Atacs SSH: protegeix el teu servidor

Quan tens un servidor a Internet exposes la teva màquina a milers d’atacs sobre aquest buscant vulnerabilitats en el sistema per accedir-hi utilitzant els usuaris del sistema. Com a mètodes d’atac tenim l’atac de força bruta i l’atac de diccionari. Aquesta entrada explica les opcions que tenim per evitar aquests tipus d’atacs.

 

Logo del keepass

Quan tens un servidor a Internet exposes la teva màquina a milers d’atacs sobre aquest buscant vulnerabilitats en el sistema per accedir-hi utilitzant els usuaris del sistema. Hi ha diversos tipus d’atacs però en aquesta entrada ens centrarem en els atacs SSH.

Com a mètodes d’atac tenim l’atac de força bruta i l’atac de diccionari. L’atac per força bruta consisteix en anar provant totes les possibles combinacions d’una contrasenya sobre un usuari fins aconseguir l’accés al sistema, el que pot comportar molt de temps per aconseguir entrar en el sistema. Justament per això apareixen els atacs de diccionari que el que fan es aprofitar-se que la majoria de les contrasenyes que es posen es basen en paraules que tenen un significat, doncs bé, es proven aquestes paraules reduint el número de proves a realitzar i conseqüentment el temps d’accés al sistema. Per evitar això el millor és seguir una política de contrasenyes per a que aquestes no siguin fàcils de reconèixer per cap dels dos tipus d’atac mencionats anteriorment. També es poden fer servir eines com el Keepass que et permet emmagatzemar (en un fitxer encriptat) i generar contrasenyes segures (amb caràcters especials, longitud determinada, …). A part, en el nostre servidor també podem dur a terme algunes tasques per evitar que ataquin el nostre servidor com les que llistem a continuació:

  • utilitzar el firewall del nostre servidor
  • utilitzar l’utilitat denyhosts
  • modificar el fitxer hosts.allow i el hosts.deny
  • modificar la configuració de l’ssh

Utilitzar el firewall del nostre servidor

Mitjançant el firewall del nostre servidor, podem permetre o denegar l’accés a unes determinades IP:

  • Permetem totes les connexions al port 22 des de la IP 66.23.45.78:
[nom_usuari@nom_servidor rc.d]# iptables -A INPUT -p tcp -m state --state NEW --source 66.23.45.78 --dport 22 -j ACCEPT
  • Deneguem la resta de connexions al port que utilitza SSH:
[nom_usuari@nom_servidor rc.d]# iptables -A INPUT -p tcp --dport 22 -j DROP

Aquestes modificacions també es poden dur a terme al fitxer /etc/rc.d/rc.local, així aconseguirem que s’executi cada vegada que engeguem la nostra màquina, afegint una regla per permetre l’accés a determinats ports (per exemple 22, 25, 80), sense especificar cap IP i denegar la resta prèviament

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -A INPUT -p tcp -m multiport --destination-ports 22,25,80 -j ACCEPT

 

Utilitzar l’utilitat Denyhosts per evitar atacs SSH

Denyhosts és un script escrit en Python que analitza els missatges de log del servidor sshd per decidir quins hosts estan intentant dur a terme un atac al teu sistema.  També determina quins comptes d’usuari són els que s’ataquen així com la freqüència dels atacs SSH des de cada host.

Cada cop que es detecta un possible atac repetit, el fitxer /etc/hosts.deny es actualitzat per prevenir possibles intents en el futur d’aquest host.

 

Modificar el fitxer hosts.allow i el fitxer hosts.deny

 

Tal i com s’ha comentat anteriorment, amb l’eina Denyhosts s’automatitza el fet de retocar els fitxers hosts.deny i hosts.allow manualment, però si no es vol fer automàticament, es poden afegir manualment les IPs dels hosts que es volen denegar i que es volen acceptar respectivament en aquests fitxers.

Si tenim el cas que coneixem una IP (per exemple: 67.223.43.212) que es intenta connectar-se al nostre servidor repetidament i li volem denegar l’accés, podem escriure el següent en el fitxer hosts.deny:

sshd: 67.223.43.212

I per permetre l’accés a una IP nostra (per exemple: 66.67.82.47), hem de modificar el fitxer hosts.allow

sshd: 66.67.82.47/255.255.255.0

El fitxer hosts.allow preval sobre el fitxer hosts.deny o sigui que si posem en hosts.deny sshd:ALL i en hosts.allow posem alguna IP permetrà l’accés a les IPs que hi hagi al hosts.allow.

