LXF165-166: Безо­пас­ность: SSH

Подписка на печатную версию Весь 2015 год (12 номеров) Первое полугодие (6 номеров) Второе полугодие (6 номеров)

Подписка на электронную версию Весь 2015 год (12 номеров) Первое полугодие (6 номеров) Второе полугодие (6 номеров)

Подшивки старых номеров журнала (печатные версии) Весь 2014 год (12 номеров) Первое полугодие (6 номеров) Второе полугодие (6 номеров)

Се­ти: По­лу­чи­те дос­туп к сво­ему ком­пь­ю­те­ру из лю­бой точ­ки ми­ра

SSH: Связь без опа­сений

Нейл Бот­вик по­ка­зы­ва­ет, как с по­мо­щью SSH два ком­пь­ю­те­ра мо­гут об­щать­ся друг с дру­гом мак­си­маль­но удоб­но и безо­пас­но. ‎

Про SSH, или «за­щи­щен­ную обо­лоч­ку [Secure Shell]», слы­ша­ли мно­гие из нас, но она уме­ет не толь­ко от­кры­вать се­анс тер­ми­на­ла на дру­гом ком­пь­ю­те­ре. Тем, кто не зна­ком с SSH, бу­дет ин­те­рес­но уз­нать, что с ее по­мо­щью мож­но от­крыть за­щи­щен­ный се­анс тер­ми­на­ла че­рез сеть. Весь тра­фик, вклю­чая об­мен па­ро­ля­ми, шиф­ру­ет­ся, что по­зво­ля­ет ис­поль­зо­вать неза­щи­щен­ные ка­на­лы. Обыч­но SSH за­пуска­ет­ся так:

ssh user@hostname

Ко­ман­да под­клю­чит­ся к уда­лен­но­му хосту и за­про­сит па­роль поль­зо­ва­те­ля, а за­тем от­кро­ет обо­лоч­ку по умол­чанию для это­го поль­зо­ва­те­ля. Часть ад­ре­са user@ мож­но опустить, и тогда SSH восполь­зу­ет­ся те­ку­щим именем поль­зо­ва­те­ля, но при­дет­ся ука­зать па­роль; при этом бу­дут ис­поль­зо­ва­ны на­строй­ки по умол­чанию для это­го поль­зо­ва­те­ля на уда­лен­ном ком­пь­ю­те­ре.

Ис­поль­зо­вать па­ро­ли для вхо­да и неудоб­но, и нена­деж­но; и чем на­дежнее па­роль, тем это менее удоб­но. SSH име­ет и аль­тер­на­ти­ву – ау­тен­ти­фи­ка­цию по клю­чам, по­зво­ляю­щую поль­зо­ва­те­лю вой­ти в сис­те­му на дру­гом ком­пь­ю­те­ре от сво­его имени без вво­да па­ро­ля. По­это­му не поль­зуй­тесь ею на уст­рой­ст­вах, ко­то­рые лег­ко по­те­рять или ук­расть, на­при­мер, на смарт­фо­нах. Соз­дать клю­чи на локаль­ном ком­пь­ю­те­ре мож­но ко­ман­дой:

ssh-keygen -t edcsa

Па­ра­метр -t за­да­ет тип клю­ча: rsa, dsa или edcsa. По­следний ис­поль­зу­ет­ся по умол­чанию в бо­лее но­вых вер­си­ях SSH, но не под­дер­жи­ва­ет­ся в бо­лее ста­рых ре­ли­зах, по­это­му вы мо­же­те вы­брать dsa. От­веть­те на во­про­сы, и ко­ман­да соз­даст па­ру клю­чей в ка­та­ло­ге ~/.ssh; фай­лы бу­дут на­зва­ны в со­от­вет­ст­вии с ти­пом, на­при­мер, id_ecdsa and id_ecdsa.pub. По­следний файл – пуб­лич­ный ключ, ко­то­рый ко­пи­ру­ет­ся на уда­лен­ный ком­пь­ю­тер, дру­гой файл – при­ват­ный ключ, и им не сле­ду­ет де­лить­ся ни с кем. Ско­пи­руй­те пуб­лич­ный ключ на уда­лен­ный ком­пь­ю­тер ко­ман­дой

ssh-copy-id -i ~/.ssh/id_edcsa.pub user@hostname

Ко­ман­да за­про­сит у вас па­роль на уда­лен­ном ком­пь­ю­те­ре и за­тем ско­пи­ру­ет ту­да пуб­лич­ный ключ. При сле­дую­щей по­пыт­ке под­клю­чить­ся к это­му ком­пь­ю­те­ру под данным поль­зо­ва­те­лем вы вой­де­те в сис­те­му без за­про­са па­ро­ля.

