Главная Обзор Помощь
Вход
eric
/
Yojik.net
1
0
Ответвить 0
Файлы Задачи 0 Запросы на слияние 0 Вики
Дерево: 63b3131653
Ветки Метки
Yojik.net
/
site
/
Tutoriels
/
tutoraspi
/
Sécurisation-SSH
/
index.html

index.html 38 KB
История Исходник

123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646566676869707172737475767778798081828384858687888990919293949596979899100101102103104105106107108109110111112113114115116117118119120121122123124125126127128129130131132133134135136137138139140141142143144145146147148149150151152153154155156157158159160161162163164165166167168169170171172173174175176177178179180181182183184185186187188189190191192193194195196197198199200201202203204205206207208209210211212213214215216217218219220221222223224225226227228229230231232233234235236237238239240241242243244245246247248249250251252253254255256257258259260261262263264265266267268269270271272273274275276277278279280281282283284285286287288289290291292293294295296297298299300301302303304305306307308309310311312313314315316317318319320321322323324325326327328329330331332333334335336337338339340341342343344345346347348349350351352353354355356357358359360361362363364365366367368369370371372373374375376377378379380381382383384385386387388389390391392393394395396397398399400401402403404405406407408409410411412413414415416417418419420421422423424425426427428429430431432433434435436437438439440441442443444445446447448449450451452453454455456457458459460461462463464465466467468469470471472473474475476477478479480481482483484485486487488489490491492493494495496497498499500501502503504505506507508509510511512513514515516517518519520521522523524525526527528529530531532533534535536537538539540541542543544545546547548549550551552553554555556557558559560561562563564565566567568569570571572573574575576577578579580581582583584585586587588589590591592593594595596597598599600601602603604605606607608609610611612613614615616617618619620621622623624625626627628629630631632633634635636637638639640641642643644645646647648649650651652653654655656657658659660661662663664665666667668669670671672673674675676677678679680681682683684685686687688689690691692693694695696697698699700701702703704705706707708709710711712713714715716717718719720721722723724725726727728729730731732733734735736737738739740741742743744745746747748749750751752753754755756757758759760761762763764765766767768769770771772773774775776777778779780781782783784785786787788789790791792793794795796797798799800801802803804805806807808809810811812813814815816817818819820821822823824825826827828829830831832833834835836837838839840841842843844845846847848849850851852853854855856857858859860861862863864865866867868869870871872873874875876877878879880881882883884885886887888889890891892893894895896897898899900 
  1. <!DOCTYPE html>
    2. 

  2. <!--[if IE 8]><html class="no-js lt-ie9" lang="en" > <![endif]-->
    3. 

  3. <!--[if gt IE 8]><!--> <html class="no-js" lang="en" > <!--<![endif]-->
    4. 

  4. <head>
    5. 

  5.   <meta charset="utf-8">
    6. 

  6.   <meta http-equiv="X-UA-Compatible" content="IE=edge">
    7. 

  7.   <meta name="viewport" content="width=device-width, initial-scale=1.0">
    8. 

  8.   
    9. 

  9.   
    10. 

  10.   
    11. 

  11.   <link rel="shortcut icon" href="../../../img/favicon.ico">
    12. 

  12.   <title>Sécurisation SSH - Les Tutoriels du Yojik</title>
    13. 

  13.   <link rel="stylesheet" href="../../../css/theme.css" />
    14. 

  14.   <link rel="stylesheet" href="../../../css/theme_extra.css" />
    15. 

  15.   <link rel="stylesheet" href="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/9.12.0/styles/github.min.css" />
    16. 

  16.   
    17. 

  17.   <script>
    18. 

  18.     // Current page data
    19. 

  19.     var mkdocs_page_name = "S\u00e9curisation SSH";
    20. 

  20.     var mkdocs_page_input_path = "Tutoriels/tutoraspi/S\u00e9curisation-SSH.md";
    21. 

  21.     var mkdocs_page_url = null;
    22. 

  22.   </script>
    23. 

  23.   
    24. 

  24.   <script src="../../../js/jquery-2.1.1.min.js" defer></script>
    25. 

  25.   <script src="../../../js/modernizr-2.8.3.min.js" defer></script>
    26. 

  26.   <script src="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/9.12.0/highlight.min.js"></script>
    27. 

  27.   <script>hljs.initHighlightingOnLoad();</script> 
    28. 

  28.   
    29. 

  29. </head>
    30. 

  30. 

  31. <body class="wy-body-for-nav" role="document">
    32. 

  32. 

  33.   <div class="wy-grid-for-nav">
    34. 

  34. 

  35.     
    36. 

  36.     <nav data-toggle="wy-nav-shift" class="wy-nav-side stickynav">
    37. 

  37.     <div class="wy-side-scroll">
    38. 

  38.       <div class="wy-side-nav-search">
    39. 

  39.         <a href="../../.." class="icon icon-home"> Les Tutoriels du Yojik</a>
    40. 

  40.         <div role="search">
    41. 

  41.   <form id ="rtd-search-form" class="wy-form" action="../../../search.html" method="get">
    42. 

  42.     <input type="text" name="q" placeholder="Search docs" title="Type search term here" />
    43. 

  43.   </form>
    44. 

  44. </div>
    45. 

  45.       </div>
    46. 

  46. 

  47.       <div class="wy-menu wy-menu-vertical" data-spy="affix" role="navigation" aria-label="main navigation">
    48. 

  48.                 <p class="caption"><span class="caption-text">Home</span></p>
    49. 

  49.                 <ul>
    50. 

  50.                     <li class="toctree-l1"><a class="reference internal" href="../../..">Page d'accueil</a>
    51. 

  51.                     </li>
    52. 

  52.                 </ul>
    53. 

  53.                 <p class="caption"><span class="caption-text">Tutoriels</span></p>
    54. 

  54.                 <ul class="current">
    55. 

  55.                     <li class="toctree-l1"><a class="reference internal" href="../../tutos/">Introduction</a>
    56. 

  56.                     </li>
    57. 

  57.                     <li class="toctree-l1"><a class="reference internal" href="#">Installation d'un serveur sécurisé, version Debian/Stretch (obsolète)</a>
    58. 

  58.     <ul>
    59. 

  59.                 <li class="toctree-l2"><a class="reference internal" href="../../tutostretch/tutostretch/">Présentation</a>
    60. 

  60.                 </li>
    61. 

  61.                 <li class="toctree-l2"><a class="reference internal" href="#">Installation</a>
    62. 

  62.     <ul>
    63. 

  63.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-de-base/">Installation du système de base</a>
    64. 

  64.                 </li>
    65. 

  65.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/ovh/">Démarrage sur serveur OVH</a>
    66. 

  66.                 </li>
    67. 

  67.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Premi%C3%A8re-Etape-S%C3%A9curisation/">Première étapes de sécurisation du serveur</a>
    68. 

  68.                 </li>
    69. 

  69.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Configuration-R%C3%A9seau/">Configuration du réseau</a>
    70. 

  70.                 </li>
    71. 

  71.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Serveur-Temps/">Installation d'un serveur de temps</a>
    72. 

  72.                 </li>
    73. 

  73.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Parre-Feu/">Installation d'un pare-feu</a>
    74. 

  74.                 </li>
    75. 

  75.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Fail2ban/">Contrer les attaques de brute-force avec fail2ban</a>
    76. 

  76.                 </li>
    77. 

  77.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Serveur-Courrier-Basique/">Installation d'un serveur de courrier basique</a>
    78. 

  78.                 </li>
    79. 

