dev-sec/chef-ssh-hardeningयह शेफ कुकबुक सुरक्षित ssh-client और ssh-server कॉन्फ़िगरेशन प्रदान करती है।
[
][1]
[
][2]
[
][3]
[
][4]
यह कुकबुक सुरक्षित ssh-client और ssh-server कॉन्फ़िगरेशन प्रदान करती है। यह कुकबुक उपयोगकर्ताओं और/या ssh कुंजियों के प्रबंधन की क्षमताएँ प्रदान नहीं करती है, इसके लिए कृपया अन्य कुकबुक का उपयोग करें।
नीचे आपको विशेषता दस्तावेज़ीकरण और उनके डिफ़ॉल्ट मान मिलेंगे।
ध्यान दें: इस कुकबुक की कुछ विशेषता डिफ़ॉल्ट मान recipes में सेट किए गए हैं। ऐसी विशेषताओं को ओवरराइड करने के लिए आपको उच्च विशेषता प्राथमिकता स्तर का उपयोग करना चाहिए। ऐसी विशेषताओं को नीचे दी गई सूची में #override attribute# से चिह्नित किया गया है। ऐसी विशेषता को ओवरराइड करने का उदाहरण:
override['ssh-hardening']['ssh']['server']['listen_to'] = node['ipaddress']
['ssh-hardening']['network']['ipv6']['enable'] - false. यदि IPv6 की आवश्यकता है तो true पर सेट करें['ssh-hardening']['ssh']['ports'] - 22. वे पोर्ट जिन पर ssh-server को सुनना चाहिए और ssh-client को कनेक्ट होना चाहिए['ssh-hardening']['ssh'][{'client', 'server'}]['kex'] - nil सर्वर संस्करण के आधार पर सर्वोत्तम key-exchange (KEX) की गणना करने के लिए, अन्यथा Kex मानों की एक स्ट्रिंग निर्दिष्ट करें['ssh-hardening']['ssh'][{'client', 'server'}]['mac'] - nil सर्वर संस्करण के आधार पर सर्वोत्तम Message Authentication Codes (MACs) की गणना करने के लिए, अन्यथा Mac मानों की एक स्ट्रिंग निर्दिष्ट करें['ssh-hardening']['ssh'][{'client', 'server'}]['cipher'] - nil सर्वर संस्करण के आधार पर सर्वोत्तम ciphers की गणना करने के लिए, अन्यथा Cipher मानों की एक स्ट्रिंग निर्दिष्ट करें['ssh-hardening']['ssh'][{'client', 'server'}]['cbc_required'] - false. यदि ciphers के लिए CBC आवश्यक है तो true पर सेट करें। यह आमतौर पर केवल तभी आवश्यक है, जब पुराने M2M तंत्र को SSH के साथ संचार करने की आवश्यकता हो, जिनमें कॉन्फ़िगर किए गए सुरक्षित ciphers में से कोई भी सक्षम नहीं है। CBC एक कमज़ोर विकल्प है। इससे कमज़ोर कुछ भी टाला जाना चाहिए और इस प्रकार उपलब्ध नहीं है।['ssh-hardening']['ssh'][{'client', 'server'}]['weak_hmac'] - false. यदि कमज़ोर HMAC तंत्र आवश्यक हैं तो true पर सेट करें। यह आमतौर पर केवल तभी आवश्यक है, जब पुराने M2M तंत्र को SSH के साथ संचार करने की आवश्यकता हो, जिनमें कॉन्फ़िगर किए गए सुरक्षित HMACs में से कोई भी सक्षम नहीं है।['ssh-hardening']['ssh'][{'client', 'server'}]['weak_kex'] - false. यदि कमज़ोर Key-Exchange (KEX) तंत्र आवश्यक हैं तो true पर सेट करें। यह आमतौर पर केवल तभी आवश्यक है, जब पुराने M2M तंत्र को SSH के साथ संचार करने की आवश्यकता हो, जिनमें कॉन्फ़िगर किए गए सुरक्षित KEXs में से कोई भी सक्षम नहीं है।['ssh-hardening']['ssh']['client']['remote_hosts'] - [] - एक या अधिक होस्ट, जिनसे ssh-client कनेक्ट हो सकता है।['ssh-hardening']['ssh']['client']['password_authentication'] - false. यदि पासवर्ड प्रमाणीकरण सक्षम किया जाना चाहिए तो true पर सेट करें।['ssh-hardening']['ssh']['client']['roaming'] - false. यदि प्रयोगात्मक client roaming सक्षम किया जाना चाहिए तो true पर सेट करें। यह दुर्भावनापूर्ण सर्वरों को रहस्य प्रकट करने के साथ संभावित समस्याएँ पैदा करने के लिए जाना जाता है और डिफ़ॉल्ट रूप से अक्षम रहता है।['ssh-hardening']['ssh']['client']['extras'] - {}. अतिरिक्त कॉन्फ़िगरेशन विकल्प जोड़ें, विवरण के लिए नीचे देखें['ssh-hardening']['ssh']['server']['host_key_files'] - nil सर्वर संस्करण के आधार पर सर्वोत्तम hostkey कॉन्फ़िगरेशन की गणना करने के लिए, अन्यथा फ़ाइल पथों की एक सरणी निर्दिष्ट करें (जैसे /etc/ssh/ssh_host_rsa_key)['ssh-hardening']['ssh']['server']['dh_min_prime_size'] - 2048 - /etc/ssh/moduli में बिट्स में न्यूनतम स्वीकार्य prime लंबाई। इस संख्या से कम primes हटा दिए जाएँगे। (अधिक जानकारी और पृष्ठभूमि के लिए यह देखें)['ssh-hardening']['ssh']['server']['dh_build_primes'] - false - यदि अपने स्वयं के primes बनाए जाने चाहिए। यह पुनर्निर्माण केवल एक बार होता है और बहुत समय लेता है (~ आधुनिक हार्डवेयर पर 4096 लंबाई के लिए 1.5 - 2 घंटे)।