设置一个非常强的密码足以保护端口22上的SSH吗？

8

假设没有人可以自己窃取我的实际密码，那么使用SSH破解使用标准端口使用非常强壮的标准端口运行SSH的服务器实际上是99.9％是不可能的（24个符号包含大写，小写数字，括号，下划线，美元，句号等，并且没有人类语言单词）密码？

security ssh

— 伊万
source

2

我不会将其发布为答案，因为很多人似乎出于某些原因不同意我的观点，但是将端口更改为非标准端口也将有助于减少攻击面。您显然需要使用强密码并保持服务器最新以提供真正的安全性，但这将有助于避免对开放端口进行常规扫描。

— 保罗·克朗

3

尽管很少见，但仍有零日漏洞利用...所以您永远不会知道。也许您可以将对[防火墙级别]的端口22的访问限制为仅几个主机/网络？

或者，您可以采用安全性虽然模糊的方式来实现端口断开？

— pQd
source

1

我认为端口敲门是最好的主意。限制网络/主机是一个脚手架，我非常机动，倾向于使用不同的wifi和3G网络。

— 伊万

8

请记住，您的密码可能非常安全，而其他用户的密码可能确实很弱。把AllowGroups或AllowUsers成/etc/ssh/sshd_config关掉其他用户的SSH访问。

还要记住，您的密码可能太安全了：几乎可以肯定会记下该密码。

话虽如此，我认为你很安全。如果您与爆震相结合，那么您将非常安全。

— 莫里兹都
source

1

+1代表AllowUsers ...绝对是加号。

— Paul Kroon

1

并以良好的方式添加fail2ban

— tegbains 2010年

4

这完全取决于攻击者能够以多快的速度将tcp / 22端口用于登录。如果您不使用某种方式来终止此类重复连接，则可以及时发现任何密码。在这种情况下，时间将是很长的时间。数月不断锤打。在SSH日志中，我已经进行了一些遍历，我几乎看不到有针对性地针对特定帐户进行攻击，并且为寻找弱密码而大量敲门。

但是，您不能假设所有攻击者都是随便的。专门针对您的人将需要等待几个月才能投入资金。出于这种原因，在可能的情况下，首选共享密钥。您描述的密码极有可能是三九个不可能破解的密码（在合理的时间限制内）。我不会屏息五九。

— sysadmin1138
source

1

“这完全取决于攻击者能以多快的速度敲击tcp / 22端口进行登录。如果您不使用某些方法来终止这种重复的连接，”-如今默认情况下，不是在所有常见发行版中都进行了设置吗？

— 伊万

2

@Ivan令人失望的是，不是。 apt-get install denyhosts（基于Debian的）pkg_add -r denyhosts（FreeBSD）是在新包装上要做的第一件事。

— 皮特

2

不总是。Ubuntu默认没有它，openSUSE或Fedora / Centos也没有。这三个都存在预构建的软件包，但是您必须采取积极的措施才能将其打开。

— sysadmin1138

3

使用denyhosts。还可以考虑使用基于密钥的登录名而不是密码。

— 皮特
source

是的，我确实使用了密钥（并且具有良好的随机符号密码短语，仅在我脑海中写下，并且具有有效的到期日期）。但是，仍然为用户设置了我描述的方式的密码。

— 伊万

1

将sshd移至非标准端口可能很难添加到您的配置中，并且可能会消除99％的ssh bot流量。当您可以如此轻松地躲藏起来时，为什么要使自己遭受所有暴力攻击。;-)

我通常还建议将sshd配置为仅使用基于SSH密钥对的身份验证，前提是它会在整个Internet上公开。只要您保持私钥的安全，坏人几乎就不可能在使用服务器时进行身份验证。

正如另一位评论员已经指出的那样，这不能保护您免受sshd本身的0天攻击。将流量限制为仅需要通过防火墙规则进行连接的计算机始终是一个好主意。

— 帕特里克·海肯利（Patrick Heckenlively）
source