Premières étapes de sécurisation du serveur

Préambule

Voilà la liste des étapes que je fais habituellement à la main et qu'il est toujours possible de faire à la main. J'ai décidé dans ce tutoriel d'utiliser ansible pour pouvoir automatiser ensuite la création de serveurs, plus rapide en cas de crash de disque dur ou compromission. (et aussi pour apprendre de nouvelles techniques ...)

Récupération de l'IP du serveur "à la maison"

Il nous faut connaître l'adresse IP de notre serveur qui est allouée dynamiquement par le serveur dhcp de notre box (freebox).

Sur le poste client à partir duquel nous nous connectons par ssh sur le serveur, nous allons lancer une commande qui va scruter notre réseau local et faire apparaître les IPs des machines du réseau. Bien sûr, cela ne fonctionne que si le serveur est "at home". Ne lancez pas un scan de tout l'internet! :D

root@aldebaran:~# nmap -sP 192.168.111.0/24 | grep "Nmap scan"
Nmap scan report for 192.168.111.20
Nmap scan report for 192.168.111.49
Nmap scan report for switch.yojik.net (192.168.111.140)
Nmap scan report for goulya.yojik.net (192.168.111.151)
Nmap scan report for 192.168.111.153
Nmap scan report for atom.yojik.net (192.168.111.160)
Nmap scan report for freebox.yojik.net (192.168.111.254)
Nmap scan report for aldebaran.yojik.net (192.168.111.150)
root@aldebaran:~#

Vous voyez là toutes les machines allumées sur mon réseau local. Celle qui nous intéresse est la suivante:

**192.168.111.49**

Vous pouvez utiliser les options suivantes de nmap qui vous donnera des inbformations supplémentaires à même de vous permettre de trouver votre serveur:

eric@aldebaran:/mnt/Raid/eric/Devs/Travail/Installation serveur/Tutorial/Tuto-Buster$ sudo nmap -sn 192.168.111.0/24
Starting Nmap 7.91 ( https://nmap.org ) at 2021-01-15 16:05 CET
Nmap scan report for 192.168.111.13
Host is up (0.19s latency).
MAC Address: 54:35:30:1D:5A:C4 (Hon Hai Precision Ind.)
Nmap scan report for 192.168.111.20
Host is up (0.22s latency).
MAC Address: 90:78:B2:A1:31:E7 (Xiaomi Communications)
Nmap scan report for 192.168.111.25
Host is up (0.25s latency).
MAC Address: D8:12:65:5B:DD:90 (Chongqing Fugui Electronics)
Nmap scan report for 192.168.111.34
Host is up (0.27s latency).
MAC Address: 00:73:8D:92:7E:B6 (Shenzhen Tinno Mobile Technology)
Nmap scan report for 192.168.111.48
Host is up (0.22s latency).
MAC Address: 70:EE:50:6B:7B:3A (Netatmo)
Nmap scan report for 192.168.111.49
Host is up (0.00025s latency).
MAC Address: 38:EA:A7:A6:CF:93 (Hewlett Packard)
Nmap scan report for switch.yojik.net (192.168.111.140)
Host is up (0.14s latency).
MAC Address: 98:DA:C4:37:BF:F9 (Tp-link Technologies)
Nmap scan report for goulya.yojik.net (192.168.111.151)
Host is up (0.00014s latency).
MAC Address: D0:50:99:A5:69:C5 (ASRock Incorporation)
Nmap scan report for atom.yojik.net (192.168.111.160)
Host is up (0.00030s latency).
MAC Address: 00:23:54:C6:0A:07 (Asustek Computer)
Nmap scan report for mynas2.yojik.net (192.168.111.211)
Host is up (0.00021s latency).
MAC Address: 00:11:32:08:D8:E1 (Synology Incorporated)
Nmap scan report for freebox.yojik.net (192.168.111.254)
Host is up (0.0015s latency).
MAC Address: 68:A3:78:65:7B:5C (Freebox SAS)
Nmap scan report for aldebaran.yojik.net (192.168.111.150)
Host is up.
Nmap done: 256 IP addresses (12 hosts up) scanned in 4.87 seconds

Là, on voit la tétrachiée de machines sur le réseau, entre téléphones mobiles, imprimantes wifi, station météo, lampes connectées etc .. Mon serveur est de marque HP ce qui permet de retrouver son ip dans la liste.

Récupération de l'ip de votre "dédié" ou "VPS"

Vos serveurs dédiés ou vps utilisent une adresse IP (ou plusieurs) automatiquement attribuées et consultables sur la console d'administration du fournisseur (OVH chez moi)

Préparation du poste de travail

Sur notre poste de travail, nous allons préparer la configuration de SSH et de Ansible.

