Sicherheitsstufen des SSH Logins

Hallo,

ich habe bisher meinen SSH Login so abgesichert:

Ander SSH Port
Kein Root erlaubt
Login mit Key + Password, dann User PW, dann 2FA Key.

"Bombensicher", aber an der ein oder anderen Stelle limitierend, wenn man z.B. automatisch was von Server zu Server schieben will.

Was würdet Ihr empfehlen? Nur Key ohne Passphrase und Nutzer PW?

Danke

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 91003476752

Url: https://administrator.de/forum/sicherheitsstufen-des-ssh-logins-91003476752.html

Ausgedruckt am: 15.01.2025 um 06:01 Uhr

9 Kommentare

Neuester Kommentar

Moin,

Das kommt, wie immer darauf an was das für Server sind und wie schutzbedürftig der Inhalt ist.

Bei den meisten Web-Server (Webseiten und Co) nutze ich die Kombination aus:
- Andere Port (reduziert die fehlerhaften Anmeldungen im Log)
- Anmeldung nur mit Schlüssel (Kennwort nur per Konsole)
- Root ist erlaubt

Server mit wichtigeren Daten stehen hinter einem VPN, IP-Filter oder/und einer WAF.
Damit kommt man gar nicht an den SSH Port von extern.

Stefan

Hallo

wie @steffankittel schon geschrieben hat:

Admin Ports sind immer nur von bestimmten IPs erreichbar!

Danke, aber widerspricht sich das nicht? Nur mit Schlüssel und dann doch PW, oder was meinst Du?

Anmeldung nur mit Schlüssel (Kennwort nur per Konsole)

Nur mit Schlüssel und dann doch PW

Er meint die "Passphrase" um dem Key zu schützen!
Guckst du auch hier wo alles en Detail erklärt ist:
https://www.heise.de/select/ct/2022/21/2223709091059562015
Root Login sollte man keinesfalls erlauben per SSH. Den Admin User sollte man in die sudoers legen so das der später mit sudo su root Rechte erlangen kann.
Das reicht in der Regel.
Wie man ein einfaches IPsec VPN mit allen bordeigenen VPN Clients auf den Server aufsetzt erklärt dir dieses Tutorial.

Quote from @U08154711:

Danke, aber widerspricht sich das nicht? Nur mit Schlüssel und dann doch PW, oder was meinst Du?

Anmeldung nur mit Schlüssel (Kennwort nur per Konsole)

Bei SSH (also einem remote Login) nur mit Schlüssel, bei lokalem Login (also "direkt am Gerät") hingegen mit Passwort - so würde ich das jetzt lesen.

Zitat von @U08154711:
Danke, aber widerspricht sich das nicht? Nur mit Schlüssel und dann doch PW, oder was meinst Du?

Anmeldung nur mit Schlüssel (Kennwort nur per Konsole)

Im WAN/LAN Anmeldung an SSH nur mit PKI (Schlüssel).
Am Monitor und Tastatur direkt am Server dann per Kennwort.

Stefan

Ok, jetzt verstanden.

Zitat von @aqui:

Root Login sollte man keinesfalls erlauben per SSH. Den Admin User sollte man in die sudoers legen so das der später mit sudo su root Rechte erlangen kann.

Ehrlich gesagt hatten wir in den letzten Jahren einige schwere Lücken in sudo, weshalb ich das aus Sicherheitsgründen bei mir nicht mehr installiere.
Zuletzt beispielsweise CVE-2021-3156.

Wenn sich root nur per Key anmelden kann, ist das meiner Meinung nach sicher genug — denn einen 256 Bit ed25519-Key errät man nicht. Dann kann man sich sudo komplett sparen ohne Sicherheitseinbußen.

Bei einem anderen SSH-Port sei übrigens angemerkt, dass dieser unter 1024 liegen sollte — denn sonst könnten sich unpriviligierte Fake-SSH-Daemons bei einem Reboot an diesen Port binden (z.B. durch @reboot-crontab-einträge eines komprommitierten Nutzers) und damit höhere Rechte bekommen.
Wird ein Port unter 1024 benutzt, kann der nur durch root gebunden werden.
Alternativ kann man SELinux verwenden um den neuen SSH-Port nur für bestimmte Labels verfügbar zu machen