Home Explore Help
Sign In
eric
/
Yojik.net
1
0
Fork 0
Files Issues 0 Pull Requests 0 Wiki
Tree: 8b90efd5d3
Branches Tags
Yojik.net
/
site
/
Tutoriels
/
tutoraspi
/
Sécurisation-SSH
/
index.html

index.html 39 KB
History Raw

123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646566676869707172737475767778798081828384858687888990919293949596979899100101102103104105106107108109110111112113114115116117118119120121122123124125126127128129130131132133134135136137138139140141142143144145146147148149150151152153154155156157158159160161162163164165166167168169170171172173174175176177178179180181182183184185186187188189190191192193194195196197198199200201202203204205206207208209210211212213214215216217218219220221222223224225226227228229230231232233234235236237238239240241242243244245246247248249250251252253254255256257258259260261262263264265266267268269270271272273274275276277278279280281282283284285286287288289290291292293294295296297298299300301302303304305306307308309310311312313314315316317318319320321322323324325326327328329330331332333334335336337338339340341342343344345346347348349350351352353354355356357358359360361362363364365366367368369370371372373374375376377378379380381382383384385386387388389390391392393394395396397398399400401402403404405406407408409410411412413414415416417418419420421422423424425426427428429430431432433434435436437438439440441442443444445446447448449450451452453454455456457458459460461462463464465466467468469470471472473474475476477478479480481482483484485486487488489490491492493494495496497498499500501502503504505506507508509510511512513514515516517518519520521522523524525526527528529530531532533534535536537538539540541542543544545546547548549550551552553554555556557558559560561562563564565566567568569570571572573574575576577578579580581582583584585586587588589590591592593594595596597598599600601602603604605606607608609610611612613614615616617618619620621622623624625626627628629630631632633634635636637638639640641642643644645646647648649650651652653654655656657658659660661662663664665666667668669670671672673674675676677678679680681682683684685686687688689690691692693694695696697698699700701702703704705706707708709710711712713714715716717718719720721722723724725726727728729730731732733734735736737738739740741742743744745746747748749750751752753754755756757758759760761762763764765766767768769770771772773774775776777778779780781782783784785786787788789790791792793794795796797798799800801802803804805806807808809810811812813814815816817818819820821822823824825826827828829830831832833834835836837838839840841842843844845846847848849850851852853854855856857858859860861862863864865866867868869870871872873874875876877878879880881882883884885886887888889890891892893894895896897898899900901902903904905906907908909910911912913914915916917918919920921922923924 
  1. <!DOCTYPE html>
    2. 

  2. <!--[if IE 8]><html class="no-js lt-ie9" lang="en" > <![endif]-->
    3. 

  3. <!--[if gt IE 8]><!--> <html class="no-js" lang="en" > <!--<![endif]-->
    4. 

  4. <head>
    5. 

  5.   <meta charset="utf-8">
    6. 

  6.   <meta http-equiv="X-UA-Compatible" content="IE=edge">
    7. 

  7.   <meta name="viewport" content="width=device-width, initial-scale=1.0">
    8. 

  8.   
    9. 

  9.   
    10. 

  10.   
    11. 

  11.   <link rel="shortcut icon" href="../../../img/favicon.ico">
    12. 

  12.   <title>Sécurisation SSH - Les Tutoriels du Yojik</title>
    13. 

  13.   <link rel="stylesheet" href="../../../css/theme.css" />
    14. 

  14.   <link rel="stylesheet" href="../../../css/theme_extra.css" />
    15. 

  15.   <link rel="stylesheet" href="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/9.12.0/styles/github.min.css" />
    16. 

  16.   
    17. 

  17.   <script>
    18. 

  18.     // Current page data
    19. 

  19.     var mkdocs_page_name = "S\u00e9curisation SSH";
    20. 

  20.     var mkdocs_page_input_path = "Tutoriels/tutoraspi/S\u00e9curisation-SSH.md";
    21. 

  21.     var mkdocs_page_url = null;
    22. 

  22.   </script>
    23. 

  23.   
    24. 

  24.   <script src="../../../js/jquery-2.1.1.min.js" defer></script>
    25. 

  25.   <script src="../../../js/modernizr-2.8.3.min.js" defer></script>
    26. 

  26.   <script src="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/9.12.0/highlight.min.js"></script>
    27. 

  27.   <script>hljs.initHighlightingOnLoad();</script> 
    28. 

  28.   
    29. 

  29. </head>
    30. 

  30. 

  31. <body class="wy-body-for-nav" role="document">
    32. 

  32. 

  33.   <div class="wy-grid-for-nav">
    34. 

  34. 

  35.     
    36. 

  36.     <nav data-toggle="wy-nav-shift" class="wy-nav-side stickynav">
    37. 

  37.     <div class="wy-side-scroll">
    38. 

  38.       <div class="wy-side-nav-search">
    39. 

  39.         <a href="../../.." class="icon icon-home"> Les Tutoriels du Yojik</a>
    40. 

  40.         <div role="search">
    41. 

  41.   <form id ="rtd-search-form" class="wy-form" action="../../../search.html" method="get">
    42. 

  42.     <input type="text" name="q" placeholder="Search docs" title="Type search term here" />
    43. 

  43.   </form>
    44. 

  44. </div>
    45. 

  45.       </div>
    46. 

  46. 

  47.       <div class="wy-menu wy-menu-vertical" data-spy="affix" role="navigation" aria-label="main navigation">
    48. 

  48.                 <p class="caption"><span class="caption-text">Home</span></p>
    49. 

  49.                 <ul>
    50. 

  50.                     <li class="toctree-l1"><a class="reference internal" href="../../..">Page d'accueil</a>
    51. 

  51.                     </li>
    52. 

  52.                 </ul>
    53. 

  53.                 <p class="caption"><span class="caption-text">Tutoriels</span></p>
    54. 

  54.                 <ul class="current">
    55. 

  55.                     <li class="toctree-l1"><a class="reference internal" href="../../tutos/">Introduction</a>
    56. 

  56.                     </li>
    57. 

  57.                     <li class="toctree-l1"><a class="reference internal" href="#">Installation d'un serveur sécurisé, version Debian/Stretch (obsolète)</a>
    58. 

  58.     <ul>
    59. 

  59.                 <li class="toctree-l2"><a class="reference internal" href="../../tutostretch/tutostretch/">Présentation</a>
    60. 

  60.                 </li>
    61. 

  61.                 <li class="toctree-l2"><a class="reference internal" href="#">Installation</a>
    62. 

  62.     <ul>
    63. 

  63.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-de-base/">Installation du système de base</a>
    64. 

  64.                 </li>
    65. 

  65.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/ovh/">Démarrage sur serveur OVH</a>
    66. 

  66.                 </li>
    67. 

  67.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Premi%C3%A8re-Etape-S%C3%A9curisation/">Première étapes de sécurisation du serveur</a>
    68. 

  68.                 </li>
    69. 

  69.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Configuration-R%C3%A9seau/">Configuration du réseau</a>
    70. 

  70.                 </li>
    71. 

  71.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Serveur-Temps/">Installation d'un serveur de temps</a>
    72. 

  72.                 </li>
    73. 

  73.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Parre-Feu/">Installation d'un pare-feu</a>
    74. 

  74.                 </li>
    75. 

  75.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Fail2ban/">Contrer les attaques de brute-force avec fail2ban</a>
    76. 

  76.                 </li>
    77. 

  77.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Serveur-Courrier-Basique/">Installation d'un serveur de courrier basique</a>
    78. 

  78.                 </li>
    79. 

  79.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Serveur-DNS/">Installation du serveur DNS</a>
    80. 

  80.                 </li>
    81. 

  81.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Serveur-Web/">Installation d'un serveur web</a>
    82. 

  82.                 </li>
    83. 