SSH

Il y a 2 parties à configurer sur le poste de travail:

/etc/ssh/ (permet de sécuriser les accès à notre poste de travail: facultatif, mais la qualité du serveur ssh de notre poste de travail est équivalente à celle des serveurs bruts de fonderie)
~/.ssh/ (préparation des répertoires et des clefs)

Nous allons utiliser les recommandations de Mozilla: Mozilla recommendations ainsi que des tutoriaux comme ceux-ci:

Ansible

Installation de ansible

Nous allons suivre la documentation du site web de ansible: Installation de ansible

Ajouter la ligne suivante à /etc/apt/sources.list: (avec un éditeur de votre choix)

deb http://ppa.launchpad.net/ansible/ansible/ubuntu trusty main

Et lancer les commandes suivantes:

$ sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys 93C4A3FD7BB9C367
$ sudo apt update
$ sudo apt install ansible

Lancez la commande suivante pour tester votre installation:

    eric@aldebaran:/mnt/Raid/eric/Devs/Travail/Installation serveur/Tutorial/Tuto-Buster$ ansible --version
ansible 2.9.16
config file = /etc/ansible/ansible.cfg
configured module search path = ['/home/eric/.ansible/plugins/modules', '/usr/share/ansible/plugins/modules']
ansible python module location = /usr/lib/python3/dist-packages/ansible
executable location = /usr/bin/ansible
python version = 3.9.1+ (default, Jan 10 2021, 15:42:50) [GCC 10.2.1 20201224]
eric@aldebaran:/mnt/Raid/eric/Devs/Travail/Installation serveur/Tutorial/Tuto-Buster$

Création de notre structure de répertoires

Nous allons créer un répertoire dans notre home qui contiendra nos ""playbook"". J'ai vu qu'il existait un programme appelé ansible-galaxy qui permet de gérer la structure de ce répertoire et de charger des roles tout prêts à partir du hub.

Entrez la commande suivante:

eric@aldebaran:~$ ansible-galaxy init aijan
- Role aijan was created successfully
eric@aldebaran:~$

La structure de répertoires crée:

eric@aldebaran:~$ tree aijan
aijan
├── defaults
│   └── main.yml
├── handlers
│   └── main.yml
├── meta
│   └── main.yml
├── README.md
├── tasks
│   └── main.yml
├── tests
│   ├── inventory
│   └── test.yml
└── vars
    └── main.yml

6 directories, 8 files
eric@aldebaran:~$

Préparation de notre serveur

Nous allons commencer à installer quelques logiciels de base, en fait ceux que j'utilise sur toutes mes machines. Bien sûr, vous pouvez faire d'autres choix, comme installer emacs comme éditeur et un autre navigateur de fichiers en mode texte. Installez simplement les outils qui vous conviennent. La méthode à suivre sera identique quelque soient les logiciels.

Méthode manuelle

Nous allons commencer par exécuter toutes les étapes manuellement; il sera plus facile ensuite de les automatiser.

Pour mon usage personnel, j'installe systématiquement mc, un programme de gestion de fichiers en mode texte qui permet de se déplacer facilement dans les répertoires, d'éditer, de déplacer les fichiers etc. et vim comme éditeur de fichiers de configuration

Notez l'utilisation de sudo: les taches d'administration seront faite sous l'utilisateur ericadmin avec l'aide de sudo pour l'élévation des privilèges.

sudo apt install mc

J'installe aussi vim, pour remplacer l'éditeur vi ou nano installé par défaut par Debian.

sudo apt install vim

Dans le tutoriel précédent, j'utilisais netstat comme outillage réseau. Il a été remplacé par ss dont nous verrons le fonctionnement plus tard. Il est disponible automatiquement apèrs installation.

Ajoute des dépots contrib et non-free:

sudo vim /etc/apt/sources.list

Pour obtenir ceci:

deb http://deb.debian.org/debian/ buster main contrib non-free
deb-src http://deb.debian.org/debian/ buster main contrib non-free

deb http://security.debian.org/debian-security buster/updates main contrib non-free
deb-src http://security.debian.org/debian-security buster/updates main contrib non-free

# buster-updates, previously known as 'volatile'
deb http://deb.debian.org/debian/ buster-updates main contrib non-free
deb-src http://deb.debian.org/debian/ buster-updates main contrib non-free

# buster-backports
deb http://deb.debian.org/debian buster-backports main contrib non-free
deb http://deb.debian.org/debian/ buster-proposed-updates contrib non-free main
deb-src http://deb.debian.org/debian buster-backports main

Mise à jour des dépôts de paquets, et mise à jour du système:

sudo apt update && sudo apt upgrade

Méthode avec ansible

Nous allons donc réaliser exactement la même chose, mais avec ansible:

Renseignement des variables utilisées dans les playbooks.

