Главная Обзор Помощь
Вход
eric
/
Yojik.net
1
0
Ответвить 0
Файлы Задачи 0 Запросы на слияние 0 Вики
Ветка: master
Ветки Метки
Yojik.net
/
tutoraspi
/
site
/
Sécurisation-SSH
/
index.html

index.html 33 KB
Постоянная ссылка История Исходник

123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646566676869707172737475767778798081828384858687888990919293949596979899100101102103104105106107108109110111112113114115116117118119120121122123124125126127128129130131132133134135136137138139140141142143144145146147148149150151152153154155156157158159160161162163164165166167168169170171172173174175176177178179180181182183184185186187188189190191192193194195196197198199200201202203204205206207208209210211212213214215216217218219220221222223224225226227228229230231232233234235236237238239240241242243244245246247248249250251252253254255256257258259260261262263264265266267268269270271272273274275276277278279280281282283284285286287288289290291292293294295296297298299300301302303304305306307308309310311312313314315316317318319320321322323324325326327328329330331332333334335336337338339340341342343344345346347348349350351352353354355356357358359360361362363364365366367368369370371372373374375376377378379380381382383384385386387388389390391392393394395396397398399400401402403404405406407408409410411412413414415416417418419420421422423424425426427428429430431432433434435436437438439440441442443444445446447448449450451452453454455456457458459460461462463464465466467468469470471472473474475476477478479480481482483484485486487488489490491492493494495496497498499500501502503504505506507508509510511512513514515516517518519520521522523524525526527528529530531532533534535536537538539540541542543544545546547548549550551552553554555556557558559560561562563564565566567568569570571572573574575576577578579580581582583584585586587588589590591592593594595596597598599600601602603604605606607608609610611612613614615616617618619620621622623624625626627628629630631632633634635636637638639640641642643644645646647648649650651652653654655656657658659660661662663664665666667668669670671672673674675676677678679680681682683684685686687688689690691692693694695696697698699700701702703704705706707708709710711712713714715716717718719720721722723724725726727728729730731732733734735736737738739740741742743744745746747748749750751752753754755756757758759760761762763764765766767768769770771772773774775776777778779780781782783784785786787788789790791792793794795796797798799800801802803804805806807808809810811812813814815816817818819820821822823824825826827 
  1. <!DOCTYPE html>
    2. 

  2. <!--[if IE 8]><html class="no-js lt-ie9" lang="en" > <![endif]-->
    3. 

  3. <!--[if gt IE 8]><!--> <html class="no-js" lang="en" > <!--<![endif]-->
    4. 

  4. <head>
    5. 

  5.   <meta charset="utf-8">
    6. 

  6.   <meta http-equiv="X-UA-Compatible" content="IE=edge">
    7. 

  7.   <meta name="viewport" content="width=device-width, initial-scale=1.0">
    8. 

  8.   
    9. 

  9.   
    10. 

  10.   
    11. 

  11.   <link rel="shortcut icon" href="../img/favicon.ico">
    12. 

  12.   <title>Sécurisation SSH - Les Tutoriels du Yojik</title>
    13. 

  13.   <link rel="stylesheet" href="../css/theme.css" />
    14. 

  14.   <link rel="stylesheet" href="../css/theme_extra.css" />
    15. 

  15.   <link rel="stylesheet" href="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/9.12.0/styles/github.min.css" />
    16. 

  16.   
    17. 

  17.   <script>
    18. 

  18.     // Current page data
    19. 

  19.     var mkdocs_page_name = "S\u00e9curisation SSH";
    20. 

  20.     var mkdocs_page_input_path = "S\u00e9curisation-SSH.md";
    21. 

  21.     var mkdocs_page_url = null;
    22. 

  22.   </script>
    23. 

  23.   
    24. 

  24.   <script src="../js/jquery-2.1.1.min.js" defer></script>
    25. 

  25.   <script src="../js/modernizr-2.8.3.min.js" defer></script>
    26. 

  26.   <script src="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/9.12.0/highlight.min.js"></script>
    27. 

  27.   <script>hljs.initHighlightingOnLoad();</script> 
    28. 

  28.   
    29. 

  29. </head>
    30. 

  30. 

  31. <body class="wy-body-for-nav" role="document">
    32. 

  32. 

  33.   <div class="wy-grid-for-nav">
    34. 

  34. 

  35.     
    36. 

  36.     <nav data-toggle="wy-nav-shift" class="wy-nav-side stickynav">
    37. 

  37.     <div class="wy-side-scroll">
    38. 

  38.       <div class="wy-side-nav-search">
    39. 

  39.         <a href=".." class="icon icon-home"> Les Tutoriels du Yojik</a>
    40. 

  40.         <div role="search">
    41. 

  41.   <form id ="rtd-search-form" class="wy-form" action="../search.html" method="get">
    42. 

  42.     <input type="text" name="q" placeholder="Search docs" title="Type search term here" />
    43. 

  43.   </form>
    44. 

  44. </div>
    45. 

  45.       </div>
    46. 

  46. 

  47.       <div class="wy-menu wy-menu-vertical" data-spy="affix" role="navigation" aria-label="main navigation">
    48. 

  48.                 <p class="caption"><span class="caption-text">Installation d'un serveur sécurisé, version Debian/Buster sur RaspberryPI</span></p>
    49. 

  49.                 <ul class="current">
    50. 

  50.                     <li class="toctree-l1"><a class="reference internal" href="..">Résumé</a>
    51. 

  51.                     </li>
    52. 

  52.                     <li class="toctree-l1"><a class="reference internal" href="../tutoraspi/">Présentation</a>
    53. 

  53.                     </li>
    54. 

  54.                     <li class="toctree-l1"><a class="reference internal" href="../Installation-de-base/">Installation de base</a>
    55. 

  55.                     </li>
    56. 

  56.                     <li class="toctree-l1"><a class="reference internal" href="../Premier-d%C3%A9marrage/">Premier démarrage</a>
    57. 

  57.                     </li>
    58. 

  58.                     <li class="toctree-l1"><a class="reference internal" href="../Etat-des-lieux/">État des lieux</a>
    59. 

  59.                     </li>
    60. 

  60.                     <li class="toctree-l1 current"><a class="reference internal current" href="./">Sécurisation SSH</a>
    61. 

  61.     <ul class="current">
    62. 

  62.     <li class="toctree-l2"><a class="reference internal" href="#references">Références</a>
    63. 

  63.     </li>
    64. 

  64.     <li class="toctree-l2"><a class="reference internal" href="#creation-dune-clef-personnalisee">Création d'une clef personnalisée</a>
    65. 

  65.         <ul>
    66. 

  66.     <li class="toctree-l3"><a class="reference internal" href="#test-du-hostname-sur-notre-raspi">Test du hostname (sur notre raspi)</a>
    67. 

  67.     </li>
    68. 