  83.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Dovecot-Authentification/">Installation de dovecot et de l'authentification</a>
    84. 

  84.                 </li>
    85. 

  85.                 <li class="toctree-l3"><a class="" href="../../tutostretch/Installation-Certificats-Letsencrypt.md)">Installation des certificats letsencrypt</a>
    86. 

  86.                 </li>
    87. 

  87.                 <li class="toctree-l3"><a class="" href="../../tutostretch/courrier-SPF-DKIM-OPENDMARC.md">Ajout des enregistrements **spf**, **DKIM**, **DMARC** au fichier de zone DNS</a>
    88. 

  88.                 </li>
    89. 

  89.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Courrier-Comptes-Virtuels/">Ajout des comptes émail virtuels</a>
    90. 

  90.                 </li>
    91. 

  91.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Surveillance-Serveur/">Installation de programmes de surveillance du serveur</a>
    92. 

  92.                 </li>
    93. 

  93.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Webmail/">Installation d'un webmail (rainloop)</a>
    94. 

  94.                 </li>
    95. 

  95.                 <li class="toctree-l3"><a class="" href="../../tutostretch/Sécurisation-Serveur-Web">Sécurisation d'un serveur WEB</a>
    96. 

  96.                 </li>
    97. 

  97.     </ul>
    98. 

  98.                 </li>
    99. 

  99.     </ul>
    100. 

  100.                     </li>
    101. 

  101.                     <li class="toctree-l1"><a class="reference internal" href="#">Installation d'un serveur sécurisé, version Debian/Buster (en cours d'écriture)</a>
    102. 

  102.     <ul>
    103. 

  103.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/1-tutobuster/">Présentation</a>
    104. 

  104.                 </li>
    105. 

  105.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/2-Installation-de-base/">Installation de base</a>
    106. 

  106.                 </li>
    107. 

  107.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/3-ovh/">Démarrage sur serveur OVH</a>
    108. 

  108.                 </li>
    109. 

  109.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/4-Plan/">Plan d'ensemble</a>
    110. 

  110.                 </li>
    111. 

  111.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/5-Premi%C3%A8re-Etape-S%C3%A9curisation/">Premières étapes de sécurisation du serveur</a>
    112. 

  112.                 </li>
    113. 

  113.     </ul>
    114. 

  114.                     </li>
    115. 

  115.                     <li class="toctree-l1 current"><a class="reference internal current" href="#">Installation d'un serveur sécurisé, version Debian/Buster sur RaspberryPI</a>
    116. 

  116.     <ul class="current">
    117. 

  117.                 <li class="toctree-l2"><a class="reference internal" href="../R%C3%A9sum%C3%A9/">Résumé</a>
    118. 

  118.                 </li>
    119. 

  119.                 <li class="toctree-l2"><a class="reference internal" href="../tutoraspi/">Présentation</a>
    120. 

  120.                 </li>
    121. 

  121.                 <li class="toctree-l2"><a class="reference internal" href="../Installation-de-base/">Installation de base</a>
    122. 

  122.                 </li>
    123. 

  123.                 <li class="toctree-l2"><a class="reference internal" href="../Premier-d%C3%A9marrage/">Premier démarrage</a>
    124. 

  124.                 </li>
    125. 

  125.                 <li class="toctree-l2"><a class="reference internal" href="../Etat-des-lieux/">État des lieux</a>
    126. 

  126.                 </li>
    127. 

  127.                 <li class="toctree-l2 current"><a class="reference internal current" href="./">Sécurisation SSH</a>
    128. 

  128.     <ul class="current">
    129. 

  129.     <li class="toctree-l3"><a class="reference internal" href="#references">Références</a>
    130. 

  130.     </li>
    131. 

  131.     <li class="toctree-l3"><a class="reference internal" href="#creation-dune-clef-personnalisee">Création d'une clef personnalisée</a>
    132. 

  132.         <ul>
    133. 

  133.     <li class="toctree-l4"><a class="reference internal" href="#test-du-hostname-sur-notre-raspi">Test du hostname (sur notre raspi)</a>
    134. 

  134.     </li>
    135. 

  135.     <li class="toctree-l4"><a class="reference internal" href="#creation-de-notre-clef-personnalisee-sur-le-desktop-pas-sur-le-raspi">Création de notre clef personnalisée (sur le desktop, pas sur le raspi!)</a>
    136. 

  136.     </li>
    137. 

  137.     <li class="toctree-l4"><a class="reference internal" href="#copie-de-la-clef-sur-le-serveur">Copie de la clef sur le serveur</a>
    138. 

  138.     </li>
    139. 

  139.     <li class="toctree-l4"><a class="reference internal" href="#essai-de-connexion-avec-notre-nouvelle-clef">Essai de connexion avec notre nouvelle clef</a>
    140. 

  140.     </li>
    141. 

  141.     <li class="toctree-l4"><a class="reference internal" href="#configuration-de-ssh-sur-la-machine-de-travail">Configuration de ssh sur la machine de travail</a>
    142. 

  142.     </li>
    143. 

  143.     <li class="toctree-l4"><a class="reference internal" href="#test-de-connexion">Test de connexion</a>
    144. 

  144.     </li>
    145. 

  145.     <li class="toctree-l4"><a class="reference internal" href="#amelioration">Amélioration</a>
    146. 

  146.     </li>
    147. 

  147.     <li class="toctree-l4"><a class="reference internal" href="#modification-du-fichier-etcsshsshd_config">Modification du fichier /etc/ssh/sshd_config</a>
    148. 

  148.     </li>
    149. 

  149.     <li class="toctree-l4"><a class="reference internal" href="#test-sur-le-site-ssh-audit">Test sur le site ssh audit</a>
    150. 

  150.     </li>
    151. 

  151.         </ul>
    152. 

  152.     </li>
    153. 

  153.     </ul>
    154. 

  154.                 </li>
    155. 

  155.                 <li class="toctree-l2"><a class="reference internal" href="../R%C3%A9seau/">Réseau (des IPs fixes)</a>
    156. 

  156.                 </li>
    157. 

  157.                 <li class="toctree-l2"><a class="reference internal" href="../Knot/">Installation de Knot-resolver</a>
    158. 

  158.                 </li>
    159. 

  159.                 <li class="toctree-l2"><a class="reference internal" href="../Firewall/">Installation d'un pare-feux</a>
    160. 

  160.                 </li>
    161. 

  161.                 <li class="toctree-l2"><a class="reference internal" href="../Fail2ban/">Contrer les attaques de force brute</a>
    162. 

  162.                 </li>
    163. 

  163.                 <li class="toctree-l2"><a class="reference internal" href="../Logwatch/">Surveillance du serveur</a>
    164. 

  164.                 </li>
    165. 

  165.                 <li class="toctree-l2"><a class="reference internal" href="../Installation-courrier-basique/">Installation d'un serveur de courriers basique</a>
    166. 

  166.                 </li>
    167. 

  167.                 <li class="toctree-l2"><a class="reference internal" href="../Exemple-d-utilisation-serveur-Web/">Exemple d'utilisation avec un serveur Web</a>
    168. 

  168.                 </li>
    169. 

  169.                 <li class="toctree-l2"><a class="reference internal" href="../Annexe/">Annexe</a>
    170. 

  170.                 </li>
    171. 

  171.     </ul>
    172. 

  172.                     </li>
    173. 

  173.                     <li class="toctree-l1"><a class="reference internal" href="#">Domotique</a>
    174. 

  174.     <ul>
    175. 

  175.                 <li class="toctree-l2"><a class="reference internal" href="../../Domotique/Introduction/">Introduction</a>
    176. 

  176.                 </li>
    177. 

  177.                 <li class="toctree-l2"><a class="reference internal" href="../../Domotique/Le-mat%C3%A9riel/">Le matériel</a>
    178. 