Ces variables seront enregistrées dans le fichier ~/aijan/vars/main.yml
Playbook de modification de /etc/apt/sources.list et mise à jour du catalogue de paquets

Pour cela nous utiliserons un playbook "tout prêt".

Installation:
```
eric@aldebaran:~/aijan$ ansible-galaxy install oefenweb.apt
Starting galaxy role install process
- downloading role 'apt', owned by oefenweb
- downloading role from https://github.com/Oefenweb/ansible-apt/archive/v2.4.6.tar.gz
- extracting oefenweb.apt to /home/eric/.ansible/roles/oefenweb.apt
- oefenweb.apt (v2.4.6) was installed successfully
eric@aldebaran:~/aijan$
```
La documentation est contenue dans le fichier README.md situé dans le répertoire ~/.ansible/roles/oefenweb.apt. Le principe sera le même pour les autres playbooks que nous installerons et qui seront dans le répertoire roles comme ci-dessus.

Le playbook que nous appellerons: mise-a-jour-apt.yml sera enregistré dans le répertoire tasks.
- test manuel
- enregistrement et test
Playbook d'installation de vim et mc

Le playbook sera appelé: install-vim-mc.yml et sera placé également dans le répertoire tasks.
- test manuel
- enregistrement et test

Voilà, nous avons toutes les données nécessaires pour lancer ansible

Test de connexion en ligne de commande:

J'ai créé un répertoire Ansible sur mon poste de travail et dedans j'ai créé un fichier inventaire appelé hosts dont le contenu est le suivant:

  eric@aldebaran:~/Ansible$ cat hosts
  [aijan]
  192.168.111.48

Il ne contient que 2 lignes: la première est "le petit nom" de mon serveur, mais vous pouvez lui donner n'importe quel nom de votre choix, et la ligne suivante indique l'adresse IPV4; nous aurions aussi pu mettre le FQDN comme aijan.yojik.net. J'ai utilisé l'adresse numérique car elle n'est que temporaire: nous allons lui donner une adresse fixe en IPV4 et IPV6 plus tard. Nous pourrons utiliser l'adresse FQDN une fois que l'adresse sera fixée et que la résolution de noms (DNS) sera active.

  eric@aldebaran:~/Ansible$

  eric@aldebaran:~/Ansible$ansible -i ./hosts --ask-pass --ssh-extra-args='-o "PubkeyAuthentication=no"' all -m ping -u ericadmin
  SSH password:
  192.168.111.48 | SUCCESS => {
      "changed": false,
      "ping": "pong"
  }
  eric@aldebaran:~/Ansible$

Nous voyons le succès de notre tentative de connexion: ansible marche ;)

Essai d'installation d'un paquet en ligne de commande (commandes "ad-hoc"):

Nous allons installer mc avec ansible. Voici la copie d'écran de la ligne de commande utilisée: (j'ai laissé toute la sortie de ansible pour que vous puissiez comparer.)