  79.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Serveur-DNS/">Installation du serveur DNS</a>
    80. 

  80.                 </li>
    81. 

  81.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Serveur-Web/">Installation d'un serveur web</a>
    82. 

  82.                 </li>
    83. 

  83.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Dovecot-Authentification/">Installation de dovecot et de l'authentification</a>
    84. 

  84.                 </li>
    85. 

  85.                 <li class="toctree-l3"><a class="" href="../../tutostretch/Installation-Certificats-Letsencrypt.md)">Installation des certificats letsencrypt</a>
    86. 

  86.                 </li>
    87. 

  87.                 <li class="toctree-l3"><a class="" href="../../tutostretch/courrier-SPF-DKIM-OPENDMARC.md">Ajout des enregistrements **spf**, **DKIM**, **DMARC** au fichier de zone DNS</a>
    88. 

  88.                 </li>
    89. 

  89.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Courrier-Comptes-Virtuels/">Ajout des comptes émail virtuels</a>
    90. 

  90.                 </li>
    91. 

  91.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Surveillance-Serveur/">Installation de programmes de surveillance du serveur</a>
    92. 

  92.                 </li>
    93. 

  93.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Webmail/">Installation d'un webmail (rainloop)</a>
    94. 

  94.                 </li>
    95. 

  95.                 <li class="toctree-l3"><a class="" href="../../tutostretch/Sécurisation-Serveur-Web">Sécurisation d'un serveur WEB</a>
    96. 

  96.                 </li>
    97. 

  97.     </ul>
    98. 

  98.                 </li>
    99. 

  99.     </ul>
    100. 

  100.                     </li>
    101. 

  101.                     <li class="toctree-l1"><a class="reference internal" href="#">Installation d'un serveur sécurisé, version Debian/Buster (en cours d'écriture)</a>
    102. 

  102.     <ul>
    103. 

  103.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/1-tutobuster/">Présentation</a>
    104. 

  104.                 </li>
    105. 

  105.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/2-Installation-de-base/">Installation de base</a>
    106. 

  106.                 </li>
    107. 

  107.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/3-ovh/">Démarrage sur serveur OVH</a>
    108. 

  108.                 </li>
    109. 

  109.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/4-Plan/">Plan d'ensemble</a>
    110. 

  110.                 </li>
    111. 

  111.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/5-Premi%C3%A8re-Etape-S%C3%A9curisation/">Premières étapes de sécurisation du serveur</a>
    112. 

  112.                 </li>
    113. 

  113.     </ul>
    114. 

  114.                     </li>
    115. 

  115.                     <li class="toctree-l1 current"><a class="reference internal current" href="#">Installation d'un serveur sécurisé, version Debian/Buster sur RaspberryPI</a>
    116. 

  116.     <ul class="current">
    117. 

  117.                 <li class="toctree-l2"><a class="reference internal" href="../R%C3%A9sum%C3%A9/">Résumé</a>
    118. 

  118.                 </li>
    119. 

  119.                 <li class="toctree-l2"><a class="reference internal" href="../tutoraspi/">Présentation</a>
    120. 

  120.                 </li>
    121. 

  121.                 <li class="toctree-l2"><a class="reference internal" href="../Installation-de-base/">Installation de base</a>
    122. 

  122.                 </li>
    123. 

  123.                 <li class="toctree-l2"><a class="reference internal" href="../Premier-d%C3%A9marrage/">Premier démarrage</a>
    124. 

  124.                 </li>
    125. 

  125.                 <li class="toctree-l2"><a class="reference internal" href="../Etat-des-lieux/">État des lieux</a>
    126. 

  126.                 </li>
    127. 

  127.                 <li class="toctree-l2 current"><a class="reference internal current" href="./">Sécurisation SSH</a>
    128. 

  128.     <ul class="current">
    129. 

  129.     <li class="toctree-l3"><a class="reference internal" href="#references">Références</a>
    130. 

  130.     </li>
    131. 

  131.     <li class="toctree-l3"><a class="reference internal" href="#creation-dune-clef-personnalisee">Création d'une clef personnalisée</a>
    132. 

  132.         <ul>
    133. 

  133.     <li class="toctree-l4"><a class="reference internal" href="#test-du-hostname-sur-notre-raspi">Test du hostname (sur notre raspi)</a>
    134. 

  134.     </li>
    135. 

  135.     <li class="toctree-l4"><a class="reference internal" href="#creation-de-notre-clef-personnalisee-sur-le-desktop-pas-sur-le-raspi">Création de notre clef personnalisée (sur le desktop, pas sur le raspi!)</a>
    136. 

  136.     </li>
    137. 

  137.     <li class="toctree-l4"><a class="reference internal" href="#copie-de-la-clef-sur-le-serveur">Copie de la clef sur le serveur</a>
    138. 

  138.     </li>
    139. 

  139.     <li class="toctree-l4"><a class="reference internal" href="#essai-de-connexion-avec-notre-nouvelle-clef">Essai de connexion avec notre nouvelle clef</a>
    140. 

  140.     </li>
    141. 

  141.     <li class="toctree-l4"><a class="reference internal" href="#configuration-de-ssh-sur-la-machine-de-travail">Configuration de ssh sur la machine de travail</a>
    142. 

  142.     </li>
    143. 

  143.     <li class="toctree-l4"><a class="reference internal" href="#test-de-connexion">Test de connexion</a>
    144. 

  144.     </li>
    145. 

  145.     <li class="toctree-l4"><a class="reference internal" href="#amelioration">Amélioration</a>
    146. 

  146.     </li>
    147. 

  147.     <li class="toctree-l4"><a class="reference internal" href="#modification-du-fichier-etcsshsshd_config">Modification du fichier /etc/ssh/sshd_config</a>
    148. 

  148.     </li>
    149. 

  149.     <li class="toctree-l4"><a class="reference internal" href="#test-sur-le-site-ssh-audit">Test sur le site ssh audit</a>
    150. 

  150.     </li>
    151. 

  151.         </ul>
    152. 

  152.     </li>
    153. 

  153.     </ul>
    154. 

  154.                 </li>
    155. 

  155.                 <li class="toctree-l2"><a class="reference internal" href="../R%C3%A9seau/">Réseau (des IPs fixes)</a>
    156. 

  156.                 </li>
    157. 

  157.                 <li class="toctree-l2"><a class="reference internal" href="../Knot/">Installation de Knot-resolver</a>
    158. 

  158.                 </li>
    159. 

  159.                 <li class="toctree-l2"><a class="reference internal" href="../Firewall/">Installation d'un pare-feux</a>
    160. 

  160.                 </li>
    161. 

  161.                 <li class="toctree-l2"><a class="reference internal" href="../Fail2ban/">Contrer les attaques de force brute</a>
    162. 

  162.                 </li>
    163. 

  163.                 <li class="toctree-l2"><a class="reference internal" href="../Logwatch/">Surveillance du serveur</a>
    164. 

  164.                 </li>
    165. 

  165.                 <li class="toctree-l2"><a class="reference internal" href="../Installation-courrier-basique/">Installation d'un serveur de courriers basique</a>
    166. 

  166.                 </li>
    167. 

  167.                 <li class="toctree-l2"><a class="reference internal" href="../Exemple-d-utilisation-serveur-Web/">Exemple d'utilisation avec un serveur Web</a>
    168. 

  168.                 </li>
    169. 

  169.                 <li class="toctree-l2"><a class="reference internal" href="../Annexe/">Annexe</a>
    170. 

  170.                 </li>
    171. 

  171.     </ul>
    172. 

  172.                     </li>
    173. 

