussi, avec un algorithme de cryptage fort. Cela protégera non seulement l'intégrité et la confidentialité de vos données, mais empêchera également la sécurité de l'ensemble de votre serveur SSH d'être compromise.
Gardez votre logiciel à jour :
Le logiciel qui s'exécute sur votre serveur SSH doit être à jour. Ceci est fait pour s'assurer qu'aucun bogue de sécurité dans votre logiciel ne reste sans surveillance. Au contraire, ils devraient être corrigés bien à temps. Cela vous évitera tout dommage potentiel à long terme et empêchera également votre serveur de tomber en panne ou d'être indisponible en raison de problèmes de sécurité.
Assurez-vous que SELinux est activé :
SELinux est le mécanisme qui pose la première pierre de la sécurité au sein des systèmes basés sur Linux. Il fonctionne en mettant en œuvre le contrôle d'accès obligatoire (MAC). Il met en œuvre ce modèle de contrôle d'accès en définissant des règles d'accès dans sa politique de sécurité. Ce mécanisme est activé par défaut. Cependant, les utilisateurs sont autorisés à modifier ce paramètre à tout moment. Cela signifie qu'ils peuvent désactiver SELinux quand ils le souhaitent. Cependant, il est fortement recommandé de toujours garder SELinux activé afin qu'il puisse empêcher votre serveur SSH de tous les dommages potentiels.
Utilisez des politiques de mot de passe strictes :
Si vous avez protégé votre serveur SSH avec des mots de passe, vous devez créer des politiques de mots de passe forts. Idéalement, les mots de passe doivent comporter plus de 8 caractères. Ils doivent être changés après un certain temps, par exemple tous les 2 mois. Ils ne doivent contenir aucun mot du dictionnaire ; ils devraient plutôt être une combinaison d'alphabets, de chiffres et de caractères spéciaux. De même, vous pouvez définir d'autres mesures plus strictes pour vos politiques de mot de passe afin de vous assurer qu'elles sont suffisamment solides.
Surveillez et maintenez les journaux d'audit de votre serveur SSH :
Si quelque chose ne va pas avec votre serveur SSH, votre premier assistant peut être les journaux d'audit. Par conséquent, vous devez continuer à maintenir ces journaux afin de pouvoir retracer la cause première du problème. De plus, si vous continuez à surveiller la santé et le fonctionnement de votre serveur SSH en continu, cela empêchera également tout problème majeur de se produire en premier lieu.
Maintenez des sauvegardes régulières de vos données :
Enfin et surtout, vous devez toujours conserver une sauvegarde de l'ensemble de votre serveur SSH. Faire cela ne sauvera pas seulement vos données d'être corrompues ou entièrement perdues ; au lieu de cela, vous pouvez également utiliser ce serveur de sauvegarde chaque fois que votre serveur principal tombe en panne. Cela limitera également le temps d'arrêt du serveur et assurera sa disponibilité.
Conclusion:
En prenant soin de toutes les mesures qui ont été prescrites dans cet article, vous pouvez facilement sécuriser ou durcir votre serveur SSH dans Ubuntu 20.04. Cependant, si vous êtes issu de la sécurité de l'information, vous devez être bien conscient du fait qu'il n'y a rien de tel que la sécurité à 100%. Tout ce que nous pouvons obtenir, c'est la promesse du meilleur effort, et ce meilleur effort ne sera sécurisé que jusqu'au moment où il sera également violé. C'est pourquoi même après avoir pris toutes ces mesures, vous ne pouvez pas dire que votre serveur SSH est 100% sécurisé ; au contraire, il peut toujours avoir des vulnérabilités telles que vous n'auriez même jamais pensé à. De telles vulnérabilités ne peuvent être corrigées que si nous gardons un œil attentif sur notre serveur SSH et continuons à le mettre à jour chaque fois que cela est nécessaire.
