Главная Обзор Помощь
Вход
eric
/
Yojik.net
1
0
Ответвить 0
Файлы Задачи 0 Запросы на слияние 0 Вики
Дерево: 262858b3c5
Ветки Метки
Yojik.net
/
site
/
Tutoriels
/
tutoraspi
/
Sécurisation-SSH
/
index.html

index.html 38 KB
История Исходник

123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646566676869707172737475767778798081828384858687888990919293949596979899100101102103104105106107108109110111112113114115116117118119120121122123124125126127128129130131132133134135136137138139140141142143144145146147148149150151152153154155156157158159160161162163164165166167168169170171172173174175176177178179180181182183184185186187188189190191192193194195196197198199200201202203204205206207208209210211212213214215216217218219220221222223224225226227228229230231232233234235236237238239240241242243244245246247248249250251252253254255256257258259260261262263264265266267268269270271272273274275276277278279280281282283284285286287288289290291292293294295296297298299300301302303304305306307308309310311312313314315316317318319320321322323324325326327328329330331332333334335336337338339340341342343344345346347348349350351352353354355356357358359360361362363364365366367368369370371372373374375376377378379380381382383384385386387388389390391392393394395396397398399400401402403404405406407408409410411412413414415416417418419420421422423424425426427428429430431432433434435436437438439440441442443444445446447448449450451452453454455456457458459460461462463464465466467468469470471472473474475476477478479480481482483484485486487488489490491492493494495496497498499500501502503504505506507508509510511512513514515516517518519520521522523524525526527528529530531532533534535536537538539540541542543544545546547548549550551552553554555556557558559560561562563564565566567568569570571572573574575576577578579580581582583584585586587588589590591592593594595596597598599600601602603604605606607608609610611612613614615616617618619620621622623624625626627628629630631632633634635636637638639640641642643644645646647648649650651652653654655656657658659660661662663664665666667668669670671672673674675676677678679680681682683684685686687688689690691692693694695696697698699700701702703704705706707708709710711712713714715716717718719720721722723724725726727728729730731732733734735736737738739740741742743744745746747748749750751752753754755756757758759760761762763764765766767768769770771772773774775776777778779780781782783784785786787788789790791792793794795796797798799800801802803804805806807808809810811812813814815816817818819820821822823824825826827828829830831832833834835836837838839840841842843844845846847848849850851852853854855856857858859860861862863864865866867868869870871872873874875876877878879880881882883884885886887888889890891892893894895896897898899900901902903904905906907908 
  1. <!DOCTYPE html>
    2. 

  2. <!--[if IE 8]><html class="no-js lt-ie9" lang="en" > <![endif]-->
    3. 

  3. <!--[if gt IE 8]><!--> <html class="no-js" lang="en" > <!--<![endif]-->
    4. 

  4. <head>
    5. 

  5.   <meta charset="utf-8">
    6. 

  6.   <meta http-equiv="X-UA-Compatible" content="IE=edge">
    7. 

  7.   <meta name="viewport" content="width=device-width, initial-scale=1.0">
    8. 

  8.   
    9. 

  9.   
    10. 

  10.   
    11. 

  11.   <link rel="shortcut icon" href="../../../img/favicon.ico">
    12. 

  12.   <title>Sécurisation SSH - Les Tutoriels du Yojik</title>
    13. 

  13.   <link rel="stylesheet" href="../../../css/theme.css" />
    14. 

  14.   <link rel="stylesheet" href="../../../css/theme_extra.css" />
    15. 

  15.   <link rel="stylesheet" href="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/9.12.0/styles/github.min.css" />
    16. 

  16.   
    17. 

  17.   <script>
    18. 

  18.     // Current page data
    19. 

  19.     var mkdocs_page_name = "S\u00e9curisation SSH";
    20. 

  20.     var mkdocs_page_input_path = "Tutoriels/tutoraspi/S\u00e9curisation-SSH.md";
    21. 

  21.     var mkdocs_page_url = null;
    22. 

  22.   </script>
    23. 

  23.   
    24. 

  24.   <script src="../../../js/jquery-2.1.1.min.js" defer></script>
    25. 

  25.   <script src="../../../js/modernizr-2.8.3.min.js" defer></script>
    26. 

  26.   <script src="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/9.12.0/highlight.min.js"></script>
    27. 

  27.   <script>hljs.initHighlightingOnLoad();</script> 
    28. 

  28.   
    29. 

  29. </head>
    30. 

  30. 

  31. <body class="wy-body-for-nav" role="document">
    32. 

  32. 

  33.   <div class="wy-grid-for-nav">
    34. 

  34. 

  35.     
    36. 

  36.     <nav data-toggle="wy-nav-shift" class="wy-nav-side stickynav">
    37. 

  37.     <div class="wy-side-scroll">
    38. 

  38.       <div class="wy-side-nav-search">
    39. 

  39.         <a href="../../.." class="icon icon-home"> Les Tutoriels du Yojik</a>
    40. 

  40.         <div role="search">
    41. 

  41.   <form id ="rtd-search-form" class="wy-form" action="../../../search.html" method="get">
    42. 

  42.     <input type="text" name="q" placeholder="Search docs" title="Type search term here" />
    43. 

  43.   </form>
    44. 

  44. </div>
    45. 

  45.       </div>
    46. 

  46. 

  47.       <div class="wy-menu wy-menu-vertical" data-spy="affix" role="navigation" aria-label="main navigation">
    48. 

  48.                 <p class="caption"><span class="caption-text">Home</span></p>
    49. 

  49.                 <ul>
    50. 

  50.                     <li class="toctree-l1"><a class="reference internal" href="../../..">Page d'accueil</a>
    51. 

  51.                     </li>
    52. 

  52.                 </ul>
    53. 

  53.                 <p class="caption"><span class="caption-text">Tutoriels</span></p>
    54. 

  54.                 <ul class="current">
    55. 

  55.                     <li class="toctree-l1"><a class="reference internal" href="../../tutos/">Introduction</a>
    56. 

  56.                     </li>
    57. 

  57.                     <li class="toctree-l1"><a class="reference internal" href="#">Installation d'un serveur sécurisé, version Debian/Stretch (obsolète)</a>
    58. 

  58.     <ul>
    59. 

  59.                 <li class="toctree-l2"><a class="reference internal" href="../../tutostretch/tutostretch/">Présentation</a>
    60. 

  60.                 </li>
    61. 

  61.                 <li class="toctree-l2"><a class="reference internal" href="#">Installation</a>
    62. 

  62.     <ul>
    63. 

  63.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-de-base/">Installation du système de base</a>
    64. 

  64.                 </li>
    65. 

  65.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/ovh/">Démarrage sur serveur OVH</a>
    66. 

  66.                 </li>
    67. 

  67.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Premi%C3%A8re-Etape-S%C3%A9curisation/">Première étapes de sécurisation du serveur</a>
    68. 

  68.                 </li>
    69. 

  69.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Configuration-R%C3%A9seau/">Configuration du réseau</a>
    70. 

  70.                 </li>
    71. 

  71.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Serveur-Temps/">Installation d'un serveur de temps</a>
    72. 

  72.                 </li>
    73. 

  73.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Parre-Feu/">Installation d'un pare-feu</a>
    74. 

  74.                 </li>
    75. 

  75.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Fail2ban/">Contrer les attaques de brute-force avec fail2ban</a>
    76. 

  76.                 </li>
    77. 

  77.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Serveur-Courrier-Basique/">Installation d'un serveur de courrier basique</a>
    78. 

  78.                 </li>
    79. 

  79.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Serveur-DNS/">Installation du serveur DNS</a>
    80. 