  173.                 </ul>
    174. 

  174.       </div>
    175. 

  175.     </div>
    176. 

  176.     </nav>
    177. 

  177. 

  178.     <section data-toggle="wy-nav-shift" class="wy-nav-content-wrap">
    179. 

  179. 

  180.       
    181. 

  181.       <nav class="wy-nav-top" role="navigation" aria-label="top navigation">
    182. 

  182.         <i data-toggle="wy-nav-top" class="fa fa-bars"></i>
    183. 

  183.         <a href="../../..">Les Tutoriels du Yojik</a>
    184. 

  184.       </nav>
    185. 

  185. 

  186.       
    187. 

  187.       <div class="wy-nav-content">
    188. 

  188.         <div class="rst-content">
    189. 

  189.           <div role="navigation" aria-label="breadcrumbs navigation">
    190. 

  190.   <ul class="wy-breadcrumbs">
    191. 

  191.     <li><a href="../../..">Docs</a> &raquo;</li>
    192. 

  192.     
    193. 

  193.       
    194. 

  194.         
    195. 

  195.           <li>Installation d'un serveur sécurisé, version Debian/Buster sur RaspberryPI &raquo;</li>
    196. 

  196.         
    197. 

  197.       
    198. 

  198.         
    199. 

  199.           <li>Tutoriels &raquo;</li>
    200. 

  200.         
    201. 

  201.       
    202. 

  202.     
    203. 

  203.     <li>Sécurisation SSH</li>
    204. 

  204.     <li class="wy-breadcrumbs-aside">
    205. 

  205.       
    206. 

  206.     </li>
    207. 

  207.   </ul>
    208. 

  208.   
    209. 

  209.   <hr/>
    210. 

  210. </div>
    211. 

  211.           <div role="main">
    212. 

  212.             <div class="section">
    213. 

  213.               
    214. 

  214.                 <h1 id="securisation-ssh">Sécurisation SSH</h1>
    215. 

  215. <p>Je vais baser cette partie sur plusieurs tutoriels auxquels vous voudrez bien vous référer pour avoir des explications plus poussées que celles que je vais donner.</p>
    216. 

  216. <h2 id="references">Références</h2>
    217. 

  217. <ul>
    218. 

  218. <li><a href="https://www.tronyxworld.be/2020/hardening_ssh/">Sécuriser OpenSSH</a></li>
    219. 

  219. <li><a href="https://blog.syntik.fr/comment-tester-securiser-serveur-ssh/">SSH - Comment tester et sécuriser son serveur ?</a></li>
    220. 

  220. <li><a href="https://www.cyberciti.biz/faq/create-ssh-config-file-on-linux-unix/">OpenSSH Config File Examples</a></li>
    221. 

  221. </ul>
    222. 

  222. <p>Vous pouvez trouver plein d'autres références en français ou anglais en utilisant votre moteur de recherche préféré.</p>
    223. 

  223. <h2 id="creation-dune-clef-personnalisee">Création d'une clef personnalisée</h2>
    224. 

  224. <p>Nous allons créer une clef spécifique à notre mini serveur.</p>
    225. 

  225. <p>Auparavant, nous allons vérifier le <strong>hostname</strong> de notre machine. Si vous l'avez configuré avec <strong>raspi-config</strong>, il y a de grandes chances que le résultat ne soit pas bon.</p>
    226. 

  226. <p>Sous Debian, le <strong>hostname</strong> est composé de 2 parties situées dans 2 fichiers différents.</p>
    227. 

  227. <ul>
    228. 

  228. <li>/etc/hosts (contient le nom complet, FQDN)</li>
    229. 

  229. <li>/etc/hostname (ne contient que le petit nom de la machine, sans le domaine)</li>
    230. 

  230. </ul>
    231. 

  231. <h3 id="test-du-hostname-sur-notre-raspi">Test du hostname (sur notre raspi)</h3>
    232. 

  232. <pre><code>pi@piras:~ $ hostname -f
    233. 

  233. piras.yojik.net
    234. 

  234. pi@piras:~ $ hostname
    235. 

  235. piras
    236. 

  236. pi@piras:~ $
    237. 

  237. </code></pre>
    238. 

  238. <p>Le fichier /etc/hostname ne doit contenir que le nom de la machine, pas le domaine : ici, piras, et c'est ce que renvoie la commande <strong>hostname</strong>.</p>
    239. 

  239. <pre><code>pi@piras:~ $ cat /etc/hostname
    240. 

  240. piras
    241. 

  241. pi@piras:~ $
    242. 

  242. </code></pre>
    243. 

  243. <p><strong>hostname -f</strong> renvoie le "fqdn", ou nom complet de la machine, ici, piras.yojik.net.</p>
    244. 

  244. <p>La référence complète du nom se trouve dans le fichier /etc/hosts.</p>
    245. 

  245. <pre><code>pi@piras:~ $ cat /etc/hosts
    246. 

  246. 127.0.0.1    localhost
    247. 

  247. ::1          localhost ip6-localhost ip6-loopback
    248. 

  248. ff02::1      ip6-allnodes
    249. 

  249. ff02::2      ip6-allrouters
    250. 

  250. 

  251. 127.0.1.1    piras.yojik.net piras
    252. 

  252. pi@piras:~ $
    253. 

  253. </code></pre>
    254. 

  254. <p>Pour l'instant, c'est l'adresse 127.0.1.1 qui est utilisée comme référence du nom, mais nous changerons ça dès que nous aurons configuré une adresse IPV4 et IPV6 fixe.</p>
    255. 

  255. <h3 id="creation-de-notre-clef-personnalisee-sur-le-desktop-pas-sur-le-raspi">Création de notre clef personnalisée (sur le desktop, pas sur le raspi!)</h3>
    256. 

  256. <p>Nous utiliserons la commande :</p>
    257. 

  257. <pre><code>sh-keygen -o -a 100 -t ed25519 -f ~/.ssh/piras_ed25519 -C "clef SSH de l'utilisateur pi du Raspi"
    258. 

  258. </code></pre>
    259. 

  259. <ul>
    260. 

  260. <li>-o : Sauvegarde votre clé dans le nouveau format openssh au lieu de l’ancien format PEM</li>
    261. 

  261. <li>-C : insertion d'un commentaire (ce que vous voulez, votre adresse émail ...).</li>
    262. 

  262. <li>-f : nom du fichier à produire</li>
    263. 

  263. <li>-a : le nombre de tours de la clef de dérivation (plus il est élevé, plus il est difficile de la craquer en force brute, mais aussi plus c'est lent)  <pre><code>eric@aldebaran:~$ ssh-keygen -o -a 100 -t ed25519 -f ~/.ssh/piras_ed25519 -C "eric@yojik.eu"
    264. 

  264. Generating public/private ed25519 key pair.
    265. 

  265. Enter passphrase (empty for no passphrase):
    266. 

  266. Enter same passphrase again:
    267. 

  267. Your identification has been saved in /home/eric/.ssh/piras_ed25519
    268. 

  268. Your public key has been saved in /home/eric/.ssh/piras_ed25519.pub
    269. 

  269. The key fingerprint is:
    270. 

  270. SHA256:yyDsyczL9W1QTTn9d5o0hwZ5A0bdMnCJgK9cniCeR0c eric@yojik.eu
    271. 

  271. The key's randomart image is:
    272. 

  272. +--[ED25519 256]--+
    273. 

  273. |         ..o=O.o |
    274. 

  274. |        . E.B.O .|
    275. 

  275. |         o o + * |
    276. 