  68.     <li class="toctree-l3"><a class="reference internal" href="#creation-de-notre-clef-personnalisee-sur-le-desktop-pas-sur-le-raspi">Création de notre clef personnalisée (sur le desktop, pas sur le raspi!)</a>
    69. 

  69.     </li>
    70. 

  70.     <li class="toctree-l3"><a class="reference internal" href="#copie-de-la-clef-sur-le-serveur">Copie de la clef sur le serveur</a>
    71. 

  71.     </li>
    72. 

  72.     <li class="toctree-l3"><a class="reference internal" href="#essai-de-connexion-avec-notre-nouvelle-clef">Essai de connexion avec notre nouvelle clef</a>
    73. 

  73.     </li>
    74. 

  74.     <li class="toctree-l3"><a class="reference internal" href="#configuration-de-ssh-sur-la-machine-de-travail">Configuration de ssh sur la machine de travail</a>
    75. 

  75.     </li>
    76. 

  76.     <li class="toctree-l3"><a class="reference internal" href="#test-de-connexion">Test de connexion</a>
    77. 

  77.     </li>
    78. 

  78.     <li class="toctree-l3"><a class="reference internal" href="#amelioration">Amélioration</a>
    79. 

  79.     </li>
    80. 

  80.     <li class="toctree-l3"><a class="reference internal" href="#modification-du-fichier-etcsshsshd_config">Modification du fichier /etc/ssh/sshd_config</a>
    81. 

  81.     </li>
    82. 

  82.     <li class="toctree-l3"><a class="reference internal" href="#test-sur-le-site-ssh-audit">Test sur le site ssh audit</a>
    83. 

  83.     </li>
    84. 

  84.         </ul>
    85. 

  85.     </li>
    86. 

  86.     </ul>
    87. 

  87.                     </li>
    88. 

  88.                     <li class="toctree-l1"><a class="reference internal" href="../R%C3%A9seau/">Réseau (des IPs fixes)</a>
    89. 

  89.                     </li>
    90. 

  90.                     <li class="toctree-l1"><a class="reference internal" href="../Knot/">Installation de Knot-resolver</a>
    91. 

  91.                     </li>
    92. 

  92.                     <li class="toctree-l1"><a class="reference internal" href="../Firewall/">Installation d'un pare-feux</a>
    93. 

  93.                     </li>
    94. 

  94.                     <li class="toctree-l1"><a class="reference internal" href="../Fail2ban/">Contrer les attaques de force brute</a>
    95. 

  95.                     </li>
    96. 

  96.                     <li class="toctree-l1"><a class="reference internal" href="../Logwatch/">Surveillance du serveur</a>
    97. 

  97.                     </li>
    98. 

  98.                     <li class="toctree-l1"><a class="reference internal" href="../Installation-courrier-basique/">Installation d'un serveur de courriers basique</a>
    99. 

  99.                     </li>
    100. 

  100.                     <li class="toctree-l1"><a class="reference internal" href="../Exemple-d-utilisation-serveur-Web/">Exemple d'utilisation avec un serveur Web</a>
    101. 

  101.                     </li>
    102. 

  102.                     <li class="toctree-l1"><a class="reference internal" href="../Annexe/">Annexe</a>
    103. 

  103.                     </li>
    104. 

  104.                 </ul>
    105. 

  105.       </div>
    106. 

  106.     </div>
    107. 

  107.     </nav>
    108. 

  108. 

  109.     <section data-toggle="wy-nav-shift" class="wy-nav-content-wrap">
    110. 

  110. 

  111.       
    112. 

  112.       <nav class="wy-nav-top" role="navigation" aria-label="top navigation">
    113. 

  113.         <i data-toggle="wy-nav-top" class="fa fa-bars"></i>
    114. 

  114.         <a href="..">Les Tutoriels du Yojik</a>
    115. 

  115.       </nav>
    116. 

  116. 

  117.       
    118. 

  118.       <div class="wy-nav-content">
    119. 

  119.         <div class="rst-content">
    120. 

  120.           <div role="navigation" aria-label="breadcrumbs navigation">
    121. 

  121.   <ul class="wy-breadcrumbs">
    122. 

  122.     <li><a href="..">Docs</a> &raquo;</li>
    123. 

  123.     
    124. 

  124.       
    125. 

  125.         
    126. 

  126.           <li>Installation d'un serveur sécurisé, version Debian/Buster sur RaspberryPI &raquo;</li>
    127. 

  127.         
    128. 

  128.       
    129. 

  129.     
    130. 

  130.     <li>Sécurisation SSH</li>
    131. 

  131.     <li class="wy-breadcrumbs-aside">
    132. 

  132.       
    133. 

  133.     </li>
    134. 

  134.   </ul>
    135. 

  135.   
    136. 

  136.   <hr/>
    137. 

  137. </div>
    138. 

  138.           <div role="main">
    139. 

  139.             <div class="section">
    140. 

  140.               
    141. 

  141.                 <h1 id="securisation-ssh">Sécurisation SSH</h1>
    142. 

  142. <p>Je vais baser cette partie sur plusieurs tutoriels auxquels vous voudrez bien vous référer pour avoir des explications plus poussées que celles que je vais donner.</p>
    143. 

  143. <h2 id="references">Références</h2>
    144. 

  144. <ul>
    145. 

  145. <li><a href="https://www.tronyxworld.be/2020/hardening_ssh/">Sécuriser OpenSSH</a></li>
    146. 

  146. <li><a href="https://blog.syntik.fr/comment-tester-securiser-serveur-ssh/">SSH - Comment tester et sécuriser son serveur ?</a></li>
    147. 

  147. <li><a href="https://www.cyberciti.biz/faq/create-ssh-config-file-on-linux-unix/">OpenSSH Config File Examples</a></li>
    148. 

  148. </ul>
    149. 

  149. <p>Vous pouvez trouver plein d'autres références en français ou anglais en utilisant votre moteur de recherche préféré.</p>
    150. 

  150. <h2 id="creation-dune-clef-personnalisee">Création d'une clef personnalisée</h2>
    151. 

  151. <p>Nous allons créer une clef spécifique à notre mini serveur.</p>
    152. 

  152. <p>Auparavant, nous allons vérifier le <strong>hostname</strong> de notre machine. Si vous l'avez configuré avec <strong>raspi-config</strong>, il y a de grandes chances que le résultat ne soit pas bon.</p>
    153. 

  153. <p>Sous Debian, le <strong>hostname</strong> est composé de 2 parties situées dans 2 fichiers différents.</p>
    154. 

  154. <ul>
    155. 

  155. <li>/etc/hosts (contient le nom complet, FQDN)</li>
    156. 

  156. <li>/etc/hostname (ne contient que le petit nom de la machine, sans le domaine)</li>
    157. 

  157. </ul>
    158. 

  158. <h3 id="test-du-hostname-sur-notre-raspi">Test du hostname (sur notre raspi)</h3>
    159. 

  159. <pre><code>pi@piras:~ $ hostname -f
    160. 

  160. piras.yojik.net
    161. 

  161. pi@piras:~ $ hostname
    162. 