  80.                 </li>
    81. 

  81.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Serveur-Web/">Installation d'un serveur web</a>
    82. 

  82.                 </li>
    83. 

  83.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Dovecot-Authentification/">Installation de dovecot et de l'authentification</a>
    84. 

  84.                 </li>
    85. 

  85.                 <li class="toctree-l3"><a class="" href="../../tutostretch/Installation-Certificats-Letsencrypt.md)">Installation des certificats letsencrypt</a>
    86. 

  86.                 </li>
    87. 

  87.                 <li class="toctree-l3"><a class="" href="../../tutostretch/courrier-SPF-DKIM-OPENDMARC.md">Ajout des enregistrements **spf**, **DKIM**, **DMARC** au fichier de zone DNS</a>
    88. 

  88.                 </li>
    89. 

  89.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Courrier-Comptes-Virtuels/">Ajout des comptes émail virtuels</a>
    90. 

  90.                 </li>
    91. 

  91.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Surveillance-Serveur/">Installation de programmes de surveillance du serveur</a>
    92. 

  92.                 </li>
    93. 

  93.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Webmail/">Installation d'un webmail (rainloop)</a>
    94. 

  94.                 </li>
    95. 

  95.                 <li class="toctree-l3"><a class="" href="../../tutostretch/Sécurisation-Serveur-Web">Sécurisation d'un serveur WEB</a>
    96. 

  96.                 </li>
    97. 

  97.     </ul>
    98. 

  98.                 </li>
    99. 

  99.     </ul>
    100. 

  100.                     </li>
    101. 

  101.                     <li class="toctree-l1"><a class="reference internal" href="#">Installation d'un serveur sécurisé, version Debian/Buster (en cours d'écriture)</a>
    102. 

  102.     <ul>
    103. 

  103.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/1-tutobuster/">Présentation</a>
    104. 

  104.                 </li>
    105. 

  105.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/2-Installation-de-base/">Installation de base</a>
    106. 

  106.                 </li>
    107. 

  107.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/3-ovh/">Démarrage sur serveur OVH</a>
    108. 

  108.                 </li>
    109. 

  109.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/4-Plan/">Plan d'ensemble</a>
    110. 

  110.                 </li>
    111. 

  111.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/5-Premi%C3%A8re-Etape-S%C3%A9curisation/">Premières étapes de sécurisation du serveur</a>
    112. 

  112.                 </li>
    113. 

  113.     </ul>
    114. 

  114.                     </li>
    115. 

  115.                     <li class="toctree-l1 current"><a class="reference internal current" href="#">Installation d'un serveur sécurisé, version Debian/Buster sur RaspberryPI</a>
    116. 

  116.     <ul class="current">
    117. 

  117.                 <li class="toctree-l2"><a class="reference internal" href="../R%C3%A9sum%C3%A9/">Résumé</a>
    118. 

  118.                 </li>
    119. 

  119.                 <li class="toctree-l2"><a class="reference internal" href="../tutoraspi/">Présentation</a>
    120. 

  120.                 </li>
    121. 

  121.                 <li class="toctree-l2"><a class="reference internal" href="../Installation-de-base/">Installation de base</a>
    122. 

  122.                 </li>
    123. 

  123.                 <li class="toctree-l2"><a class="reference internal" href="../Premier-d%C3%A9marrage/">Premier démarrage</a>
    124. 

  124.                 </li>
    125. 

  125.                 <li class="toctree-l2"><a class="reference internal" href="../Etat-des-lieux/">État des lieux</a>
    126. 

  126.                 </li>
    127. 

  127.                 <li class="toctree-l2 current"><a class="reference internal current" href="./">Sécurisation SSH</a>
    128. 

  128.     <ul class="current">
    129. 

  129.     <li class="toctree-l3"><a class="reference internal" href="#references">Références</a>
    130. 

  130.     </li>
    131. 

  131.     <li class="toctree-l3"><a class="reference internal" href="#creation-dune-clef-personnalisee">Création d'une clef personnalisée</a>
    132. 

  132.         <ul>
    133. 

  133.     <li class="toctree-l4"><a class="reference internal" href="#test-du-hostname-sur-notre-raspi">Test du hostname (sur notre raspi)</a>
    134. 

  134.     </li>
    135. 

  135.     <li class="toctree-l4"><a class="reference internal" href="#creation-de-notre-clef-personnalisee-sur-le-desktop-pas-sur-le-raspi">Création de notre clef personnalisée (sur le desktop, pas sur le raspi!)</a>
    136. 

  136.     </li>
    137. 

  137.     <li class="toctree-l4"><a class="reference internal" href="#copie-de-la-clef-sur-le-serveur">Copie de la clef sur le serveur</a>
    138. 

  138.     </li>
    139. 

  139.     <li class="toctree-l4"><a class="reference internal" href="#essai-de-connexion-avec-notre-nouvelle-clef">Essai de connexion avec notre nouvelle clef</a>
    140. 

  140.     </li>
    141. 

  141.     <li class="toctree-l4"><a class="reference internal" href="#configuration-de-ssh-sur-la-machine-de-travail">Configuration de ssh sur la machine de travail</a>
    142. 

  142.     </li>
    143. 

  143.     <li class="toctree-l4"><a class="reference internal" href="#test-de-connexion">Test de connexion</a>
    144. 

  144.     </li>
    145. 

  145.     <li class="toctree-l4"><a class="reference internal" href="#amelioration">Amélioration</a>
    146. 

  146.     </li>
    147. 

  147.     <li class="toctree-l4"><a class="reference internal" href="#modification-du-fichier-etcsshsshd_config">Modification du fichier /etc/ssh/sshd_config</a>
    148. 

  148.     </li>
    149. 

  149.     <li class="toctree-l4"><a class="reference internal" href="#test-sur-le-site-ssh-audit">Test sur le site ssh audit</a>
    150. 

  150.     </li>
    151. 

  151.         </ul>
    152. 

  152.     </li>
    153. 

  153.     </ul>
    154. 

  154.                 </li>
    155. 

  155.                 <li class="toctree-l2"><a class="reference internal" href="../R%C3%A9seau/">Réseau (des IPs fixes)</a>
    156. 

  156.                 </li>
    157. 

  157.                 <li class="toctree-l2"><a class="reference internal" href="../Knot/">Installation de Knot-resolver</a>
    158. 

  158.                 </li>
    159. 

  159.                 <li class="toctree-l2"><a class="reference internal" href="../Firewall/">Installation d'un pare-feux</a>
    160. 

  160.                 </li>
    161. 

  161.                 <li class="toctree-l2"><a class="reference internal" href="../Fail2ban/">Contrer les attaques de force brute</a>
    162. 

  162.                 </li>
    163. 

  163.                 <li class="toctree-l2"><a class="reference internal" href="../Logwatch/">Surveillance du serveur</a>
    164. 

  164.                 </li>
    165. 

  165.                 <li class="toctree-l2"><a class="reference internal" href="../Installation-courrier-basique/">Installation d'un serveur de courriers basique</a>
    166. 

  166.                 </li>
    167. 

  167.                 <li class="toctree-l2"><a class="reference internal" href="../Exemple-d-utilisation-serveur-Web/">Exemple d'utilisation avec un serveur Web</a>
    168. 

  168.                 </li>
    169. 

  169.                 <li class="toctree-l2"><a class="reference internal" href="../Annexe/">Annexe</a>
    170. 

  170.                 </li>
    171. 

  171.     </ul>
    172. 

  172.                     </li>
    173. 

  173.                     <li class="toctree-l1"><a class="reference internal" href="#">Domotique</a>
    174. 