  276. |   .  . o = . = =|
    277. 

  277. |    o..=SB . o =o|
    278. 

  278. |   = ooo=.o   o  |
    279. 

  279. |    * ..o.       |
    280. 

  280. |   . o . ..      |
    281. 

  281. |    o   ...      |
    282. 

  282. +----[SHA256]-----+
    283. 

  283. </code></pre>
    284. 

  284. </li>
    285. 

  285. </ul>
    286. 

  286. <p>Si vous allez dans ./.ssh, vous trouverez ceci :</p>
    287. 

  287. <pre><code>eric@aldebaran:~/.ssh$ ls -l
    288. 

  288. total 44
    289. 

  289. -rw------- 1 eric eric  751  7 avril  2011 id_dsa
    290. 

  290. -rw-r--r-- 1 eric eric  604  7 avril  2011 id_dsa.pub
    291. 

  291. -rw------- 1 eric eric 1766  1 avril  2013 id_rsa
    292. 

  292. -rw-r--r-- 1 eric eric  396  1 avril  2013 id_rsa.pub
    293. 

  293. -rw-r--r-- 1 eric eric 3728 29 nov.  12:20 known_hosts
    294. 

  294. -rw------- 1 eric eric  444 11 déc.  18:17 piras_ed25519
    295. 

  295. -rw-r--r-- 1 eric eric   95 11 déc.  18:17 piras_ed25519.pub
    296. 

  296. eric@aldebaran:~/.ssh$
    297. 

  297. </code></pre>
    298. 

  298. <p>Nous voyons les clefs privées et publiques que nous avons créées. (ainsi que d'anciennes clefs ...) Vérifiez les permissions, mais normalement les commandes ci-dessus les attribuent comme attendu (voir plus bas).</p>
    299. 

  299. <h3 id="copie-de-la-clef-sur-le-serveur">Copie de la clef sur le serveur</h3>
    300. 

  300. <p>Nous utiliserons la commande : <strong>ssh-copy-id</strong></p>
    301. 

  301. <pre><code>eric@aldebaran:~$ ssh-copy-id -i ~/.ssh/piras_ed25519.pub pi@192.168.111.32
    302. 

  302. /usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/home/eric/.ssh/piras_ed25519.pub"
    303. 

  303. /usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
    304. 

  304. /usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
    305. 

  305. pi@192.168.111.32's password:
    306. 

  306. 

  307. Number of key(s) added: 1
    308. 

  308. 

  309. Now try logging into the machine, with:   "ssh 'pi@192.168.111.32'"
    310. 

  310. and check to make sure that only the key(s) you wanted were added.
    311. 

  311. 

  312. eric@aldebaran:~$
    313. 

  313. </code></pre>
    314. 

  314. <p>Vérifions la présence de notre clef sur notre raspi, dans le fichier authorized_keys :</p>
    315. 

  315. <pre><code>pi@piras:~/.ssh $ cat authorized_keys 
    316. 

  316. ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIAdDDO3ni4DHIxqfRaNZ4SBudrSlRoQjLm/fd2SSjxtM eric@yojik.eu
    317. 

  317. pi@piras:~/.ssh $
    318. 

  318. </code></pre>
    319. 

  319. <p>C'est bon, elle est là !</p>
    320. 

  320. <h3 id="essai-de-connexion-avec-notre-nouvelle-clef">Essai de connexion avec notre nouvelle clef</h3>
    321. 

  321. <pre><code>eric@aldebaran:~$ ssh -i ~/.ssh/piras_ed25519 'pi@192.168.111.32'
    322. 

  322. Linux piras 5.4.51+ #1333 Mon Aug 10 16:38:02 BST 2020 armv6l
    323. 

  323. 

  324. The programs included with the Debian GNU/Linux system are free software;
    325. 

  325. the exact distribution terms for each program are described in the
    326. 

  326. individual files in /usr/share/doc/*/copyright.
    327. 

  327. 

  328. Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
    329. 

  329. permitted by applicable law.
    330. 

  330. Last login: Fri Dec 11 18:46:55 2020 from 192.168.111.150
    331. 

  331. pi@piras:~ $
    332. 

  332. </code></pre>
    333. 

  333. <p>ça marche ... j'ai précisé la clef <strong>SSH</strong> à utiliser avec l'option <strong>-i nom_de_la_clef</strong>.</p>
    334. 

  334. <h3 id="configuration-de-ssh-sur-la-machine-de-travail">Configuration de ssh sur la machine de travail</h3>
    335. 

  335. <p>Je possède plusieurs clefs qui sont spécifiques à certains serveurs (ceux dans ma cave, et ceux sur internet). Nous allons rajouter une configuration pour permettre la sélection automatique de la bonne clef pour chaque serveur.</p>
    336. 

  336. <p>Cela se fait dans le fichier ~/.ssh/config</p>
    337. 

  337. <p>Le schéma à utiliser est le suivant :</p>
    338. 

  338. <pre><code>eric@aldebaran:~$ cat ./.ssh/config
    339. 

  339. Host piras piras.yojik.net
    340. 

  340.     HostName 192.168.111.32
    341. 

  341.     IdentityFile ~/.ssh/piras_ed25519
    342. 

  342.     User pi
    343. 

  343. 

  344. Host adara adara.yojik.eu
    345. 

  345.     HostName adara.yojik.eu
    346. 

  346.     IdentityFile ~/.ssh/id_rsa
    347. 

  347.     User ericadmin
    348. 

  348. 

  349. eric@aldebaran:~$
    350. 

  350. </code></pre>
    351. 

  351. <p>Cela me permet de me connecter avec la commande :</p>
    352. 

  352. <pre><code>ssh piras
    353. 

  353. </code></pre>
    354. 

  354. <p>Voilà à quoi ressemble mon répertoire <strong>~/.ssh</strong> :</p>
    355. 

  355. <pre><code>eric@aldebaran:~$ tree .ssh
    356. 

  356. .ssh
    357. 

  357. ├── adara
    358. 

  358. │   ├── adara_ed25519
    359. 

  359. │   └── adara_ed25519.pub
    360. 

  360. ├── aijan
    361. 

  361. │   ├── aijan_ed25519
    362. 

  362. │   └── aijan_ed25519.pub
    363. 

  363. ├── alya
    364. 

  364. │   ├── alya_ed25519
    365. 

  365. │   └── alya_ed25519.pub
    366. 

  366. ├── atom
    367. 

  367. │   ├── atom_ed25519
    368. 

  368. │   └── atom_ed25519.pub
    369. 

  369. ├── config
    370. 

  370. ├── id_dsa
    371. 

  371. ├── id_dsa.pub
    372. 

  372. ├── id_ed25519
    373. 

  373. ├── id_ed25519.pub
    374. 

  374. ├── id_rsa
    375. 

  375. ├── id_rsa.pub
    376. 

  376. ├── known_hosts
    377. 

  377. ├── mynas2
    378. 

  378. │   ├── mynas2_ed25519
    379. 

  379. │   └── mynas2_ed25519.pub
    380. 

  380. ├── mynas3
    381. 

  381. │   ├── mynas3_ed25519
    382. 

  382. │   └── mynas3_ed25519.pub
    383. 

  383. ├── ns1
    384. 

  384. │   ├── ns1_ed25519
    385. 

  385. │   └── ns1_ed25519.pub
    386. 

  386. ├── ns2
    387. 

  387. │   ├── ns2_ed25519
    388. 

  388. │   └── ns2_ed25519.pub
    389. 

  389. ├── piras
    390. 

  390. │   ├── piras_ed25519
    391. 