  eric@aldebaran:~/Ansible$ ansible -i ./hosts aijan -b  --become-method=sudo -m apt -a 'name=mc state=present' -u ericadmin --ask-pass --ssh-extra-args='-o "PubkeyAuthentication=no"' --ask-become-pass
  SSH password:
  SUDO password[defaults to SSH password]:
  [DEPRECATION WARNING]: State 'installed' is deprecated. Using state 'present' instead.. This feature will be removed in version 2.9. Deprecation warnings can be disabled by setting deprecation_warnings=False in ansible.cfg.
  192.168.111.48 | CHANGED => {
  "cache_update_time": 1592657315,
  "cache_updated": false,
  "changed": true,
  "stderr": "",
  "stderr_lines": [],
  "stdout": "Reading package lists...\nBuilding dependency tree...\nReading state information...\nThe following additional packages will be installed:\n  libglib2.0-0 libglib2.0-data libgpm2 mc-data shared-mime-info unzip\n  xdg-user-dirs\nSuggested packages:\n  gpm arj catdvi | texlive-binaries dbview djvulibre-bin epub-utils\n  genisoimage gv imagemagick libaspell-dev links | w3m | lynx odt2txt\n  poppler-utils python-boto python-tz xpdf | pdf-viewer zip\nThe following NEW packages will be installed:\n  libglib2.0-0 libglib2.0-data libgpm2 mc mc-data shared-mime-info unzip\n  xdg-user-dirs\n0 upgraded, 8 newly installed, 0 to remove and 0 not upgraded.\nNeed to get 5201 kB of archives.\nAfter this operation, 26.0 MB of additional disk space will be used.\nGet:1 http://deb.debian.org/debian buster/main amd64 libglib2.0-0 amd64 2.58.3-2+deb10u2 [1258 kB]\nGet:2 http://deb.debian.org/debian buster/main amd64 libglib2.0-data all 2.58.3-2+deb10u2 [1110 kB]\nGet:3 http://deb.debian.org/debian buster/main amd64 libgpm2 amd64 1.20.7-5 [35.1 kB]\nGet:4 http://deb.debian.org/debian buster/main amd64 mc-data all 3:4.8.22-1 [1292 kB]\nGet:5 http://deb.debian.org/debian buster/main amd64 mc amd64 3:4.8.22-1 [516 kB]\nGet:6 http://deb.debian.org/debian buster/main amd64 shared-mime-info amd64 1.10-1 [766 kB]\nGet:7 http://deb.debian.org/debian buster/main amd64 unzip amd64 6.0-23+deb10u1 [172 kB]\nGet:8 http://deb.debian.org/debian buster/main amd64 xdg-user-dirs amd64 0.17-2 [53.8 kB]\nFetched 5201 kB in 0s (16.3 MB/s)\nSelecting previously unselected package libglib2.0-0:amd64.\r\n(Reading database ... \r(Reading database ... 5%\r(Reading database ... 10%\r(Reading database ... 15%\r(Reading database ... 20%\r(Reading database ... 25%\r(Reading database ... 30%\r(Reading database ... 35%\r(Reading database ... 40%\r(Reading database ... 45%\r(Reading database ... 50%\r(Reading database ... 55%\r(Reading database ... 60%\r(Reading database ... 65%\r(Reading database ... 70%\r(Reading database ... 75%\r(Reading database ... 80%\r(Reading database ... 85%\r(Reading database ... 90%\r(Reading database ... 95%\r(Reading database ... 100%\r(Reading database ... 28088 files and directories currently installed.)\r\nPreparing to unpack .../0-libglib2.0-0_2.58.3-2+deb10u2_amd64.deb ...\r\nUnpacking libglib2.0-0:amd64 (2.58.3-2+deb10u2) ...\r\nSelecting previously unselected package libglib2.0-data.\r\nPreparing to unpack .../1-libglib2.0-data_2.58.3-2+deb10u2_all.deb ...\r\nUnpacking libglib2.0-data (2.58.3-2+deb10u2) ...\r\nSelecting previously unselected package libgpm2:amd64.\r\nPreparing to unpack .../2-libgpm2_1.20.7-5_amd64.deb ...\r\nUnpacking libgpm2:amd64 (1.20.7-5) ...\r\nSelecting previously unselected package mc-data.\r\nPreparing to unpack .../3-mc-data_3%3a4.8.22-1_all.deb ...\r\nUnpacking mc-data (3:4.8.22-1) ...\r\nSelecting previously unselected package mc.\r\nPreparing to unpack .../4-mc_3%3a4.8.22-1_amd64.deb ...\r\nUnpacking mc (3:4.8.22-1) ...\r\nSelecting previously unselected package shared-mime-info.\r\nPreparing to unpack .../5-shared-mime-info_1.10-1_amd64.deb ...\r\nUnpacking shared-mime-info (1.10-1) ...\r\nSelecting previously unselected package unzip.\r\nPreparing to unpack .../6-unzip_6.0-23+deb10u1_amd64.deb ...\r\nUnpacking unzip (6.0-23+deb10u1) ...\r\nSelecting previously unselected package xdg-user-dirs.\r\nPreparing to unpack .../7-xdg-user-dirs_0.17-2_amd64.deb ...\r\nUnpacking xdg-user-dirs (0.17-2) ...\r\nSetting up libgpm2:amd64 (1.20.7-5) ...\r\nSetting up xdg-user-dirs (0.17-2) ...\r\nSetting up libglib2.0-0:amd64 (2.58.3-2+deb10u2) ...\r\nNo schema files found: doing nothing.\r\nSetting up unzip (6.0-23+deb10u1) ...\r\nSetting up libglib2.0-data (2.58.3-2+deb10u2) ...\r\nSetting up shared-mime-info (1.10-1) ...\r\nSetting up mc-data (3:4.8.22-1) ...\r\nSetting up mc (3:4.8.22-1) ...\r\nupdate-alternatives: using /usr/bin/mcview to provide /usr/bin/view (view) in auto mode\r\nProcessing triggers for man-db (2.8.5-2) ...\r\nProcessing triggers for mime-support (3.62) ...\r\nProcessing triggers for libc-bin (2.28-10) ...\r\n",
