Varnost openSSH

Uporabljam openssh za dostop do svojega racunalnika, ko sem kje drugje. Povezujem se preko winscp ali putty-ja.
Uporabljam požarni zid Comodo in mi je nekaj casa blokiral openssh, ker je razumel kot vdor, ce sem poskusal dostopat do doma.
Ko sem odkril napako zakaj je blokiral in odpravi,l sem podvomil v varnost tega dostopa saj mi je občasno javil, da nekdo z nekega ip poskusa uporabit ssh. Noben ne ve da imam to narejeno ker sem uporabl samo za lastno uporabo, poleg tega pa bi moral vedet geslo. Zakaj mi je v trenutku ko sem bil doma Comodo javil, da nekdo poskusa dostopat? Jaz ocitno nisem.
Zanimivo je da je ip dostopa isti kot ce jaz poskusam dostopat od kjerkoli drugje.

Ali se kdo dobro razume v SSH da mi pojasni kako podrobno zadeva deluje? Sem sicer poguglal, ampak nikjer nisem najdo glede same varnosti v tem primeru ali lahko kdo ugotovi geslo ali pa uporabi kak backdoor.

Hvala za info

edit: ce sem zgresil temo, naj moderator prestavi.

Port je odprt ki je privzet za varni prenos(22).
Torej,ce te pravilno razumem...pozarni zid belezi tudi nekoga ki poskusa(trka), toda ker nima gesla itak ne more not...
Jaz sem mislim da javi požarni zid(Comodo) samo tistega ki ima dostop ze tako dalec (pravilno geslo) zato me je zagrabila 'panika'

@Poldi
Kako pa omogočiš avtentikacijo s certifikatom.
In seveda s katerim certifkatom?

Pravzparav ne vem(sem v tem zacetnik) kako lahko nastavljas open ssh. Namrec, ko sem instaliral sem nastavil grupo in password v cmd, kakšne druge nastavitve pa ne vem. Program lahufa tako v odzadju.

Jaz sicer ne uporabljam certifikata, ampak sem enkrat za hec testiral in vem da ti lepo vse pise v readme-ju kako se naredi, torej read-on !
Itak ga bos moral prej ali slej prebrati. Orodja za izdelavo certifikatov so vsa ze prilozena v OpenSSH paketu, tako da imas vse kar rabis, ce se hoces igrat. Samo potem mors pac private key nosit okrog na kaksnem usb kljucu, za kar jaz recimo nisem imel zivcev ...

Server si prestavi na en netipicen port. Naprimer na 27531 ... Ce imas ssh server na 22, potem itak da te bo takoj najdu kasn mozoljko ko bo skeniru random ipje, pa ti bo ves cas firewall jokal. Pa v datoteki passwd lahko pustis samo tistega userja ki ga bos uporabljal, ali si ustvaris posebnega userja samo za dostop preko ssh, to je pac odvisno s kaksnim namenom ssh dostop uporabljas.

Jaz imam narejeno tako da imam posebnega userja za SSH service, pod katerim server tece, fajli od ssh serverja so recimo pod c:\ssh in na ta direktorij ima user SSH_SERVICE server vse pravice. Potem imam enega posebnega userja, ali grupo za dostop do masine, naprimer SSHACCESS, in ta ima recimo samo read dostop do C:\SSH, mogoce je zadosti celo c:\SSH\bin, in ima kot vsak drug Windows user en svoj direktorij C:\Documents And Settings\SSHUSer zato ker te ssh ob login avtomagicno vrze v %home% in ce ta ne obstaja potem je narobe. To je to.

In potem s tem userjem ne morem nikamor, niti v Windows, niti v Program Files, .... ( mogoce sem si NTFS permissione se naknadno rihtal, tega se zdaj ne spomnim )

Vse hude userje ala admin sem pometal ven iz passwd, ker jih ne rabim. Itak ti ssh dostop ni uporaben kot shell, ker na windowsih je shell prevec oklesten, ampak ga verjetno rabis za tunneling za Remote desktop ali VNC. Za to ti pa zadostuje najosnovnejsi user, samo da se ti pozicionira v %home% in zdravo.