  391. │   └── piras_ed25519.pub
    392. 

  392. └── polis
    393. 

  393.     ├── polis_ed25519
    394. 

  394.     └── polis_ed25519.pub
    395. 

  395. </code></pre>
    396. 

  396. <p>J'ai mis l'adresse IP ; j'aurai pu mettre le nom FQDN du serveur, mais je le ferai une fois les adresses IP fixées.</p>
    397. 

  397. <p>Modifions les permissions pour qu'elles soient conformes à ce que demande SSH. (en fait, les bonnes permissions étaient déjà appliquées par la commande ssh-keygen). Si vous organisez votre structure de répertoires comme ci-dessus, ajustez les permissions comme ceci :</p>
    398. 

  398. <p>Si vous créez un répertoire nommé ~/.ssh/piras ajustez les droits du répertoire comme suit :</p>
    399. 

  399. <pre><code>chmod 700 ~/.ssh/piras
    400. 

  400. </code></pre>
    401. 

  401. <p>Et pour les clefs privées/publiques :</p>
    402. 

  402. <pre><code>chmod 600 ~/.ssh/config
    403. 

  403. chmod 600 ~/.ssh/piras/piras_ed25519
    404. 

  404. chmod 600 ~/.ssh/piras/piras_ed25519.pub
    405. 

  405. </code></pre>
    406. 

  406. <h3 id="test-de-connexion">Test de connexion</h3>
    407. 

  407. <pre><code>eric@aldebaran:~$ ssh piras
    408. 

  408. Linux piras 5.4.51+ #1333 Mon Aug 10 16:38:02 BST 2020 armv6l
    409. 

  409. 

  410. The programs included with the Debian GNU/Linux system are free software;
    411. 

  411. the exact distribution terms for each program are described in the
    412. 

  412. individual files in /usr/share/doc/*/copyright.
    413. 

  413. 

  414. Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
    415. 

  415. permitted by applicable law.
    416. 

  416. Last login: Fri Dec 11 18:49:37 2020 from 192.168.111.150
    417. 

  417. pi@piras:~ $
    418. 

  418. </code></pre>
    419. 

  419. <p>Ça marche ;)</p>
    420. 

  420. <h3 id="amelioration">Amélioration</h3>
    421. 

  421. <p>Nous allons modifier temporairement (et le re-modifierons une fois les adresses fixées) notre fichier /etc/hosts sur notre machine de travail pour pouvoir utiliser la méthode par nom plutôt que par adresse IP. Ajoutons la référence à notre raspi :</p>
    422. 

  422. <pre><code>eric@aldebaran:~$ cat /etc/hosts
    423. 

  423. 127.0.0.1    localhost
    424. 

  424. 127.0.1.1    aldebaran.yojik.net    aldebaran
    425. 

  425. 

  426. 192.168.111.32  piras.yojik.net piras
    427. 

  427. 

  428. # The following lines are desirable for IPv6 capable hosts
    429. 

  429. ::1     localhost ip6-localhost ip6-loopback
    430. 

  430. ff02::1 ip6-allnodes
    431. 

  431. ff02::2 ip6-allrouters
    432. 

  432. eric@aldebaran:~$
    433. 

  433. </code></pre>
    434. 

  434. <p>Modification de ./.ssh/config :</p>
    435. 

  435. <pre><code>eric@aldebaran:~$ cat ./.ssh/config
    436. 

  436. Host piras piras.yojik.net
    437. 

  437.     HostName piras.yojik.net
    438. 

  438.     IdentityFile ~/.ssh/piras_ed25519
    439. 

  439.     User pi
    440. 

  440. 

  441. Host adara adara.yojik.eu
    442. 

  442.     HostName adara.yojik.eu
    443. 

  443.     IdentityFile ~/.ssh/id_rsa
    444. 

  444.     User ericadmin
    445. 

  445. 

  446. eric@aldebaran:~$
    447. 

  447. </code></pre>
    448. 

  448. <p>Test :</p>
    449. 

  449. <pre><code>eric@aldebaran:~$ ssh piras
    450. 

  450. The authenticity of host 'piras.yojik.net (192.168.111.32)' can't be established.
    451. 

  451. ECDSA key fingerprint is SHA256:DjB1teyxsYAZzGBV8BIXiG5+UAb3JU5SHp7vu/xArG8.
    452. 

  452. Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
    453. 

  453. Warning: Permanently added 'piras.yojik.net' (ECDSA) to the list of known hosts.
    454. 

  454. Linux piras 5.4.51+ #1333 Mon Aug 10 16:38:02 BST 2020 armv6l
    455. 

  455. 

  456. The programs included with the Debian GNU/Linux system are free software;
    457. 

  457. the exact distribution terms for each program are described in the
    458. 

  458. individual files in /usr/share/doc/*/copyright.
    459. 

  459. 

  460. Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
    461. 

  461. permitted by applicable law.
    462. 

  462. Last login: Fri Dec 11 19:17:50 2020 from 192.168.111.150
    463. 

  463. pi@piras:~ $
    464. 

  464. </code></pre>
    465. 

  465. <p>L'adresse de notre raspi a été ajoutée au fichier ./.ssh/known_hosts</p>
    466. 

  466. <h3 id="modification-du-fichier-etcsshsshd_config">Modification du fichier /etc/ssh/sshd_config</h3>
    467. 

  467. <p>Nous allons modifier ce fichier pour plus de sécurité :</p>
    468. 

  468. <ul>
    469. 

  469. <li>pas de connexion de l'utilisateur root</li>
    470. 

  470. <li>connexion uniquement par clef (pas par login/mot de passe)</li>
    471. 

  471. <li>suppression du support des protocoles non sûrs</li>
    472. 

  472. <li>autorisation de connexion sur liste blanche</li>
    473. 

  473. <li>connexion en IPV4 et IPV6</li>
    474. 

  474. </ul>
    475. 

  475. <p>Tout d'abord, sauvegarde du répertoire <strong>/etc/ssh</strong> :</p>
    476. 

  476. <pre><code>pi@raspberrypi:/etc $ sudo cp -R ssh ssh.orig
    477. 

  477. pi@raspberrypi:/etc $
    478. 

  478. </code></pre>
    479. 

  479. <p>Ensuite, création du nouveau fichier (après installation de vim, mais vous pouvez prendre l'éditeur de votre choix, nano par exemple qui est installé par défaut):</p>
    480. 

  480. <blockquote>
    481. 

  481. <p>Pour installer vim, tapez : <strong>sudo apt install vim</strong></p>
    482. 

  482. </blockquote>
    483. 

  483. <p>Voilà une copie du fichier de conf du site <strong>troxyworld</strong> dont j'ai déjà donné les références :</p>
    484. 

  484. <pre><code># Interface &amp; Port
    485. 

  485. Port 61022
    486. 

  486. AddressFamily any
    487. 

  487. ListenAddress 0.0.0.0
    488. 

  488. ListenAddress ::
    489. 

  489. 

  490. HostKey /etc/ssh/ssh_host_ed25519_key
    491. 

  491. 

  492. Protocol 2
    493. 

  493. 

  494. SyslogFacility AUTHPRIV
    495. 

  495. LogLevel VERBOSE
    496. 

  496. 

  497. # Authentication restriction
    498. 

  498. LoginGraceTime 30s
    499. 

  499. PermitRootLogin no
    500. 

  500. StrictModes yes
    501. 

  501. MaxAuthTries 3
    502. 

  502. MaxSessions 5
    503. 

  503. 