  "stdout_lines": [
      "Reading package lists...",
      "Building dependency tree...",
      "Reading state information...",
      "The following additional packages will be installed:",
      "  libglib2.0-0 libglib2.0-data libgpm2 mc-data shared-mime-info unzip",
      "  xdg-user-dirs",
      "Suggested packages:",
      "  gpm arj catdvi | texlive-binaries dbview djvulibre-bin epub-utils",
      "  genisoimage gv imagemagick libaspell-dev links | w3m | lynx odt2txt",
      "  poppler-utils python-boto python-tz xpdf | pdf-viewer zip",
      "The following NEW packages will be installed:",
      "  libglib2.0-0 libglib2.0-data libgpm2 mc mc-data shared-mime-info unzip",
      "  xdg-user-dirs",
      "0 upgraded, 8 newly installed, 0 to remove and 0 not upgraded.",
      "Need to get 5201 kB of archives.",
      "After this operation, 26.0 MB of additional disk space will be used.",
      "Get:1 http://deb.debian.org/debian buster/main amd64 libglib2.0-0 amd64 2.58.3-2+deb10u2 [1258 kB]",
      "Get:2 http://deb.debian.org/debian buster/main amd64 libglib2.0-data all 2.58.3-2+deb10u2 [1110 kB]",
      "Get:3 http://deb.debian.org/debian buster/main amd64 libgpm2 amd64 1.20.7-5 [35.1 kB]",
      "Get:4 http://deb.debian.org/debian buster/main amd64 mc-data all 3:4.8.22-1 [1292 kB]",
      "Get:5 http://deb.debian.org/debian buster/main amd64 mc amd64 3:4.8.22-1 [516 kB]",
      "Get:6 http://deb.debian.org/debian buster/main amd64 shared-mime-info amd64 1.10-1 [766 kB]",
      "Get:7 http://deb.debian.org/debian buster/main amd64 unzip amd64 6.0-23+deb10u1 [172 kB]",
      "Get:8 http://deb.debian.org/debian buster/main amd64 xdg-user-dirs amd64 0.17-2 [53.8 kB]",
      "Fetched 5201 kB in 0s (16.3 MB/s)",
      "Selecting previously unselected package libglib2.0-0:amd64.",
      "(Reading database ... ",
      "(Reading database ... 5%",
      "(Reading database ... 10%",
      "(Reading database ... 15%",
      "(Reading database ... 20%",
      "(Reading database ... 25%",
      "(Reading database ... 30%",
      "(Reading database ... 35%",
      "(Reading database ... 40%",
      "(Reading database ... 45%",
      "(Reading database ... 50%",
      "(Reading database ... 55%",
      "(Reading database ... 60%",
      "(Reading database ... 65%",
      "(Reading database ... 70%",
      "(Reading database ... 75%",
      "(Reading database ... 80%",
      "(Reading database ... 85%",
      "(Reading database ... 90%",
      "(Reading database ... 95%",
      "(Reading database ... 100%",
      "(Reading database ... 28088 files and directories currently installed.)",
      "Preparing to unpack .../0-libglib2.0-0_2.58.3-2+deb10u2_amd64.deb ...",
      "Unpacking libglib2.0-0:amd64 (2.58.3-2+deb10u2) ...",
      "Selecting previously unselected package libglib2.0-data.",
      "Preparing to unpack .../1-libglib2.0-data_2.58.3-2+deb10u2_all.deb ...",
      "Unpacking libglib2.0-data (2.58.3-2+deb10u2) ...",
      "Selecting previously unselected package libgpm2:amd64.",
      "Preparing to unpack .../2-libgpm2_1.20.7-5_amd64.deb ...",
      "Unpacking libgpm2:amd64 (1.20.7-5) ...",
      "Selecting previously unselected package mc-data.",
      "Preparing to unpack .../3-mc-data_3%3a4.8.22-1_all.deb ...",
      "Unpacking mc-data (3:4.8.22-1) ...",
      "Selecting previously unselected package mc.",
      "Preparing to unpack .../4-mc_3%3a4.8.22-1_amd64.deb ...",
      "Unpacking mc (3:4.8.22-1) ...",
      "Selecting previously unselected package shared-mime-info.",
      "Preparing to unpack .../5-shared-mime-info_1.10-1_amd64.deb ...",
      "Unpacking shared-mime-info (1.10-1) ...",
      "Selecting previously unselected package unzip.",
      "Preparing to unpack .../6-unzip_6.0-23+deb10u1_amd64.deb ...",
      "Unpacking unzip (6.0-23+deb10u1) ...",
      "Selecting previously unselected package xdg-user-dirs.",
      "Preparing to unpack .../7-xdg-user-dirs_0.17-2_amd64.deb ...",
      "Unpacking xdg-user-dirs (0.17-2) ...",
      "Setting up libgpm2:amd64 (1.20.7-5) ...",
      "Setting up xdg-user-dirs (0.17-2) ...",
      "Setting up libglib2.0-0:amd64 (2.58.3-2+deb10u2) ...",
      "No schema files found: doing nothing.",
      "Setting up unzip (6.0-23+deb10u1) ...",
      "Setting up libglib2.0-data (2.58.3-2+deb10u2) ...",
      "Setting up shared-mime-info (1.10-1) ...",
      "Setting up mc-data (3:4.8.22-1) ...",
      "Setting up mc (3:4.8.22-1) ...",
      "update-alternatives: using /usr/bin/mcview to provide /usr/bin/view (view) in auto mode",
      "Processing triggers for man-db (2.8.5-2) ...",
      "Processing triggers for mime-support (3.62) ...",
      "Processing triggers for libc-bin (2.28-10) ..."
      ]
      }