  178.                 </li>
    179. 

  179.     </ul>
    180. 

  180.                     </li>
    181. 

  181.                     <li class="toctree-l1"><a class="reference internal" href="#">Tutoriel Anki</a>
    182. 

  182.     <ul>
    183. 

  183.                 <li class="toctree-l2"><a class="reference internal" href="../../tutoanki/Introduction/">Introduction</a>
    184. 

  184.                 </li>
    185. 

  185.                 <li class="toctree-l2"><a class="reference internal" href="../../tutoanki/Installation/">Installation</a>
    186. 

  186.                 </li>
    187. 

  187.                 <li class="toctree-l2"><a class="reference internal" href="../../tutoanki/Les-fiches/">Les fiches</a>
    188. 

  188.                 </li>
    189. 

  189.                 <li class="toctree-l2"><a class="reference internal" href="../../tutoanki/Premi%C3%A8re-utilisation/">Premières utilisations et impressions</a>
    190. 

  190.                 </li>
    191. 

  191.                 <li class="toctree-l2"><a class="reference internal" href="../../tutoanki/Personnalisation/">Personnalisation</a>
    192. 

  192.                 </li>
    193. 

  193.                 <li class="toctree-l2"><a class="reference internal" href="../../tutoanki/Cartes/">Les cartes</a>
    194. 

  194.                 </li>
    195. 

  195.     </ul>
    196. 

  196.                     </li>
    197. 

  197.                 </ul>
    198. 

  198.       </div>
    199. 

  199.     </div>
    200. 

  200.     </nav>
    201. 

  201. 

  202.     <section data-toggle="wy-nav-shift" class="wy-nav-content-wrap">
    203. 

  203. 

  204.       
    205. 

  205.       <nav class="wy-nav-top" role="navigation" aria-label="top navigation">
    206. 

  206.         <i data-toggle="wy-nav-top" class="fa fa-bars"></i>
    207. 

  207.         <a href="../../..">Les Tutoriels du Yojik</a>
    208. 

  208.       </nav>
    209. 

  209. 

  210.       
    211. 

  211.       <div class="wy-nav-content">
    212. 

  212.         <div class="rst-content">
    213. 

  213.           <div role="navigation" aria-label="breadcrumbs navigation">
    214. 

  214.   <ul class="wy-breadcrumbs">
    215. 

  215.     <li><a href="../../..">Docs</a> &raquo;</li>
    216. 

  216.     
    217. 

  217.       
    218. 

  218.         
    219. 

  219.           <li>Installation d'un serveur sécurisé, version Debian/Buster sur RaspberryPI &raquo;</li>
    220. 

  220.         
    221. 

  221.       
    222. 

  222.         
    223. 

  223.           <li>Tutoriels &raquo;</li>
    224. 

  224.         
    225. 

  225.       
    226. 

  226.     
    227. 

  227.     <li>Sécurisation SSH</li>
    228. 

  228.     <li class="wy-breadcrumbs-aside">
    229. 

  229.       
    230. 

  230.     </li>
    231. 

  231.   </ul>
    232. 

  232.   
    233. 

  233.   <hr/>
    234. 

  234. </div>
    235. 

  235.           <div role="main">
    236. 

  236.             <div class="section">
    237. 

  237.               
    238. 

  238.                 <h1 id="securisation-ssh">Sécurisation SSH</h1>
    239. 

  239. <p>Je vais baser cette partie sur plusieurs tutoriels auxquels vous voudrez bien vous référer pour avoir des explications plus poussées que celles que je vais donner.</p>
    240. 

  240. <h2 id="references">Références</h2>
    241. 

  241. <ul>
    242. 

  242. <li><a href="https://www.tronyxworld.be/2020/hardening_ssh/">Sécuriser OpenSSH</a></li>
    243. 

  243. <li><a href="https://blog.syntik.fr/comment-tester-securiser-serveur-ssh/">SSH - Comment tester et sécuriser son serveur ?</a></li>
    244. 

  244. <li><a href="https://www.cyberciti.biz/faq/create-ssh-config-file-on-linux-unix/">OpenSSH Config File Examples</a></li>
    245. 

  245. </ul>
    246. 

  246. <p>Vous pouvez trouver plein d'autres références en français ou anglais en utilisant votre moteur de recherche préféré.</p>
    247. 

  247. <h2 id="creation-dune-clef-personnalisee">Création d'une clef personnalisée</h2>
    248. 

  248. <p>Nous allons créer une clef spécifique à notre mini serveur.</p>
    249. 

  249. <p>Auparavant, nous allons vérifier le <strong>hostname</strong> de notre machine. Si vous l'avez configuré avec <strong>raspi-config</strong>, il y a de grandes chances que le résultat ne soit pas bon.</p>
    250. 

  250. <p>Sous Debian, le <strong>hostname</strong> est composé de 2 parties situées dans 2 fichiers différents.</p>
    251. 

  251. <ul>
    252. 

  252. <li>/etc/hosts (contient le nom complet, FQDN)</li>
    253. 

  253. <li>/etc/hostname (ne contient que le petit nom de la machine, sans le domaine)</li>
    254. 

  254. </ul>
    255. 

  255. <h3 id="test-du-hostname-sur-notre-raspi">Test du hostname (sur notre raspi)</h3>
    256. 

  256. <pre><code>pi@piras:~ $ hostname -f
    257. 

  257. piras.yojik.net
    258. 

  258. pi@piras:~ $ hostname
    259. 

  259. piras
    260. 

  260. pi@piras:~ $
    261. 

  261. </code></pre>
    262. 

  262. <p>Le fichier /etc/hostname ne doit contenir que le nom de la machine, pas le domaine : ici, piras, et c'est ce que renvoie la commande <strong>hostname</strong>.</p>
    263. 

  263. <pre><code>pi@piras:~ $ cat /etc/hostname
    264. 

  264. piras
    265. 

  265. pi@piras:~ $
    266. 

  266. </code></pre>
    267. 

  267. <p><strong>hostname -f</strong> renvoie le "fqdn", ou nom complet de la machine, ici, piras.yojik.net.</p>
    268. 

  268. <p>La référence complète du nom se trouve dans le fichier /etc/hosts.</p>
    269. 

  269. <pre><code>pi@piras:~ $ cat /etc/hosts
    270. 

  270. 127.0.0.1    localhost
    271. 

  271. ::1          localhost ip6-localhost ip6-loopback
    272. 

  272. ff02::1      ip6-allnodes
    273. 

  273. ff02::2      ip6-allrouters
    274. 

  274. 

  275. 127.0.1.1    piras.yojik.net piras
    276. 

  276. pi@piras:~ $
    277. 

  277. </code></pre>
    278. 

  278. <p>Pour l'instant, c'est l'adresse 127.0.1.1 qui est utilisée comme référence du nom, mais nous changerons ça dès que nous aurons configuré une adresse IPV4 et IPV6 fixe.</p>
    279. 

  279. <h3 id="creation-de-notre-clef-personnalisee-sur-le-desktop-pas-sur-le-raspi">Création de notre clef personnalisée (sur le desktop, pas sur le raspi!)</h3>
    280. 

  280. <p>Nous utiliserons la commande :</p>
    281. 

  281. <pre><code>sh-keygen -o -a 100 -t ed25519 -f ~/.ssh/piras_ed25519 -C "clef SSH de l'utilisateur pi du Raspi"
    282. 

  282. </code></pre>
    283. 

  283. <ul>
    284. 

  284. <li>-o : Sauvegarde votre clé dans le nouveau format openssh au lieu de l’ancien format PEM</li>
    285. 

  285. <li>-C : insertion d'un commentaire (ce que vous voulez, votre adresse émail ...).</li>
    286. 

  286. <li>-f : nom du fichier à produire</li>
    287. 

