benjojo/totp-ssh-fluxerLeve a segurança por obscuridade ao próximo nível (esta é uma má ideia, por favor, não use isso de verdade)
Algumas pessoas alteram a porta SSH em seus servidores para dificultar um pouco a localização por bots ou outras ameaças, e embora isso seja geralmente visto como uma ação de segurança por obscuridade, funciona muito bem para eliminar muitos dos logins automatizados que você sempre vê em /var/log/auth.log
No entanto, e se pudéssemos levar isso a um nível ridículo? E se pudéssemos usar códigos TOTP, normalmente usados como segundo fator para login em sites, para saber em que porta o servidor sshd está escutando?
Para isso, apresento totp-ssh-flux, uma maneira de garantir que sua porta SSH mude a cada 30 segundos, causando possivelmente um pouco de frustração a seus adversários.
Demonstração:
O que você vê aqui é meu telefone (usando um cliente TOTP genérico) gerando códigos, que posso usar como porta para conectar via SSH a um servidor.
O software por trás disso é bem simples. Ele executa em um loop que faz o seguinte:
O legal é que, como isso é feito em PREROUTING, mesmo que o código expire, as conexões estabelecidas permanecem ativas.
No momento da escrita, o projeto é apenas um único arquivo. Você precisará instalar o golang e então executar go get e go build
Execute o programa como root (é necessário, desculpe, ele está editando o iptables)
Na primeira execução, o programa gerará um token para o host em /etc/ssh-flux-key (você pode usar a opção -keypath para alterar isso) e você pode inseri-lo em seu telefone ou outros clientes.
Você pode confirmar que funciona executando watch iptables -vL -t nat e aguardando as regras do iptables serem inseridas e removidas.
Quer ver mais loucuras como essa? Siga-me no Twitter @benjojo12