Для по­вы­шения безо­пас­но­сти мож­но от­клю­чить вход по па­ро­лям, и тогда в сис­те­му смо­гут вой­ти толь­ко поль­зо­ва­те­ли с за­ре­ги­ст­ри­ро­ван­ны­ми клю­ча­ми. Тогда вам по­на­до­бит­ся доступ root или sudo на це­ле­вом ком­пь­ю­те­ре – при­дет­ся из­менить файл /etc/ssh/sshd_config. Най­ди­те стро­ку с па­ра­мет­ром

PasswordAuthentication yes

и из­мените его на no. Пе­ре­за­пусти­те де­мо­на SSH, и к ком­пь­ю­те­ру смо­гут под­клю­чить­ся толь­ко поль­зо­ва­те­ли с клю­ча­ми. Сде­лать то же са­мое для поль­зо­ва­те­ля root мож­но, ука­зав па­ра­мет­ры

PermitRootLogin no

PermitRootLogin without-password

Вход с па­ро­лем для root нуж­но от­клю­чать всегда; это са­мый неза­щи­щен­ный вход, по­то­му что root – един­ст­вен­ный поль­зо­ва­тель, имя ко­то­ро­го из­вест­но за­ранее.

За­пуск про­грамм

C SSH мож­но не толь­ко от­крыть се­анс тер­ми­на­ла; мож­но, ска­жем, за­пускать про­грам­мы на­пря­мую. Ко­ман­да

ssh user@computer someprogram --arguments

за­хо­дит в сис­те­му на уда­лен­ном ком­пь­ю­те­ре, за­пуска­ет ука­зан­ную про­грам­му и за­вер­ша­ет­ся. Обо­лоч­ка не от­кры­ва­ет­ся, и весь вы­вод ото­бра­жа­ет­ся на локаль­ном тер­ми­на­ле. Будь­те внима­тель­ны со спе­ци­аль­ны­ми сим­во­ла­ми и ка­выч­ка­ми, по­то­му что пе­ред пе­ре­да­чей ssh ко­ман­ды бу­дут об­ра­бо­та­ны локаль­ной обо­лоч­кой. Так, ко­ман­да

ssh myothercomputer ls *.jpg

не сде­ла­ет то­го, че­го вы ожи­да­ли, по­сколь­ку локаль­ная обо­лоч­ка пре­об­ра­зу­ет *.jpg в спи­сок всех фай­лов с этим рас­ши­рением в те­ку­щем ка­та­ло­ге и за­тем пе­ре­даст ssh, ко­то­рая вернет мно­же­ст­во оши­бок «Та­ко­го фай­ла не су­ще­ст­ву­ет». Что­бы спе­ци­аль­ные сим­во­лы бы­ли пе­ре­да­ны без ин­тер­пре­та­ции, нуж­но их эк­раниро­вать или брать в ка­выч­ки.

ssh myothercomputer ls \*.jpg

С по­мо­щью SSH мож­но за­пускать не толь­ко ко­ман­ды в тер­ми­на­ле, но и гра­фи­че­­ские про­грам­мы. Сна­ча­ла убе­ди­тесь, что в /etc/ssh/sshd_config есть стро­ка

X11Forwarding yes

За­тем вы­зо­ви­те ssh с па­ра­мет­ром -X или -Y. У -X есть до­полнитель­ные ог­раничения по безо­пас­но­сти, по­это­му поль­зуй­тесь -Y толь­ко когда -X не де­ла­ет то­го, что вам нуж­но, и толь­ко в за­щи­щен­ной се­ти.

ssh -X myothercomputer

С по­мо­щью SSH мож­но под­клю­чить­ся к ком­пь­ю­те­ру из лю­бой точ­ки ми­ра, ес­ли в мар­шру­ти­за­то­ре на­строе­но пе­ре­на­прав­ление под­клю­чений на порт 22 (стан­дарт­ный порт SSH). Это де­ла­ет его ла­ко­мой це­лью атак юных ха­ке­ров, и ваш сис­тем­ный жур­нал мо­жет быть по­лон неудач­ных по­пы­ток вхо­да в сис­те­му. Хо­тя ау­тен­ти­фи­ка­ция по клю­чу пре­дот­вра­тит успех та­ких атак, ваш ком­пь­ю­тер все рав­но дол­жен с ними бо­роть­ся. По­пу­ляр­ное ре­шение – восполь­зо­вать­ся нестан­дарт­ным пор­том. Ес­ли ваш марш­­ру­ти­за­тор мо­жет пе­ре­на­прав­лять тра­фик с од­но­го вхо­дя­ще­го пор­та на дру­гой, это про­сто: вы­бе­ри­те лю­бой, но неис­поль­зуе­мый порт с боль­шим но­ме­ром, пе­ре­на­правь­те его на порт 22, и локаль­ный доступ бу­дет ра­бо­тать так же, как пре­ж­де. Про­сто помните, что вне мар­шру­ти­за­то­ра нуж­но ука­зы­вать дру­гой но­мер пор­та, а так­же внешний IP-ад­рес или имя хоста ком­пь­ю­те­ра.