  174.     <ul>
    175. 

  175.                 <li class="toctree-l2"><a class="reference internal" href="../../Domotique/Introduction/">Introduction</a>
    176. 

  176.                 </li>
    177. 

  177.                 <li class="toctree-l2"><a class="reference internal" href="../../Domotique/Le-mat%C3%A9riel/">Le matériel</a>
    178. 

  178.                 </li>
    179. 

  179.     </ul>
    180. 

  180.                     </li>
    181. 

  181.                 </ul>
    182. 

  182.       </div>
    183. 

  183.     </div>
    184. 

  184.     </nav>
    185. 

  185. 

  186.     <section data-toggle="wy-nav-shift" class="wy-nav-content-wrap">
    187. 

  187. 

  188.       
    189. 

  189.       <nav class="wy-nav-top" role="navigation" aria-label="top navigation">
    190. 

  190.         <i data-toggle="wy-nav-top" class="fa fa-bars"></i>
    191. 

  191.         <a href="../../..">Les Tutoriels du Yojik</a>
    192. 

  192.       </nav>
    193. 

  193. 

  194.       
    195. 

  195.       <div class="wy-nav-content">
    196. 

  196.         <div class="rst-content">
    197. 

  197.           <div role="navigation" aria-label="breadcrumbs navigation">
    198. 

  198.   <ul class="wy-breadcrumbs">
    199. 

  199.     <li><a href="../../..">Docs</a> &raquo;</li>
    200. 

  200.     
    201. 

  201.       
    202. 

  202.         
    203. 

  203.           <li>Installation d'un serveur sécurisé, version Debian/Buster sur RaspberryPI &raquo;</li>
    204. 

  204.         
    205. 

  205.       
    206. 

  206.         
    207. 

  207.           <li>Tutoriels &raquo;</li>
    208. 

  208.         
    209. 

  209.       
    210. 

  210.     
    211. 

  211.     <li>Sécurisation SSH</li>
    212. 

  212.     <li class="wy-breadcrumbs-aside">
    213. 

  213.       
    214. 

  214.     </li>
    215. 

  215.   </ul>
    216. 

  216.   
    217. 

  217.   <hr/>
    218. 

  218. </div>
    219. 

  219.           <div role="main">
    220. 

  220.             <div class="section">
    221. 

  221.               
    222. 

  222.                 <h1 id="securisation-ssh">Sécurisation SSH</h1>
    223. 

  223. <p>Je vais baser cette partie sur plusieurs tutoriels auxquels vous voudrez bien vous référer pour avoir des explications plus poussées que celles que je vais donner.</p>
    224. 

  224. <h2 id="references">Références</h2>
    225. 

  225. <ul>
    226. 

  226. <li><a href="https://www.tronyxworld.be/2020/hardening_ssh/">Sécuriser OpenSSH</a></li>
    227. 

  227. <li><a href="https://blog.syntik.fr/comment-tester-securiser-serveur-ssh/">SSH - Comment tester et sécuriser son serveur ?</a></li>
    228. 

  228. <li><a href="https://www.cyberciti.biz/faq/create-ssh-config-file-on-linux-unix/">OpenSSH Config File Examples</a></li>
    229. 

  229. </ul>
    230. 

  230. <p>Vous pouvez trouver plein d'autres références en français ou anglais en utilisant votre moteur de recherche préféré.</p>
    231. 

  231. <h2 id="creation-dune-clef-personnalisee">Création d'une clef personnalisée</h2>
    232. 

  232. <p>Nous allons créer une clef spécifique à notre mini serveur.</p>
    233. 

  233. <p>Auparavant, nous allons vérifier le <strong>hostname</strong> de notre machine. Si vous l'avez configuré avec <strong>raspi-config</strong>, il y a de grandes chances que le résultat ne soit pas bon.</p>
    234. 

  234. <p>Sous Debian, le <strong>hostname</strong> est composé de 2 parties situées dans 2 fichiers différents.</p>
    235. 

  235. <ul>
    236. 

  236. <li>/etc/hosts (contient le nom complet, FQDN)</li>
    237. 

  237. <li>/etc/hostname (ne contient que le petit nom de la machine, sans le domaine)</li>
    238. 

  238. </ul>
    239. 

  239. <h3 id="test-du-hostname-sur-notre-raspi">Test du hostname (sur notre raspi)</h3>
    240. 

  240. <pre><code>pi@piras:~ $ hostname -f
    241. 

  241. piras.yojik.net
    242. 

  242. pi@piras:~ $ hostname
    243. 

  243. piras
    244. 

  244. pi@piras:~ $
    245. 

  245. </code></pre>
    246. 

  246. <p>Le fichier /etc/hostname ne doit contenir que le nom de la machine, pas le domaine : ici, piras, et c'est ce que renvoie la commande <strong>hostname</strong>.</p>
    247. 

  247. <pre><code>pi@piras:~ $ cat /etc/hostname
    248. 

  248. piras
    249. 

  249. pi@piras:~ $
    250. 

  250. </code></pre>
    251. 

  251. <p><strong>hostname -f</strong> renvoie le "fqdn", ou nom complet de la machine, ici, piras.yojik.net.</p>
    252. 

  252. <p>La référence complète du nom se trouve dans le fichier /etc/hosts.</p>
    253. 

  253. <pre><code>pi@piras:~ $ cat /etc/hosts
    254. 

  254. 127.0.0.1    localhost
    255. 

  255. ::1          localhost ip6-localhost ip6-loopback
    256. 

  256. ff02::1      ip6-allnodes
    257. 

  257. ff02::2      ip6-allrouters
    258. 

  258. 

  259. 127.0.1.1    piras.yojik.net piras
    260. 

  260. pi@piras:~ $
    261. 

  261. </code></pre>
    262. 

  262. <p>Pour l'instant, c'est l'adresse 127.0.1.1 qui est utilisée comme référence du nom, mais nous changerons ça dès que nous aurons configuré une adresse IPV4 et IPV6 fixe.</p>
    263. 

  263. <h3 id="creation-de-notre-clef-personnalisee-sur-le-desktop-pas-sur-le-raspi">Création de notre clef personnalisée (sur le desktop, pas sur le raspi!)</h3>
    264. 

  264. <p>Nous utiliserons la commande :</p>
    265. 

  265. <pre><code>sh-keygen -o -a 100 -t ed25519 -f ~/.ssh/piras_ed25519 -C "clef SSH de l'utilisateur pi du Raspi"
    266. 

  266. </code></pre>
    267. 

  267. <ul>
    268. 

  268. <li>-o : Sauvegarde votre clé dans le nouveau format openssh au lieu de l’ancien format PEM</li>
    269. 

  269. <li>-C : insertion d'un commentaire (ce que vous voulez, votre adresse émail ...).</li>
    270. 

  270. <li>-f : nom du fichier à produire</li>
    271. 

  271. <li>-a : le nombre de tours de la clef de dérivation (plus il est élevé, plus il est difficile de la craquer en force brute, mais aussi plus c'est lent)  <pre><code>eric@aldebaran:~$ ssh-keygen -o -a 100 -t ed25519 -f ~/.ssh/piras_ed25519 -C "eric@yojik.eu"
    272. 

  272. Generating public/private ed25519 key pair.
    273. 

  273. Enter passphrase (empty for no passphrase):
    274. 

  274. Enter same passphrase again:
    275. 

  275. Your identification has been saved in /home/eric/.ssh/piras_ed25519
    276. 

  276. Your public key has been saved in /home/eric/.ssh/piras_ed25519.pub
    277. 

  277. The key fingerprint is:
    278. 

  278. SHA256:yyDsyczL9W1QTTn9d5o0hwZ5A0bdMnCJgK9cniCeR0c eric@yojik.eu
    279. 

  279. The key's randomart image is:
    280. 

  280. +--[ED25519 256]--+
    281. 

