• [^] # Re: Paramètres par défaut des distributions

    Posté par (Mastodon) . En réponse au journal ssh : et si nous sensibilisions par un label, ou autre impératif?. Évalué à 4. 

    C'est idiot. Il y a des cas où l'on a besoin d'un accès par mot de passe. Il faut simplement utiliser des mots de passe forts.

    Jamais rencontré de cas de besoin de mot de passe. L'usage de clef n'est pas simplement immensément plus sécurisé que n'importe quel mot de passe dit fort, il est aussi infiniment plus pratique à l'usage.

    Pour ma part, je peux avoir besoin exceptionnellement de me connecter sur ma machine depuis un ordinateur occasionnel (chez un ami par exemple), et dans ce cas j'ai mis en place un 2FA (Google Authenticator) ce qui m'apporte une tranquillité quant au risque de laisser un port ssh ouvert.
    En plus, c'est pas pour faire la promotion aveugle d'un accès ssh par MdP + 2FA, mais j'ai plus confiance dans cette approche pour des postes qui ne sont pas forcément sous mon contrôle total (par exemple ordi professionnel à partir duquel quelqu'un de mal intentionné pourrait récupérer ma clé ssh privée depuis les sauvegardes)

    Bien sûr, ça se rajoute à tout un tas d'autres durcissement et blocages tels que
    - fail2ban (auparavant j'utilisais denyhosts)
    - limitation des cnx ssh uniquement à certains utilisateurs (directive AllowUsers de la config sshd)
    - verrouillage des comptes ssh utilisés pour des sauvegardes via les restrictions du fichier authorized_keys (limitation à l'aide de from=, de la commande à lancer ou encore en empêchant le pouvoir lancer un shell à l'aide de restrict)
    - sécurisation de la configuration d'OpenSSH (chercher "ssh hardening" pour trouver tout un tas de tutos sur le sujet)
    - surveillance des connexions suspectes (surtout celles qui ont réussies)