  287. <li>-a : le nombre de tours de la clef de dérivation (plus il est élevé, plus il est difficile de la craquer en force brute, mais aussi plus c'est lent)  <pre><code>eric@aldebaran:~$ ssh-keygen -o -a 100 -t ed25519 -f ~/.ssh/piras_ed25519 -C "eric@yojik.eu"
    288. 

  288. Generating public/private ed25519 key pair.
    289. 

  289. Enter passphrase (empty for no passphrase):
    290. 

  290. Enter same passphrase again:
    291. 

  291. Your identification has been saved in /home/eric/.ssh/piras_ed25519
    292. 

  292. Your public key has been saved in /home/eric/.ssh/piras_ed25519.pub
    293. 

  293. The key fingerprint is:
    294. 

  294. SHA256:yyDsyczL9W1QTTn9d5o0hwZ5A0bdMnCJgK9cniCeR0c eric@yojik.eu
    295. 

  295. The key's randomart image is:
    296. 

  296. +--[ED25519 256]--+
    297. 

  297. |         ..o=O.o |
    298. 

  298. |        . E.B.O .|
    299. 

  299. |         o o + * |
    300. 

  300. |   .  . o = . = =|
    301. 

  301. |    o..=SB . o =o|
    302. 

  302. |   = ooo=.o   o  |
    303. 

  303. |    * ..o.       |
    304. 

  304. |   . o . ..      |
    305. 

  305. |    o   ...      |
    306. 

  306. +----[SHA256]-----+
    307. 

  307. </code></pre>
    308. 

  308. </li>
    309. 

  309. </ul>
    310. 

  310. <p>Si vous allez dans ./.ssh, vous trouverez ceci :</p>
    311. 

  311. <pre><code>eric@aldebaran:~/.ssh$ ls -l
    312. 

  312. total 44
    313. 

  313. -rw------- 1 eric eric  751  7 avril  2011 id_dsa
    314. 

  314. -rw-r--r-- 1 eric eric  604  7 avril  2011 id_dsa.pub
    315. 

  315. -rw------- 1 eric eric 1766  1 avril  2013 id_rsa
    316. 

  316. -rw-r--r-- 1 eric eric  396  1 avril  2013 id_rsa.pub
    317. 

  317. -rw-r--r-- 1 eric eric 3728 29 nov.  12:20 known_hosts
    318. 

  318. -rw------- 1 eric eric  444 11 déc.  18:17 piras_ed25519
    319. 

  319. -rw-r--r-- 1 eric eric   95 11 déc.  18:17 piras_ed25519.pub
    320. 

  320. eric@aldebaran:~/.ssh$
    321. 

  321. </code></pre>
    322. 

  322. <p>Nous voyons les clefs privées et publiques que nous avons créées. (ainsi que d'anciennes clefs ...) Vérifiez les permissions, mais normalement les commandes ci-dessus les attribuent comme attendu (voir plus bas).</p>
    323. 

  323. <h3 id="copie-de-la-clef-sur-le-serveur">Copie de la clef sur le serveur</h3>
    324. 

  324. <p>Nous utiliserons la commande : <strong>ssh-copy-id</strong></p>
    325. 

  325. <pre><code>eric@aldebaran:~$ ssh-copy-id -i ~/.ssh/piras_ed25519.pub pi@192.168.111.32
    326. 

  326. /usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/home/eric/.ssh/piras_ed25519.pub"
    327. 

  327. /usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
    328. 

  328. /usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
    329. 

  329. pi@192.168.111.32's password:
    330. 

  330. 

  331. Number of key(s) added: 1
    332. 

  332. 

  333. Now try logging into the machine, with:   "ssh 'pi@192.168.111.32'"
    334. 

  334. and check to make sure that only the key(s) you wanted were added.
    335. 

  335. 

  336. eric@aldebaran:~$
    337. 

  337. </code></pre>
    338. 

  338. <p>Vérifions la présence de notre clef sur notre raspi, dans le fichier authorized_keys :</p>
    339. 

  339. <pre><code>pi@piras:~/.ssh $ cat authorized_keys 
    340. 

  340. ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIAdDDO3ni4DHIxqfRaNZ4SBudrSlRoQjLm/fd2SSjxtM eric@yojik.eu
    341. 

  341. pi@piras:~/.ssh $
    342. 

  342. </code></pre>
    343. 

  343. <p>C'est bon, elle est là !</p>
    344. 

  344. <h3 id="essai-de-connexion-avec-notre-nouvelle-clef">Essai de connexion avec notre nouvelle clef</h3>
    345. 

  345. <pre><code>eric@aldebaran:~$ ssh -i ~/.ssh/piras_ed25519 'pi@192.168.111.32'
    346. 

  346. Linux piras 5.4.51+ #1333 Mon Aug 10 16:38:02 BST 2020 armv6l
    347. 

  347. 

  348. The programs included with the Debian GNU/Linux system are free software;
    349. 

  349. the exact distribution terms for each program are described in the
    350. 

  350. individual files in /usr/share/doc/*/copyright.
    351. 

  351. 

  352. Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
    353. 

  353. permitted by applicable law.
    354. 

  354. Last login: Fri Dec 11 18:46:55 2020 from 192.168.111.150
    355. 

  355. pi@piras:~ $
    356. 

  356. </code></pre>
    357. 

  357. <p>ça marche ... j'ai précisé la clef <strong>SSH</strong> à utiliser avec l'option <strong>-i nom_de_la_clef</strong>.</p>
    358. 

  358. <h3 id="configuration-de-ssh-sur-la-machine-de-travail">Configuration de ssh sur la machine de travail</h3>
    359. 

  359. <p>Je possède plusieurs clefs qui sont spécifiques à certains serveurs (ceux dans ma cave, et ceux sur internet). Nous allons rajouter une configuration pour permettre la sélection automatique de la bonne clef pour chaque serveur.</p>
    360. 

  360. <p>Cela se fait dans le fichier ~/.ssh/config</p>
    361. 

  361. <p>Le schéma à utiliser est le suivant :</p>
    362. 

  362. <pre><code>eric@aldebaran:~$ cat ./.ssh/config
    363. 

  363. Host piras piras.yojik.net
    364. 

  364.     HostName 192.168.111.32
    365. 

  365.     IdentityFile ~/.ssh/piras_ed25519
    366. 

  366.     User pi
    367. 

  367. 

  368. Host adara adara.yojik.eu
    369. 

  369.     HostName adara.yojik.eu
    370. 

  370.     IdentityFile ~/.ssh/id_rsa
    371. 

  371.     User ericadmin
    372. 

  372. 

  373. eric@aldebaran:~$
    374. 

  374. </code></pre>
    375. 

  375. <p>Cela me permet de me connecter avec la commande :</p>
    376. 

  376. <pre><code>ssh piras
    377. 

  377. </code></pre>
    378. 

  378. <p>Voilà à quoi ressemble mon répertoire <strong>~/.ssh</strong> :</p>
    379. 

  379. <pre><code>eric@aldebaran:~$ tree .ssh
    380. 

  380. .ssh
    381. 

  381. ├── adara
    382. 

  382. │   ├── adara_ed25519
    383. 

  383. │   └── adara_ed25519.pub
    384. 

  384. ├── aijan
    385. 

  385. │   ├── aijan_ed25519
    386. 

  386. │   └── aijan_ed25519.pub
    387. 

  387. ├── alya
    388. 

  388. │   ├── alya_ed25519
    389. 

  389. │   └── alya_ed25519.pub
    390. 

  390. ├── atom
    391. 

  391. │   ├── atom_ed25519
    392. 

  392. │   └── atom_ed25519.pub
    393. 

  393. ├── config
    394. 

  394. ├── id_dsa
    395. 

  395. ├── id_dsa.pub
    396. 