  162. piras
    163. 

  163. pi@piras:~ $
    164. 

  164. </code></pre>
    165. 

  165. <p>Le fichier /etc/hostname ne doit contenir que le nom de la machine, pas le domaine : ici, piras, et c'est ce que renvoie la commande <strong>hostname</strong>.</p>
    166. 

  166. <pre><code>pi@piras:~ $ cat /etc/hostname
    167. 

  167. piras
    168. 

  168. pi@piras:~ $
    169. 

  169. </code></pre>
    170. 

  170. <p><strong>hostname -f</strong> renvoie le "fqdn", ou nom complet de la machine, ici, piras.yojik.net.</p>
    171. 

  171. <p>La référence complète du nom se trouve dans le fichier /etc/hosts.</p>
    172. 

  172. <pre><code>pi@piras:~ $ cat /etc/hosts
    173. 

  173. 127.0.0.1    localhost
    174. 

  174. ::1          localhost ip6-localhost ip6-loopback
    175. 

  175. ff02::1      ip6-allnodes
    176. 

  176. ff02::2      ip6-allrouters
    177. 

  177. 

  178. 127.0.1.1    piras.yojik.net piras
    179. 

  179. pi@piras:~ $
    180. 

  180. </code></pre>
    181. 

  181. <p>Pour l'instant, c'est l'adresse 127.0.1.1 qui est utilisée comme référence du nom, mais nous changerons ça dès que nous aurons configuré une adresse IPV4 et IPV6 fixe.</p>
    182. 

  182. <h3 id="creation-de-notre-clef-personnalisee-sur-le-desktop-pas-sur-le-raspi">Création de notre clef personnalisée (sur le desktop, pas sur le raspi!)</h3>
    183. 

  183. <p>Nous utiliserons la commande :</p>
    184. 

  184. <pre><code>sh-keygen -o -a 100 -t ed25519 -f ~/.ssh/piras_ed25519 -C "clef SSH de l'utilisateur pi du Raspi"
    185. 

  185. </code></pre>
    186. 

  186. <ul>
    187. 

  187. <li>-o : Sauvegarde votre clé dans le nouveau format openssh au lieu de l’ancien format PEM</li>
    188. 

  188. <li>-C : insertion d'un commentaire (ce que vous voulez, votre adresse émail ...).</li>
    189. 

  189. <li>-f : nom du fichier à produire</li>
    190. 

  190. <li>-a : le nombre de tours de la clef de dérivation (plus il est élevé, plus il est difficile de la craquer en force brute, mais aussi plus c'est lent)  <pre><code>eric@aldebaran:~$ ssh-keygen -o -a 100 -t ed25519 -f ~/.ssh/piras_ed25519 -C "eric@yojik.eu"
    191. 

  191. Generating public/private ed25519 key pair.
    192. 

  192. Enter passphrase (empty for no passphrase):
    193. 

  193. Enter same passphrase again:
    194. 

  194. Your identification has been saved in /home/eric/.ssh/piras_ed25519
    195. 

  195. Your public key has been saved in /home/eric/.ssh/piras_ed25519.pub
    196. 

  196. The key fingerprint is:
    197. 

  197. SHA256:yyDsyczL9W1QTTn9d5o0hwZ5A0bdMnCJgK9cniCeR0c eric@yojik.eu
    198. 

  198. The key's randomart image is:
    199. 

  199. +--[ED25519 256]--+
    200. 

  200. |         ..o=O.o |
    201. 

  201. |        . E.B.O .|
    202. 

  202. |         o o + * |
    203. 

  203. |   .  . o = . = =|
    204. 

  204. |    o..=SB . o =o|
    205. 

  205. |   = ooo=.o   o  |
    206. 

  206. |    * ..o.       |
    207. 

  207. |   . o . ..      |
    208. 

  208. |    o   ...      |
    209. 

  209. +----[SHA256]-----+
    210. 

  210. </code></pre>
    211. 

  211. </li>
    212. 

  212. </ul>
    213. 

  213. <p>Si vous allez dans ./.ssh, vous trouverez ceci :</p>
    214. 

  214. <pre><code>eric@aldebaran:~/.ssh$ ls -l
    215. 

  215. total 44
    216. 

  216. -rw------- 1 eric eric  751  7 avril  2011 id_dsa
    217. 

  217. -rw-r--r-- 1 eric eric  604  7 avril  2011 id_dsa.pub
    218. 

  218. -rw------- 1 eric eric 1766  1 avril  2013 id_rsa
    219. 

  219. -rw-r--r-- 1 eric eric  396  1 avril  2013 id_rsa.pub
    220. 

  220. -rw-r--r-- 1 eric eric 3728 29 nov.  12:20 known_hosts
    221. 

  221. -rw------- 1 eric eric  444 11 déc.  18:17 piras_ed25519
    222. 

  222. -rw-r--r-- 1 eric eric   95 11 déc.  18:17 piras_ed25519.pub
    223. 

  223. eric@aldebaran:~/.ssh$
    224. 

  224. </code></pre>
    225. 

  225. <p>Nous voyons les clefs privées et publiques que nous avons créées. (ainsi que d'anciennes clefs ...) Vérifiez les permissions, mais normalement les commandes ci-dessus les attribuent comme attendu (voir plus bas).</p>
    226. 

  226. <h3 id="copie-de-la-clef-sur-le-serveur">Copie de la clef sur le serveur</h3>
    227. 

  227. <p>Nous utiliserons la commande : <strong>ssh-copy-id</strong></p>
    228. 

  228. <pre><code>eric@aldebaran:~$ ssh-copy-id -i ~/.ssh/piras_ed25519.pub pi@192.168.111.32
    229. 

  229. /usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/home/eric/.ssh/piras_ed25519.pub"
    230. 

  230. /usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
    231. 

  231. /usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
    232. 

  232. pi@192.168.111.32's password:
    233. 

  233. 

  234. Number of key(s) added: 1
    235. 

  235. 

  236. Now try logging into the machine, with:   "ssh 'pi@192.168.111.32'"
    237. 

  237. and check to make sure that only the key(s) you wanted were added.
    238. 

  238. 

  239. eric@aldebaran:~$
    240. 

  240. </code></pre>
    241. 

  241. <p>Vérifions la présence de notre clef sur notre raspi, dans le fichier authorized_keys :</p>
    242. 

  242. <pre><code>pi@piras:~/.ssh $ cat authorized_keys 
    243. 

  243. ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIAdDDO3ni4DHIxqfRaNZ4SBudrSlRoQjLm/fd2SSjxtM eric@yojik.eu
    244. 

  244. pi@piras:~/.ssh $
    245. 

  245. </code></pre>
    246. 

  246. <p>C'est bon, elle est là !</p>
    247. 

  247. <h3 id="essai-de-connexion-avec-notre-nouvelle-clef">Essai de connexion avec notre nouvelle clef</h3>
    248. 