Modificar la configuració de l’SSH

El servei de SSH a CentOS es configura mitjançant el fitxer /etc/ssh/sshd_config.  En aquest fitxer es poden configurar les següents directives

  • No permetre l’accés a l’usuari root mitjançant SSH
PermitRootLogin no
  • Permetre l’accés a determinats usuaris (per exemple usuari marc i usuari xavi):
AllowUsers marc xavi

 

Un cop modificat aquest fitxer, s’ha de reiniciar el servei SSH mitjançant la següent comanda /etc/init.d/ssh restart.

 

Nota: aquesta entrada parla de la distribució CentOS però pot servir per a la majoria de distribucions Linux

Còpies de seguretat amb rsync desde Linux a Windows sense contrasenya utilitzant cygwin

Com ja he comentat en alguna altra entrada en aquest bloc, he decidit penjar els meus projectes a un servidor virtual a Internet, el que és el mateix que tenir un màquina virtual però amb la gràcia que sempre esta encesa i disposa de IP fixa. Quan ja comences a tenir força projectes web, el que vol dir vàries bases de dades i varis fitxers de configuració apareix la tasca de realitzar el backup del servidor. La majoria d’aquests servidors virtuals et faciliten una opció per fer backups, però si vols controlar tu les còpies de seguretat es pot servir la eina rsync. Com diu la wiki, es tracta d’una utilitat per a sistemes tant Unix com Windows que permet sincronitzar fitxers i directoris  d’un cantó a un altre minimitzant la transferència de dades ja que s’utilitza el que es diu codificació delta, sempre que es pugui. O sigui que la gràcia esta en que les dades només es sincronitzen quan hi ha canvis, amb lo que suposa d’estalvi d’enviament de dades per la xarxa.

En aquesta entrada no es tracta de dir com es fa el backup (consulteu aquí un script de backup) ni de què s’ha de fer backup sinó de dir quins són els passos a realitzar tant al host de origen com al host de destí per tal que es pugui fer la sincronització mitjançant rsync entre un sistema Linux i un de Windows sense contrasenya. I perquè ho fem sense contrasenya? Doncs perquè es tracta d’una tasca molt repetitiva i que no volem que sigui manual sinó que estigui automatitzada mitjançant per exemple l’aplicació que porta de sèrie Windows anomenada Tasques programades.

Instal·lació de rsync com a servidor Linux

Rsync pot ser que ja estigui instal·lat en la distribució de Linux que fem servir, però si no fos el cas el primer que haurem de fer es instal·larlo juntament amb xinetd.

  • Debian
aptget install rsync xinetd
  • CentOS
yum install rsync xinetd

 

Rsync per a Windows?

Rsync com a comanda de Windows no existeix, però hi ha projectes com cygwin que permeten utilitzar rsync desde Windows. També he trobat una utilitat que s’anomena cwrsync que permet realitzar aquesta tasca, però és de pagamanet. Per tant ens decantem per l’opció de cygwin i dins d’aquest hem d’instal·lar els paquets openssh, ssh i rsync. Un cop instal·lat cygwin al directori bin de la instal·lació podem veure la comanda rsync, ssh i ssh-keygen. Per generar les claus d’autenticació ssh, utilitzarem la utilitat ssh-keygen, tal i com es comenta en el següent paràgraf d’aquesta entrada.

 

Creació de claus ssh

Per crear claus ssh tenim l’eina ssh-keygen. S’ha d’executar en la màquina desde la que volem fer la sincronització de la còpia de seguretat i després copiar la clau publica a la màquina a la que ens volem connectar per obtenir la còpia de seguretat. Imaginem que tenim un usuari usuari_rsync (tant a una màquina Windows com a Linux, les anomenarem màquines receptores o clients) i volem connectar-nos a una màquina Linux anomenada Atreides que esta sota el domini atreides.com (la anomenarem màquina difusora o servidor) i que té un usuari anomenat usuari_backup que és el que realitza les còpies de seguretat.

