ssh-hardening (Chef cookbook)

الوصف

يوفر هذا الـ cookbook إعدادات آمنة لكل من ssh-client و ssh-server. لا يوفر هذا الـ cookbook إمكانيات لإدارة المستخدمين و/أو مفاتيح ssh، يرجى استخدام cookbooks أخرى لهذا الغرض.

المتطلبات

• Chef >= 14.13.11

المنصات

• Debian 8, 9, 10
• Ubuntu 16.04, 18.04
• RHEL 6, 7
• CentOS 6, 7
• Oracle Linux 6, 7
• Fedora 29, 30
• OpenSuse Leap 42
• Amazon Linux 1, 2

الخصائص (Attributes)

فيما يلي يمكنك العثور على توثيق الخصائص وقيمها الافتراضية.

ملاحظة: بعض القيم الافتراضية لخصائص هذا الـ cookbook يتم تعيينها في الـ recipes. يجب عليك استخدام مستوى أولوية خصائص أعلى لتجاوز هذه الخصائص. يتم تمييز هذه الخصائص بـ #override attribute# في القائمة أدناه. مثال لتجاوز مثل هذه الخاصية:

override['ssh-hardening']['ssh']['server']['listen_to'] = node['ipaddress']

• ['ssh-hardening']['network']['ipv6']['enable'] - false. اضبط على true إذا كان IPv6 مطلوبًا
• ['ssh-hardening']['ssh']['ports'] - 22. المنافذ التي يجب أن يستمع إليها ssh-server ويتصل بها ssh-client
• ['ssh-hardening']['ssh'][{'client', 'server'}]['kex'] - nil لحساب أفضل تبادل مفاتيح (KEX) بناءً على إصدار الخادم، وإلا حدد سلسلة من قيم Kex
• ['ssh-hardening']['ssh'][{'client', 'server'}]['mac'] - nil لحساب أفضل رموز مصادقة الرسائل (MACs) بناءً على إصدار الخادم، وإلا حدد سلسلة من قيم Mac
• ['ssh-hardening']['ssh'][{'client', 'server'}]['cipher'] - nil لحساب أفضل التشفيرات بناءً على إصدار الخادم، وإلا حدد سلسلة من قيم Cipher
• ['ssh-hardening']['ssh'][{'client', 'server'}]['cbc_required'] - . اضبط على إذا كان CBC مطلوبًا للتشفيرات. هذا عادةً ضروري فقط إذا كانت آليات M2M الأقدم بحاجة للتواصل مع SSH، والتي لا تحتوي على أي من التشفيرات الآمنة المكوّنة مفعّلة. CBC هو بديل ضعيف. يجب تجنب أي شيء أضعف وبالتالي فهو غير متاح.

الاستخدام

أضف الـ recipes إلى run_list:

"recipe[ssh-hardening]"

سيؤدي هذا إلى تثبيت ssh-server و ssh-client. يمكنك بدلاً من ذلك اختيار واحد فقط عبر:

"recipe[ssh-hardening::server]"
"recipe[ssh-hardening::client]"

قم بتكوين الخصائص:

"ssh-hardening": {
  "ssh" : {
    "server" : {
      "listen_to" : "10.2.3.4"
    }
  }
}

القيمة الافتراضية لـ listen_to هي 0.0.0.0. يُنصح بشدة بتغيير القيمة.

SFTP

لتفعيل تكوين SFTP أضف أحد الـ recipes التالية إلى run_list:

"recipe[ssh-hardening]"
أو
"recipe[ssh-hardening::server]"

قم بتكوين الخصائص:

"ssh-hardening": {
  "ssh" : {
    "server": {
      "sftp" : {
      "enable" : true,
      "chroot" : "/home/sftp/%u",
      "group"  : "sftusers"
    }
    }
  }
}

سيؤدي هذا إلى تفعيل خادم SFTP وتقييد (chroot) كل مستخدم في مجموعة sftpusers إلى دليل /home/sftp/%u.

خيارات التكوين الإضافية

يمكن إلحاق خيارات تكوين إضافية بملفات تكوين العميل أو الخادم. يمكن استخدام هذا لتجاوز القيم المحددة بشكل ثابت، أو إضافة خيارات تكوين غير متاحة عبر الخصائص.

الصيغة كما يلي:

# => تكوين خادم إضافي
default['ssh-hardening']['ssh']['server']['extras'].tap do |extra|
  extra['#Some Comment'] = 'Heres the Comment'
  extra['AuthenticationMethods'] =  'publickey,keyboard-interactive'
end

# => تكوين عميل إضافي
default['ssh-hardening']['ssh']['client']['extras'].tap do |extra|
  extra['PermitLocalCommand'] = 'no'
  extra['Tunnel'] =  'no'
end

خيارات تكوين Match لـ sshd

يجب وضع كتل Match في نهاية sshd_config. يمكن تحقيق ذلك باستخدام شجرة الخصائص match_blocks:

default['ssh-hardening']['ssh']['server']['match_blocks'].tap do |match|
  match['User root'] = <<~ROOT
    AuthorizedKeysFile .ssh/authorized_keys
  ROOT
  match['User git'] = <<~GIT
    Banner none
    AuthorizedKeysCommand /bin/false
    AuthorizedKeysFile .ssh/authorized_keys
    GSSAPIAuthentication no
    PasswordAuthentication no
  GIT
end

الاختبار المحلي

يرجى تثبيت chef-dk، VirtualBox أو VMware Workstation و Vagrant.

