Isključivanje prijave lozinkom i prijave kao root

Svaki poslužitelj na internetu vrlo brzo počnu posjećivati programi koji pogađaju lozinke. Ako se možete prijaviti samo ključem, oni nemaju nikakve šanse. To ćete sada uključiti.

Napomena: Radi li prijava Vašim ključem kao anna (pogledajte Vlastiti korisnik sa sudo ovlastima)? Tada najprije izradite snapshot (pogledajte Snapshotovi: sigurnosna mreža za svaku veću promjenu) i tijekom ovih koraka držite jednu sesiju otvorenom. Ako ipak nešto pođe po zlu, pristup ćete dobiti putem konzole (pogledajte Konzola: Vaš VPS u pregledniku).

Vlastita datoteka s postavkama

Na Debianu i Ubuntuu SSH poslužitelj najprije čita datoteke u /etc/ssh/sshd_config.d/, abecednim redom. Za svaku postavku vrijedi prva vrijednost na koju naiđe. Zato Vaša datoteka dobiva naziv koji je na samom početku:

anna@web1:~$ sudo nano /etc/ssh/sshd_config.d/00-eigen.conf

Upišite u nju:

PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no

• PasswordAuthentication no: više nema lozinki putem SSH-a.
• KbdInteractiveAuthentication no: ni upita za lozinku zaobilaznim putem.
• PermitRootLogin no: root se više ne smije prijaviti putem SSH-a, ni ključem. Radite kao anna sa sudo. Želite li i dalje dopustiti prijavu kao root ključem, upotrijebite prohibit-password.

Provjera i primjena

anna@web1:~$ sudo sshd -t
anna@web1:~$ sudo sshd -T | grep -Ei '^(passwordauthentication|kbdinteractiveauthentication|permitrootlogin)'
passwordauthentication no
kbdinteractiveauthentication no
permitrootlogin no
anna@web1:~$ sudo systemctl restart ssh

sshd -t ne ispisuje ništa ako je datoteka ispravna. sshd -T prikazuje koje vrijednosti stvarno vrijede. Piše li i dalje passwordauthentication yes? Tada ga neka druga datoteka u sshd_config.d ponovno uključuje, često 50-cloud-init.conf. Vaša datoteka 00-eigen.conf nalazi se ispred nje i ima prednost; provjerite je li naziv ispravan.

Na AlmaLinuxu i Rocky Linuxu usluga se zove sshd: sudo systemctl restart sshd.

Testiranje prije zatvaranja sesije

Otvorite novi prozor i pokušajte:

ssh anna@203.0.113.10
ssh -o PreferredAuthentications=password -o PubkeyAuthentication=no anna@203.0.113.10
anna@203.0.113.10: Permission denied (publickey).
ssh root@203.0.113.10
root@203.0.113.10: Permission denied (publickey).

Prva prijava mora uspjeti. Druge dvije moraju biti odbijene. Je li sve u redu? Tada izbrišite snapshot.

Savjet: Broj porta različit od 22 održava Vaš zapisnik mirnijim, ali Vaš poslužitelj ne čini sigurnijim. Posao obavlja ključ. Ako ipak promijenite port, najprije ga otvorite u svom vatrozidu (pogledajte Vatrozid s ufw (ili nftables)).