Minimalne pravice pac .. imas manj moznosti da bodo tvoje nage fotke na youtube.com

jo

ja spremeni recimo da se ti bo odzival na 22 port samo z DOLOČENEGA IP naslova...
na nek drugi port npr. 22578 pa z vsakega....obenem lahko tudi preko ključa..pa če bo samo geslo naj bo mal bl zakomplicirano,
obvezno sklopi direkten root dostop.

Lahko pa uporabiš "port knocking". Sam še tega nisem delal le ideja mi je zanimiva. =)

Ker sem precej novi v tej zadeva me zanima kako si lahko vse te stvari nastavljam. Mogoce mi poveste na kašnem konkretnem primeru.
Zelo bi bil hvalezen.
Vem da pise o tem na netu, nekaj v navodilih v mapi doc, toda vedno vse ne deluje kot je tam napisano. Npr. sem se kar namucil da sem usposobil da mi prikaze vse diske. Tisto kaj je bilo napisano v mapi doc ni delalo. Sem kar moral poguglat da sem usposobil.

Pa verjetno ni pametno da mi kaze cisto vse diske in mape, kajne?

Najprej povem, ce nisem bil dovolj jasen, da mi ssh deluje pod Xp-ji.
Torej instaliral sem si openssh for windows. Tam sem nastavil /cygdrive/d:/bin/switch v datoteki passwd in mi prek winscp kaze vse mape. Ce tega ne bi storil imam samo korensko mapo programa ssh.
Kljub temu da sem definiral samo D: se lahko sprehajam po celem racunalniku in po vseh mapah.
Res ni najbolj pametno zato bi hotel omejiti dostop do nekih map in diskov.

Najbolj pa me mika, da bi pustil dostop taksen kot imam, ampak bi uporabil certifikat, kot je nekdo ze omenil zgoraj. Toda ne vem, kako ga naj ustvarim. Navodila ki so v mapi doc so pomanjklilva, kot sem ze omenil.
Rabil bi pomoc. Mislim da bi marsikoga zanimalo ce bi kdo to tukaj opisal.(seveda ne pozabit da vse dela pod XP).

Sledil sem ta navodila. Edino ko pridem do tja, da bi moral kljuc vnest v ssh server nastopi problem. Ne morem ga vnest, ker je ta nacin napisan za linux. Nikjer opcije. Drugace pa je drugo ok.

Sem probal po tvojem nasvetu. ni slo. Sem nato generiral kljuc kot j zapisano v mapi doc pa mi tam ustvari kljuc .pub
Prek putty-ja in winscp pa mi javi tole:

Unable to use key file "C:\Documents and Settings\*****\authorized_keys2" (OpenSSH SSH-2 private key)
login as:

Ce bi se kljuc imenoval ppk bi mi verjetno slo ker javi da ni pravi kljuc v winscp.
Ali pa moram uporabit kakšen drug program za dostop? Saj je ssh-2, kar pa winscp tudi podpira.

nastavil sem vse tako kot pise v navodilih.
Nisem razumel edino tega kaj hoce od mene:
"For Windows, use copy /b authorized_keys + publickeyname authorized_keys, replacing publickeyname with the proper key name if authorized_keys exists. If that file does not exist, use copy /b publickeyname authorized_keys."

naredil vse. Me vprasa za login:(Phrase) pa mi pol javi Server refused our key

Če pa mi putty ne prepozna nicesar kar se ne konca na .ppk
Torej sem moral kljuc ki sem ga ustvaril za dostop convertirat. To sem storil.

da razlozim kako sem naredil:
najprej sem z ukazom "ssh-keygen -t keytype" naredil oba kljuca(brez koncnice in z koncnico .pub)
Obe datoteki sta v C:\Documents and Settings\****\.ssh\
obe sem preimenoval v authorized_keys2
.pub sem pustil v mapi ker rabi server, brez koncnice pa je za moj dostop in sem jo z puttygenom spremenil v .ppk
nato sem poskusal dostopat pa mi ja javil kar sem napisal.
nato sem se še nekaj igral tako da se mi zdaj vec ne zazene ne ssh server, ne tv kartica pa se kaj...ocnitno sem nekaj zjebal ko sem uporabil ukaz v cmd za restart(%windir%\system32\SHUTDOWN.exe -r -t 01)

Ostale nastavitve sem tudi naredil v sshd_config(izklop gesla in podobno)

zdaj bom moral najprej usposobit da mi bo se win normalno zaganjal...

Tocno tako sem naredil kot si opisal...ne gre!