  396. ├── id_ed25519
    397. 

  397. ├── id_ed25519.pub
    398. 

  398. ├── id_rsa
    399. 

  399. ├── id_rsa.pub
    400. 

  400. ├── known_hosts
    401. 

  401. ├── mynas2
    402. 

  402. │   ├── mynas2_ed25519
    403. 

  403. │   └── mynas2_ed25519.pub
    404. 

  404. ├── mynas3
    405. 

  405. │   ├── mynas3_ed25519
    406. 

  406. │   └── mynas3_ed25519.pub
    407. 

  407. ├── ns1
    408. 

  408. │   ├── ns1_ed25519
    409. 

  409. │   └── ns1_ed25519.pub
    410. 

  410. ├── ns2
    411. 

  411. │   ├── ns2_ed25519
    412. 

  412. │   └── ns2_ed25519.pub
    413. 

  413. ├── piras
    414. 

  414. │   ├── piras_ed25519
    415. 

  415. │   └── piras_ed25519.pub
    416. 

  416. └── polis
    417. 

  417.     ├── polis_ed25519
    418. 

  418.     └── polis_ed25519.pub
    419. 

  419. </code></pre>
    420. 

  420. <p>J'ai mis l'adresse IP ; j'aurai pu mettre le nom FQDN du serveur, mais je le ferai une fois les adresses IP fixées.</p>
    421. 

  421. <p>Modifions les permissions pour qu'elles soient conformes à ce que demande SSH. (en fait, les bonnes permissions étaient déjà appliquées par la commande ssh-keygen). Si vous organisez votre structure de répertoires comme ci-dessus, ajustez les permissions comme ceci :</p>
    422. 

  422. <p>Si vous créez un répertoire nommé ~/.ssh/piras ajustez les droits du répertoire comme suit :</p>
    423. 

  423. <pre><code>chmod 700 ~/.ssh/piras
    424. 

  424. </code></pre>
    425. 

  425. <p>Et pour les clefs privées/publiques :</p>
    426. 

  426. <pre><code>chmod 600 ~/.ssh/config
    427. 

  427. chmod 600 ~/.ssh/piras/piras_ed25519
    428. 

  428. chmod 600 ~/.ssh/piras/piras_ed25519.pub
    429. 

  429. </code></pre>
    430. 

  430. <h3 id="test-de-connexion">Test de connexion</h3>
    431. 

  431. <pre><code>eric@aldebaran:~$ ssh piras
    432. 

  432. Linux piras 5.4.51+ #1333 Mon Aug 10 16:38:02 BST 2020 armv6l
    433. 

  433. 

  434. The programs included with the Debian GNU/Linux system are free software;
    435. 

  435. the exact distribution terms for each program are described in the
    436. 

  436. individual files in /usr/share/doc/*/copyright.
    437. 

  437. 

  438. Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
    439. 

  439. permitted by applicable law.
    440. 

  440. Last login: Fri Dec 11 18:49:37 2020 from 192.168.111.150
    441. 

  441. pi@piras:~ $
    442. 

  442. </code></pre>
    443. 

  443. <p>Ça marche ;)</p>
    444. 

  444. <h3 id="amelioration">Amélioration</h3>
    445. 

  445. <p>Nous allons modifier temporairement (et le re-modifierons une fois les adresses fixées) notre fichier /etc/hosts sur notre machine de travail pour pouvoir utiliser la méthode par nom plutôt que par adresse IP. Ajoutons la référence à notre raspi :</p>
    446. 

  446. <pre><code>eric@aldebaran:~$ cat /etc/hosts
    447. 

  447. 127.0.0.1    localhost
    448. 

  448. 127.0.1.1    aldebaran.yojik.net    aldebaran
    449. 

  449. 

  450. 192.168.111.32  piras.yojik.net piras
    451. 

  451. 

  452. # The following lines are desirable for IPv6 capable hosts
    453. 

  453. ::1     localhost ip6-localhost ip6-loopback
    454. 

  454. ff02::1 ip6-allnodes
    455. 

  455. ff02::2 ip6-allrouters
    456. 

  456. eric@aldebaran:~$
    457. 

  457. </code></pre>
    458. 

  458. <p>Modification de ./.ssh/config :</p>
    459. 

  459. <pre><code>eric@aldebaran:~$ cat ./.ssh/config
    460. 

  460. Host piras piras.yojik.net
    461. 

  461.     HostName piras.yojik.net
    462. 

  462.     IdentityFile ~/.ssh/piras_ed25519
    463. 

  463.     User pi
    464. 

  464. 

  465. Host adara adara.yojik.eu
    466. 

  466.     HostName adara.yojik.eu
    467. 

  467.     IdentityFile ~/.ssh/id_rsa
    468. 

  468.     User ericadmin
    469. 

  469. 

  470. eric@aldebaran:~$
    471. 

  471. </code></pre>
    472. 

  472. <p>Test :</p>
    473. 

  473. <pre><code>eric@aldebaran:~$ ssh piras
    474. 

  474. The authenticity of host 'piras.yojik.net (192.168.111.32)' can't be established.
    475. 

  475. ECDSA key fingerprint is SHA256:DjB1teyxsYAZzGBV8BIXiG5+UAb3JU5SHp7vu/xArG8.
    476. 

  476. Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
    477. 

  477. Warning: Permanently added 'piras.yojik.net' (ECDSA) to the list of known hosts.
    478. 

  478. Linux piras 5.4.51+ #1333 Mon Aug 10 16:38:02 BST 2020 armv6l
    479. 

  479. 

  480. The programs included with the Debian GNU/Linux system are free software;
    481. 

  481. the exact distribution terms for each program are described in the
    482. 

  482. individual files in /usr/share/doc/*/copyright.
    483. 

  483. 

  484. Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
    485. 

  485. permitted by applicable law.
    486. 

  486. Last login: Fri Dec 11 19:17:50 2020 from 192.168.111.150
    487. 

  487. pi@piras:~ $
    488. 

  488. </code></pre>
    489. 

  489. <p>L'adresse de notre raspi a été ajoutée au fichier ./.ssh/known_hosts</p>
    490. 

  490. <h3 id="modification-du-fichier-etcsshsshd_config">Modification du fichier /etc/ssh/sshd_config</h3>
    491. 

  491. <p>Nous allons modifier ce fichier pour plus de sécurité :</p>
    492. 

  492. <ul>
    493. 

  493. <li>pas de connexion de l'utilisateur root</li>
    494. 

  494. <li>connexion uniquement par clef (pas par login/mot de passe)</li>
    495. 

  495. <li>suppression du support des protocoles non sûrs</li>
    496. 

  496. <li>autorisation de connexion sur liste blanche</li>
    497. 

  497. <li>connexion en IPV4 et IPV6</li>
    498. 

  498. </ul>
    499. 

  499. <p>Tout d'abord, sauvegarde du répertoire <strong>/etc/ssh</strong> :</p>
    500. 

  500. <pre><code>pi@raspberrypi:/etc $ sudo cp -R ssh ssh.orig
    501. 

  501. pi@raspberrypi:/etc $
    502. 

  502. </code></pre>
    503. 

  503. <p>Ensuite, création du nouveau fichier (après installation de vim, mais vous pouvez prendre l'éditeur de votre choix, nano par exemple qui est installé par défaut):</p>
    504. 

  504. <blockquote>
    505. 

  505. <p>Pour installer vim, tapez : <strong>sudo apt install vim</strong></p>
    506. 

  506. </blockquote>
    507. 

  507. <p>Voilà une copie du fichier de conf du site <strong>troxyworld</strong> dont j'ai déjà donné les références :</p>
    508. 

  508. <pre><code># Interface &amp; Port
    509. 

  509. Port 61022
    510. 

  510. AddressFamily any
    511. 

  511. ListenAddress 0.0.0.0
    512. 

  512. ListenAddress ::
    513. 

  513. 