Voici le réusltat de la ligne de commande relancée (où l'on voit l'action de **ansible** qui ne relance pas l'installation: il vérifie que **mc** est déjà installé (clef "changed" -> false).)

      eric@aldebaran:~/Ansible$ ansible -i ./hosts aijan -b  --become-method=sudo -m apt -a 'name=mc state=present' -u ericadmin --ask-pass --ssh-extra-args='-o "PubkeyAuthentication=no"' --ask-become-pass
      SSH password:
      SUDO password[defaults to SSH password]:
      192.168.111.48 | SUCCESS => {
      "cache_update_time": 1592657315,
      "cache_updated": false,
      "changed": false
      }
      eric@aldebaran:~/Ansible$

Utilisation des playbooks de ansible:

Lancer les commandes en ligne de commandes n'est pas très pratique: ansible permet l'utilisation de fichiers appelés playbooks au format yaml qui décrivent toutes les actions à effectuer. Il suffit de jouer ces playbooks pour lancer toutes les commandes qui s'y trouvent.

Il est également possible d'organiser les playbooks en roles, et donc, de créer des playbooks plus courts et lisibles. Continuons à voir les étapes suivantes avant de créer les playbooks correspondants.

Sécurisation de ssh

Voir le lien suivant: Le blog de Guillaume. Nous ajouterons une deuxième étape de sécurisation avec "OTP", "one time password". Il y aura donc l'authentification par clef de SSH, avec sa phrase de passe, plus un mot de passe à usage unique généré par l'application OTP installée sur un autre poste, smartphone ou tablette.

Nous allons aussi appliquer les recommandations de Mozilla concernant les algorithmes à utiliser. Voir ici: Mozilla SSH recommandations

Opérations à effectuer sur le poste principal

Nous générons notre paire de clefs pour l'authentification par clefs sur votre poste principal (si vous n'avez pas encore de jeu de clefs). Opération à effectuer sur votre poste principal. Comme nous gérons nous-mêmes nos postes et serveurs, nous allons utiliser des algorithmes modernes pour générer les clefs SSH: article sur Tutox.

Au lieu d'utiliser la même clef SSH sur tous nos serveurs, nous allons générer une clef distincte pour chaque serveur et rajouter la configuration spécifique à chaque serveur (adresse, port de connexion,n utilisateur etc ...dans le fichier de configuration du client SSH. J'envisage aussi l'utilisation de certificats SSH qui évitent de copier ses clefs publiques SSH sur tous les serveurs.

Nous allons implémenter tout ça de manière incrémentale, pour savoir ce que nous faisons, et pouvoir rectifier si quelque chose foire :( .

Voilà donc la structure de notre gestion des clefs SSH:

ssh-keygen

Il vous faut copier maintenant la clef sur le serveur:

ssh-copy-id -i ~/.ssh/id_rsa.pub ericadmin@192.168.111.23

ou

ssh-copy-id ericadmin@192.168.111.23

N'oubliez pas de mettre vos identifiants propres, bien sûr.