  248. <pre><code>eric@aldebaran:~$ ssh -i ~/.ssh/piras_ed25519 'pi@192.168.111.32'
    249. 

  249. Linux piras 5.4.51+ #1333 Mon Aug 10 16:38:02 BST 2020 armv6l
    250. 

  250. 

  251. The programs included with the Debian GNU/Linux system are free software;
    252. 

  252. the exact distribution terms for each program are described in the
    253. 

  253. individual files in /usr/share/doc/*/copyright.
    254. 

  254. 

  255. Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
    256. 

  256. permitted by applicable law.
    257. 

  257. Last login: Fri Dec 11 18:46:55 2020 from 192.168.111.150
    258. 

  258. pi@piras:~ $
    259. 

  259. </code></pre>
    260. 

  260. <p>ça marche ... j'ai précisé la clef <strong>SSH</strong> à utiliser avec l'option <strong>-i nom_de_la_clef</strong>.</p>
    261. 

  261. <h3 id="configuration-de-ssh-sur-la-machine-de-travail">Configuration de ssh sur la machine de travail</h3>
    262. 

  262. <p>Je possède plusieurs clefs qui sont spécifiques à certains serveurs (ceux dans ma cave, et ceux sur internet). Nous allons rajouter une configuration pour permettre la sélection automatique de la bonne clef pour chaque serveur.</p>
    263. 

  263. <p>Cela se fait dans le fichier ~/.ssh/config</p>
    264. 

  264. <p>Le schéma à utiliser est le suivant :</p>
    265. 

  265. <pre><code>eric@aldebaran:~$ cat ./.ssh/config
    266. 

  266. Host piras piras.yojik.net
    267. 

  267.     HostName 192.168.111.32
    268. 

  268.     IdentityFile ~/.ssh/piras_ed25519
    269. 

  269.     User pi
    270. 

  270. 

  271. Host adara adara.yojik.eu
    272. 

  272.     HostName adara.yojik.eu
    273. 

  273.     IdentityFile ~/.ssh/id_rsa
    274. 

  274.     User ericadmin
    275. 

  275. 

  276. eric@aldebaran:~$
    277. 

  277. </code></pre>
    278. 

  278. <p>Cela me permet de me connecter avec la commande :</p>
    279. 

  279. <pre><code>ssh piras
    280. 

  280. </code></pre>
    281. 

  281. <p>Voilà à quoi ressemble mon répertoire <strong>~/.ssh</strong> :</p>
    282. 

  282. <pre><code>eric@aldebaran:~$ tree .ssh
    283. 

  283. .ssh
    284. 

  284. ├── adara
    285. 

  285. │   ├── adara_ed25519
    286. 

  286. │   └── adara_ed25519.pub
    287. 

  287. ├── aijan
    288. 

  288. │   ├── aijan_ed25519
    289. 

  289. │   └── aijan_ed25519.pub
    290. 

  290. ├── alya
    291. 

  291. │   ├── alya_ed25519
    292. 

  292. │   └── alya_ed25519.pub
    293. 

  293. ├── atom
    294. 

  294. │   ├── atom_ed25519
    295. 

  295. │   └── atom_ed25519.pub
    296. 

  296. ├── config
    297. 

  297. ├── id_dsa
    298. 

  298. ├── id_dsa.pub
    299. 

  299. ├── id_ed25519
    300. 

  300. ├── id_ed25519.pub
    301. 

  301. ├── id_rsa
    302. 

  302. ├── id_rsa.pub
    303. 

  303. ├── known_hosts
    304. 

  304. ├── mynas2
    305. 

  305. │   ├── mynas2_ed25519
    306. 

  306. │   └── mynas2_ed25519.pub
    307. 

  307. ├── mynas3
    308. 

  308. │   ├── mynas3_ed25519
    309. 

  309. │   └── mynas3_ed25519.pub
    310. 

  310. ├── ns1
    311. 

  311. │   ├── ns1_ed25519
    312. 

  312. │   └── ns1_ed25519.pub
    313. 

  313. ├── ns2
    314. 

  314. │   ├── ns2_ed25519
    315. 

  315. │   └── ns2_ed25519.pub
    316. 

  316. ├── piras
    317. 

  317. │   ├── piras_ed25519
    318. 

  318. │   └── piras_ed25519.pub
    319. 

  319. └── polis
    320. 

  320.     ├── polis_ed25519
    321. 

  321.     └── polis_ed25519.pub
    322. 

  322. </code></pre>
    323. 

  323. <p>J'ai mis l'adresse IP ; j'aurai pu mettre le nom FQDN du serveur, mais je le ferai une fois les adresses IP fixées.</p>
    324. 

  324. <p>Modifions les permissions pour qu'elles soient conformes à ce que demande SSH. (en fait, les bonnes permissions étaient déjà appliquées par la commande ssh-keygen). Si vous organisez votre structure de répertoires comme ci-dessus, ajustez les permissions comme ceci :</p>
    325. 

  325. <p>Si vous créez un répertoire nommé ~/.ssh/piras ajustez les droits du répertoire comme suit :</p>
    326. 

  326. <pre><code>chmod 700 ~/.ssh/piras
    327. 

  327. </code></pre>
    328. 

  328. <p>Et pour les clefs privées/publiques :</p>
    329. 

  329. <pre><code>chmod 600 ~/.ssh/config
    330. 

  330. chmod 600 ~/.ssh/piras/piras_ed25519
    331. 

  331. chmod 600 ~/.ssh/piras/piras_ed25519.pub
    332. 

  332. </code></pre>
    333. 

  333. <h3 id="test-de-connexion">Test de connexion</h3>
    334. 

  334. <pre><code>eric@aldebaran:~$ ssh piras
    335. 

  335. Linux piras 5.4.51+ #1333 Mon Aug 10 16:38:02 BST 2020 armv6l
    336. 

  336. 

  337. The programs included with the Debian GNU/Linux system are free software;
    338. 

  338. the exact distribution terms for each program are described in the
    339. 

  339. individual files in /usr/share/doc/*/copyright.
    340. 

  340. 

  341. Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
    342. 

  342. permitted by applicable law.
    343. 

  343. Last login: Fri Dec 11 18:49:37 2020 from 192.168.111.150
    344. 

  344. pi@piras:~ $
    345. 

  345. </code></pre>
    346. 

  346. <p>Ça marche ;)</p>
    347. 

  347. <h3 id="amelioration">Amélioration</h3>
    348. 

  348. <p>Nous allons modifier temporairement (et le re-modifierons une fois les adresses fixées) notre fichier /etc/hosts sur notre machine de travail pour pouvoir utiliser la méthode par nom plutôt que par adresse IP. Ajoutons la référence à notre raspi :</p>
    349. 

  349. <pre><code>eric@aldebaran:~$ cat /etc/hosts
    350. 

  350. 127.0.0.1    localhost
    351. 

  351. 127.0.1.1    aldebaran.yojik.net    aldebaran
    352. 

  352. 

  353. 192.168.111.32  piras.yojik.net piras
    354. 

