dev-sec/chef-ssh-hardeningThis chef cookbook proporciona configuraciones seguras de ssh-client y ssh-server.
[
][1]
[
][2]
[
][3]
[
][4]
Este libro de recetas proporciona configuraciones seguras de ssh-client y ssh-server. Este libro de recetas no proporciona capacidades para la gestión de usuarios y/o claves ssh; para eso, utilice otros libros de recetas.
A continuación puede encontrar la documentación de los atributos y sus valores predeterminados.
Nota: algunos de los valores predeterminados de los atributos de este libro de recetas se establecen en las recetas. Debe utilizar un nivel de precedencia de atributos más alto para sobrescribir dichos atributos. Dichos atributos están marcados con #override attribute# en la lista siguiente. Ejemplo para sobrescribir un atributo de este tipo:
override['ssh-hardening']['ssh']['server']['listen_to'] = node['ipaddress']
['ssh-hardening']['network']['ipv6']['enable'] - false. Establecer en true si se necesita IPv6['ssh-hardening']['ssh']['ports'] - 22. Puertos a los que ssh-server debe escuchar y a los que ssh-client debe conectarse['ssh-hardening']['ssh'][{'client', 'server'}]['kex'] - nil para calcular el mejor intercambio de claves (KEX) según la versión del servidor; de lo contrario, especifique una cadena de valores Kex['ssh-hardening']['ssh'][{'client', 'server'}]['mac'] - nil para calcular los mejores Códigos de Autenticación de Mensajes (MAC) según la versión del servidor; de lo contrario, especifique una cadena de valores Mac['ssh-hardening']['ssh'][{'client', 'server'}]['cipher'] - nil para calcular los mejores cifrados según la versión del servidor; de lo contrario, especifique una cadena de valores Cipher['ssh-hardening']['ssh'][{'client', 'server'}]['cbc_required'] - false. Establecer en true si se requiere CBC para los cifrados. Esto suele ser necesario únicamente si mecanismos M2M antiguos necesitan comunicarse con SSH y no tienen habilitado ninguno de los cifrados seguros configurados. CBC es una alternativa débil. Cualquier cosa más débil debe evitarse y, por lo tanto, no está disponible.['ssh-hardening']['ssh'][{'client', 'server'}]['weak_hmac'] - false. Establecer en true si se requieren mecanismos HMAC más débiles. Esto suele ser necesario únicamente si mecanismos M2M antiguos necesitan comunicarse con SSH y no tienen habilitado ninguno de los HMAC seguros configurados.['ssh-hardening']['ssh'][{'client', 'server'}]['weak_kex'] - false. Establecer en true si se requieren mecanismos de Intercambio de Claves (KEX) más débiles. Esto suele ser necesario únicamente si mecanismos M2M antiguos necesitan comunicarse con SSH y no tienen habilitado ninguno de los KEX seguros configurados.['ssh-hardening']['ssh']['client']['remote_hosts'] - [] - uno o más hosts a los que ssh-client puede conectarse.['ssh-hardening']['ssh']['client']['password_authentication'] - false. Establecer en true si se debe habilitar la autenticación por contraseña.['ssh-hardening']['ssh']['client']['roaming'] - false. Establecer en true si se debe habilitar el roaming experimental del cliente. Se sabe que esto puede causar problemas potenciales con la divulgación de secretos a servidores maliciosos y, por defecto, está deshabilitado.['ssh-hardening']['ssh']['client']['extras'] - {}. Agregue opciones de configuración adicionales; consulte a continuación para más detalles['ssh-hardening']['ssh']['server']['host_key_files'] - nil para calcular la mejor configuración de hostkey según la versión del servidor; de lo contrario, especifique una matriz con rutas de archivo (p. ej., /etc/ssh/ssh_host_rsa_key)['ssh-hardening']['ssh']['server']['dh_min_prime_size'] - 2048 - Longitud mínima aceptable del primo en bits en /etc/ssh/moduli. Los primos por debajo de este número se eliminarán. (Consulte esto para obtener más información y contexto)['ssh-hardening']['ssh']['server']['dh_build_primes'] - false - Si se deben generar primos propios. Esta regeneración ocurre solo una vez y lleva mucho tiempo (~ 1.5 - 2 h en hardware moderno para una longitud de 4096).['ssh-hardening']['ssh']['server']['dh_build_primes_size'] - 4096 - Longitud del primo que se debe generar. Esta opción solo es válida si dh_build_primes está habilitado.['ssh-hardening']['ssh']['server']['listen_to'] #override attribute# - una o más direcciones IP a las que ssh-server debe escuchar. El valor predeterminado es escuchar en todas las interfaces. ¡Debe configurarse por razones de seguridad!['ssh-hardening']['ssh']['server']['allow_root_with_key'] - false para deshabilitar el inicio de sesión de root por completo. Establecer en true para permitir que root inicie sesión mediante mecanismos basados en claves['ssh-hardening']['ssh']['server']['allow_tcp_forwarding'] - false. Establecer en true para permitir el reenvío TCP['ssh-hardening']['ssh']['server']['allow_agent_forwarding'] - false. Establecer en true para permitir el reenvío de agente['ssh-hardening']['ssh']['server']['allow_x11_forwarding'] - false. Establecer en true para permitir el reenvío X11['ssh-hardening']['ssh']['server']['permit_tunnel'] - false para deshabilitar el reenvío de dispositivos tun. Establecer en true para permitir el reenvío de dispositivos tun. Otros valores aceptados: 'yes', 'no', 'point-to-point', 'ethernet'. Consulte man sshd_config para conocer los comportamientos exactos. Nota: también necesitará habilitar allow_tcp_forwarding.['ssh-hardening']['ssh']['server']['use_pam'] - true. Establecer en false para deshabilitar la autenticación pam de sshd['ssh-hardening']['ssh']['server']['challenge_response_authentication'] - false. Establecer en true para habilitar la autenticación por desafío-respuesta.['ssh-hardening']['ssh']['server']['deny_users'] - [] para configurar DenyUsers; si se especifica, se deniega el inicio de sesión para los nombres de usuario que coincidan con uno de los patrones.['ssh-hardening']['ssh']['server']['allow_users'] - [] para configurar AllowUsers; si se especifica, el inicio de sesión solo se permite para los nombres de usuario que coincidan con uno de los patrones.['ssh-hardening']['ssh']['server']['deny_groups'] - [] para configurar DenyGroups; si se especifica, se deniega el inicio de sesión para los usuarios cuyo grupo principal o lista de grupos suplementarios coincida con uno de los patrones.['ssh-hardening']['ssh']['server']['allow_groups'] - [] para configurar AllowGroups; si se especifica, el inicio de sesión solo se permite para los usuarios cuyo grupo principal o lista de grupos suplementarios coincida con uno de los patrones.['ssh-hardening']['ssh']['server']['print_motd'] - false. Establecer en true para habilitar la impresión del MOTD['ssh-hardening']['ssh']['server']['print_last_log'] - false. Establecer en true para habilitar la impresión de la información del último inicio de sesión['ssh-hardening']['ssh']['server']['banner'] - nil. Establezca una ruta como '/etc/issue.net' para habilitar el banner