SSH (Secure Shell - puerto 22) es esencial para la administración de un servidor remoto. En esta publicación te guiaremos a través de algunas de las opciones disponibles para fortalecer (hardening) OpenSSH.

Hardening Básico SSH

Configuración del servidor OpenSSH

El archivo de configuración de OpenSSH en Ubuntu 16.04 se encuentra en 

/etc/ssh/sshd_config

Deberá ser root o usar sudo para editar y controlar el servidor SSH.

Archivo de configuración de respaldo

Siempre es una buena idea hacer una copia de seguridad de los archivos de configuración antes de editarlos.

cp /etc/ssh/sshd_config /etc/ssh/backup.sshd_config

Editar el archivo de configuración

Puedes usar nano para editar archivos de configuración.

nano /etc/ssh/sshd_config

Prueba de configuración SSH

Después de editar el archivo de configuración, debe probar que sea válido antes de volver a cargar el servicio.

sshd -t

Vuelva a cargar el archivo de configuración

Una vez que crea que sus ediciones son buenas, vuelva a cargar el demonio SSH.

sudo systemctl reload sshd

Ver el Protocolo

Nuestra primera edición será muy sencilla. Realmente es más una doble verificación que una edición. Abra / etc / ssh / sshd_config y verifique la línea que comienza con Protocol. Asegúrese de que esté configurado en 2 y no en 1. El valor predeterminado actual es 2.

Protocol 2

Deshabilitar acceso root

En lugar de usar root, deberíamos usar la conexión como usuario con permiso sudo. Asegúrese de tener sudo configurado correctamente antes de continuar. Desactivemos la capacidad de root para iniciar sesión mediante SSH. Dentro del archivo de configuración, busque la línea:

PermitRootLogin yes

Cambia eso a no:

PermitRootLogin no

Desactivar re-envio de tráfico 

Pueden utilizar ssh para redireccionar tráfico

AllowTCPForwarding No

Desconectar sesiones inactivas

Las sesiones inactivas pueden ser peligrosas. Es una buena idea cerrar la sesión de las personas después de una cantidad determinada de inactividad. ClientAliveInterval es la cantidad de tiempo en segundos antes de que el servidor envíe un mensaje activo al cliente después de que no se hayan recibido datos. ClientAliveCountMax es el número de veces que comprobará antes de desconectarse. En el siguiente ejemplo, el servidor verificará al cliente después de 5 minutos de inactividad. Lo hará dos veces y luego se desconectará.

ClientAliveInterval 300

ClientAliveCountMax 2

Usuarios de la lista blanca

Podemos limitar los usuarios que pueden iniciar sesión en SSH. Esta es una lista blanca. Solo se permitirán los usuarios de esta lista. A todos los demás se les negará. Digamos que quiero permitir que el usuario elhackernet inicie sesión de forma remota a través de SSH. Agregaremos la línea:

AllowUsers elhackernet

No olvides agregar su nombre de usuario a la lista AllowUser.

Cambiar puertos

Otra forma menos favorita de reforzar SSH es cambiar el puerto predeterminado. Normalmente, SSH se ejecuta en el puerto 22. La idea es que la mayoría de los script kiddies solo apunten a ese puerto. Si cambias el puerto predeterminado, tal vez los ataques disminuyan. Pero recuerda que la seguridad por oscuridad no sirve de nada. No es una buena recomendación, En el archivo de configuración, busca la línea:

Port 22

Cambiar el puerto por otro disponible como quizás 2222.

Port 2222

Utilizar Llaves SSH en vez de contraseñas

De forma predeterminada, inicia sesión en el sistema a través de SSH con un nombre de usuario y una contraseña. Estos pueden ser de fuerza bruta. La gente probará una enorme cantidad de combinaciones de nombre de usuario y contraseña hasta que encuentre una que funcione. Entonces, en lugar de usar contraseñas, deberíamos usar claves SSH.

Generando un par de claves

Si ya tienes un par de claves, continúe.

Vamos a hacer algunas claves públicas de cifrado. Vienen en parejas. Privado y publico. 

Ejecute el siguiente comando para generar sus claves en la máquina cliente. No ejecutes este comando sudo. Le pedirá una frase de contraseña para proteger la clave. Puede dejarlo en blanco, pero no lo recomiendo. Cualquier persona que posea esa clave puede utilizar una clave SSH privada sin protección de contraseña para acceder al servidor.

ssh-keygen

Comparte tu clave pública

Utiliza ssh-copy-id para enviar su clave pública al servidor.

ssh-copy-id ns2@192.168.0.5

Ahora intenta iniciar sesión. Es posible que te solicite tu contraseña.

ssh ns2@192.168.0.5

Deberías recibir un mensaje que también se vea similar a:

The authenticity of host '192.168.1.1 (192.168.1.1)' can't be established.

