Serveur ssh, création d'un utilisateur rootable

Support Debian
#1

Bonjour,

je suis en train de gratter sévère pour sécuriser mon serveur ssh avant l’ouvrir. Selon les conseil lu ici http://www.debian-fr.org/ssh-autoriser-les-connections-root-en-toute-securite-si-t37495.html (principes de base), je vais interdire les connexions de root (PermitRootLogin no) et créer un utilisateur exprès qui sera “suers” ou “sudoers” et seul aurorisé (AllowUsers). Et tout ça uniquement avec des clé RSA (PassWordAuthentication no)

Lisant la man page de adduser, je découvre ceci :

[code]–disabled-login
N’utilise pas passwd pour fixer le mot de passe. L’utilisateur ne pourra pas utiliser son compte avant que son mot de passe soit donné.

–disabled-password
Comme --disabled-login, mais les connexions sont toujours possibles (par exemple par SSH avec des clés RSA), mais pas par une authentification par mot de passe.[/code]
Bonnard, je me dis, un utilisateur sans mot de passe ce sera difficile de l’usurper.

Ah oui, mais lorsque je vais exécuter ssh-copy-id (bien pratique) pour transférer la clé publique de cet utilisateur, que va-t-il se passer ? Normalement, le serveur doit me demander un mot de passe. Là, il n’en aurait pas.

Voilà donc mes questions :

  • Un utilisateur sans mot de passe est-il mieux protégé qu’un autre avec mdp, même blindé ?
  • Puis-je réaffecter --disabled-password à un utilisateur déjà créé, après avoir transféré sa clé privé ?
  • Suffit-il que je créé manuellement sur le serveur le fichier /.ssh/authorized_key pour mon utilisateur “sué” ou “sudoé” (j’ai pas encore bien fait la différence) ? Mais je crois me souvenir qu’il y a des histoires de droits…

J’ai aussi compris qu’il fallait absolument éviter sudo, je vais m’y attacher.

Merci de votre indulgence.

#2

À partir du moment où ton accès SSH est configuré pour n’accepter que les authentifications RSA (PasswordAuthentication no) ça n’a aucune importance de savoir si ton utilisateur a un mot de passe ou non, de toutes façons SSH n’autorisera jamais les connexions par mot de passe.

Et effectivement comme tu le dis si bien, pour un utilisateur créé avec --disabled-password ça sera difficile de copier la clé SSH à distance… :wink:

Même moi qui suis pourtant extrêmement parano je trouve cette idée plutôt inutile.

#3

Merci de ta réponse. Venant de toi, je suis complètement rassuré, ta parano étant légendaire :wink:
Je lis beaucoup de messages ici.

La force du mdp de cet utilisateur particulier est donc sans importance ? [EDIT : compris, question c**, je suis déformé par l’utilisation de sudo sous une autre distribution basée sur debian]

#4

Bonjour,

Afin de se “rassurer”, il est toujours possible de définir l’adresse ou l’ensemble d’adresses IP depuis lesquels l’utilisateur ainsi défini pourra uniquement se connecter

#5

Oui, j’avais d’ailleurs dans un premier temps pensé utiliser l’option from=“192.168.0.*” dans le fichiers Authorized_Key pour root … avant de changer d’avis.

En fait, il y a tellement de possibilités, que j’ai du mal à les hiérarchiser.

#6

En fait je vois un seul cas où cette histoire de mot de passe peut avoir de l’importance : il faudrait qu’un attaquant arrive à avoir un accès shell via une faille d’un service quelconque, auquel cas il pourrait s’amuser à tenter des su utilisateur. Mais franchement j’ai un peu du mal à voir l’intérêt de faire ça, vu que si l’attaquant a un accès shell il serait beaucoup plus avisé de tenter des su root.
Bref, par mesure de précaution vaut toujours mieux mettre un mot de passe solide, mais il ne protégera qu’un compte qui de toutes façons ne sert que de “trampoline” pour SSH donc sans grand intérêt. :wink:

Merde j’suis grillé ! :mrgreen:

#7

Merde j’suis grillé ! :mrgreen:[/quote]

Oui, une légende grillée… :005

#8

Merci à vous, j’ai bien progressé.