  504. PubkeyAuthentication yes
    505. 

  505. AllowUsers hmichael
    506. 

  506. AuthorizedKeysFile  .ssh/authorized_keys .ssh/authorized_keys2
    507. 

  507. 

  508. HostbasedAuthentication no
    509. 

  509. IgnoreRhosts yes
    510. 

  510. 

  511. # To disable tunneled clear text passwords, change to no here!
    512. 

  512. PermitEmptyPasswords no
    513. 

  513. PasswordAuthentication no
    514. 

  514. 

  515. # Change to no to disable s/key passwords
    516. 

  516. ChallengeResponseAuthentication no
    517. 

  517. 

  518. UsePAM yes
    519. 

  519. 

  520. AllowAgentForwarding no
    521. 

  521. AllowTcpForwarding no
    522. 

  522. GatewayPorts no
    523. 

  523. X11Forwarding no
    524. 

  524. PermitTTY yes
    525. 

  525. PermitUserEnvironment no
    526. 

  526. PrintMotd no
    527. 

  527. PrintLastLog no
    528. 

  528. 

  529. #TCPKeepAlive yes
    530. 

  530. #PermitUserEnvironment no
    531. 

  531. #Compression delayed
    532. 

  532. #ClientAliveInterval 0
    533. 

  533. #ClientAliveCountMax 3
    534. 

  534. #ShowPatchLevel no
    535. 

  535. UseDNS yes
    536. 

  536. PidFile /var/run/sshd.pid
    537. 

  537. MaxStartups 10:30:100
    538. 

  538. PermitTunnel no
    539. 

  539. #ChrootDirectory none
    540. 

  540. VersionAddendum none
    541. 

  541. 

  542. # no default banner path
    543. 

  543. Banner none
    544. 

  544. 

  545. # Accept locale-related environment variables
    546. 

  546. AcceptEnv LANG LC_*
    547. 

  547. 

  548. # override default of no subsystems
    549. 

  549. Subsystem   sftp   /usr/libexec/openssh/sftp-server
    550. 

  550. </code></pre>
    551. 

  551. <p>Et voici une version par <strong>Synthic</strong>:</p>
    552. 

  552. <pre><code># Utilisation de la version 2 du protocole SSH
    553. 

  553. Protocol 2
    554. 

  554. # Utilisation du port 22. Il est possible de le modifier
    555. 

  555. Port 22
    556. 

  556. # Interdit à root de s'identifier
    557. 

  557. PermitRootLogin no
    558. 

  558. PermitEmptyPasswords no
    559. 

  559. # On indique ici la liste des utilisateurs ayant la permission d'utiliser SSH
    560. 

  560. AllowUsers utilisateur
    561. 

  561. # Nombre d'essais avant fermeture de la connexion
    562. 

  562. MaxAuthTries 3
    563. 

  563. UsePAM no
    564. 

  564. # Authentification par clés
    565. 

  565. PubkeyAuthentication yes
    566. 

  566. # Lieux où sont stockées les clés publiques --&gt; /home/user/.ssh/authorized_keys
    567. 

  567. AuthorizedKeysFile .ssh/authorized_keys
    568. 

  568. ChallengeResponseAuthentication yes
    569. 

  569. # Désactivation de l'authentification par mot de passe
    570. 

  570. PasswordAuthentication no
    571. 

  571. IgnoreRhosts yes
    572. 

  572. HostbasedAuthentication no
    573. 

  573. AcceptEnv LANG LC_*
    574. 

  574. Subsystem       sftp    /usr/lib/openssh/sftp-server
    575. 

  575. PrintMotd no
    576. 

  576. Ciphers aes256-ctr,aes192-ctr,aes128-ctr
    577. 

  577. X11Forwarding no
    578. 

  578. </code></pre>
    579. 

  579. <p>Voilà mon fichier de configuration, à adapter suivant vos préférences (surtout n'oubliez pas d'ajuster le <strong>user</strong> dans l'option <strong>AllowUsers</strong> à votre cas particulier)</p>
    580. 

  580. <p>Pour ma part, je vais garder le port 22 ; je le changerai peut-être plus tard.</p>
    581. 

  581. <pre><code>Protocol 2
    582. 

  582. Port 22
    583. 

  583. </code></pre>
    584. 

  584. <p>Blocage de root</p>
    585. 

  585. <pre><code>PermitRootLogin no
    586. 

  586. </code></pre>
    587. 

  587. <p>Pas de mot de passe vide</p>
    588. 

  588. <pre><code>PermitEmptyPasswords no
    589. 

  589. </code></pre>
    590. 

  590. <p>Seul l'utilisateur pi est autorisé</p>
    591. 

  591. <pre><code>AllowUsers pi
    592. 

  592. </code></pre>
    593. 

  593. <p>Connexion uniquement pas clef</p>
    594. 

  594. <pre><code>PubkeyAuthentication yes
    595. 

  595. </code></pre>
    596. 

  596. <p>Modification et limite des tentatives de connexion</p>
    597. 

  597. <pre><code>LoginGraceTime 30s
    598. 

  598. PermitRootLogin no
    599. 

  599. StrictModes yes
    600. 

  600. MaxAuthTries 3
    601. 

  601. MaxSessions 5
    602. 

  602. </code></pre>
    603. 

  603. <p>Les fichiers de clef autorisés</p>
    604. 

  604. <pre><code>AuthorizedKeysFile      .ssh/authorized_keys .ssh/authorized_keys2
    605. 

  605. </code></pre>
    606. 

  606. <p>Voici la copie du fichier complet :</p>
    607. 

  607. <pre><code>pi@raspberrypi:~ $ cat /etc/ssh/sshd_config
    608. 

  608. #   $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
    609. 

  609. 

  610. # This is the sshd server system-wide configuration file.  See
    611. 

  611. # sshd_config(5) for more information.
    612. 

  612. 

  613. # This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin
    614. 

  614. 

  615. # The strategy used for options in the default sshd_config shipped with
    616. 

  616. # OpenSSH is to specify options with their default value where
    617. 

  617. # possible, but leave them commented.  Uncommented options override the
    618. 

  618. # default value.
    619. 

  619. 

  620. Port 22
    621. 

  621. #AddressFamily any
    622. 

  622. # A décommenter après test sur sur site d'audit, car nos réglages ne permettent
    623. 

  623. # que de se connecter à partir de notre réseau local
    624. 

  624. # Si vous voulez que votre serveur soit accessible à partir de l'extérieur
    625. 

  625. # gardez les valeurs par défaut (ou les options commentées)
    626. 

  626. #ListenAddress 0.0.0.0
    627. 

  627. #ListenAddress ::
    628. 

  628. # Nouveaux réglages
    629. 

  629. # ListenAddress 192.168.111.0
    630. 

  630. # ListenAddress 2a01:e0a:d0:3c20::0
    631. 

  631. 

  632. # On ne permet que la connexion avec une clef forte
    633. 

  633. #HostKey /etc/ssh/ssh_host_rsa_key
    634. 

  634. #HostKey /etc/ssh/ssh_host_ecdsa_key
    635. 

  635. HostKey /etc/ssh/ssh_host_ed25519_key
    636. 

  636. 

  637. # Ciphers and keying
    638. 

  638. #RekeyLimit default none
    639. 

  639. 

  640. # Logging
    641. 

  641. # Modification du niveau de logging pour plus de détails
    642. 

  642. #SyslogFacility AUTH
    643. 

  643. SysLogFacility AUTHPRIV
    644. 

  644. #LogLevel INFO
    645. 

  645. LogLevel VERBOSE
    646. 

  646. 

  647. # Authentication:
    648. 