Connexió client servidor per ssh

Des de les màquines client podem executar la següent comanda per generar una clau ssh, tant desde la consola de cygwin si estem en un client Windows com directament des de la consola en un client Linux:

[usuari_rsync@servidor_proves ~]$ ssh-keygen -P ""
Generating public/private rsa key pair.
Enter file in which to save the key (/home/usuari_rsync/.ssh/id_rsa):   clau_ssh
Your identification has been saved in clau_ssh.
Your public key has been saved in clau_ssh.pub.
The key fingerprint is:34:d9:d1:28:df:39:ac:5e:66:ae:cb:a5:e8:ea:2a:ae
usuari_rsync@servidro_proves
[usuari_rsync@servidor_proves ~]$

També es pot fer servir l’aplicació de putty anomenada putty-keygen tal i com s’explica a l’entrada Generació de claus ssh per al putty per accedir a un servidor sense contrasenya.
COMPTE!!!: s’esta creant una clau ssh sense paraula de pas, el que significa que qualsevol persona que pugui fer servir el nostre sistema operatiu i tingui accés a aquesta clau, pot connectar-se als nostres servidors sense contrasenya.

El nom de la clau que farem servir serà clau_ssh, tant per a la clau privada com per a la pública i lo normal es que es trobin a la ruta /home/usuari_rsync/.ssh.

Per a Windows, si hem instal·lat cwrsync, si executem el ssh-keygen desde una consola de Windows, veiem que els claus per defecte es guarden a Documents and Settings/nom_usuari/.ssh:

-rw------- 1 usuari_rsync usuari_rsync 1675 25 gen 18:53 clau_ssh
-rw-r--r-- 1 usuari_rsync usuari_rsync  405 25 gen 18:53 clau_ssh.pub

S’ha d’agafar el contingut de la clau pública i (clau_ssh.pub) copiar-lo a la màquina servidor en el fitxer /home/usuari_backup/.ssh/authorized_keys que és l’usuari que realitza la còpia de seguretat a la màquina Atreides. Si aquest fitxer ja té altres línies el que s’ha de fer es afegir les noves a l’existent. Ara ja es pot realitzar la sincronització.

Sincronització

Un cop ja tenim tot ben configurat ja podem realitzar la sincronització. Tal i com s’ha comentat anteriorment es disposa de un fitxer .BAT que es pot editar i afegir una línia com la següent:

rsync -vrha --progress --del --timeout=15 --compress-level=5 -e ssh usuari_backup@atreides.com:/home/usuari_backup/backup/ /cygdrive/c/rsync/backup_windows_de_atriedes

En aquesta cas s’ha escollit aquest paràmetres que venen a fer el següent:

  • -v : Verbose (try -vv for more detailed information)
  • -r : recursivitat dins dels directoris
  • -h: sortida de nombres en format humà
  • -a: fitxers
  • –progress: mostra la progressió de l’enviament
  • –del: esborra els que no existeixen al que envia  (en el nostre cas atreides.com)
  • –timeout: temps de timeout en segons
  • –compress-level: nivell de compressió
  • -e “ssh options” : especifica una comanda ssh dins de la shell remota

 

Afegir seguretat

La connexió es permet des de qualsevol hosts sense contrasenya amb la clau pública que hem generat i per tant es pot executart qualsevol comanda que executi aquest usuari, i com que no volem això anem a afegir una mica més de seguretat en el fitxer authorized_keys de la màquina servidora. El que es fa es afegir uns paràmetres al principi de cada clau pública que volguem retocar, o sigui si tenim que la nostra clau pública és la següent:

ssh-rsa AAAAB3NzaC1yc2EAAAABIwAAAQEAp2JJxSwxaghstercbh11BQnt4DMw45EcUKi199ICyrcebUlAQFlQPJRKjCAJl15J2W6//CpukosmakejsnBPXdNSOTDYyrNdYDC3bAm2ZfEHrPrL/bUojXLmGhL3C7NnwhHasCQ4OY4Hm87XqpY1gKlu7yDpz7HYSRhjkloinjecj1DBsVXJ3sTPyXsqId3Av3wPxUGXrdNt7sg/KigGFFK7xjWaXRHdx8w0G/Pbx6zk1ql3HdA1tGk8a+dJywHZkQER1HhCoDZ1a/FaX03H0eXQ6VahjsyendhsjhI8zD7t8a1pp+2sp7KTSIsCACvyaPQryhesndjeuwLc2/3fAWQ== usuari_rsync@maquina_1