On teste comme le recommande ssh:

eric@aldebaran:~$ ssh 'ericadmin@91.121.72.10'
Linux adara 4.9.103-xxxx-std-ipv6-64 #222672 SMP Mon Jun 4 15:16:03 UTC 2018 x86_64

  Debian GNU/Linux 9 (stretch)
  Linux adara.yojik.eu 4.9.103-xxxx-std-ipv6-64 #222672 SMP Mon Jun 4 15:16:03 UTC 2018 x86_64 GNU/Linux

  Server    : 141519
  IPv4      : 91.121.72.10
  IPv6      : 2001:41d0:1:7d0a::1
  Hostname  : adara.yojik.eu

Last login: Sun Jun 24 15:08:32 2018 from 82.64.48.5

Et on teste qu'on peut passer super-utilisateur à partir de ce compte.

ericadmin@adara:~$ su
Mot de passe :
root@adara:/home/ericadmin#

Opérations à effectuer sur le serveur en mode super-utilisateur.

La configuration se fait dans le fichier /etc/ssh/sshd_config, fichier qu'il va falloir éditer avec vim pas exemple.

Nous allons d'abord en faire une copie de sauvegarde:

cp /etc/ssh/sshd_config /etc/ssh/sshd_config.orig

vim /etc/ssh/sshd_config

Nous n'allons autoriser que la connexion d'un user d'administration (pas de connexion de root par exemple), activer l'authentification par clefs, et supprimer l'authentification par login/mot de passe (en mode ssh). Vous pourrez toujours vous connecter avec le couple login/mot de passe si vous avez un accès physique à votre serveur.

Nous garderons le port standard d'écoute (rien à changer dans le fichier), mais j'ai ajouté une note sur le changement de port (suggéré par Laurent). Je ne suis pas convaincu que le changement de port puisse diminuer la surface d'attaque du serveur, mais pourquoi pas, c'est un changement mineur:

Port 22

Nous interdisons la connexion par root:

PermitRootLogin no

Activation de l'authentification par clef (rien à changer dans le fichier):

PubkeyAuthentication yes

Nous ajoutons une liste d'utilisateurs autorisés à se connecter.

AllowUsers ericadmin

A la place de ericadmin mettez bien sûr le nom de l'utilisateur que vous avez entré pendant la phase d'installation.

Nous pouvons limiter le nombre de tentatives de connexion:

MaxAuthTries 1

Interdiction de la connexion par couple login/mot de passe:

PasswordAuthentication no

Désactivation de PAM

UsePAM no

Sauvegarde du fichier de configuration. (commande escape, suivie de ZZ pour vim)

Redémarrage du service ssh

systemctl restart sshd

Test de connexion

Sur votre ordinateur principal, dans un terminal, tapez:

ssh ericadmin@192.168.111.23

Vous devez être connectés (logués) sur le serveur.

Essayez avec l'utilisateur root:

ssh root@192.168.111.23

Cela doit échouer.

eric@aldebaran:~$ ssh 'ericadmin@192.168.111.23'
Last login: Sun Dec 17 16:37:40 2017 from 192.168.111.150
ericadmin@atom:~$

Voilà pour la première phase.

Note: Il est possible de changer le port d'écoute de SSH en changeant celui-ci dans le fichier de configuration **/etc/ssh/sshd_config:

Faites la modification suivante:

vim /etc/ssh/sshd_config

Port 2222

Et relancez sshd:

service sshd restart

Pour se connecter, utilsez la commande suivante:

ssh -p 2222 ericadmin@192.168.111.23

Sécurisation plus poussé de SSH

Les récentes attaques sur les méthodes de chiffrage imposent l'utilisation de clef de chiffrement plus évoluées. Les anciennes ont des failles.

Le site de Mozilla nous permet d'ajuster nos configurations et d'utiliser les meilleures méthodes de chiffrement actuelles.

Deuxième phase

Sécurisation des mots de passe

J'utilise un générateur de mots de passe pour le compte root et le compte ericadmin. Il y a pléthore de générateurs de mots de passe, certains à base d'utilitaires tout prêts, d'autres créés à l'aide commande unix standards.