ssh -p 5678 user@public.ip

Ес­ли мар­шру­ти­за­тор мо­жет пе­ре­на­прав­лять толь­ко на тот же порт, мож­но за­ста­вить SSH слу­шать оба пор­та, и порт 22 бу­дет по-прежнему ра­бо­тать локаль­но – для это­го до­бавь­те сле­дую­щие стро­ки в sshd_config:

Port 22

Port 5678

Те­перь про­сто за­помните, что при под­клю­чении из­вне нуж­но ука­зы­вать но­вый порт. Ес­ли вам лень за­по­ми­нать, мож­но до­ба­вить сле­дую­щие стро­ки в ~/.ssh/ssh_config:

Host <имя хос­та или ад­рес IP>

Port 5678

Лю­бой па­ра­метр, ука­зан­ный по­сле стро­ки Host, при­ме­ня­ет­ся толь­ко к со­от­вет­ст­вую­щим хостам. При­ме­нять­ся бу­дут все па­ра­мет­ры до сле­дую­щей стро­ки Host, так что пе­ред лю­бы­ми гло­баль­ны­ми на­строй­ка­ми ставь­те стро­ку Host *. Ка­ж­дый па­ра­метр мож­но за­да­вать толь­ко один раз, по­это­му на­строй­ки для кон­крет­ных хостов в этом фай­ле долж­ны ид­ти пе­ред на­строй­ка­ми по умол­чанию. Эти на­строй­ки при­ме­ня­ют­ся толь­ко к те­ку­ще­му локаль­но­му поль­зо­ва­те­лю. Что­бы они при­ме­ня­лись ко всем поль­зо­ва­те­лям, восполь­зуй­тесь фай­лом /etc/ssh_config.

Чер­ные спи­ски

Еще один спо­соб борь­бы с неже­ла­тель­ны­ми по­пыт­ка­ми вхо­да по SSH, осо­бен­но ес­ли вы не мо­же­те по­ме­нять порт – ав­то­ма­ти­че­­ская бло­ки­ров­ка IP-ад­ре­сов, по­пыт­ки вхо­да с ко­то­рых по­сто­ян­но за­вер­ша­ют­ся неудач­но. Су­ще­ст­ву­ет несколь­ко про­грамм, ко­то­рые это де­ла­ют, од­на из са­мых по­пу­ляр­ных – fail2ban (www.fail2ban.org). Эта про­грам­ма, как и ее ана­ло­ги, сканиру­ет лог-фай­лы на на­ли­чие при­зна­ков по­доз­ри­тель­ной ак­тив­но­сти. Для SSH это мно­же­ст­вен­ные по­пыт­ки под­клю­чения с раз­ны­ми име­на­ми поль­зо­ва­те­ля с од­но­го и то­го же IP-ад­ре­са. При об­на­ру­жении по­до­з­ри­тель­но­го по­ве­дения она соз­да­ет пра­ви­ло бранд­мау­эра, ко­то­рое бло­ки­ру­ет все под­клю­чения с это­го ад­ре­са на за­дан­ный пе­ри­од вре­мени. Мож­но на­стро­ить и дру­гие дей­ст­вия, на­при­мер, от­прав­ку пись­ма, но бло­ки­ро­вание на уровне бранд­мау­эра ис­поль­зу­ет­ся по умол­чанию. На­строй­ки по умол­чанию ох­ва­ты­ва­ют по­пу­ляр­ные сер­ве­ры, в том чис­ле SSH, а так­же web-сер­вер Apache. Боль­шин­ст­ву поль­зо­ва­те­лей доста­точ­но уста­но­вить про­грам­му из менед­же­ра па­ке­тов и убе­дить­ся, что сер­вис за­пуска­ет­ся при за­груз­ке сис­те­мы. Так­же мож­но уста­но­вить про­грам­му вро­де Logwatch (www.logwatch.org), ко­то­рая про­смат­ри­ва­ет фай­лы жур­на­лов и еже­днев­но от­прав­ля­ет сум­мар­ный от­чет обо всей сис­тем­ной ак­тив­но­сти.