ECDSA key fingerprint is ff:fd:d5:f9:66:fe:73:84:e1:56:cf:d6:ff:ff.

Are you sure you want to continue connecting (yes/no)?¿Está seguro de que desea continuar conectándose (sí / no)?

Di que sí y deberías iniciar sesión sin contraseña.

Deshabilitar la autenticación con contraseña

Si tenemos claves SSH en funcionamiento, podemos deshabilitar todas las autenticaciones de contraseña. Encuentra la línea:

PasswordAuthentication yes

Y cámbialo por no:

PasswordAuthentication no

Deshabilitar el reenvío X11

Esta guía está diseñada para su uso con servidores remotos. En términos generales, no hay razón para usar una GUI para un servidor remoto. Así que deshabilite el reenvío X11. Encuentra la línea:

X11Forwarding yes

y cámbialo a no.

X11Forwarding no

Fail2Ban

Es un gran programa que puede escanear registros y prohibir temporalmente las direcciones IP en función de una posible actividad maliciosa. Necesitarás instalar Fail2ban.

apt-get install fail2ban

Una vez instalado, copiamos el archivo de configuración de fail2ban.

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

Abra los archivos

 /etc/fail2ban/jail.local 

y busca el lugar que comienza [sshd]. Edítelo así, agregando 

enabled = true:

[sshd]

 enabled = true

port = ssh

logpath =% (sshd_log) s

Luego reinicia fail2ban

service fail2ban restart

Fail2ban supervisará sus registros SSH para detectar posibles actividades maliciosas y luego prohibirá temporalmente la IP de origen.

Nosotros hemos aprovechado Fail2Ban para reportar Ip's con intentos de inicio de sesión al servicio AbuseIPDB usando la API de reportes  automáticos. De momento hemos configurado sólo algunos servicios (categorías) como SSH y BruteForce (que por otro lado, son los más habituales)

• Listado Ip's intentos fallidos fuerza bruta por SSH

Autenticación multifactor SSH - 2FA 

Añade un segundo factor de autenticación en SSH

MFA responde a Multi-Factor Authentication (Autenticación Multi-Factor). Consiste en requerir autenticación adicional, además de introducir nuestros datos habituales de usuario y contraseña. Es un aliado a la hora de mitigar ataques y vulneraciones a diversos tipos de cuentas, ya que los pasos de autenticación que se añadan se ubican en el último lugar antes de poder acceder a las cuentas

Time-based One-time Password: TOTP 

La contraseña única basada en el tiempo es un algoritmo informático que genera una contraseña única que utiliza la hora actual como fuente de singularidad.

TOTP quiere decir Time-Based One-Time Password. Es una variante de la autenticación multi-factor que funciona gracias a un código que se genera de forma aleatoria. Este último actúa como un token (ficha) de autenticación. Los códigos se generan mediante aplicaciones, como la conocida Google Authenticator y cambian después de un corto período de tiempo. Si un atacante desea vulnerar accesos tuyos con MFA integrado, debería contar también con tu móvil u otros dispositivos que hayas autorizado.

TOTP es en realidad la evolución de HOTP, siglas de «HMAC-based One-time Password». TOTP también está basado en el procedimiento HMAC, la operación hash en segundo plano. Tanto el dispositivo del usuario como el servidor generan un valor hash a partir de la contraseña secreta en combinación con un contador. Dado que ambos valores son idénticos, la autentificación funciona.

También podemos utilizar TOTP (contraseñas de un solo uso basadas en el tiempo) para fortalecer nuestra seguridad SSH. En este ejemplo usaremos Google Authenticator. Cuando intentemos iniciar sesión en el sistema, seremos desafiados a proporcionar un código de verificación. Usaremos la aplicación Google Authenticator para generar ese código. Primero necesitamos instalar algún software.

sudo apt-get install libpam-google-authenticator

 

O en CentOS y derivadas

 yum install google-authenticator

Luego ejecuta la inicialización

google-authenticator

Entiendo la molestia de muchas personas por el problema que tienen al usarla en un nuevo dispositivo. Les recomiendo esto: en cada red social que utilicen, SIEMPRE, generen códigos de respaldo. Si una red social no les brinda eso, ni de locos usen esta app. Ahora bien, también les recomiendo lo siguiente, en esta app pueden exportar sus cuentas mediante código QR y así evitar perder sus cuentas enlazadas. A ese código tómenle FOTO. Y listo, cuando reinstalen, solo escanean ese código.

Le preguntará: ¿Desea que los tokens de autenticación se basen en el tiempo (y / n) y debemos decir que sí? Luego imprimirá el código QR y preguntará si desea actualizar nuestro archivo .google_authenticator. 

Módulos regenerados