يتم فحص الـ Linting باستخدام rubocop و foodcritic:

$ chef exec rake lint
.....

يتم إجراء اختبارات الوحدة/المواصفات باستخدام chefspec:

$ chef exec rake spec
.....

يتم إجراء اختبارات التكامل باستخدام test-kitchen و inspec:

$ chef exec rake kitchen
.....
# أو يمكنك استخدام kitchen مباشرة
$ kitchen test

الأسئلة الشائعة / المزالق

لا أستطيع تسجيل الدخول إلى حسابي. لقد سجلت مفتاح العميل، لكنه ما زال لا يسمح لي بالدخول.

إذا كنت قد استنفدت جميع المشكلات النموذجية (جدار الحماية، الشبكة، المفتاح المفقود، المفتاح الخاطئ، الحساب المعطل وما إلى ذلك)، فقد يكون حسابك مقفلاً. أسرع طريقة لمعرفة ذلك هي النظر إلى تجزئة كلمة المرور الخاصة بمستخدمك:

sudo grep myuser /etc/shadow

إذا كانت التجزئة تتضمن !، فإن حسابك مقفل:

myuser:!:16280:7:60:7:::

الطريقة الصحيحة لحل هذا هي فتح قفل الحساب (passwd -u myuser). إذا لم يكن لدى المستخدم كلمة مرور، يمكنك فتح قفله عبر:

usermod -p "*" myuser

بدلاً من ذلك، إذا كنت تنوي استخدام PAM، فقد قمت بتفعيله عبر ['ssh-hardening']['ssh']['use_pam'] = true. سيسمح PAM للمستخدمين المقفلين بالدخول بالمفاتيح.

لماذا لا يتصل تطبيقي عبر SSH بعد الآن؟

انظر دائمًا إلى ملفات السجلات أولاً وإذا أمكن انظر إلى التفاوض بين العميل والخادم الذي يتم عند الاتصال.

لقد رأينا بعض المشكلات في التطبيقات (المبنية على python و ruby) والتي ترجع إلى استخدامها لمجموعة تشفير قديمة. يتعارض هذا مع وحدة التقوية هذه، التي قللت قائمة التشفيرات ورموز مصادقة الرسائل (MACs) وخوارزميات تبادل المفاتيح (KEX) إلى مجموعة أكثر أمانًا.

إذا وجدت أن هذا غير كافٍ، فلا تتردد في تفعيل الخصائص cbc_requires للتشفيرات، و weak_hmac لـ MACs و weak_kex لـ KEX في مساحات الأسماء ['ssh-hardening']['ssh']['client'] أو ['ssh-hardening']['ssh']['server'] بناءً على المكان الذي تريد دعمها فيه.

لماذا لا أستطيع تسجيل الدخول إلى خادم SFTP بعد إضافة مستخدم إلى مجموعة SFTP الخاصة بي؟

هذه مشكلة ملكية ChrootDirectory. سيرفض sshd اتصالات SFTP للحسابات التي تم ضبطها على التقييد (chroot) في أي دليل تعتبر ملكيته/أذوناته غير آمنة من قبل sshd. تتطلب متطلبات الملكية/الأذونات الصارمة في sshd أن يكون كل دليل في مسار chroot مملوكًا للجذر وقابلاً للكتابة فقط من قبل المالك. لذا، على سبيل المثال، إذا كانت بيئة chroot هي /home فيجب أن تكون مملوكة للجذر.

انظر https://wiki.archlinux.org/index.php/SFTP_chroot

المساهمون + الشكر

• Dominik Richter arlimus
• Christoph Hartmann chris-rock
• Bernhard Weisshuhn (a.k.a. bernhorst) bkw
• Patrick Munch atomic111
• Edmund Haselwanter ehaselwanter
• Dana Merrick dmerrick
• Anton Rieder aried3r
• Trent Petersen Rockstar04
• Petri Sirkkala sirkkalap
• Jan Klare jklare
• Zac Hallett zhallett
• Petri Sirkkala sirkkalap
• stribika
• Siddhant Rath sidxz

يعتمد هذا الـ cookbook بشكل أساسي على أدلة من:

• NSA: Guide to the Secure Configuration of Red Hat Enterprise Linux 5
• Deutsche Telekom, Group IT Security, Security Requirements (German)

شكرًا لكم جميعًا!!

المساهمة

انظر إرشادات المساهم.

الترخيص والمؤلف

• Author:: Dominik Richter [email protected]
• Author:: Deutsche Telekom AG

مرخص بموجب رخصة Apache، الإصدار 2.0 (the "License")؛ لا يجوز لك استخدام هذا الملف إلا بالامتثال للرخصة. يمكنك الحصول على نسخة من الرخصة على

http://www.apache.org/licenses/LICENSE-2.0

ما لم يكن مطلوبًا بموجب القانون المعمول به أو متفقًا عليه كتابيًا، يتم توزيع البرنامج المرخص بموجب هذه الرخصة على أساس "AS IS"، دون ضمانات أو شروط من أي نوع، سواء كانت صريحة أو ضمنية. راجع الرخصة للغة المحددة التي تحكم الأذونات والقيود بموجب الرخصة.