['ssh-hardening']['ssh']['server']['dh_build_primes_size'] - 4096 - Prime लंबाई जो उत्पन्न की जानी चाहिए। यह विकल्प केवल तभी मान्य है जब dh_build_primes सक्षम हो।['ssh-hardening']['ssh']['server']['listen_to'] #override attribute# - एक या अधिक ip पते, जिन पर ssh-server को सुनना चाहिए। डिफ़ॉल्ट सभी इंटरफेस पर सुनना है। सुरक्षा कारणों से इसे कॉन्फ़िगर किया जाना चाहिए!['ssh-hardening']['ssh']['server']['allow_root_with_key'] - false root लॉगिन को पूरी तरह से अक्षम करने के लिए। key-आधारित तंत्र के माध्यम से root को लॉगिन करने की अनुमति देने के लिए true पर सेट करें['ssh-hardening']['ssh']['server']['allow_tcp_forwarding'] - false. TCP Forwarding की अनुमति देने के लिए true पर सेट करें['ssh-hardening']['ssh']['server']['allow_agent_forwarding'] - false. Agent Forwarding की अनुमति देने के लिए true पर सेट करें['ssh-hardening']['ssh']['server']['allow_x11_forwarding'] - false. X11 Forwarding की अनुमति देने के लिए true पर सेट करें['ssh-hardening']['ssh']['server']['permit_tunnel'] - false tun डिवाइस फ़ॉरवर्डिंग को अक्षम करने के लिए। tun डिवाइस फ़ॉरवर्डिंग की अनुमति देने के लिए true पर सेट करें। अन्य स्वीकृत मान: 'yes', 'no', 'point-to-point', 'ethernet'। सटीक व्यवहार के लिए man sshd_config देखें। ध्यान दें: आपको allow_tcp_forwarding भी सक्षम करना होगा।['ssh-hardening']['ssh']['server']['use_pam'] - true. sshd के pam प्रमाणीकरण को अक्षम करने के लिए false पर सेट करें['ssh-hardening']['ssh']['server']['challenge_response_authentication'] - false. challenge response प्रमाणीकरण सक्षम करने के लिए true पर सेट करें।['ssh-hardening']['ssh']['server']['deny_users'] - [] DenyUsers कॉन्फ़िगर करने के लिए, यदि निर्दिष्ट है तो उन उपयोगकर्ता नामों के लिए लॉगिन अस्वीकृत है जो पैटर्न में से किसी एक से मेल खाते हैं।['ssh-hardening']['ssh']['server']['allow_users'] - [] AllowUsers कॉन्फ़िगर करने के लिए, यदि निर्दिष्ट है तो लॉगिन केवल उन उपयोगकर्ता नामों के लिए अनुमत है जो पैटर्न में से किसी एक से मेल खाते हैं।['ssh-hardening']['ssh']['server']['deny_groups'] - [] DenyGroups कॉन्फ़िगर करने के लिए, यदि निर्दिष्ट है तो उन उपयोगकर्ताओं के लिए लॉगिन अस्वीकृत है जिनकी प्राथमिक समूह या पूरक समूह सूची पैटर्न में से किसी एक से मेल खाती है।['ssh-hardening']['ssh']['server']['allow_groups'] - [] AllowGroups कॉन्फ़िगर करने के लिए, यदि निर्दिष्ट है तो लॉगिन केवल उन उपयोगकर्ताओं के लिए अनुमत है जिनकी प्राथमिक समूह या पूरक समूह सूची पैटर्न में से किसी एक से मेल खाती है।['ssh-hardening']['ssh']['server']['print_motd'] - false. MOTD की छपाई सक्षम करने के लिए true पर सेट करें['ssh-hardening']['ssh']['server']['print_last_log'] - false. अंतिम लॉगिन जानकारी की छपाई सक्षम करने के लिए true पर सेट करें['ssh-hardening']['ssh']['server']['banner'] - nil. बैनर सक्षम करने के लिए '/etc/issue.net' जैसा पथ सेट करें['ssh-hardening']['ssh']['server']['os_banner'] - false प्रोटोकॉल हैंडशेक के दौरान संस्करण जानकारी अक्षम करने के लिए (केवल debian परिवार)। इसे सक्षम करने के लिए true पर सेट करें['ssh-hardening']['ssh']['server']['use_dns'] - nil openssh डिफ़ॉल्ट का उपयोग करने के लिए। दूरस्थ होस्ट की DNS लुकअप और जाँच को सक्षम/अक्षम करने के लिए true या false पर सेट करें['ssh-hardening']['ssh']['server']['use_privilege_separation'] - nil सर्वर संस्करण के आधार पर सर्वोत्तम मान की गणना करने के लिए, अन्यथा true या false सेट करें