dev-sec/chef-ssh-hardeningЭтот chef cookbook предоставляет безопасные конфигурации ssh-client и ssh-server.
[
][1]
[
][2]
[
][3]
[
][4]
Этот cookbook предоставляет безопасные конфигурации ssh-client и ssh-server. Данный cookbook не предоставляет возможностей для управления пользователями и/или ssh-ключами, для этого используйте другие cookbook.
Ниже вы можете найти документацию по атрибутам и их значения по умолчанию.
Обратите внимание: некоторые значения атрибутов по умолчанию задаются в рецептах. Для переопределения таких атрибутов следует использовать более высокий уровень приоритета атрибутов. Такие атрибуты помечены как #override attribute# в списке ниже. Пример переопределения такого атрибута:
override['ssh-hardening']['ssh']['server']['listen_to'] = node['ipaddress']
['ssh-hardening']['network']['ipv6']['enable'] - false. Установите true, если требуется IPv6['ssh-hardening']['ssh']['ports'] - 22. Порты, на которых ssh-server должен прослушивать соединения и к которым ssh-client должен подключаться['ssh-hardening']['ssh'][{'client', 'server'}]['kex'] - nil для автоматического расчёта наилучшего обмена ключами (KEX) на основе версии сервера, в противном случае укажите строку значений Kex['ssh-hardening']['ssh'][{'client', 'server'}]['mac'] - nil для автоматического расчёта наилучших кодов аутентификации сообщений (MAC) на основе версии сервера, в противном случае укажите строку значений Mac['ssh-hardening']['ssh'][{'client', 'server'}]['cipher'] - nil для автоматического расчёта наилучших шифров на основе версии сервера, в противном случае укажите строку значений Cipher['ssh-hardening']['ssh'][{'client', 'server'}]['cbc_required'] - false. Установите true, если требуется CBC для шифров. Обычно это необходимо только в том случае, если старые механизмы M2M должны взаимодействовать с SSH, у которых не включён ни один из настроенных безопасных шифров. CBC является слабой альтернативой. Все, что слабее, следует избегать, и поэтому оно недоступно.['ssh-hardening']['ssh'][{'client', 'server'}]['weak_hmac'] - false. Установите true, если требуются более слабые механизмы HMAC. Обычно это необходимо только в том случае, если старые механизмы M2M должны взаимодействовать с SSH, у которых не включён ни один из настроенных безопасных HMAC.['ssh-hardening']['ssh'][{'client', 'server'}]['weak_kex'] - false. Установите true, если требуются более слабые механизмы обмена ключами (KEX). Обычно это необходимо только в том случае, если старые механизмы M2M должны взаимодействовать с SSH, у которых не включён ни один из настроенных безопасных KEX.['ssh-hardening']['ssh']['client']['remote_hosts'] - [] - один или несколько хостов, к которым ssh-client может подключаться.['ssh-hardening']['ssh']['client']['password_authentication'] - false. Установите true, если должна быть включена аутентификация по паролю.['ssh-hardening']['ssh']['client']['roaming'] - false. Установите true, если должен быть включён экспериментальный roaming клиента. Известно, что это может привести к потенциальным проблемам с раскрытием секретов вредоносным серверам, и по умолчанию эта функция отключена.['ssh-hardening']['ssh']['client']['extras'] - {}. Добавьте дополнительные параметры конфигурации, подробнее см. ниже['ssh-hardening']['ssh']['server']['host_key_files'] - nil для автоматического расчёта наилучшей конфигурации hostkey на основе версии сервера, в противном случае укажите массив с путями к файлам (например, /etc/ssh/ssh_host_rsa_key)['ssh-hardening']['ssh']['server']['dh_min_prime_size'] - 2048 - Минимально допустимая длина простого числа в битах в /etc/ssh/moduli. Простые числа ниже этого значения будут удалены. (См. эту статью для получения дополнительной информации и справочных данных)['ssh-hardening']['ssh']['server']['dh_build_primes'] - false - Следует ли генерировать собственные простые числа. Эта перегенерация выполняется только один раз и занимает много времени (~ 1.5 - 2 часа на современном оборудовании для длины 4096).['ssh-hardening']['ssh']['server']['dh_build_primes_size'] - 4096 - Длина простого числа, которое должно быть сгенерировано. Этот параметр действителен только в том случае, если включён dh_build_primes.['ssh-hardening']['ssh']['server']['listen_to'] #override attribute# - один или несколько IP-адресов, на которых ssh-server должен прослушивать соединения. По умолчанию прослушиваются все интерфейсы. По соображениям безопасности его следует настроить!['ssh-hardening']['ssh']['server']['allow_root_with_key'] - false для полного запрета входа root. Установите true, чтобы разрешить root вход через механизм на основе ключей['ssh-hardening']['ssh']['server']['allow_tcp_forwarding'] - false. Установите true, чтобы разрешить TCP Forwarding['ssh-hardening']['ssh']['server']['allow_agent_forwarding'] - false. Установите true, чтобы разрешить Agent Forwarding['ssh-hardening']['ssh']['server']['allow_x11_forwarding'] - false. Установите true, чтобы разрешить X11 Forwarding['ssh-hardening']['ssh']['server']['permit_tunnel'] - false для запрета пересылки tun-устройств. Установите true, чтобы разрешить пересылку tun-устройств. Другие допустимые значения: 'yes', 'no', 'point-to-point', 'ethernet'. См. man sshd_config для точного описания поведения. Примечание: вам также потребуется включить allow_tcp_forwarding.['ssh-hardening']['ssh']['server']['use_pam'] - true. Установите false, чтобы отключить pam-аутентификацию sshd['ssh-hardening']['ssh']['server']['challenge_response_authentication'] - false. Установите true, чтобы включить аутентификацию с запросом-ответом.['ssh-hardening']['ssh']['server']['deny_users'] - [] для настройки DenyUsers, если указано, вход запрещён для имён пользователей, которые соответствуют одному из шаблонов.['ssh-hardening']['ssh']['server']['allow_users'] - [] для настройки AllowUsers, если указано, вход разрешён только для имён пользователей, которые соответствуют одному из шаблонов.['ssh-hardening']['ssh']['server']['deny_groups'] - [] для настройки DenyGroups, если указано, вход запрещён для пользователей, чья основная группа или список дополнительных групп соответствует одному из шаблонов.['ssh-hardening']['ssh']['server']['allow_groups'] - [] для настройки AllowGroups, если указано, вход разрешён только для пользователей, чья основная группа или список дополнительных групп соответствует одному из шаблонов.['ssh-hardening']['ssh']['server']['print_motd'] - false. Установите true, чтобы включить вывод MOTD['ssh-hardening']['ssh']['server']['print_last_log'] - false. Установите true, чтобы включить вывод информации о последнем входе['ssh-hardening']['ssh']['server']['banner'] - nil. Укажите путь, например '/etc/issue.net', чтобы включить баннер['ssh-hardening']['ssh']['server']['os_banner'] - false для отключения информации о версии во время рукопожатия протокола (только для семейства debian). Установите true, чтобы включить её['ssh-hardening']['ssh']['server']['use_dns'] - nil для использования значения по умолчанию openssh. Установите true или false, чтобы включить/отключить DNS-запрос и проверку удалённого хоста