  281. |         ..o=O.o |
    282. 

  282. |        . E.B.O .|
    283. 

  283. |         o o + * |
    284. 

  284. |   .  . o = . = =|
    285. 

  285. |    o..=SB . o =o|
    286. 

  286. |   = ooo=.o   o  |
    287. 

  287. |    * ..o.       |
    288. 

  288. |   . o . ..      |
    289. 

  289. |    o   ...      |
    290. 

  290. +----[SHA256]-----+
    291. 

  291. </code></pre>
    292. 

  292. </li>
    293. 

  293. </ul>
    294. 

  294. <p>Si vous allez dans ./.ssh, vous trouverez ceci :</p>
    295. 

  295. <pre><code>eric@aldebaran:~/.ssh$ ls -l
    296. 

  296. total 44
    297. 

  297. -rw------- 1 eric eric  751  7 avril  2011 id_dsa
    298. 

  298. -rw-r--r-- 1 eric eric  604  7 avril  2011 id_dsa.pub
    299. 

  299. -rw------- 1 eric eric 1766  1 avril  2013 id_rsa
    300. 

  300. -rw-r--r-- 1 eric eric  396  1 avril  2013 id_rsa.pub
    301. 

  301. -rw-r--r-- 1 eric eric 3728 29 nov.  12:20 known_hosts
    302. 

  302. -rw------- 1 eric eric  444 11 déc.  18:17 piras_ed25519
    303. 

  303. -rw-r--r-- 1 eric eric   95 11 déc.  18:17 piras_ed25519.pub
    304. 

  304. eric@aldebaran:~/.ssh$
    305. 

  305. </code></pre>
    306. 

  306. <p>Nous voyons les clefs privées et publiques que nous avons créées. (ainsi que d'anciennes clefs ...) Vérifiez les permissions, mais normalement les commandes ci-dessus les attribuent comme attendu (voir plus bas).</p>
    307. 

  307. <h3 id="copie-de-la-clef-sur-le-serveur">Copie de la clef sur le serveur</h3>
    308. 

  308. <p>Nous utiliserons la commande : <strong>ssh-copy-id</strong></p>
    309. 

  309. <pre><code>eric@aldebaran:~$ ssh-copy-id -i ~/.ssh/piras_ed25519.pub pi@192.168.111.32
    310. 

  310. /usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/home/eric/.ssh/piras_ed25519.pub"
    311. 

  311. /usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
    312. 

  312. /usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
    313. 

  313. pi@192.168.111.32's password:
    314. 

  314. 

  315. Number of key(s) added: 1
    316. 

  316. 

  317. Now try logging into the machine, with:   "ssh 'pi@192.168.111.32'"
    318. 

  318. and check to make sure that only the key(s) you wanted were added.
    319. 

  319. 

  320. eric@aldebaran:~$
    321. 

  321. </code></pre>
    322. 

  322. <p>Vérifions la présence de notre clef sur notre raspi, dans le fichier authorized_keys :</p>
    323. 

  323. <pre><code>pi@piras:~/.ssh $ cat authorized_keys 
    324. 

  324. ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIAdDDO3ni4DHIxqfRaNZ4SBudrSlRoQjLm/fd2SSjxtM eric@yojik.eu
    325. 

  325. pi@piras:~/.ssh $
    326. 

  326. </code></pre>
    327. 

  327. <p>C'est bon, elle est là !</p>
    328. 

  328. <h3 id="essai-de-connexion-avec-notre-nouvelle-clef">Essai de connexion avec notre nouvelle clef</h3>
    329. 

  329. <pre><code>eric@aldebaran:~$ ssh -i ~/.ssh/piras_ed25519 'pi@192.168.111.32'
    330. 

  330. Linux piras 5.4.51+ #1333 Mon Aug 10 16:38:02 BST 2020 armv6l
    331. 

  331. 

  332. The programs included with the Debian GNU/Linux system are free software;
    333. 

  333. the exact distribution terms for each program are described in the
    334. 

  334. individual files in /usr/share/doc/*/copyright.
    335. 

  335. 

  336. Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
    337. 

  337. permitted by applicable law.
    338. 

  338. Last login: Fri Dec 11 18:46:55 2020 from 192.168.111.150
    339. 

  339. pi@piras:~ $
    340. 

  340. </code></pre>
    341. 

  341. <p>ça marche ... j'ai précisé la clef <strong>SSH</strong> à utiliser avec l'option <strong>-i nom_de_la_clef</strong>.</p>
    342. 

  342. <h3 id="configuration-de-ssh-sur-la-machine-de-travail">Configuration de ssh sur la machine de travail</h3>
    343. 

  343. <p>Je possède plusieurs clefs qui sont spécifiques à certains serveurs (ceux dans ma cave, et ceux sur internet). Nous allons rajouter une configuration pour permettre la sélection automatique de la bonne clef pour chaque serveur.</p>
    344. 

  344. <p>Cela se fait dans le fichier ~/.ssh/config</p>
    345. 

  345. <p>Le schéma à utiliser est le suivant :</p>
    346. 

  346. <pre><code>eric@aldebaran:~$ cat ./.ssh/config
    347. 

  347. Host piras piras.yojik.net
    348. 

  348.     HostName 192.168.111.32
    349. 

  349.     IdentityFile ~/.ssh/piras_ed25519
    350. 

  350.     User pi
    351. 

  351. 

  352. Host adara adara.yojik.eu
    353. 

  353.     HostName adara.yojik.eu
    354. 

  354.     IdentityFile ~/.ssh/id_rsa
    355. 

  355.     User ericadmin
    356. 

  356. 

  357. eric@aldebaran:~$
    358. 

  358. </code></pre>
    359. 

  359. <p>Cela me permet de me connecter avec la commande :</p>
    360. 

  360. <pre><code>ssh piras
    361. 

  361. </code></pre>
    362. 

  362. <p>Voilà à quoi ressemble mon répertoire <strong>~/.ssh</strong> :</p>
    363. 

  363. <pre><code>eric@aldebaran:~$ tree .ssh
    364. 

  364. .ssh
    365. 

  365. ├── adara
    366. 

  366. │   ├── adara_ed25519
    367. 

  367. │   └── adara_ed25519.pub
    368. 

  368. ├── aijan
    369. 

  369. │   ├── aijan_ed25519
    370. 

  370. │   └── aijan_ed25519.pub
    371. 

  371. ├── alya
    372. 

  372. │   ├── alya_ed25519
    373. 

  373. │   └── alya_ed25519.pub
    374. 

  374. ├── atom
    375. 

  375. │   ├── atom_ed25519
    376. 

  376. │   └── atom_ed25519.pub
    377. 

  377. ├── config
    378. 

  378. ├── id_dsa
    379. 

  379. ├── id_dsa.pub
    380. 

  380. ├── id_ed25519
    381. 

  381. ├── id_ed25519.pub
    382. 

  382. ├── id_rsa
    383. 

  383. ├── id_rsa.pub
    384. 

  384. ├── known_hosts
    385. 

  385. ├── mynas2
    386. 

  386. │   ├── mynas2_ed25519
    387. 

  387. │   └── mynas2_ed25519.pub
    388. 

  388. ├── mynas3
    389. 

  389. │   ├── mynas3_ed25519
    390. 

  390. │   └── mynas3_ed25519.pub
    391. 

  391. ├── ns1
    392. 

  392. │   ├── ns1_ed25519
    393. 