Про­грам­ма, на ко­то­рую сто­ит об­ра­тить внимание всем поль­зо­ва­те­лям SSH – screen (www.gnu.org/software/screen). Ес­ли вы за­пускае­те про­грам­му в уда­лен­ной обо­лоч­ке и се­те­вое со­единение раз­ры­ва­ет­ся, обо­лоч­ка за­вер­шит­ся со все­ми про­грам­ма­ми, ко­то­рые бы­ли в ней за­пу­ще­ны. Screen на­зы­ва­ют муль­ти­п­лек­со­ром тер­ми­на­лов, т. е. вы за­пускае­те его в обо­лоч­ке, и на пер­вый взгляд ниче­го не ме­ня­ет­ся, но те­перь вы на­хо­ди­тесь в сес­сии screen. За­пусти­те про­грам­му и на­жми­те Ctrl + A, за­тем D, и сес­сия тер­ми­на­ла ис­чезнет. Вы­полните ко­ман­ду

screen -r

и сес­сия тер­ми­на­ла поя­вит­ся сно­ва с за­пу­щен­ной в ней про­грам­мой, как буд­то нику­да не ис­че­за­ла. Это осо­бен­но удоб­но с SSH, по­то­му что мож­но вой­ти в сис­те­му, за­пустить screen и вы­пол­нять все необ­хо­ди­мые дей­ст­вия. Ес­ли под­клю­чение SSH бу­дет пре­рвано, мож­но пе­ре­под­клю­чить­ся и вы­полнить ко­ман­ду screen -r. Это да­же не обя­за­тель­но де­лать с то­го же са­мо­го ком­пь­ю­те­ра.

Тол­па SSH

Обыч­но с по­мо­щью SSH мы под­клю­ча­ем­ся с од­но­го ком­пь­ю­те­ра к дру­го­му, но что ес­ли нуж­но за­пустить ко­ман­ду на несколь­ких ком­пь­ю­те­рах се­ти? Сде­лать это мож­но с dsh (www.netfort.gr.jp/~dancer/software/dsh.html.en), раз­но­вид­но­стью рас­пре­де­лен­ной обо­лоч­ки. Ос­нов­ной фор­мат ко­ман­ды та­ков:

dsh -m user1@host1 -m user2@host2 command

Хостов мож­но ука­зать лю­бое ко­ли­че­­ст­во. С dsh вам ох как при­го­дит­ся ау­тен­ти­фи­ка­ция с по­мо­щью клю­чей, ина­че при­дет­ся на­би­рать ог­ром­ное ко­ли­че­­ст­во па­ро­лей. Что­бы ка­ж­дый раз не на­би­рать име­на хостов, мож­но до­ба­вить их в груп­пу в фай­ле в ка­та­ло­ге /etc/dsh/groups/:

user1@host1

user2@host2

host3

Для по­следнего хоста ра­бо­та­ет обыч­ное пра­ви­ло SSH, при ко­то­ром ис­поль­зу­ет­ся те­ку­щее имя поль­зо­ва­те­ля, ес­ли оно не ука­за­но. За­пусти­те dsh сле­дую­щим об­ра­зом:

dsh -g groupname command

Здесь groupname – имя фай­ла в /etc/dsh/groups; толь­ко имя, а не пол­ный путь. Так­же в фай­ле /etc/dsh/machines.list мож­но за­дать груп­пу по умол­чанию, а за­тем за­пустить ту же ко­ман­ду для всех хостов этой груп­пы:

dsh -a command

Обыч­но ко­ман­да за­пуска­ет­ся на всех ком­пь­ю­те­рах од­но­вре­мен­но. Это са­мый бы­ст­рый спо­соб, но он не слиш­ком хо­рош, ес­ли ко­ман­ды генери­ру­ют боль­шой объ­ем вы­ход­ных дан­ных.

В на­ча­ле ка­ж­дой стро­ки ука­зы­ва­ет­ся имя ком­пь­ю­те­ра, на ко­то­ром за­пу­ще­на ко­ман­да, но ес­ли вы­во­ди­мых строк мно­го, то здесь лег­ко за­пу­тать­ся. В этом слу­чае ука­жи­те па­ра­метр -w, что­бы dsh ожи­да­ла за­вер­шения ко­ман­ды на ка­ж­дом ком­пь­ю­те­ре и толь­ко по­том за­пуска­ла ее на сле­дую­щем. Этот и дру­гие па­ра­мет­ры мож­но за­дать как ис­поль­зуе­мые по умол­чанию в /etc/dsh/dsh.conf. |