  354. 

  355. # The following lines are desirable for IPv6 capable hosts
    356. 

  356. ::1     localhost ip6-localhost ip6-loopback
    357. 

  357. ff02::1 ip6-allnodes
    358. 

  358. ff02::2 ip6-allrouters
    359. 

  359. eric@aldebaran:~$
    360. 

  360. </code></pre>
    361. 

  361. <p>Modification de ./.ssh/config :</p>
    362. 

  362. <pre><code>eric@aldebaran:~$ cat ./.ssh/config
    363. 

  363. Host piras piras.yojik.net
    364. 

  364.     HostName piras.yojik.net
    365. 

  365.     IdentityFile ~/.ssh/piras_ed25519
    366. 

  366.     User pi
    367. 

  367. 

  368. Host adara adara.yojik.eu
    369. 

  369.     HostName adara.yojik.eu
    370. 

  370.     IdentityFile ~/.ssh/id_rsa
    371. 

  371.     User ericadmin
    372. 

  372. 

  373. eric@aldebaran:~$
    374. 

  374. </code></pre>
    375. 

  375. <p>Test :</p>
    376. 

  376. <pre><code>eric@aldebaran:~$ ssh piras
    377. 

  377. The authenticity of host 'piras.yojik.net (192.168.111.32)' can't be established.
    378. 

  378. ECDSA key fingerprint is SHA256:DjB1teyxsYAZzGBV8BIXiG5+UAb3JU5SHp7vu/xArG8.
    379. 

  379. Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
    380. 

  380. Warning: Permanently added 'piras.yojik.net' (ECDSA) to the list of known hosts.
    381. 

  381. Linux piras 5.4.51+ #1333 Mon Aug 10 16:38:02 BST 2020 armv6l
    382. 

  382. 

  383. The programs included with the Debian GNU/Linux system are free software;
    384. 

  384. the exact distribution terms for each program are described in the
    385. 

  385. individual files in /usr/share/doc/*/copyright.
    386. 

  386. 

  387. Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
    388. 

  388. permitted by applicable law.
    389. 

  389. Last login: Fri Dec 11 19:17:50 2020 from 192.168.111.150
    390. 

  390. pi@piras:~ $
    391. 

  391. </code></pre>
    392. 

  392. <p>L'adresse de notre raspi a été ajoutée au fichier ./.ssh/known_hosts</p>
    393. 

  393. <h3 id="modification-du-fichier-etcsshsshd_config">Modification du fichier /etc/ssh/sshd_config</h3>
    394. 

  394. <p>Nous allons modifier ce fichier pour plus de sécurité :</p>
    395. 

  395. <ul>
    396. 

  396. <li>pas de connexion de l'utilisateur root</li>
    397. 

  397. <li>connexion uniquement par clef (pas par login/mot de passe)</li>
    398. 

  398. <li>suppression du support des protocoles non sûrs</li>
    399. 

  399. <li>autorisation de connexion sur liste blanche</li>
    400. 

  400. <li>connexion en IPV4 et IPV6</li>
    401. 

  401. </ul>
    402. 

  402. <p>Tout d'abord, sauvegarde du répertoire <strong>/etc/ssh</strong> :</p>
    403. 

  403. <pre><code>pi@raspberrypi:/etc $ sudo cp -R ssh ssh.orig
    404. 

  404. pi@raspberrypi:/etc $
    405. 

  405. </code></pre>
    406. 

  406. <p>Ensuite, création du nouveau fichier (après installation de vim, mais vous pouvez prendre l'éditeur de votre choix, nano par exemple qui est installé par défaut):</p>
    407. 

  407. <blockquote>
    408. 

  408. <p>Pour installer vim, tapez : <strong>sudo apt install vim</strong></p>
    409. 

  409. </blockquote>
    410. 

  410. <p>Voilà une copie du fichier de conf du site <strong>troxyworld</strong> dont j'ai déjà donné les références :</p>
    411. 

  411. <pre><code># Interface &amp; Port
    412. 

  412. Port 61022
    413. 

  413. AddressFamily any
    414. 

  414. ListenAddress 0.0.0.0
    415. 

  415. ListenAddress ::
    416. 

  416. 

  417. HostKey /etc/ssh/ssh_host_ed25519_key
    418. 

  418. 

  419. Protocol 2
    420. 

  420. 

  421. SyslogFacility AUTHPRIV
    422. 

  422. LogLevel VERBOSE
    423. 

  423. 

  424. # Authentication restriction
    425. 

  425. LoginGraceTime 30s
    426. 

  426. PermitRootLogin no
    427. 

  427. StrictModes yes
    428. 

  428. MaxAuthTries 3
    429. 

  429. MaxSessions 5
    430. 

  430. 

  431. PubkeyAuthentication yes
    432. 

  432. AllowUsers hmichael
    433. 

  433. AuthorizedKeysFile  .ssh/authorized_keys .ssh/authorized_keys2
    434. 

  434. 

  435. HostbasedAuthentication no
    436. 

  436. IgnoreRhosts yes
    437. 

  437. 

  438. # To disable tunneled clear text passwords, change to no here!
    439. 

  439. PermitEmptyPasswords no
    440. 

  440. PasswordAuthentication no
    441. 

  441. 

  442. # Change to no to disable s/key passwords
    443. 

  443. ChallengeResponseAuthentication no
    444. 

  444. 

  445. UsePAM yes
    446. 

  446. 

  447. AllowAgentForwarding no
    448. 

  448. AllowTcpForwarding no
    449. 

  449. GatewayPorts no
    450. 

  450. X11Forwarding no
    451. 

  451. PermitTTY yes
    452. 

  452. PermitUserEnvironment no
    453. 

  453. PrintMotd no
    454. 

  454. PrintLastLog no
    455. 

  455. 

  456. #TCPKeepAlive yes
    457. 

  457. #PermitUserEnvironment no
    458. 

  458. #Compression delayed
    459. 

  459. #ClientAliveInterval 0
    460. 

  460. #ClientAliveCountMax 3
    461. 

  461. #ShowPatchLevel no
    462. 

  462. UseDNS yes
    463. 

  463. PidFile /var/run/sshd.pid
    464. 

  464. MaxStartups 10:30:100
    465. 

  465. PermitTunnel no
    466. 

  466. #ChrootDirectory none
    467. 

  467. VersionAddendum none
    468. 

  468. 

  469. # no default banner path
    470. 

  470. Banner none
    471. 

  471. 

  472. # Accept locale-related environment variables
    473. 

  473. AcceptEnv LANG LC_*
    474. 

  474. 

  475. # override default of no subsystems
    476. 

  476. Subsystem   sftp   /usr/libexec/openssh/sftp-server
    477. 

  477. </code></pre>
    478. 

  478. <p>Et voici une version par <strong>Synthic</strong>:</p>
    479. 

  479. <pre><code># Utilisation de la version 2 du protocole SSH
    480. 