  648. 

  649. # C'est ici que l'on va ne permettre que l'accès par clef partagée
    650. 

  650. # et interdire l'accès par mot de passe
    651. 

  651. # De plus on configure le nombre d'essais et le délai de connexion
    652. 

  652. # à des valeurs plus courtes
    653. 

  653. LoginGraceTime 30s
    654. 

  654. PermitRootLogin no
    655. 

  655. StrictModes yes
    656. 

  656. MaxAuthTries 3
    657. 

  657. MaxSessions 5
    658. 

  658. 

  659. PubkeyAuthentication yes
    660. 

  660. 

  661. # Ajout d'une liste blanche d'utilisateurs autorisés à se connecter
    662. 

  662. # ici, seulement l'utilisateur pi
    663. 

  663. AllowUsers pi
    664. 

  664. 

  665. 

  666. # Expect .ssh/authorized_keys2 to be disregarded by default in future.
    667. 

  667. AuthorizedKeysFile  .ssh/authorized_keys .ssh/authorized_keys2
    668. 

  668. 

  669. #AuthorizedPrincipalsFile none
    670. 

  670. 

  671. #AuthorizedKeysCommand none
    672. 

  672. #AuthorizedKeysCommandUser nobody
    673. 

  673. 

  674. # For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
    675. 

  675. #HostbasedAuthentication no
    676. 

  676. # Change to yes if you don't trust ~/.ssh/known_hosts for
    677. 

  677. # HostbasedAuthentication
    678. 

  678. #IgnoreUserKnownHosts no
    679. 

  679. # Don't read the user's ~/.rhosts and ~/.shosts files
    680. 

  680. #IgnoreRhosts yes
    681. 

  681. 

  682. # To disable tunneled clear text passwords, change to no here!
    683. 

  683. # Interdiction de connexion pas login/mot de passe
    684. 

  684. PasswordAuthentication yes
    685. 

  685. # Interdiction de mot de passe vides
    686. 

  686. PermitEmptyPasswords no
    687. 

  687. 

  688. # Change to yes to enable challenge-response passwords (beware issues with
    689. 

  689. # some PAM modules and threads)
    690. 

  690. ChallengeResponseAuthentication no
    691. 

  691. 

  692. # Kerberos options
    693. 

  693. #KerberosAuthentication no
    694. 

  694. #KerberosOrLocalPasswd yes
    695. 

  695. #KerberosTicketCleanup yes
    696. 

  696. #KerberosGetAFSToken no
    697. 

  697. 

  698. # GSSAPI options
    699. 

  699. #GSSAPIAuthentication no
    700. 

  700. #GSSAPICleanupCredentials yes
    701. 

  701. #GSSAPIStrictAcceptorCheck yes
    702. 

  702. #GSSAPIKeyExchange no
    703. 

  703. 

  704. # Set this to 'yes' to enable PAM authentication, account processing,
    705. 

  705. # and session processing. If this is enabled, PAM authentication will
    706. 

  706. # be allowed through the ChallengeResponseAuthentication and
    707. 

  707. # PasswordAuthentication.  Depending on your PAM configuration,
    708. 

  708. # PAM authentication via ChallengeResponseAuthentication may bypass
    709. 

  709. # the setting of "PermitRootLogin without-password".
    710. 

  710. # If you just want the PAM account and session checks to run without
    711. 

  711. # PAM authentication, then enable this but set PasswordAuthentication
    712. 

  712. # and ChallengeResponseAuthentication to 'no'.
    713. 

  713. UsePAM yes
    714. 

  714. 

  715. # On va interdire le forwarding
    716. 

  716. AllowAgentForwarding no
    717. 

  717. AllowTcpForwarding no
    718. 

  718. GatewayPorts no
    719. 

  719. X11Forwarding no
    720. 

  720. #X11DisplayOffset 10
    721. 

  721. #X11UseLocalhost yes
    722. 

  722. #PermitTTY yes
    723. 

  723. # Pas de message d'acceuil de SSHD
    724. 

  724. PrintMotd no
    725. 

  725. #PrintLastLog yes
    726. 

  726. #TCPKeepAlive yes
    727. 

  727. #PermitUserEnvironment no
    728. 

  728. #Compression delayed
    729. 

  729. #ClientAliveInterval 0
    730. 

  730. #ClientAliveCountMax 3
    731. 

  731. # Utilisation du DNS
    732. 

  732. UseDNS yes
    733. 

  733. #PidFile /var/run/sshd.pid
    734. 

  734. #MaxStartups 10:30:100
    735. 

  735. #PermitTunnel no
    736. 

  736. #ChrootDirectory none
    737. 

  737. #VersionAddendum none
    738. 

  738. 

  739. # no default banner path
    740. 

  740. #Banner none
    741. 

  741. 

  742. # Allow client to pass locale environment variables
    743. 

  743. AcceptEnv LANG LC_*
    744. 

  744. 

  745. # override default of no subsystems
    746. 

  746. Subsystem   sftp    /usr/lib/openssh/sftp-server
    747. 

  747. 

  748. # Example of overriding settings on a per-user basis
    749. 

  749. #Match User anoncvs
    750. 

  750. #   X11Forwarding no
    751. 

  751. #   AllowTcpForwarding no
    752. 

  752. #   PermitTTY no
    753. 

  753. #   ForceCommand cvs server
    754. 

  754. pi@raspberrypi:~ $
    755. 

  755. </code></pre>
    756. 

  756. <p>On redémarre <strong>sshd</strong></p>
    757. 

  757. <pre><code>sudo systemctl restart sshd.service
    758. 

  758. </code></pre>
    759. 

  759. <p>On teste si le service a bien redémarré sans erreurs :</p>
    760. 

  760. <pre><code>pi@raspberrypi:~ $ sudo systemctl status sshd.service
    761. 

  761. ● ssh.service - OpenBSD Secure Shell server
    762. 

  762. Loaded: loaded (/lib/systemd/system/ssh.service; enabled; vendor preset: enabled)
    763. 

  763. Active: active (running) since Sun 2021-02-14 14:59:47 CET; 7s ago
    764. 

  764.     Docs: man:sshd(8)
    765. 

  765.         man:sshd_config(5)
    766. 

  766. Process: 523 ExecStartPre=/usr/sbin/sshd -t (code=exited, status=0/SUCCESS)
    767. 

  767. Main PID: 524 (sshd)
    768. 

  768.     Tasks: 1 (limit: 269)
    769. 

  769. CGroup: /system.slice/ssh.service
    770. 

  770.         └─524 /usr/sbin/sshd -D
    771. 

  771. 

  772. févr. 14 14:59:46 raspberrypi systemd[1]: Starting OpenBSD Secure Shell server...
    773. 

  773. févr. 14 14:59:46 raspberrypi sshd[524]: Server listening on 0.0.0.0 port 22.
    774. 

  774. févr. 14 14:59:47 raspberrypi sshd[524]: Server listening on :: port 22.
    775. 

  775. févr. 14 14:59:47 raspberrypi systemd[1]: Started OpenBSD Secure Shell server.
    776. 

  776. pi@raspberrypi:~ $
    777. 

  777. </code></pre>
    778. 

  778. <p>C'est bon.</p>
    779. 

  779. <p>Essai de connexion :</p>
    780. 

  780. <pre><code>eric@aldebaran:~$ ssh piras
    781. 

  781. The authenticity of host 'piras.yojik.net (192.168.111.170)' can't be established.
    782. 

  782. ED25519 key fingerprint is SHA256:NW70QB3uNQ1cnrTQyfXG1Lu1iTDubEv6Oak4PK+DR1k.
    783. 

  783. Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
    784. 

