3.1.1. Hvad er SSH?

SSH er en erstatning for telnet (og rlogin og rsh). Den store forskel på SSH og telnet er, at telnet sender alting (også password) i klar tekst - SSH krypterer. SSH bør derfor være noget af det første, man installerer på en Linux-server. Læs evt. denne uddybende artikel: http://www.sslug.dk/artikler/Linux_sikkerhed/netvaerk.html.

SSH protokollen findes i to udgaver: SSH1 og SSH2. SSH1 er fri for alle. SSH2 må frit bruges af privatpersoner og uddannelsesinstitutioner. SSH findes også i en Open Source version OpenSSH. Den følger med RedHat 7.0 og 7.1 og understøtter både SSH1 og SSH2.

SSH1 og OpenSSH-versionen af SSH2 giver mulighed for at vælge hvilke brugere og grupper, der må bruge SSH, det gør standardudgaven af SSH2 ikke. Derfor mener jeg, at SSH1 og OpenSSH er mest relevante på en skole.

SSH2 er den sikreste pga. måden den udveksler nøgler på, så hvis du har valget så sæt OpenSSH til at bruge SSH2.

3.1.2. Opsætning af en SSH1 server

SSH1 er et forældet program. Hvis du bruger RedHat 7 eller højere så hop til afsnittet om OpenSSH.

En SSH1 server giver dig som skrevet adgang til at arbejde på din server over internettet uden at risikere, at andre opsnapper dine oplysninger. Her følger en vejledning i at sætte en SSH-server op på en RedHat 6.2 Linux server.

Vi skal have hentet 3 RPMer på ftp://sunsite.dk/pub/os/linux/redhat-crypto/i386.

Det er: ssh-1.2.30-1i.i386.rpm, ssh-extras-1.2.30-1i.i386.rpm og ssh-server-1.2.30-1i.i386.rpm. Hvis der er kommet nyere versioner så brug dem.

Installer dem som root med rpm -Uvh *rpm eller din foretrukne RPM-manager fx Gnorpm.

Nu kører SSH1 måske allerede, men inden den skal køre for alvor skal du lige rette i et par filer. Det er dels /etc/ssh/sshd_config, der styrer hvordan sshd opfører sig, og dels /etc/inetd.conf, der i RedHat 6.2 tilbyder for mange services.

Lad os starte med /etc/ssh/sshd_config. Jeg har lavet en eksempelfil for Gnu Skole som findes her. Jeg foreslår, at man laver 3 ændringer til den fil, der kommer med pakken:

Første ændring har til formål at gøre livet lidt mere surt for crackere, der kender dig. Måden crackere, der kender en, prøver at få adgang til din maskine på, er som regel ved at prøve at gætte din adgangskode. Den første ændring er at forbyde Root at logge ind direkte:

PermitRootLogin no

Du bør så oprette en særlig bruger, du kun bruger til SSH (og tilføje den til ssh1gruppe - se senere). Når du så har logget ind på denne måde, kan du lige skrive su - for at få root-adgang til maskinen. På denne måde gør du det dobbelt så svært at kompromittere dit system.

Anden ændring er at forbyde blanke adgangskoder - det fordrer næppe nogen begrundelse!

PermitEmptyPasswords no

Sidste ændring er i virkeligheden en tilføjelse. Som standard har alle brugere ret til at logge ind via SSH. Det giver dem ret til i ro og mag at kigge filerne og deres rettigheder igennem og finde evt. tanketorsk i opsætningen. Det er ikke godt!

Jeg foreslår, at du opretter en særlig gruppe af brugere, og kalder denne gruppe noget i stil med: ssh1gruppe. Du kan så tilføje de brugere, der skal kunne logge ind på serveren via SSH til gruppen.

Når du har oprettet gruppen, skriver du denne linie sidst i sshd_config:

AllowGroups ssh1gruppe

Den virker på den måde, at brugerne i gruppen får ret til login via SSH - og alle andre brugere forbydes SSHadgang.

Der er mange andre muligheder i sshd_config. De er glimrende beskrevet på man-siden, som du får, når du skriver man sshd i en term.

Så skal vi have slået telnet fra!!

I RedHat 6.2 skal du åbne filen /etc/inetd.conf og finde linien:

telnet stream  tcp  nowait  root    /usr/sbin/tcpd in.telnetd

Sæt # ud for den, så der står:

#telnet stream  tcp  nowait  root    /usr/sbin/tcpd in.telnetd

Nu du er ved det så sæt også # ved:

shell    stream    tcp    nowait    root    /usr/sbin/tcpd    in.rshd
login    stream    tcp    nowait    root    /usr/sbin/tcpd    in.rlogind

Det er også gamle ukrypterede tjenester, som SSH erstatter. Jeg vil i øvrigt opfordre dig til at læse denne artikel, som bla. omhandler inetd: http://www.sslug.dk/artikler/Linux_sikkerhed/services.html

I RedHat 7.0 slås disse tjenester fra med

[root@gnuskole /root]# /sbin/chkconfig telnet off
[root@gnuskole /root]# /sbin/chkconfig rlogind off
[root@gnuskole /root]# /sbin/chkconfig rshd off

og så fremdeles.

Start nu SSH med /etc/rc.d/init.d/sshd start som root. Hvis det ser ud til at virke, kan du sætte SSH til at starte op automatisk med /sbin/chkconfig sshd on. Husk også at køre /etc/rc.d/init.d/sshd restart, hver gang du har ændret i /etc/ssh/sshd_config, og køre /etc/rc.d/init.d/inet restart, når du har ændret i /etc/inetd.conf.

Det var det! Så skal vi igang med klienterne.

3.1.3. Opsætning af en OpenSSH server

Installationen af OpenSSH er beskrevet på http://www.sslug.dk/linuxbog/sikkerhed/bog/sikker-net-trafik.html.

Men OpenSSH blev sikkert installeret allerede da du installerede RedHat 7.x.

Tilretningerne i beskrivelsen af SSH1-serveren gælder også i OpenSSH. Husk specielt at begrænse adgangen med AllowGroups. Vi vil derudover anbefale at man i /etc/ssh/sshd_config indsætter:

Protocol 2

for at tvinge OpenSSH til at bruge den sikrere protokol SSH2. Hvis man af en eller anden grund har brug for af og til at benytte SSH1 kan man indsætte:

Protocol 2,1

for at have SSH1 som tilbagefaldsprotokol.

OpenSSH startes med:

[root@gnuskole /root]# /sbin/chkconfig sshd on
[root@gnuskole /root]# /etc/init.d/sshd restart

3.1.4. Opsætning af SSH-klienter

Jeg vil her gennemgå opsætningen af hhv. en RedHat Linux og en Windows-maskine som SSH-klient.

[root@gnuskole /root]# rpm -q openssl
[root@gnuskole /root]# rpm -q openssh
[root@gnuskole /root]# rpm -q openssh-clients>