  514. HostKey /etc/ssh/ssh_host_ed25519_key
    515. 

  515. 

  516. Protocol 2
    517. 

  517. 

  518. SyslogFacility AUTHPRIV
    519. 

  519. LogLevel VERBOSE
    520. 

  520. 

  521. # Authentication restriction
    522. 

  522. LoginGraceTime 30s
    523. 

  523. PermitRootLogin no
    524. 

  524. StrictModes yes
    525. 

  525. MaxAuthTries 3
    526. 

  526. MaxSessions 5
    527. 

  527. 

  528. PubkeyAuthentication yes
    529. 

  529. AllowUsers hmichael
    530. 

  530. AuthorizedKeysFile  .ssh/authorized_keys .ssh/authorized_keys2
    531. 

  531. 

  532. HostbasedAuthentication no
    533. 

  533. IgnoreRhosts yes
    534. 

  534. 

  535. # To disable tunneled clear text passwords, change to no here!
    536. 

  536. PermitEmptyPasswords no
    537. 

  537. PasswordAuthentication no
    538. 

  538. 

  539. # Change to no to disable s/key passwords
    540. 

  540. ChallengeResponseAuthentication no
    541. 

  541. 

  542. UsePAM yes
    543. 

  543. 

  544. AllowAgentForwarding no
    545. 

  545. AllowTcpForwarding no
    546. 

  546. GatewayPorts no
    547. 

  547. X11Forwarding no
    548. 

  548. PermitTTY yes
    549. 

  549. PermitUserEnvironment no
    550. 

  550. PrintMotd no
    551. 

  551. PrintLastLog no
    552. 

  552. 

  553. #TCPKeepAlive yes
    554. 

  554. #PermitUserEnvironment no
    555. 

  555. #Compression delayed
    556. 

  556. #ClientAliveInterval 0
    557. 

  557. #ClientAliveCountMax 3
    558. 

  558. #ShowPatchLevel no
    559. 

  559. UseDNS yes
    560. 

  560. PidFile /var/run/sshd.pid
    561. 

  561. MaxStartups 10:30:100
    562. 

  562. PermitTunnel no
    563. 

  563. #ChrootDirectory none
    564. 

  564. VersionAddendum none
    565. 

  565. 

  566. # no default banner path
    567. 

  567. Banner none
    568. 

  568. 

  569. # Accept locale-related environment variables
    570. 

  570. AcceptEnv LANG LC_*
    571. 

  571. 

  572. # override default of no subsystems
    573. 

  573. Subsystem   sftp   /usr/libexec/openssh/sftp-server
    574. 

  574. </code></pre>
    575. 

  575. <p>Et voici une version par <strong>Synthic</strong>:</p>
    576. 

  576. <pre><code># Utilisation de la version 2 du protocole SSH
    577. 

  577. Protocol 2
    578. 

  578. # Utilisation du port 22. Il est possible de le modifier
    579. 

  579. Port 22
    580. 

  580. # Interdit à root de s'identifier
    581. 

  581. PermitRootLogin no
    582. 

  582. PermitEmptyPasswords no
    583. 

  583. # On indique ici la liste des utilisateurs ayant la permission d'utiliser SSH
    584. 

  584. AllowUsers utilisateur
    585. 

  585. # Nombre d'essais avant fermeture de la connexion
    586. 

  586. MaxAuthTries 3
    587. 

  587. UsePAM no
    588. 

  588. # Authentification par clés
    589. 

  589. PubkeyAuthentication yes
    590. 

  590. # Lieux où sont stockées les clés publiques --&gt; /home/user/.ssh/authorized_keys
    591. 

  591. AuthorizedKeysFile .ssh/authorized_keys
    592. 

  592. ChallengeResponseAuthentication yes
    593. 

  593. # Désactivation de l'authentification par mot de passe
    594. 

  594. PasswordAuthentication no
    595. 

  595. IgnoreRhosts yes
    596. 

  596. HostbasedAuthentication no
    597. 

  597. AcceptEnv LANG LC_*
    598. 

  598. Subsystem       sftp    /usr/lib/openssh/sftp-server
    599. 

  599. PrintMotd no
    600. 

  600. Ciphers aes256-ctr,aes192-ctr,aes128-ctr
    601. 

  601. X11Forwarding no
    602. 

  602. </code></pre>
    603. 

  603. <p>Voilà mon fichier de configuration, à adapter suivant vos préférences (surtout n'oubliez pas d'ajuster le <strong>user</strong> dans l'option <strong>AllowUsers</strong> à votre cas particulier)</p>
    604. 

  604. <p>Pour ma part, je vais garder le port 22 ; je le changerai peut-être plus tard.</p>
    605. 

  605. <pre><code>Protocol 2
    606. 

  606. Port 22
    607. 

  607. </code></pre>
    608. 

  608. <p>Blocage de root</p>
    609. 

  609. <pre><code>PermitRootLogin no
    610. 

  610. </code></pre>
    611. 

  611. <p>Pas de mot de passe vide</p>
    612. 

  612. <pre><code>PermitEmptyPasswords no
    613. 

  613. </code></pre>
    614. 

  614. <p>Seul l'utilisateur pi est autorisé</p>
    615. 

  615. <pre><code>AllowUsers pi
    616. 

  616. </code></pre>
    617. 

  617. <p>Connexion uniquement pas clef</p>
    618. 

  618. <pre><code>PubkeyAuthentication yes
    619. 

  619. </code></pre>
    620. 

  620. <p>Modification et limite des tentatives de connexion</p>
    621. 

  621. <pre><code>LoginGraceTime 30s
    622. 

  622. PermitRootLogin no
    623. 

  623. StrictModes yes
    624. 

  624. MaxAuthTries 3
    625. 

  625. MaxSessions 5
    626. 

  626. </code></pre>
    627. 

  627. <p>Les fichiers de clef autorisés</p>
    628. 

  628. <pre><code>AuthorizedKeysFile      .ssh/authorized_keys .ssh/authorized_keys2
    629. 

  629. </code></pre>
    630. 

  630. <p>Voici la copie du fichier complet :</p>
    631. 

  631. <pre><code>pi@raspberrypi:~ $ cat /etc/ssh/sshd_config
    632. 

  632. #   $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
    633. 

  633. 

  634. # This is the sshd server system-wide configuration file.  See
    635. 

  635. # sshd_config(5) for more information.
    636. 

  636. 

  637. # This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin
    638. 

  638. 

  639. # The strategy used for options in the default sshd_config shipped with
    640. 

  640. # OpenSSH is to specify options with their default value where
    641. 

  641. # possible, but leave them commented.  Uncommented options override the
    642. 

  642. # default value.
    643. 

  643. 

  644. Port 22
    645. 

  645. #AddressFamily any
    646. 

  646. # A décommenter après test sur sur site d'audit, car nos réglages ne permettent
    647. 

  647. # que de se connecter à partir de notre réseau local
    648. 

  648. # Si vous voulez que votre serveur soit accessible à partir de l'extérieur
    649. 

  649. # gardez les valeurs par défaut (ou les options commentées)
    650. 

  650. #ListenAddress 0.0.0.0
    651. 

  651. #ListenAddress ::
    652. 

  652. # Nouveaux réglages
    653. 

  653. # ListenAddress 192.168.111.0
    654. 

  654. # ListenAddress 2a01:e0a:d0:3c20::0
    655. 

  655. 

  656. # On ne permet que la connexion avec une clef forte
    657. 

  657. #HostKey /etc/ssh/ssh_host_rsa_key
    658. 

  658. #HostKey /etc/ssh/ssh_host_ecdsa_key
    659. 

  659. HostKey /etc/ssh/ssh_host_ed25519_key
    660. 

  660. 