  480. Protocol 2
    481. 

  481. # Utilisation du port 22. Il est possible de le modifier
    482. 

  482. Port 22
    483. 

  483. # Interdit à root de s'identifier
    484. 

  484. PermitRootLogin no
    485. 

  485. PermitEmptyPasswords no
    486. 

  486. # On indique ici la liste des utilisateurs ayant la permission d'utiliser SSH
    487. 

  487. AllowUsers utilisateur
    488. 

  488. # Nombre d'essais avant fermeture de la connexion
    489. 

  489. MaxAuthTries 3
    490. 

  490. UsePAM no
    491. 

  491. # Authentification par clés
    492. 

  492. PubkeyAuthentication yes
    493. 

  493. # Lieux où sont stockées les clés publiques --&gt; /home/user/.ssh/authorized_keys
    494. 

  494. AuthorizedKeysFile .ssh/authorized_keys
    495. 

  495. ChallengeResponseAuthentication yes
    496. 

  496. # Désactivation de l'authentification par mot de passe
    497. 

  497. PasswordAuthentication no
    498. 

  498. IgnoreRhosts yes
    499. 

  499. HostbasedAuthentication no
    500. 

  500. AcceptEnv LANG LC_*
    501. 

  501. Subsystem       sftp    /usr/lib/openssh/sftp-server
    502. 

  502. PrintMotd no
    503. 

  503. Ciphers aes256-ctr,aes192-ctr,aes128-ctr
    504. 

  504. X11Forwarding no
    505. 

  505. </code></pre>
    506. 

  506. <p>Voilà mon fichier de configuration, à adapter suivant vos préférences (surtout n'oubliez pas d'ajuster le <strong>user</strong> dans l'option <strong>AllowUsers</strong> à votre cas particulier)</p>
    507. 

  507. <p>Pour ma part, je vais garder le port 22 ; je le changerai peut-être plus tard.</p>
    508. 

  508. <pre><code>Protocol 2
    509. 

  509. Port 22
    510. 

  510. </code></pre>
    511. 

  511. <p>Blocage de root</p>
    512. 

  512. <pre><code>PermitRootLogin no
    513. 

  513. </code></pre>
    514. 

  514. <p>Pas de mot de passe vide</p>
    515. 

  515. <pre><code>PermitEmptyPasswords no
    516. 

  516. </code></pre>
    517. 

  517. <p>Seul l'utilisateur pi est autorisé</p>
    518. 

  518. <pre><code>AllowUsers pi
    519. 

  519. </code></pre>
    520. 

  520. <p>Connexion uniquement pas clef</p>
    521. 

  521. <pre><code>PubkeyAuthentication yes
    522. 

  522. </code></pre>
    523. 

  523. <p>Modification et limite des tentatives de connexion</p>
    524. 

  524. <pre><code>LoginGraceTime 30s
    525. 

  525. PermitRootLogin no
    526. 

  526. StrictModes yes
    527. 

  527. MaxAuthTries 3
    528. 

  528. MaxSessions 5
    529. 

  529. </code></pre>
    530. 

  530. <p>Les fichiers de clef autorisés</p>
    531. 

  531. <pre><code>AuthorizedKeysFile      .ssh/authorized_keys .ssh/authorized_keys2
    532. 

  532. </code></pre>
    533. 

  533. <p>Voici la copie du fichier complet :</p>
    534. 

  534. <pre><code>pi@raspberrypi:~ $ cat /etc/ssh/sshd_config
    535. 

  535. #   $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
    536. 

  536. 

  537. # This is the sshd server system-wide configuration file.  See
    538. 

  538. # sshd_config(5) for more information.
    539. 

  539. 

  540. # This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin
    541. 

  541. 

  542. # The strategy used for options in the default sshd_config shipped with
    543. 

  543. # OpenSSH is to specify options with their default value where
    544. 

  544. # possible, but leave them commented.  Uncommented options override the
    545. 

  545. # default value.
    546. 

  546. 

  547. Port 22
    548. 

  548. #AddressFamily any
    549. 

  549. # A décommenter après test sur sur site d'audit, car nos réglages ne permettent
    550. 

  550. # que de se connecter à partir de notre réseau local
    551. 

  551. # Si vous voulez que votre serveur soit accessible à partir de l'extérieur
    552. 

  552. # gardez les valeurs par défaut (ou les options commentées)
    553. 

  553. #ListenAddress 0.0.0.0
    554. 

  554. #ListenAddress ::
    555. 

  555. # Nouveaux réglages
    556. 

  556. # ListenAddress 192.168.111.0
    557. 

  557. # ListenAddress 2a01:e0a:d0:3c20::0
    558. 

  558. 

  559. # On ne permet que la connexion avec une clef forte
    560. 

  560. #HostKey /etc/ssh/ssh_host_rsa_key
    561. 

  561. #HostKey /etc/ssh/ssh_host_ecdsa_key
    562. 

  562. HostKey /etc/ssh/ssh_host_ed25519_key
    563. 

  563. 

  564. # Ciphers and keying
    565. 

  565. #RekeyLimit default none
    566. 

  566. 

  567. # Logging
    568. 

  568. # Modification du niveau de logging pour plus de détails
    569. 

  569. #SyslogFacility AUTH
    570. 

  570. SysLogFacility AUTHPRIV
    571. 

  571. #LogLevel INFO
    572. 

  572. LogLevel VERBOSE
    573. 

  573. 

  574. # Authentication:
    575. 

  575. 

  576. # C'est ici que l'on va ne permettre que l'accès par clef partagée
    577. 

  577. # et interdire l'accès par mot de passe
    578. 

  578. # De plus on configure le nombre d'essais et le délai de connexion
    579. 

  579. # à des valeurs plus courtes
    580. 

  580. LoginGraceTime 30s
    581. 

  581. PermitRootLogin no
    582. 

  582. StrictModes yes
    583. 

  583. MaxAuthTries 3
    584. 

  584. MaxSessions 5
    585. 

  585. 

  586. PubkeyAuthentication yes
    587. 

  587. 

  588. # Ajout d'une liste blanche d'utilisateurs autorisés à se connecter
    589. 

  589. # ici, seulement l'utilisateur pi
    590. 

  590. AllowUsers pi
    591. 

  591. 

  592. 

  593. # Expect .ssh/authorized_keys2 to be disregarded by default in future.
    594. 

  594. AuthorizedKeysFile  .ssh/authorized_keys .ssh/authorized_keys2
    595. 

  595. 

  596. #AuthorizedPrincipalsFile none
    597. 

  597. 

  598. #AuthorizedKeysCommand none
    599. 

  599. #AuthorizedKeysCommandUser nobody
    600. 

  600. 

  601. # For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
    602. 

  602. #HostbasedAuthentication no
    603. 

  603. # Change to yes if you don't trust ~/.ssh/known_hosts for
    604. 

  604. # HostbasedAuthentication
    605. 

  605. #IgnoreUserKnownHosts no
    606. 