  784. Warning: Permanently added 'piras.yojik.net,192.168.111.170' (ED25519) to the list of known hosts.
    785. 

  785. Enter passphrase for key '/home/eric/.ssh/piras/piras_ed25519': 
    786. 

  786. Linux raspberrypi 5.10.11+ #1399 Thu Jan 28 12:02:28 GMT 2021 armv6l
    787. 

  787. 

  788. The programs included with the Debian GNU/Linux system are free software;
    789. 

  789. the exact distribution terms for each program are described in the
    790. 

  790. individual files in /usr/share/doc/*/copyright.
    791. 

  791. 

  792. Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
    793. 

  793. permitted by applicable law.
    794. 

  794. Last login: Sun Feb 14 15:02:55 2021 from 192.168.111.150
    795. 

  795. pi@raspberrypi:~ $
    796. 

  796. </code></pre>
    797. 

  797. <p>C'est bon.</p>
    798. 

  798. <p>Test sur le site d'audit :</p>
    799. 

  799. <p>Bien, après avoir effacé toutes les données personnelles de mon navigateur (données qui entraînent une erreur «The csrf token is invalid »), le test revient toujours avec une mauvaise note. D'où la suite. Les instructions pour améliorer sont également sur le site <a href="https://www.ssh-audit.com/hardening_guides.html#ubuntu_20_04_lts">SSH-Audit.com recommendations</a></p>
    800. 

  800. <p>On va sécuriser les échanges en jouant sur 3 options supplémentaires :</p>
    801. 

  801. <ul>
    802. 

  802. <li>Ciphers : Le chiffrement utilisé.</li>
    803. 

  803. <li>KexAlgorithms : Les algorithmes utilisés pour l’échange de clés.</li>
    804. 

  804. <li>MACs : Message Authentication code, c’est le code qui accompagnent les données échangées dans le but d’assurer leur intégrité pour être certain qu’elles n’ont subies aucune altération pendant/après la transmission.</li>
    805. 

  805. </ul>
    806. 

  806. <p>Voilà les étapes à suivre (reprises quasi texto des sites déjà cités) :</p>
    807. 

  807. <ul>
    808. 

  808. <li>
    809. 

  809. <p>Régénération de la clé ED25519 du serveur :</p>
    810. 

  810. <pre><code>sudo rm -f /etc/ssh/ssh_host_*
    811. 

  811. sudo ssh-keygen -t ed25519 -f /etc/ssh/ssh_host_ed25519_key -N ""
    812. 

  812. </code></pre>
    813. 

  813. </li>
    814. 

  814. <li>
    815. 

  815. <p>Retrait des moduli Diffie-Hellman faible :</p>
    816. 

  816. <pre><code>sudo awk '$5 &gt;= 3071' /etc/ssh/moduli &gt; /home/pi/moduli.safe
    817. 

  817. sudo mv -f /home/pi/moduli.safe /etc/ssh/moduli
    818. 

  818. </code></pre>
    819. 

  819. </li>
    820. 

  820. <li>
    821. 

  821. <p>Désactivation des clés DSA/ECDSA &amp; RSA si ce n’est pas déjà fait :</p>
    822. 

  822. <pre><code>sudo sed -i 's/^HostKey \/etc\/ssh\/ssh_host_\(dsa\|ecdsa\|rsa\)_key$/\#HostKey \/etc\/ssh\/ssh_host_\1_key/g' /etc/ssh/sshd_config
    823. 

  823. </code></pre>
    824. 

  824. </li>
    825. 

  825. <li>
    826. 

  826. <p>Restriction des ciphers, clés d’échange et des codes d’authentification :</p>
    827. 

  827. <p>Ajoutez ceci à la fin du fichier /etc/sshd_config:</p>
    828. 

  828. <pre><code>KexAlgorithms curve25519-sha256@libssh.org,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512
    829. 

  829. Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
    830. 

  830. MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com
    831. 

  831. </code></pre>
    832. 

  832. </li>
    833. 

  833. <li>
    834. 

  834. <p>Redémarrage de <strong>sshd</strong></p>
    835. 

  835. <p>sudo systemctl restart sshd.service</p>
    836. 

  836. </li>
    837. 

  837. </ul>
    838. 

  838. <h3 id="test-sur-le-site-ssh-audit">Test sur le site <a href="https://www.ssh-audit.com/">ssh audit</a></h3>
    839. 

  839. <p>Tout est OK ... nous sommes passés d'une note <strong>F</strong> à <strong>A+</strong>.</p>
    840. 

  840. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-03.png" /></p>
    841. 

  841. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-17.png" /></p>
    842. 

  842. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-11%2014-37-34.png" /></p>
    843. 

  843. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-24.png" /></p>
    844. 

  844. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-33.png" /></p>
    845. 

  845. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-42.png" /></p>
    846. 

  846. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-49.png" /></p>
    847. 

  847.               
    848. 

  848.             </div>
    849. 

  849.           </div>
    850. 

  850.           <footer>
    851. 

  851.   
    852. 

  852.     <div class="rst-footer-buttons" role="navigation" aria-label="footer navigation">
    853. 

  853.       
    854. 

  854.         <a href="../R%C3%A9seau/" class="btn btn-neutral float-right" title="Réseau (des IPs fixes)">Next <span class="icon icon-circle-arrow-right"></span></a>
    855. 

  855.       
    856. 

  856.       
    857. 

  857.         <a href="../Etat-des-lieux/" class="btn btn-neutral" title="État des lieux"><span class="icon icon-circle-arrow-left"></span> Previous</a>
    858. 

  858.       
    859. 

  859.     </div>
    860. 

  860.   
    861. 

  861. 

  862.   <hr/>
    863. 

  863. 

  864.   <div role="contentinfo">
    865. 

  865.     <!-- Copyright etc -->
    866. 

  866.     
    867. 

  867.   </div>
    868. 

  868. 

  869.   Built with <a href="https://www.mkdocs.org/">MkDocs</a> using a <a href="https://github.com/snide/sphinx_rtd_theme">theme</a> provided by <a href="https://readthedocs.org">Read the Docs</a>.
    870. 

  870. </footer>
    871. 

  871.       
    872. 

  872.         </div>
    873. 

  873.       </div>
    874. 

  874. 

  875.     </section>
    876. 

  876. 

  877.   </div>
    878. 

  878. 

  879.   <div class="rst-versions" role="note" aria-label="versions">
    880. 

  880.     <span class="rst-current-version" data-toggle="rst-current-version">
    881. 

  881.       
    882. 

  882.       
    883. 

  883.         <span><a href="../Etat-des-lieux/" style="color: #fcfcfc;">&laquo; Previous</a></span>
    884. 

  884.       
    885. 

  885.       
    886. 

  886.         <span style="margin-left: 15px"><a href="../R%C3%A9seau/" style="color: #fcfcfc">Next &raquo;</a></span>
    887. 

  887.       
    888. 

  888.     </span>
    889. 

  889. </div>
    890. 

  890.     <script>var base_url = '../../..';</script>
    891. 

  891.     <script src="../../../js/theme.js" defer></script>
    892. 

  892.       <script src="../../../search/main.js" defer></script>
    893. 

  893.     <script defer>
    894. 

  894.         window.onload = function () {
    895. 

  895.             SphinxRtdTheme.Navigation.enable(true);
    896. 

  896.         };
    897. 

  897.     </script>
    898. 

  898. 

  899. </body>
    900. 

  900. </html>
    901.