  393. │   └── ns1_ed25519.pub
    394. 

  394. ├── ns2
    395. 

  395. │   ├── ns2_ed25519
    396. 

  396. │   └── ns2_ed25519.pub
    397. 

  397. ├── piras
    398. 

  398. │   ├── piras_ed25519
    399. 

  399. │   └── piras_ed25519.pub
    400. 

  400. └── polis
    401. 

  401.     ├── polis_ed25519
    402. 

  402.     └── polis_ed25519.pub
    403. 

  403. </code></pre>
    404. 

  404. <p>J'ai mis l'adresse IP ; j'aurai pu mettre le nom FQDN du serveur, mais je le ferai une fois les adresses IP fixées.</p>
    405. 

  405. <p>Modifions les permissions pour qu'elles soient conformes à ce que demande SSH. (en fait, les bonnes permissions étaient déjà appliquées par la commande ssh-keygen). Si vous organisez votre structure de répertoires comme ci-dessus, ajustez les permissions comme ceci :</p>
    406. 

  406. <p>Si vous créez un répertoire nommé ~/.ssh/piras ajustez les droits du répertoire comme suit :</p>
    407. 

  407. <pre><code>chmod 700 ~/.ssh/piras
    408. 

  408. </code></pre>
    409. 

  409. <p>Et pour les clefs privées/publiques :</p>
    410. 

  410. <pre><code>chmod 600 ~/.ssh/config
    411. 

  411. chmod 600 ~/.ssh/piras/piras_ed25519
    412. 

  412. chmod 600 ~/.ssh/piras/piras_ed25519.pub
    413. 

  413. </code></pre>
    414. 

  414. <h3 id="test-de-connexion">Test de connexion</h3>
    415. 

  415. <pre><code>eric@aldebaran:~$ ssh piras
    416. 

  416. Linux piras 5.4.51+ #1333 Mon Aug 10 16:38:02 BST 2020 armv6l
    417. 

  417. 

  418. The programs included with the Debian GNU/Linux system are free software;
    419. 

  419. the exact distribution terms for each program are described in the
    420. 

  420. individual files in /usr/share/doc/*/copyright.
    421. 

  421. 

  422. Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
    423. 

  423. permitted by applicable law.
    424. 

  424. Last login: Fri Dec 11 18:49:37 2020 from 192.168.111.150
    425. 

  425. pi@piras:~ $
    426. 

  426. </code></pre>
    427. 

  427. <p>Ça marche ;)</p>
    428. 

  428. <h3 id="amelioration">Amélioration</h3>
    429. 

  429. <p>Nous allons modifier temporairement (et le re-modifierons une fois les adresses fixées) notre fichier /etc/hosts sur notre machine de travail pour pouvoir utiliser la méthode par nom plutôt que par adresse IP. Ajoutons la référence à notre raspi :</p>
    430. 

  430. <pre><code>eric@aldebaran:~$ cat /etc/hosts
    431. 

  431. 127.0.0.1    localhost
    432. 

  432. 127.0.1.1    aldebaran.yojik.net    aldebaran
    433. 

  433. 

  434. 192.168.111.32  piras.yojik.net piras
    435. 

  435. 

  436. # The following lines are desirable for IPv6 capable hosts
    437. 

  437. ::1     localhost ip6-localhost ip6-loopback
    438. 

  438. ff02::1 ip6-allnodes
    439. 

  439. ff02::2 ip6-allrouters
    440. 

  440. eric@aldebaran:~$
    441. 

  441. </code></pre>
    442. 

  442. <p>Modification de ./.ssh/config :</p>
    443. 

  443. <pre><code>eric@aldebaran:~$ cat ./.ssh/config
    444. 

  444. Host piras piras.yojik.net
    445. 

  445.     HostName piras.yojik.net
    446. 

  446.     IdentityFile ~/.ssh/piras_ed25519
    447. 

  447.     User pi
    448. 

  448. 

  449. Host adara adara.yojik.eu
    450. 

  450.     HostName adara.yojik.eu
    451. 

  451.     IdentityFile ~/.ssh/id_rsa
    452. 

  452.     User ericadmin
    453. 

  453. 

  454. eric@aldebaran:~$
    455. 

  455. </code></pre>
    456. 

  456. <p>Test :</p>
    457. 

  457. <pre><code>eric@aldebaran:~$ ssh piras
    458. 

  458. The authenticity of host 'piras.yojik.net (192.168.111.32)' can't be established.
    459. 

  459. ECDSA key fingerprint is SHA256:DjB1teyxsYAZzGBV8BIXiG5+UAb3JU5SHp7vu/xArG8.
    460. 

  460. Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
    461. 

  461. Warning: Permanently added 'piras.yojik.net' (ECDSA) to the list of known hosts.
    462. 

  462. Linux piras 5.4.51+ #1333 Mon Aug 10 16:38:02 BST 2020 armv6l
    463. 

  463. 

  464. The programs included with the Debian GNU/Linux system are free software;
    465. 

  465. the exact distribution terms for each program are described in the
    466. 

  466. individual files in /usr/share/doc/*/copyright.
    467. 

  467. 

  468. Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
    469. 

  469. permitted by applicable law.
    470. 

  470. Last login: Fri Dec 11 19:17:50 2020 from 192.168.111.150
    471. 

  471. pi@piras:~ $
    472. 

  472. </code></pre>
    473. 

  473. <p>L'adresse de notre raspi a été ajoutée au fichier ./.ssh/known_hosts</p>
    474. 

  474. <h3 id="modification-du-fichier-etcsshsshd_config">Modification du fichier /etc/ssh/sshd_config</h3>
    475. 

  475. <p>Nous allons modifier ce fichier pour plus de sécurité :</p>
    476. 

  476. <ul>
    477. 

  477. <li>pas de connexion de l'utilisateur root</li>
    478. 

  478. <li>connexion uniquement par clef (pas par login/mot de passe)</li>
    479. 

  479. <li>suppression du support des protocoles non sûrs</li>
    480. 

  480. <li>autorisation de connexion sur liste blanche</li>
    481. 

  481. <li>connexion en IPV4 et IPV6</li>
    482. 

  482. </ul>
    483. 

  483. <p>Tout d'abord, sauvegarde du répertoire <strong>/etc/ssh</strong> :</p>
    484. 

  484. <pre><code>pi@raspberrypi:/etc $ sudo cp -R ssh ssh.orig
    485. 

  485. pi@raspberrypi:/etc $
    486. 

  486. </code></pre>
    487. 

  487. <p>Ensuite, création du nouveau fichier (après installation de vim, mais vous pouvez prendre l'éditeur de votre choix, nano par exemple qui est installé par défaut):</p>
    488. 

  488. <blockquote>
    489. 

  489. <p>Pour installer vim, tapez : <strong>sudo apt install vim</strong></p>
    490. 

  490. </blockquote>
    491. 

  491. <p>Voilà une copie du fichier de conf du site <strong>troxyworld</strong> dont j'ai déjà donné les références :</p>
    492. 

  492. <pre><code># Interface &amp; Port
    493. 

  493. Port 61022
    494. 

  494. AddressFamily any
    495. 

  495. ListenAddress 0.0.0.0
    496. 

  496. ListenAddress ::
    497. 

  497. 

  498. HostKey /etc/ssh/ssh_host_ed25519_key
    499. 

  499. 

  500. Protocol 2
    501. 

  501. 

  502. SyslogFacility AUTHPRIV
    503. 

  503. LogLevel VERBOSE
    504. 

  504. 

  505. # Authentication restriction
    506. 

