Lorsque vous avez besoin d’ouvrir quelque chose sur votre réseau domestique sur Internet, un tunnel SSH est-il un moyen suffisamment sûr de le faire?
La question
Le lecteur SuperUser Alfred M. veut savoir s’il est sur la bonne voie en matière de sécurité de connexion:
J’ai récemment mis en place un petit serveur avec un ordinateur bas de gamme exécutant Debian dans le but de l’utiliser comme référentiel git personnel. J’ai activé ssh et j’ai été assez surpris de la rapidité avec laquelle il a souffert d’attaques par force brute et autres. Puis j’ai lu que c’est assez fréquent et appris les mesures de sécurité de base pour parer à ces attaques (beaucoup de questions et de doublons sur serverfault les traitent, voir par exemple celui-ci ou celui-ci).
Mais maintenant, je me demande si tout cela en vaut la peine. J’ai décidé de configurer mon propre serveur principalement pour le plaisir: je pouvais simplement me fier à des solutions tierces telles que celles proposées par gitbucket.org, bettercodes.org, etc. suffisamment de temps pour y consacrer pour devenir un expert et être presque certain que j’ai pris les bonnes mesures de prévention.
Afin de décider si je continuerai à jouer avec ce projet de jouet, j’aimerais savoir ce que je risque vraiment de le faire. Par exemple, dans quelle mesure les autres ordinateurs connectés à mon réseau sont-ils également menacés? Certains de ces ordinateurs sont utilisés par des personnes ayant encore moins de connaissances que les miennes exécutant Windows.
Quelle est la probabilité que j’obtienne de réels problèmes si je respecte les directives de base telles que mot de passe fort, accès root désactivé pour ssh, port non standard pour ssh et éventuellement désactivation de la connexion par mot de passe et utilisation de l’une des règles fail2ban, denyhosts ou iptables?
En d’autres termes, y a-t-il de gros méchants loups que je devrais craindre ou est-ce principalement de chasser les enfants des scripts?
Alfred doit-il s’en tenir à des solutions tierces ou sa solution de bricolage est-elle sécurisée?
La réponse
Le contributeur SuperUser TheFiddlerWins rassure Alfred sur le fait que c’est assez sûr:
IMO SSH est l’une des choses les plus sûres à écouter sur Internet ouvert. Si vous êtes vraiment inquiet, faites-le écouter sur un port haut de gamme non standard. J’aurais toujours un pare-feu (au niveau de l’appareil) entre votre boîte et l’Internet réel et utiliserais simplement la redirection de port pour SSH, mais c’est une précaution contre d’autres services. SSH lui-même est sacrément solide.
Des gens ont parfois frappé mon serveur SSH domestique (ouvert à Time Warner Cable). Jamais eu d’impact réel.
Un autre contributeur, Stéphane, souligne à quel point il est facile de sécuriser davantage SSH:
Mettre en place un système d’authentification par clé publique avec SSH est vraiment trivial et prend environ 5 minutes à installer.
Si vous forcez toutes les connexions SSH à l’utiliser, cela rendra votre système à peu près aussi résilient que vous pouvez l’espérer sans investir BEAUCOUP dans l’infrastructure de sécurité. Franchement, c’est tellement simple et efficace (tant que vous n’avez pas 200 comptes – alors ça devient compliqué) que ne pas l’utiliser devrait être une infraction publique.
Enfin, Craig Watson propose une autre astuce pour minimiser les tentatives d’intrusion:
J’exécute également un serveur git personnel ouvert sur le monde sur SSH, et j’ai également les mêmes problèmes de force brute que vous, donc je peux comprendre votre situation.
TheFiddlerWins a déjà abordé les principales implications de sécurité de l’ouverture de SSH sur une IP accessible au public, mais le meilleur outil de l’OMI en réponse aux tentatives de force brute est Fail2Ban – un logiciel qui surveille vos fichiers journaux d’authentification, détecte les tentatives d’intrusion et ajoute des règles de pare-feu au local de la machineiptables pare-feu. Vous pouvez configurer à la fois le nombre de tentatives avant une interdiction et la durée de l’interdiction (ma valeur par défaut est de 10 jours).
Avez-vous quelque chose à ajouter à l’explication? Sonnez dans les commentaires. Vous voulez lire plus de réponses d’autres utilisateurs de Stack Exchange férus de technologie? Consultez le fil de discussion complet ici.