  661. # Ciphers and keying
    662. 

  662. #RekeyLimit default none
    663. 

  663. 

  664. # Logging
    665. 

  665. # Modification du niveau de logging pour plus de détails
    666. 

  666. #SyslogFacility AUTH
    667. 

  667. SysLogFacility AUTHPRIV
    668. 

  668. #LogLevel INFO
    669. 

  669. LogLevel VERBOSE
    670. 

  670. 

  671. # Authentication:
    672. 

  672. 

  673. # C'est ici que l'on va ne permettre que l'accès par clef partagée
    674. 

  674. # et interdire l'accès par mot de passe
    675. 

  675. # De plus on configure le nombre d'essais et le délai de connexion
    676. 

  676. # à des valeurs plus courtes
    677. 

  677. LoginGraceTime 30s
    678. 

  678. PermitRootLogin no
    679. 

  679. StrictModes yes
    680. 

  680. MaxAuthTries 3
    681. 

  681. MaxSessions 5
    682. 

  682. 

  683. PubkeyAuthentication yes
    684. 

  684. 

  685. # Ajout d'une liste blanche d'utilisateurs autorisés à se connecter
    686. 

  686. # ici, seulement l'utilisateur pi
    687. 

  687. AllowUsers pi
    688. 

  688. 

  689. 

  690. # Expect .ssh/authorized_keys2 to be disregarded by default in future.
    691. 

  691. AuthorizedKeysFile  .ssh/authorized_keys .ssh/authorized_keys2
    692. 

  692. 

  693. #AuthorizedPrincipalsFile none
    694. 

  694. 

  695. #AuthorizedKeysCommand none
    696. 

  696. #AuthorizedKeysCommandUser nobody
    697. 

  697. 

  698. # For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
    699. 

  699. #HostbasedAuthentication no
    700. 

  700. # Change to yes if you don't trust ~/.ssh/known_hosts for
    701. 

  701. # HostbasedAuthentication
    702. 

  702. #IgnoreUserKnownHosts no
    703. 

  703. # Don't read the user's ~/.rhosts and ~/.shosts files
    704. 

  704. #IgnoreRhosts yes
    705. 

  705. 

  706. # To disable tunneled clear text passwords, change to no here!
    707. 

  707. # Interdiction de connexion pas login/mot de passe
    708. 

  708. PasswordAuthentication no
    709. 

  709. # Interdiction de mot de passe vides
    710. 

  710. PermitEmptyPasswords no
    711. 

  711. 

  712. # Change to yes to enable challenge-response passwords (beware issues with
    713. 

  713. # some PAM modules and threads)
    714. 

  714. ChallengeResponseAuthentication no
    715. 

  715. 

  716. # Kerberos options
    717. 

  717. #KerberosAuthentication no
    718. 

  718. #KerberosOrLocalPasswd yes
    719. 

  719. #KerberosTicketCleanup yes
    720. 

  720. #KerberosGetAFSToken no
    721. 

  721. 

  722. # GSSAPI options
    723. 

  723. #GSSAPIAuthentication no
    724. 

  724. #GSSAPICleanupCredentials yes
    725. 

  725. #GSSAPIStrictAcceptorCheck yes
    726. 

  726. #GSSAPIKeyExchange no
    727. 

  727. 

  728. # Set this to 'yes' to enable PAM authentication, account processing,
    729. 

  729. # and session processing. If this is enabled, PAM authentication will
    730. 

  730. # be allowed through the ChallengeResponseAuthentication and
    731. 

  731. # PasswordAuthentication.  Depending on your PAM configuration,
    732. 

  732. # PAM authentication via ChallengeResponseAuthentication may bypass
    733. 

  733. # the setting of "PermitRootLogin without-password".
    734. 

  734. # If you just want the PAM account and session checks to run without
    735. 

  735. # PAM authentication, then enable this but set PasswordAuthentication
    736. 

  736. # and ChallengeResponseAuthentication to 'no'.
    737. 

  737. UsePAM yes
    738. 

  738. 

  739. # On va interdire le forwarding
    740. 

  740. AllowAgentForwarding no
    741. 

  741. AllowTcpForwarding no
    742. 

  742. GatewayPorts no
    743. 

  743. X11Forwarding no
    744. 

  744. #X11DisplayOffset 10
    745. 

  745. #X11UseLocalhost yes
    746. 

  746. #PermitTTY yes
    747. 

  747. # Pas de message d'acceuil de SSHD
    748. 

  748. PrintMotd no
    749. 

  749. #PrintLastLog yes
    750. 

  750. #TCPKeepAlive yes
    751. 

  751. #PermitUserEnvironment no
    752. 

  752. #Compression delayed
    753. 

  753. #ClientAliveInterval 0
    754. 

  754. #ClientAliveCountMax 3
    755. 

  755. # Utilisation du DNS
    756. 

  756. UseDNS yes
    757. 

  757. #PidFile /var/run/sshd.pid
    758. 

  758. #MaxStartups 10:30:100
    759. 

  759. #PermitTunnel no
    760. 

  760. #ChrootDirectory none
    761. 

  761. #VersionAddendum none
    762. 

  762. 

  763. # no default banner path
    764. 

  764. Banner none
    765. 

  765. 

  766. # Allow client to pass locale environment variables
    767. 

  767. AcceptEnv LANG LC_*
    768. 

  768. 

  769. # override default of no subsystems
    770. 

  770. Subsystem   sftp    /usr/lib/openssh/sftp-server
    771. 

  771. 

  772. # Example of overriding settings on a per-user basis
    773. 

  773. #Match User anoncvs
    774. 

  774. #   X11Forwarding no
    775. 

  775. #   AllowTcpForwarding no
    776. 

  776. #   PermitTTY no
    777. 

  777. #   ForceCommand cvs server
    778. 

  778. pi@raspberrypi:~ $
    779. 

  779. </code></pre>
    780. 

  780. <p>On redémarre <strong>sshd</strong></p>
    781. 

  781. <pre><code>sudo systemctl restart sshd.service
    782. 

  782. </code></pre>
    783. 

  783. <p>On teste si le service a bien redémarré sans erreurs :</p>
    784. 

  784. <pre><code>pi@raspberrypi:~ $ sudo systemctl status sshd.service
    785. 

  785. ● ssh.service - OpenBSD Secure Shell server
    786. 

  786. Loaded: loaded (/lib/systemd/system/ssh.service; enabled; vendor preset: enabled)
    787. 

  787. Active: active (running) since Sun 2021-02-14 14:59:47 CET; 7s ago
    788. 

  788.     Docs: man:sshd(8)
    789. 

  789.         man:sshd_config(5)
    790. 

  790. Process: 523 ExecStartPre=/usr/sbin/sshd -t (code=exited, status=0/SUCCESS)
    791. 

  791. Main PID: 524 (sshd)
    792. 

  792.     Tasks: 1 (limit: 269)
    793. 

  793. CGroup: /system.slice/ssh.service
    794. 

  794.         └─524 /usr/sbin/sshd -D
    795. 

  795. 

  796. févr. 14 14:59:46 raspberrypi systemd[1]: Starting OpenBSD Secure Shell server...
    797. 

  797. févr. 14 14:59:46 raspberrypi sshd[524]: Server listening on 0.0.0.0 port 22.
    798. 

  798. févr. 14 14:59:47 raspberrypi sshd[524]: Server listening on :: port 22.
    799. 

  799. févr. 14 14:59:47 raspberrypi systemd[1]: Started OpenBSD Secure Shell server.
    800. 

  800. pi@raspberrypi:~ $
    801. 

  801. </code></pre>
    802. 

  802. <p>C'est bon.</p>
    803. 

  803. <p>Essai de connexion :</p>
    804. 

  804. <pre><code>eric@aldebaran:~$ ssh piras
    805. 

