Предполагая, что никто не может украсть у меня действительный пароль, практически 99,9% невозможно использовать SSH для взлома моего сервера, работающего по стандартному порту SSH, используя очень сильный (24 символа, содержащие прописные, строчные буквы, круглые скобки, подчеркивания, доллары, периоды и т. д. и без слов на человеческом языке) пароль?
8
Ответы:
хотя и редки, но все равно есть 0-дневные эксплойты ... так что никогда не знаешь. может быть, вы можете ограничить доступ к порту 22 [на уровне брандмауэра] только несколькими хостами / сетями?
или, может быть, вы можете пойти по пути безопасности, хотя и неясности и реализовать стук портов ?
источник
Помните, что ваш пароль может быть очень надежным, в то время как другие пользователи могут иметь очень слабые пароли. Поставьте
AllowGroupsилиAllowUsersв,/etc/ssh/sshd_configчтобы отключить доступ SSH для других пользователей.Также помните, что ваш пароль может быть слишком безопасным: этот пароль почти наверняка будет записан.
Сказав, что я думаю, что вы в безопасности; если вы объединяетесь со стуком в порт или так, вы очень в безопасности.
источник
Все зависит от того, насколько быстро злоумышленник может забить ваш порт tcp / 22 для входа в систему. Если вы не используете что-либо для прекращения таких повторных подключений, со временем любой пароль может быть обнаружен. В этом случае время будет очень долгим. Месяцы постоянного забивания. В журналах SSH, в которых я прогуливался, я видел слабые удары по конкретным учетным записям и множество стучащих в дверь поисков слабых паролей.
Однако нельзя предполагать, что все злоумышленники случайны. У кого-то, специально ориентированного на вас, будут инвестиции, чтобы подождать несколько месяцев, чтобы взломать его. Именно по таким причинам предпочтительным является общий ключ, где это возможно. Вероятно, пароль, который вы опишите, будет три девяноста, который невозможно взломать (при разумных временных ограничениях). Я не задерживал дыхание в течение пяти девяток.
источник
apt-get install denyhosts(основанный на Debian)pkg_add -r denyhosts(FreeBSD) - это одна из первых вещей, которую нужно сделать на новой коробке.Используйте денихостов. Также рассмотрите возможность использования входа на основе ключа, а не пароля.
источник
Перемещение sshd на нестандартный порт, вероятно, будет тривиально добавить в вашу конфигурацию, и это, вероятно, устранит 99% трафика ботов ssh. Зачем подвергать себя всем атакам грубой силы, когда вы можете так легко спрятаться. ;-)
Я также обычно рекомендую настроить sshd для использования только аутентификации на основе пар ключей SSH, если она будет доступна для Интернета в целом. Пока вы сохраняете свой закрытый ключ в безопасности, злоумышленники почти не могут аутентифицироваться, как вы на сервере.
Как уже отмечал другой комментатор, это не защитит вас от 0-дневных эксплойтов в самом sshd. Всегда полезно ограничить трафик только машинами, которые должны подключаться через правила брандмауэра.
источник