  506. LoginGraceTime 30s
    507. 

  507. PermitRootLogin no
    508. 

  508. StrictModes yes
    509. 

  509. MaxAuthTries 3
    510. 

  510. MaxSessions 5
    511. 

  511. 

  512. PubkeyAuthentication yes
    513. 

  513. AllowUsers hmichael
    514. 

  514. AuthorizedKeysFile  .ssh/authorized_keys .ssh/authorized_keys2
    515. 

  515. 

  516. HostbasedAuthentication no
    517. 

  517. IgnoreRhosts yes
    518. 

  518. 

  519. # To disable tunneled clear text passwords, change to no here!
    520. 

  520. PermitEmptyPasswords no
    521. 

  521. PasswordAuthentication no
    522. 

  522. 

  523. # Change to no to disable s/key passwords
    524. 

  524. ChallengeResponseAuthentication no
    525. 

  525. 

  526. UsePAM yes
    527. 

  527. 

  528. AllowAgentForwarding no
    529. 

  529. AllowTcpForwarding no
    530. 

  530. GatewayPorts no
    531. 

  531. X11Forwarding no
    532. 

  532. PermitTTY yes
    533. 

  533. PermitUserEnvironment no
    534. 

  534. PrintMotd no
    535. 

  535. PrintLastLog no
    536. 

  536. 

  537. #TCPKeepAlive yes
    538. 

  538. #PermitUserEnvironment no
    539. 

  539. #Compression delayed
    540. 

  540. #ClientAliveInterval 0
    541. 

  541. #ClientAliveCountMax 3
    542. 

  542. #ShowPatchLevel no
    543. 

  543. UseDNS yes
    544. 

  544. PidFile /var/run/sshd.pid
    545. 

  545. MaxStartups 10:30:100
    546. 

  546. PermitTunnel no
    547. 

  547. #ChrootDirectory none
    548. 

  548. VersionAddendum none
    549. 

  549. 

  550. # no default banner path
    551. 

  551. Banner none
    552. 

  552. 

  553. # Accept locale-related environment variables
    554. 

  554. AcceptEnv LANG LC_*
    555. 

  555. 

  556. # override default of no subsystems
    557. 

  557. Subsystem   sftp   /usr/libexec/openssh/sftp-server
    558. 

  558. </code></pre>
    559. 

  559. <p>Et voici une version par <strong>Synthic</strong>:</p>
    560. 

  560. <pre><code># Utilisation de la version 2 du protocole SSH
    561. 

  561. Protocol 2
    562. 

  562. # Utilisation du port 22. Il est possible de le modifier
    563. 

  563. Port 22
    564. 

  564. # Interdit à root de s'identifier
    565. 

  565. PermitRootLogin no
    566. 

  566. PermitEmptyPasswords no
    567. 

  567. # On indique ici la liste des utilisateurs ayant la permission d'utiliser SSH
    568. 

  568. AllowUsers utilisateur
    569. 

  569. # Nombre d'essais avant fermeture de la connexion
    570. 

  570. MaxAuthTries 3
    571. 

  571. UsePAM no
    572. 

  572. # Authentification par clés
    573. 

  573. PubkeyAuthentication yes
    574. 

  574. # Lieux où sont stockées les clés publiques --&gt; /home/user/.ssh/authorized_keys
    575. 

  575. AuthorizedKeysFile .ssh/authorized_keys
    576. 

  576. ChallengeResponseAuthentication yes
    577. 

  577. # Désactivation de l'authentification par mot de passe
    578. 

  578. PasswordAuthentication no
    579. 

  579. IgnoreRhosts yes
    580. 

  580. HostbasedAuthentication no
    581. 

  581. AcceptEnv LANG LC_*
    582. 

  582. Subsystem       sftp    /usr/lib/openssh/sftp-server
    583. 

  583. PrintMotd no
    584. 

  584. Ciphers aes256-ctr,aes192-ctr,aes128-ctr
    585. 

  585. X11Forwarding no
    586. 

  586. </code></pre>
    587. 

  587. <p>Voilà mon fichier de configuration, à adapter suivant vos préférences (surtout n'oubliez pas d'ajuster le <strong>user</strong> dans l'option <strong>AllowUsers</strong> à votre cas particulier)</p>
    588. 

  588. <p>Pour ma part, je vais garder le port 22 ; je le changerai peut-être plus tard.</p>
    589. 

  589. <pre><code>Protocol 2
    590. 

  590. Port 22
    591. 

  591. </code></pre>
    592. 

  592. <p>Blocage de root</p>
    593. 

  593. <pre><code>PermitRootLogin no
    594. 

  594. </code></pre>
    595. 

  595. <p>Pas de mot de passe vide</p>
    596. 

  596. <pre><code>PermitEmptyPasswords no
    597. 

  597. </code></pre>
    598. 

  598. <p>Seul l'utilisateur pi est autorisé</p>
    599. 

  599. <pre><code>AllowUsers pi
    600. 

  600. </code></pre>
    601. 

  601. <p>Connexion uniquement pas clef</p>
    602. 

  602. <pre><code>PubkeyAuthentication yes
    603. 

  603. </code></pre>
    604. 

  604. <p>Modification et limite des tentatives de connexion</p>
    605. 

  605. <pre><code>LoginGraceTime 30s
    606. 

  606. PermitRootLogin no
    607. 

  607. StrictModes yes
    608. 

  608. MaxAuthTries 3
    609. 

  609. MaxSessions 5
    610. 

  610. </code></pre>
    611. 

  611. <p>Les fichiers de clef autorisés</p>
    612. 

  612. <pre><code>AuthorizedKeysFile      .ssh/authorized_keys .ssh/authorized_keys2
    613. 

  613. </code></pre>
    614. 

  614. <p>Voici la copie du fichier complet :</p>
    615. 

  615. <pre><code>pi@raspberrypi:~ $ cat /etc/ssh/sshd_config
    616. 

  616. #   $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
    617. 

  617. 

  618. # This is the sshd server system-wide configuration file.  See
    619. 

  619. # sshd_config(5) for more information.
    620. 

  620. 

  621. # This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin
    622. 

  622. 

  623. # The strategy used for options in the default sshd_config shipped with
    624. 

  624. # OpenSSH is to specify options with their default value where
    625. 

  625. # possible, but leave them commented.  Uncommented options override the
    626. 

  626. # default value.
    627. 

  627. 

  628. Port 22
    629. 

  629. #AddressFamily any
    630. 

  630. # A décommenter après test sur sur site d'audit, car nos réglages ne permettent
    631. 

  631. # que de se connecter à partir de notre réseau local
    632. 

  632. # Si vous voulez que votre serveur soit accessible à partir de l'extérieur
    633. 

  633. # gardez les valeurs par défaut (ou les options commentées)
    634. 

  634. #ListenAddress 0.0.0.0
    635. 

  635. #ListenAddress ::
    636. 

  636. # Nouveaux réglages
    637. 

  637. # ListenAddress 192.168.111.0
    638. 

  638. # ListenAddress 2a01:e0a:d0:3c20::0
    639. 

  639. 

  640. # On ne permet que la connexion avec une clef forte
    641. 

  641. #HostKey /etc/ssh/ssh_host_rsa_key
    642. 

  642. #HostKey /etc/ssh/ssh_host_ecdsa_key
    643. 

  643. HostKey /etc/ssh/ssh_host_ed25519_key
    644. 

  644. 

  645. # Ciphers and keying
    646. 

  646. #RekeyLimit default none
    647. 

  647. 

  648. # Logging
    649. 

  649. # Modification du niveau de logging pour plus de détails
    650. 

  650. #SyslogFacility AUTH
    651. 