la canviem per :

from="192.168.1.11",command="/home/usuari_rsync/valida-rsync" ssh-rsa  AAAAB3NzaC1yc2EAAAABIwAAAQEAp2JJxSwxaghstercbh11BQnt4DMw45EcUKi199ICyrcebUlAQFlQPJRKjCAJl15J2W6//CpukosmakejsnBPXdNSOTDYyrNdYDC3bAm2ZfEHrPrL/bUojXLmGhL3C7NnwhHasCQ4OY4Hm87XqpY1gKlu7yDpz7HYSRhjkloinjecj1DBsVXJ3sTPyXsqId3Av3wPxUGXrdNt7sg/KigGFFK7xjWaXRHdx8w0G/Pbx6zk1ql3HdA1tGk8a+dJywHZkQER1HhCoDZ1a/FaX03H0eXQ6VahjsyendhsjhI8zD7t8a1pp+2sp7KTSIsCACvyaPQryhesndjeuwLc2/3fAWQ==  usuari_rsync@maquina_1

on  192.168.1.11 és la IP de la màquina receptora i /home/usuari_rsync/valida-rsync és un script que fa les següents comprovacions:

 

#!/bin/sh
case "$SSH_ORIGINAL_COMMAND" in
*\&*)
echo "Rejected"
;;
*\(*)
echo "Rejected"
;;
*\{*)
echo "Rejected"
;;
*\;*)
echo "Rejected"
;;
*\<*)
echo "Rejected"
;;
*\`*)
echo "Rejected"
;;
*\|*)
echo "Rejected"
;;
rsync\ --server*)
$SSH_ORIGINAL_COMMAND
;;
*)
echo "Rejected"
;;
esac

 

I si el port de connexió ssh és diferent de l’estàndard?

Per aconseguir connectar amb rsync per un port diferent a l’estandard ssh, el port 22, s’ha d’afegir a la màquina client en el directori .ssh un fitxer anomenat config amb el següent contingut:

 

Host nom_del_host
Port num_port
User nom_usuari
Hostname nom_del_host
o alternativament afegir al parametre -e ssh el següent:
-e "ssh -p 4014"

 

Generació de claus ssh per al putty per accedir a un servidor sense contrasenya

Si es vol utilitzar OpenSSH per a accedir a servidors sense utilitzar les contrasenyes i per tant convertir-ho en un procés automatitzat, hem de descarregar la versió completa de putty a la màquina des de la que farem la connexió, una màquina amb sistema operatiu Windows.

Imaginem que tenim dues màquines, A i B, i volem connectar-nos des de A a B sense introduir cap contrasenya. Un cop descarregat el putty, veiem que ve amb algunes eines, la més important que hi ha per aconseguir la nostra tasca es diu puttygen, que és una utilitat de generació de claus RSA i DSA. En l’entrada com Còpies de seguretat amb rsync desde Linux a Windows sense contrasenya es descriu com realitzar la creació de claus ssh a Linux.

Doncs bé, executem el puttygen i ens apareix aquest quadre de diàleg:

Puttygen primera pantalla

Hem de pitjar el botó generate i tot seguit moure el ratolí fins que arribi es vegi que la barra arriba al 100% de la generació:

Un cop generada obtenim una pantalla com la següent:

 

puttygen

 

Hem de posar un comentari a la caixa verda i deixar la caixa groga en blanc si volem que no ens demani cap contrasenya. Desem la clau pública i privada ja que després les farem servir amb el putty.

Hem de copiar el que esta dins de la caixa vermella, que és la clau pública  i posar-ho en el servidor que ens volem connectar (servidor B) en el fitxer /home/nom_usuari/.ssh/authorized_keys on nom_usuari es qualsevol dels usuaris de la màquina B  amb el qual ens volem connectar sense fer servir la contrasenya des de el putty.

Ara ja només queda anar al putty i afegir la clau privada a les opcions de autenticació del putty:

putty add key

O sigui, al camp private key file authentication hem de posar la clau privada que acabem de generar, i ja està, ja ens podem connectar al servidor B amb l’usuari nom_usuari des de putty sense haver d’escriure la contrasenya.