Les 3 générateurs tout prêts les plus cités dans la documentation sont:

PWGEN
MAKPASSWD
PASSWORDMAKER

Pour l'installation, utilisez les commandes suivantes:

apt install pwgen
apt install makepasswd
apt install passwordmaker-cli

Exemples d'utilisation de ces programmes:

Utilisation de pwgen:

Pour obtenir de l'aide à l'utilisation de cet utilitaire, tapez: pwgen --help. Vous pouvez faire varier le niveau de sécurité ainsi que le nombre de mots de passe générés et la longueur des mots de passe.

eric@aldebaran:~$ pwgen
oow1Osho teM3chai Aim5shee Sheme1yo aiR6aem1 Vooxeiv0 Iabeenu1 kae7Xie5
oacei4aV Ohb8ceib zo0shu6F Dob2chie Roo5eeLa fee5Nooh Phi0suim OMeigh2w
nah2Ool5 Saix6lie EeNaem5u ooVoh3ki IN5aeF9p CuHu8Aib vaim2Jia chah0Ier
ShieC6ze Teex4tie mei6ou7I Ath6aiFe uw4quoHa lad8Quee ohQuai9Y Sho5Eem6
aoCaol3W ooGah9th bix6Aic9 thee1Coo lie0ahTe eiz0iiSh cieYu8Ie Ealu3chi
vaeYee6c ahje9aeJ Sheenee7 eesh1Iez Odaa6kah aico6Jah aphahP4U aYePh1ev
phohNie8 Chuut3ie eeb9ieDa ohp9AhGi efae5ooV Shiere5c ahV8riek Seegohv1
Eetohy1a Lievoh0k jox3uf6K chai3Woo iecoh0Iu ieGh9tuz UMeex2ah Eathaur8
Ood2oeho paeSah0p jaihoo1U eemoi9Ee ile1So4z OongeiN6 aaY9iuch ew3Iemoo
Iech0Eey OoMie0ah OhBei1ae Ohsh4aik jah0faiT ioW7oz6t yee1Uphu ies4eeNa
pooP8eeg iePoh4ya fooL3uqu ieGiej1X Ein7eifu ool7Olae eub5ooSe eyo8EiNu
ach9ohWo Foog9Oev aej9geiH Thahg6Di eegei4Ai eN7quu3b waiK2ieg foThe7zi
fu2Phoug iYaeg4if iLu6eeFi Aeshoo0i uxoGh6no id1TeRei diob7Pha vokuuN7h
Chokei8J Iemee8ah eingei0E ubieh2Ch daiyu3EB QueiQu6H Jib0uwee wi9Xoodu
eeL3osh2 Eo3Ae1ch bieWui2a ro6chiCo engu0ooF Eebeu2jo ee7Eey8t EiSeen5i
ohNgai6i Iutaez4a xah1yeeG eGhi5Ouz vaiYu6ee fae0AeP5 jee0Ib2I OS3xuwae
Eefohp1u eegiK6ae ohyuom7V Eij8eeNi Ou0ec7ye Eethoh4e eeHi2ugh ichoLae3
UT8oopoo oox6Ohx9 ohbaL2hu oht9kaiR Ieho8Ou1 Ten6saet cae7Iexi daDuas9e
ShiexaT7 Lei6etii ea4aoH8y ja8Zai8g phaeG6Hi sheNg8ee Oow5phae aa7gohPi
nahS8Eeg ba6Roh9j ooRo6epo pheNoam1 johF7ii9 vuZ4Latu xai5og6H aeS8hu2I
eric@aldebaran:~$

Vous pouvez prendre le mot de passe que vous voulez dans le tableau généré. Pour un seul mot de passe:

eric@aldebaran:~$ pwgen -1
Eerai4Sh

Pour un mot de passe mieux sécurisé:

eric@aldebaran:~$ pwgen -1 -s
tx2CqGyf

Encore plus sécurisé avec l'option -y:

eric@aldebaran:~$ pwgen -1 -s -y
a+01K!U~

Utilisation de makepasswd:

Tapez: makepasswd --help pour de l'aide à l'utilisation des paramètres.

makepasswd --count 5 --minchars 10

Sécurisation du mot de passe super-utilisateur (root)

Utilisez un des utilitaires ci-dessus. Attention à la longueur minimale!

Sous le user “admin”, tapez: passwd pour changer le mot de passe admin.

Sécurisation du mot de passe administrateur

Utilisez un des utilitaires ci-dessus. Attention à la longueur minimale! Sous le user “root”, tapez: passwd pour changer le mot de passe root.

Test du hostname

La commande hostname nous indiquera le nom “court” de notre machine, et la commande hostname -f sa version longue avec le nom de domaine.

root@atom:/home/ericadmin# hostname
atom
root@atom:/home/ericadmin#

root@atom:/home/ericadmin# hostname -f
atom.yojik.net
root@atom:/home/ericadmin#

Le résultat est bon.