  651. SysLogFacility AUTHPRIV
    652. 

  652. #LogLevel INFO
    653. 

  653. LogLevel VERBOSE
    654. 

  654. 

  655. # Authentication:
    656. 

  656. 

  657. # C'est ici que l'on va ne permettre que l'accès par clef partagée
    658. 

  658. # et interdire l'accès par mot de passe
    659. 

  659. # De plus on configure le nombre d'essais et le délai de connexion
    660. 

  660. # à des valeurs plus courtes
    661. 

  661. LoginGraceTime 30s
    662. 

  662. PermitRootLogin no
    663. 

  663. StrictModes yes
    664. 

  664. MaxAuthTries 3
    665. 

  665. MaxSessions 5
    666. 

  666. 

  667. PubkeyAuthentication yes
    668. 

  668. 

  669. # Ajout d'une liste blanche d'utilisateurs autorisés à se connecter
    670. 

  670. # ici, seulement l'utilisateur pi
    671. 

  671. AllowUsers pi
    672. 

  672. 

  673. 

  674. # Expect .ssh/authorized_keys2 to be disregarded by default in future.
    675. 

  675. AuthorizedKeysFile  .ssh/authorized_keys .ssh/authorized_keys2
    676. 

  676. 

  677. #AuthorizedPrincipalsFile none
    678. 

  678. 

  679. #AuthorizedKeysCommand none
    680. 

  680. #AuthorizedKeysCommandUser nobody
    681. 

  681. 

  682. # For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
    683. 

  683. #HostbasedAuthentication no
    684. 

  684. # Change to yes if you don't trust ~/.ssh/known_hosts for
    685. 

  685. # HostbasedAuthentication
    686. 

  686. #IgnoreUserKnownHosts no
    687. 

  687. # Don't read the user's ~/.rhosts and ~/.shosts files
    688. 

  688. #IgnoreRhosts yes
    689. 

  689. 

  690. # To disable tunneled clear text passwords, change to no here!
    691. 

  691. # Interdiction de connexion pas login/mot de passe
    692. 

  692. PasswordAuthentication no
    693. 

  693. # Interdiction de mot de passe vides
    694. 

  694. PermitEmptyPasswords no
    695. 

  695. 

  696. # Change to yes to enable challenge-response passwords (beware issues with
    697. 

  697. # some PAM modules and threads)
    698. 

  698. ChallengeResponseAuthentication no
    699. 

  699. 

  700. # Kerberos options
    701. 

  701. #KerberosAuthentication no
    702. 

  702. #KerberosOrLocalPasswd yes
    703. 

  703. #KerberosTicketCleanup yes
    704. 

  704. #KerberosGetAFSToken no
    705. 

  705. 

  706. # GSSAPI options
    707. 

  707. #GSSAPIAuthentication no
    708. 

  708. #GSSAPICleanupCredentials yes
    709. 

  709. #GSSAPIStrictAcceptorCheck yes
    710. 

  710. #GSSAPIKeyExchange no
    711. 

  711. 

  712. # Set this to 'yes' to enable PAM authentication, account processing,
    713. 

  713. # and session processing. If this is enabled, PAM authentication will
    714. 

  714. # be allowed through the ChallengeResponseAuthentication and
    715. 

  715. # PasswordAuthentication.  Depending on your PAM configuration,
    716. 

  716. # PAM authentication via ChallengeResponseAuthentication may bypass
    717. 

  717. # the setting of "PermitRootLogin without-password".
    718. 

  718. # If you just want the PAM account and session checks to run without
    719. 

  719. # PAM authentication, then enable this but set PasswordAuthentication
    720. 

  720. # and ChallengeResponseAuthentication to 'no'.
    721. 

  721. UsePAM yes
    722. 

  722. 

  723. # On va interdire le forwarding
    724. 

  724. AllowAgentForwarding no
    725. 

  725. AllowTcpForwarding no
    726. 

  726. GatewayPorts no
    727. 

  727. X11Forwarding no
    728. 

  728. #X11DisplayOffset 10
    729. 

  729. #X11UseLocalhost yes
    730. 

  730. #PermitTTY yes
    731. 

  731. # Pas de message d'acceuil de SSHD
    732. 

  732. PrintMotd no
    733. 

  733. #PrintLastLog yes
    734. 

  734. #TCPKeepAlive yes
    735. 

  735. #PermitUserEnvironment no
    736. 

  736. #Compression delayed
    737. 

  737. #ClientAliveInterval 0
    738. 

  738. #ClientAliveCountMax 3
    739. 

  739. # Utilisation du DNS
    740. 

  740. UseDNS yes
    741. 

  741. #PidFile /var/run/sshd.pid
    742. 

  742. #MaxStartups 10:30:100
    743. 

  743. #PermitTunnel no
    744. 

  744. #ChrootDirectory none
    745. 

  745. #VersionAddendum none
    746. 

  746. 

  747. # no default banner path
    748. 

  748. Banner none
    749. 

  749. 

  750. # Allow client to pass locale environment variables
    751. 

  751. AcceptEnv LANG LC_*
    752. 

  752. 

  753. # override default of no subsystems
    754. 

  754. Subsystem   sftp    /usr/lib/openssh/sftp-server
    755. 

  755. 

  756. # Example of overriding settings on a per-user basis
    757. 

  757. #Match User anoncvs
    758. 

  758. #   X11Forwarding no
    759. 

  759. #   AllowTcpForwarding no
    760. 

  760. #   PermitTTY no
    761. 

  761. #   ForceCommand cvs server
    762. 

  762. pi@raspberrypi:~ $
    763. 

  763. </code></pre>
    764. 

  764. <p>On redémarre <strong>sshd</strong></p>
    765. 

  765. <pre><code>sudo systemctl restart sshd.service
    766. 

  766. </code></pre>
    767. 

  767. <p>On teste si le service a bien redémarré sans erreurs :</p>
    768. 

  768. <pre><code>pi@raspberrypi:~ $ sudo systemctl status sshd.service
    769. 

  769. ● ssh.service - OpenBSD Secure Shell server
    770. 

  770. Loaded: loaded (/lib/systemd/system/ssh.service; enabled; vendor preset: enabled)
    771. 

  771. Active: active (running) since Sun 2021-02-14 14:59:47 CET; 7s ago
    772. 

  772.     Docs: man:sshd(8)
    773. 

  773.         man:sshd_config(5)
    774. 

  774. Process: 523 ExecStartPre=/usr/sbin/sshd -t (code=exited, status=0/SUCCESS)
    775. 

  775. Main PID: 524 (sshd)
    776. 

  776.     Tasks: 1 (limit: 269)
    777. 

  777. CGroup: /system.slice/ssh.service
    778. 

  778.         └─524 /usr/sbin/sshd -D
    779. 

  779. 

  780. févr. 14 14:59:46 raspberrypi systemd[1]: Starting OpenBSD Secure Shell server...
    781. 

  781. févr. 14 14:59:46 raspberrypi sshd[524]: Server listening on 0.0.0.0 port 22.
    782. 

  782. févr. 14 14:59:47 raspberrypi sshd[524]: Server listening on :: port 22.
    783. 

  783. févr. 14 14:59:47 raspberrypi systemd[1]: Started OpenBSD Secure Shell server.
    784. 

  784. pi@raspberrypi:~ $
    785. 

  785. </code></pre>
    786. 

  786. <p>C'est bon.</p>
    787. 

  787. <p>Essai de connexion :</p>
    788. 

  788. <pre><code>eric@aldebaran:~$ ssh piras
    789. 