  606. # Don't read the user's ~/.rhosts and ~/.shosts files
    607. 

  607. #IgnoreRhosts yes
    608. 

  608. 

  609. # To disable tunneled clear text passwords, change to no here!
    610. 

  610. # Interdiction de connexion pas login/mot de passe
    611. 

  611. PasswordAuthentication no
    612. 

  612. # Interdiction de mot de passe vides
    613. 

  613. PermitEmptyPasswords no
    614. 

  614. 

  615. # Change to yes to enable challenge-response passwords (beware issues with
    616. 

  616. # some PAM modules and threads)
    617. 

  617. ChallengeResponseAuthentication no
    618. 

  618. 

  619. # Kerberos options
    620. 

  620. #KerberosAuthentication no
    621. 

  621. #KerberosOrLocalPasswd yes
    622. 

  622. #KerberosTicketCleanup yes
    623. 

  623. #KerberosGetAFSToken no
    624. 

  624. 

  625. # GSSAPI options
    626. 

  626. #GSSAPIAuthentication no
    627. 

  627. #GSSAPICleanupCredentials yes
    628. 

  628. #GSSAPIStrictAcceptorCheck yes
    629. 

  629. #GSSAPIKeyExchange no
    630. 

  630. 

  631. # Set this to 'yes' to enable PAM authentication, account processing,
    632. 

  632. # and session processing. If this is enabled, PAM authentication will
    633. 

  633. # be allowed through the ChallengeResponseAuthentication and
    634. 

  634. # PasswordAuthentication.  Depending on your PAM configuration,
    635. 

  635. # PAM authentication via ChallengeResponseAuthentication may bypass
    636. 

  636. # the setting of "PermitRootLogin without-password".
    637. 

  637. # If you just want the PAM account and session checks to run without
    638. 

  638. # PAM authentication, then enable this but set PasswordAuthentication
    639. 

  639. # and ChallengeResponseAuthentication to 'no'.
    640. 

  640. UsePAM yes
    641. 

  641. 

  642. # On va interdire le forwarding
    643. 

  643. AllowAgentForwarding no
    644. 

  644. AllowTcpForwarding no
    645. 

  645. GatewayPorts no
    646. 

  646. X11Forwarding no
    647. 

  647. #X11DisplayOffset 10
    648. 

  648. #X11UseLocalhost yes
    649. 

  649. #PermitTTY yes
    650. 

  650. # Pas de message d'acceuil de SSHD
    651. 

  651. PrintMotd no
    652. 

  652. #PrintLastLog yes
    653. 

  653. #TCPKeepAlive yes
    654. 

  654. #PermitUserEnvironment no
    655. 

  655. #Compression delayed
    656. 

  656. #ClientAliveInterval 0
    657. 

  657. #ClientAliveCountMax 3
    658. 

  658. # Utilisation du DNS
    659. 

  659. UseDNS yes
    660. 

  660. #PidFile /var/run/sshd.pid
    661. 

  661. #MaxStartups 10:30:100
    662. 

  662. #PermitTunnel no
    663. 

  663. #ChrootDirectory none
    664. 

  664. #VersionAddendum none
    665. 

  665. 

  666. # no default banner path
    667. 

  667. Banner none
    668. 

  668. 

  669. # Allow client to pass locale environment variables
    670. 

  670. AcceptEnv LANG LC_*
    671. 

  671. 

  672. # override default of no subsystems
    673. 

  673. Subsystem   sftp    /usr/lib/openssh/sftp-server
    674. 

  674. 

  675. # Example of overriding settings on a per-user basis
    676. 

  676. #Match User anoncvs
    677. 

  677. #   X11Forwarding no
    678. 

  678. #   AllowTcpForwarding no
    679. 

  679. #   PermitTTY no
    680. 

  680. #   ForceCommand cvs server
    681. 

  681. pi@raspberrypi:~ $
    682. 

  682. </code></pre>
    683. 

  683. <p>On redémarre <strong>sshd</strong></p>
    684. 

  684. <pre><code>sudo systemctl restart sshd.service
    685. 

  685. </code></pre>
    686. 

  686. <p>On teste si le service a bien redémarré sans erreurs :</p>
    687. 

  687. <pre><code>pi@raspberrypi:~ $ sudo systemctl status sshd.service
    688. 

  688. ● ssh.service - OpenBSD Secure Shell server
    689. 

  689. Loaded: loaded (/lib/systemd/system/ssh.service; enabled; vendor preset: enabled)
    690. 

  690. Active: active (running) since Sun 2021-02-14 14:59:47 CET; 7s ago
    691. 

  691.     Docs: man:sshd(8)
    692. 

  692.         man:sshd_config(5)
    693. 

  693. Process: 523 ExecStartPre=/usr/sbin/sshd -t (code=exited, status=0/SUCCESS)
    694. 

  694. Main PID: 524 (sshd)
    695. 

  695.     Tasks: 1 (limit: 269)
    696. 

  696. CGroup: /system.slice/ssh.service
    697. 

  697.         └─524 /usr/sbin/sshd -D
    698. 

  698. 

  699. févr. 14 14:59:46 raspberrypi systemd[1]: Starting OpenBSD Secure Shell server...
    700. 

  700. févr. 14 14:59:46 raspberrypi sshd[524]: Server listening on 0.0.0.0 port 22.
    701. 

  701. févr. 14 14:59:47 raspberrypi sshd[524]: Server listening on :: port 22.
    702. 

  702. févr. 14 14:59:47 raspberrypi systemd[1]: Started OpenBSD Secure Shell server.
    703. 

  703. pi@raspberrypi:~ $
    704. 

  704. </code></pre>
    705. 

  705. <p>C'est bon.</p>
    706. 

  706. <p>Essai de connexion :</p>
    707. 

  707. <pre><code>eric@aldebaran:~$ ssh piras
    708. 

  708. The authenticity of host 'piras.yojik.net (192.168.111.170)' can't be established.
    709. 

  709. ED25519 key fingerprint is SHA256:NW70QB3uNQ1cnrTQyfXG1Lu1iTDubEv6Oak4PK+DR1k.
    710. 

  710. Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
    711. 

  711. Warning: Permanently added 'piras.yojik.net,192.168.111.170' (ED25519) to the list of known hosts.
    712. 

  712. Enter passphrase for key '/home/eric/.ssh/piras/piras_ed25519': 
    713. 

  713. Linux raspberrypi 5.10.11+ #1399 Thu Jan 28 12:02:28 GMT 2021 armv6l
    714. 

  714. 

  715. The programs included with the Debian GNU/Linux system are free software;
    716. 

  716. the exact distribution terms for each program are described in the
    717. 

  717. individual files in /usr/share/doc/*/copyright.
    718. 

  718. 

  719. Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
    720. 

  720. permitted by applicable law.
    721. 

  721. Last login: Sun Feb 14 15:02:55 2021 from 192.168.111.150
    722. 

  722. pi@raspberrypi:~ $
    723. 

  723. </code></pre>
    724. 