  805. The authenticity of host 'piras.yojik.net (192.168.111.170)' can't be established.
    806. 

  806. ED25519 key fingerprint is SHA256:NW70QB3uNQ1cnrTQyfXG1Lu1iTDubEv6Oak4PK+DR1k.
    807. 

  807. Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
    808. 

  808. Warning: Permanently added 'piras.yojik.net,192.168.111.170' (ED25519) to the list of known hosts.
    809. 

  809. Enter passphrase for key '/home/eric/.ssh/piras/piras_ed25519': 
    810. 

  810. Linux raspberrypi 5.10.11+ #1399 Thu Jan 28 12:02:28 GMT 2021 armv6l
    811. 

  811. 

  812. The programs included with the Debian GNU/Linux system are free software;
    813. 

  813. the exact distribution terms for each program are described in the
    814. 

  814. individual files in /usr/share/doc/*/copyright.
    815. 

  815. 

  816. Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
    817. 

  817. permitted by applicable law.
    818. 

  818. Last login: Sun Feb 14 15:02:55 2021 from 192.168.111.150
    819. 

  819. pi@raspberrypi:~ $
    820. 

  820. </code></pre>
    821. 

  821. <p>C'est bon.</p>
    822. 

  822. <p>Test sur le site d'audit :</p>
    823. 

  823. <p>Bien, après avoir effacé toutes les données personnelles de mon navigateur (données qui entraînent une erreur «The csrf token is invalid »), le test revient toujours avec une mauvaise note. D'où la suite. Les instructions pour améliorer sont également sur le site <a href="https://www.ssh-audit.com/hardening_guides.html#ubuntu_20_04_lts">SSH-Audit.com recommendations</a></p>
    824. 

  824. <p>On va sécuriser les échanges en jouant sur 3 options supplémentaires :</p>
    825. 

  825. <ul>
    826. 

  826. <li>Ciphers : Le chiffrement utilisé.</li>
    827. 

  827. <li>KexAlgorithms : Les algorithmes utilisés pour l’échange de clés.</li>
    828. 

  828. <li>MACs : Message Authentication code, c’est le code qui accompagnent les données échangées dans le but d’assurer leur intégrité pour être certain qu’elles n’ont subies aucune altération pendant/après la transmission.</li>
    829. 

  829. </ul>
    830. 

  830. <p>Voilà les étapes à suivre (reprises quasi texto des sites déjà cités) :</p>
    831. 

  831. <ul>
    832. 

  832. <li>
    833. 

  833. <p>Régénération de la clé ED25519 du serveur :</p>
    834. 

  834. <pre><code>sudo rm -f /etc/ssh/ssh_host_*
    835. 

  835. sudo ssh-keygen -t ed25519 -f /etc/ssh/ssh_host_ed25519_key -N ""
    836. 

  836. </code></pre>
    837. 

  837. </li>
    838. 

  838. <li>
    839. 

  839. <p>Retrait des moduli Diffie-Hellman faible :</p>
    840. 

  840. <pre><code>sudo awk '$5 &gt;= 3071' /etc/ssh/moduli &gt; /home/pi/moduli.safe
    841. 

  841. sudo mv -f /home/pi/moduli.safe /etc/ssh/moduli
    842. 

  842. </code></pre>
    843. 

  843. </li>
    844. 

  844. <li>
    845. 

  845. <p>Désactivation des clés DSA/ECDSA &amp; RSA si ce n’est pas déjà fait :</p>
    846. 

  846. <pre><code>sudo sed -i 's/^HostKey \/etc\/ssh\/ssh_host_\(dsa\|ecdsa\|rsa\)_key$/\#HostKey \/etc\/ssh\/ssh_host_\1_key/g' /etc/ssh/sshd_config
    847. 

  847. </code></pre>
    848. 

  848. </li>
    849. 

  849. <li>
    850. 

  850. <p>Restriction des ciphers, clés d’échange et des codes d’authentification :</p>
    851. 

  851. <p>Ajoutez ceci à la fin du fichier /etc/sshd_config:</p>
    852. 

  852. <pre><code>KexAlgorithms curve25519-sha256@libssh.org,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512
    853. 

  853. Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
    854. 

  854. MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com
    855. 

  855. </code></pre>
    856. 

  856. </li>
    857. 

  857. <li>
    858. 

  858. <p>Redémarrage de <strong>sshd</strong></p>
    859. 

  859. <p>sudo systemctl restart sshd.service</p>
    860. 

  860. </li>
    861. 

  861. </ul>
    862. 

  862. <h3 id="test-sur-le-site-ssh-audit">Test sur le site <a href="https://www.ssh-audit.com/">ssh audit</a></h3>
    863. 

  863. <p>Tout est OK ... nous sommes passés d'une note <strong>F</strong> à <strong>A+</strong>.</p>
    864. 

  864. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-03.png" /></p>
    865. 

  865. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-17.png" /></p>
    866. 

  866. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-11%2014-37-34.png" /></p>
    867. 

  867. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-24.png" /></p>
    868. 

  868. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-33.png" /></p>
    869. 

  869. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-42.png" /></p>
    870. 

  870. <p><img alt="résultat" src="../../../Images/tutoraspi/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-49.png" /></p>
    871. 

  871.               
    872. 

  872.             </div>
    873. 

  873.           </div>
    874. 

  874.           <footer>
    875. 

  875.   
    876. 

  876.     <div class="rst-footer-buttons" role="navigation" aria-label="footer navigation">
    877. 

  877.       
    878. 

  878.         <a href="../R%C3%A9seau/" class="btn btn-neutral float-right" title="Réseau (des IPs fixes)">Next <span class="icon icon-circle-arrow-right"></span></a>
    879. 

  879.       
    880. 

  880.       
    881. 

  881.         <a href="../Etat-des-lieux/" class="btn btn-neutral" title="État des lieux"><span class="icon icon-circle-arrow-left"></span> Previous</a>
    882. 

  882.       
    883. 

  883.     </div>
    884. 

  884.   
    885. 

  885. 

  886.   <hr/>
    887. 

  887. 

  888.   <div role="contentinfo">
    889. 

  889.     <!-- Copyright etc -->
    890. 

  890.     
    891. 

  891.   </div>
    892. 

  892. 

  893.   Built with <a href="https://www.mkdocs.org/">MkDocs</a> using a <a href="https://github.com/snide/sphinx_rtd_theme">theme</a> provided by <a href="https://readthedocs.org">Read the Docs</a>.
    894. 

  894. </footer>
    895. 

  895.       
    896. 

  896.         </div>
    897. 

  897.       </div>
    898. 

  898. 

  899.     </section>
    900. 

  900. 

  901.   </div>
    902. 

  902. 

  903.   <div class="rst-versions" role="note" aria-label="versions">
    904. 

  904.     <span class="rst-current-version" data-toggle="rst-current-version">
    905. 

  905.       
    906. 

  906.       
    907. 

  907.         <span><a href="../Etat-des-lieux/" style="color: #fcfcfc;">&laquo; Previous</a></span>
    908. 

  908.       
    909. 

  909.       
    910. 

  910.         <span style="margin-left: 15px"><a href="../R%C3%A9seau/" style="color: #fcfcfc">Next &raquo;</a></span>
    911. 

  911.       
    912. 

  912.     </span>
    913. 

  913. </div>
    914. 

  914.     <script>var base_url = '../../..';</script>
    915. 

  915.     <script src="../../../js/theme.js" defer></script>
    916. 

  916.       <script src="../../../search/main.js" defer></script>
    917. 

  917.     <script defer>
    918. 

  918.         window.onload = function () {
    919. 

  919.             SphinxRtdTheme.Navigation.enable(true);
    920. 

  920.         };
    921. 

  921.     </script>
    922. 

  922. 

  923. </body>
    924. 

  924. </html>
    925.