  789. The authenticity of host 'piras.yojik.net (192.168.111.170)' can't be established.
    790. 

  790. ED25519 key fingerprint is SHA256:NW70QB3uNQ1cnrTQyfXG1Lu1iTDubEv6Oak4PK+DR1k.
    791. 

  791. Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
    792. 

  792. Warning: Permanently added 'piras.yojik.net,192.168.111.170' (ED25519) to the list of known hosts.
    793. 

  793. Enter passphrase for key '/home/eric/.ssh/piras/piras_ed25519': 
    794. 

  794. Linux raspberrypi 5.10.11+ #1399 Thu Jan 28 12:02:28 GMT 2021 armv6l
    795. 

  795. 

  796. The programs included with the Debian GNU/Linux system are free software;
    797. 

  797. the exact distribution terms for each program are described in the
    798. 

  798. individual files in /usr/share/doc/*/copyright.
    799. 

  799. 

  800. Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
    801. 

  801. permitted by applicable law.
    802. 

  802. Last login: Sun Feb 14 15:02:55 2021 from 192.168.111.150
    803. 

  803. pi@raspberrypi:~ $
    804. 

  804. </code></pre>
    805. 

  805. <p>C'est bon.</p>
    806. 

  806. <p>Test sur le site d'audit :</p>
    807. 

  807. <p>Bien, après avoir effacé toutes les données personnelles de mon navigateur (données qui entraînent une erreur «The csrf token is invalid »), le test revient toujours avec une mauvaise note. D'où la suite. Les instructions pour améliorer sont également sur le site <a href="https://www.ssh-audit.com/hardening_guides.html#ubuntu_20_04_lts">SSH-Audit.com recommendations</a></p>
    808. 

  808. <p>On va sécuriser les échanges en jouant sur 3 options supplémentaires :</p>
    809. 

  809. <ul>
    810. 

  810. <li>Ciphers : Le chiffrement utilisé.</li>
    811. 

  811. <li>KexAlgorithms : Les algorithmes utilisés pour l’échange de clés.</li>
    812. 

  812. <li>MACs : Message Authentication code, c’est le code qui accompagnent les données échangées dans le but d’assurer leur intégrité pour être certain qu’elles n’ont subies aucune altération pendant/après la transmission.</li>
    813. 

  813. </ul>
    814. 

  814. <p>Voilà les étapes à suivre (reprises quasi texto des sites déjà cités) :</p>
    815. 

  815. <ul>
    816. 

  816. <li>
    817. 

  817. <p>Régénération de la clé ED25519 du serveur :</p>
    818. 

  818. <pre><code>sudo rm -f /etc/ssh/ssh_host_*
    819. 

  819. sudo ssh-keygen -t ed25519 -f /etc/ssh/ssh_host_ed25519_key -N ""
    820. 

  820. </code></pre>
    821. 

  821. </li>
    822. 

  822. <li>
    823. 

  823. <p>Retrait des moduli Diffie-Hellman faible :</p>
    824. 

  824. <pre><code>sudo awk '$5 &gt;= 3071' /etc/ssh/moduli &gt; /home/pi/moduli.safe
    825. 

  825. sudo mv -f /home/pi/moduli.safe /etc/ssh/moduli
    826. 

  826. </code></pre>
    827. 

  827. </li>
    828. 

  828. <li>
    829. 

  829. <p>Désactivation des clés DSA/ECDSA &amp; RSA si ce n’est pas déjà fait :</p>
    830. 

  830. <pre><code>sudo sed -i 's/^HostKey \/etc\/ssh\/ssh_host_\(dsa\|ecdsa\|rsa\)_key$/\#HostKey \/etc\/ssh\/ssh_host_\1_key/g' /etc/ssh/sshd_config
    831. 

  831. </code></pre>
    832. 

  832. </li>
    833. 

  833. <li>
    834. 

  834. <p>Restriction des ciphers, clés d’échange et des codes d’authentification :</p>
    835. 

  835. <p>Ajoutez ceci à la fin du fichier /etc/sshd_config:</p>
    836. 

  836. <pre><code>KexAlgorithms curve25519-sha256@libssh.org,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512
    837. 

  837. Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
    838. 

  838. MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com
    839. 

  839. </code></pre>
    840. 

  840. </li>
    841. 

  841. <li>
    842. 

  842. <p>Redémarrage de <strong>sshd</strong></p>
    843. 

  843. <p>sudo systemctl restart sshd.service</p>
    844. 

  844. </li>
    845. 

  845. </ul>
    846. 

  846. <h3 id="test-sur-le-site-ssh-audit">Test sur le site <a href="https://www.ssh-audit.com/">ssh audit</a></h3>
    847. 

  847. <p>Tout est OK ... nous sommes passés d'une note <strong>F</strong> à <strong>A+</strong>.</p>
    848. 

  848. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-03.png" /></p>
    849. 

  849. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-17.png" /></p>
    850. 

  850. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-11%2014-37-34.png" /></p>
    851. 

  851. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-24.png" /></p>
    852. 

  852. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-33.png" /></p>
    853. 

  853. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-42.png" /></p>
    854. 

  854. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-49.png" /></p>
    855. 

  855.               
    856. 

  856.             </div>
    857. 

  857.           </div>
    858. 

  858.           <footer>
    859. 

  859.   
    860. 

  860.     <div class="rst-footer-buttons" role="navigation" aria-label="footer navigation">
    861. 

  861.       
    862. 

  862.         <a href="../R%C3%A9seau/" class="btn btn-neutral float-right" title="Réseau (des IPs fixes)">Next <span class="icon icon-circle-arrow-right"></span></a>
    863. 

  863.       
    864. 

  864.       
    865. 

  865.         <a href="../Etat-des-lieux/" class="btn btn-neutral" title="État des lieux"><span class="icon icon-circle-arrow-left"></span> Previous</a>
    866. 

  866.       
    867. 

  867.     </div>
    868. 

  868.   
    869. 

  869. 

  870.   <hr/>
    871. 

  871. 

  872.   <div role="contentinfo">
    873. 

  873.     <!-- Copyright etc -->
    874. 

  874.     
    875. 

  875.   </div>
    876. 

  876. 

  877.   Built with <a href="https://www.mkdocs.org/">MkDocs</a> using a <a href="https://github.com/snide/sphinx_rtd_theme">theme</a> provided by <a href="https://readthedocs.org">Read the Docs</a>.
    878. 

  878. </footer>
    879. 

  879.       
    880. 

  880.         </div>
    881. 

  881.       </div>
    882. 

  882. 

  883.     </section>
    884. 

  884. 

  885.   </div>
    886. 

  886. 

  887.   <div class="rst-versions" role="note" aria-label="versions">
    888. 

  888.     <span class="rst-current-version" data-toggle="rst-current-version">
    889. 

  889.       
    890. 

  890.       
    891. 

  891.         <span><a href="../Etat-des-lieux/" style="color: #fcfcfc;">&laquo; Previous</a></span>
    892. 

  892.       
    893. 

  893.       
    894. 

  894.         <span style="margin-left: 15px"><a href="../R%C3%A9seau/" style="color: #fcfcfc">Next &raquo;</a></span>
    895. 

  895.       
    896. 

  896.     </span>
    897. 

  897. </div>
    898. 

  898.     <script>var base_url = '../../..';</script>
    899. 

  899.     <script src="../../../js/theme.js" defer></script>
    900. 

  900.       <script src="../../../search/main.js" defer></script>
    901. 

  901.     <script defer>
    902. 

  902.         window.onload = function () {
    903. 

  903.             SphinxRtdTheme.Navigation.enable(true);
    904. 

  904.         };
    905. 

  905.     </script>
    906. 

  906. 

  907. </body>
    908. 

  908. </html>
    909.