  724. <p>C'est bon.</p>
    725. 

  725. <p>Test sur le site d'audit :</p>
    726. 

  726. <p>Bien, après avoir effacé toutes les données personnelles de mon navigateur (données qui entraînent une erreur «The csrf token is invalid »), le test revient toujours avec une mauvaise note. D'où la suite. Les instructions pour améliorer sont également sur le site <a href="https://www.ssh-audit.com/hardening_guides.html#ubuntu_20_04_lts">SSH-Audit.com recommendations</a></p>
    727. 

  727. <p>On va sécuriser les échanges en jouant sur 3 options supplémentaires :</p>
    728. 

  728. <ul>
    729. 

  729. <li>Ciphers : Le chiffrement utilisé.</li>
    730. 

  730. <li>KexAlgorithms : Les algorithmes utilisés pour l’échange de clés.</li>
    731. 

  731. <li>MACs : Message Authentication code, c’est le code qui accompagnent les données échangées dans le but d’assurer leur intégrité pour être certain qu’elles n’ont subies aucune altération pendant/après la transmission.</li>
    732. 

  732. </ul>
    733. 

  733. <p>Voilà les étapes à suivre (reprises quasi texto des sites déjà cités) :</p>
    734. 

  734. <ul>
    735. 

  735. <li>
    736. 

  736. <p>Régénération de la clé ED25519 du serveur :</p>
    737. 

  737. <pre><code>sudo rm -f /etc/ssh/ssh_host_*
    738. 

  738. sudo ssh-keygen -t ed25519 -f /etc/ssh/ssh_host_ed25519_key -N ""
    739. 

  739. </code></pre>
    740. 

  740. </li>
    741. 

  741. <li>
    742. 

  742. <p>Retrait des moduli Diffie-Hellman faible :</p>
    743. 

  743. <pre><code>sudo awk '$5 &gt;= 3071' /etc/ssh/moduli &gt; /home/pi/moduli.safe
    744. 

  744. sudo mv -f /home/pi/moduli.safe /etc/ssh/moduli
    745. 

  745. </code></pre>
    746. 

  746. </li>
    747. 

  747. <li>
    748. 

  748. <p>Désactivation des clés DSA/ECDSA &amp; RSA si ce n’est pas déjà fait :</p>
    749. 

  749. <pre><code>sudo sed -i 's/^HostKey \/etc\/ssh\/ssh_host_\(dsa\|ecdsa\|rsa\)_key$/\#HostKey \/etc\/ssh\/ssh_host_\1_key/g' /etc/ssh/sshd_config
    750. 

  750. </code></pre>
    751. 

  751. </li>
    752. 

  752. <li>
    753. 

  753. <p>Restriction des ciphers, clés d’échange et des codes d’authentification :</p>
    754. 

  754. <p>Ajoutez ceci à la fin du fichier /etc/sshd_config:</p>
    755. 

  755. <pre><code>KexAlgorithms curve25519-sha256@libssh.org,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512
    756. 

  756. Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
    757. 

  757. MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com
    758. 

  758. </code></pre>
    759. 

  759. </li>
    760. 

  760. <li>
    761. 

  761. <p>Redémarrage de <strong>sshd</strong></p>
    762. 

  762. <p>sudo systemctl restart sshd.service</p>
    763. 

  763. </li>
    764. 

  764. </ul>
    765. 

  765. <h3 id="test-sur-le-site-ssh-audit">Test sur le site <a href="https://www.ssh-audit.com/">ssh audit</a></h3>
    766. 

  766. <p>Tout est OK ... nous sommes passés d'une note <strong>F</strong> à <strong>A+</strong>.</p>
    767. 

  767. <p><img alt="résultat" src="../Images/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-03.png" /></p>
    768. 

  768. <p><img alt="résultat" src="../Images/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-17.png" /></p>
    769. 

  769. <p><img alt="résultat" src="../Images/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-11%2014-37-34.png" /></p>
    770. 

  770. <p><img alt="résultat" src="../Images/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-24.png" /></p>
    771. 

  771. <p><img alt="résultat" src="../Images/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-33.png" /></p>
    772. 

  772. <p><img alt="résultat" src="../Images/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-42.png" /></p>
    773. 

  773. <p><img alt="résultat" src="../Images/Capture%20d%E2%80%99%C3%A9cran%20de%202020-12-12%2009-00-49.png" /></p>
    774. 

  774.               
    775. 

  775.             </div>
    776. 

  776.           </div>
    777. 

  777.           <footer>
    778. 

  778.   
    779. 

  779.     <div class="rst-footer-buttons" role="navigation" aria-label="footer navigation">
    780. 

  780.       
    781. 

  781.         <a href="../R%C3%A9seau/" class="btn btn-neutral float-right" title="Réseau (des IPs fixes)">Next <span class="icon icon-circle-arrow-right"></span></a>
    782. 

  782.       
    783. 

  783.       
    784. 

  784.         <a href="../Etat-des-lieux/" class="btn btn-neutral" title="État des lieux"><span class="icon icon-circle-arrow-left"></span> Previous</a>
    785. 

  785.       
    786. 

  786.     </div>
    787. 

  787.   
    788. 

  788. 

  789.   <hr/>
    790. 

  790. 

  791.   <div role="contentinfo">
    792. 

  792.     <!-- Copyright etc -->
    793. 

  793.     
    794. 

  794.   </div>
    795. 

  795. 

  796.   Built with <a href="https://www.mkdocs.org/">MkDocs</a> using a <a href="https://github.com/snide/sphinx_rtd_theme">theme</a> provided by <a href="https://readthedocs.org">Read the Docs</a>.
    797. 

  797. </footer>
    798. 

  798.       
    799. 

  799.         </div>
    800. 

  800.       </div>
    801. 

  801. 

  802.     </section>
    803. 

  803. 

  804.   </div>
    805. 

  805. 

  806.   <div class="rst-versions" role="note" aria-label="versions">
    807. 

  807.     <span class="rst-current-version" data-toggle="rst-current-version">
    808. 

  808.       
    809. 

  809.       
    810. 

  810.         <span><a href="../Etat-des-lieux/" style="color: #fcfcfc;">&laquo; Previous</a></span>
    811. 

  811.       
    812. 

  812.       
    813. 

  813.         <span style="margin-left: 15px"><a href="../R%C3%A9seau/" style="color: #fcfcfc">Next &raquo;</a></span>
    814. 

  814.       
    815. 

  815.     </span>
    816. 

  816. </div>
    817. 

  817.     <script>var base_url = '..';</script>
    818. 

  818.     <script src="../js/theme.js" defer></script>
    819. 

  819.       <script src="../search/main.js" defer></script>
    820. 

  820.     <script defer>
    821. 

  821.         window.onload = function () {
    822. 

  822.             SphinxRtdTheme.Navigation.enable(true);
    823. 

  823.         };
    824. 

  824.     </script>
    825. 

  825. 

  826. </body>
    827. 

  827. </html>
    828.