Lorsque vous avez besoin d’ouvrir quelque chose sur votre réseau domestique pour accéder à Internet, un tunnel SSH est-il un moyen suffisamment sécurisé pour le faire?

La séance de questions-réponses d’aujourd’hui nous est offerte par SuperUser, une subdivision de Stack Exchange, un regroupement communautaire de sites Web de questions-réponses.

La question

Le lecteur SuperUser Alfred M. veut savoir s’il est sur la bonne voie avec la sécurité des connexions:

J’ai récemment mis en place un petit serveur avec un ordinateur bas de gamme exécutant debian dans le but de l’utiliser comme référentiel git personnel. J’ai activé ssh et j’ai été assez surpris de la rapidité avec laquelle il a souffert d’attaques par force brute et similaires. Ensuite, j’ai lu que c’était assez courant et j’ai appris les mesures de sécurité de base pour conjurer ces attaques (beaucoup de questions et de doublons sur le défaut de serveur le traitent, voir par exemple celui-ci ou celui-ci).

Mais maintenant, je me demande si tout cela en vaut la chandelle. J’ai décidé de créer mon propre serveur principalement pour le plaisir: je pouvais simplement compter sur des solutions tierces telles que celles proposées par gitbucket.org, bettercodes.org, etc. Bien qu’une partie du plaisir consiste à se renseigner sur la sécurité Internet, je n’ai pas assez de temps pour y consacrer pour devenir un expert et être presque certain que j’ai pris les bonnes mesures de prévention.

Afin de décider si je vais continuer à jouer avec ce projet de jouet, je voudrais savoir ce que je risque vraiment de faire. Par exemple, dans quelle mesure les autres ordinateurs connectés à mon réseau sont-ils également menacés? Certains de ces ordinateurs sont utilisés par des personnes ayant des connaissances encore moindres que les miennes exécutant Windows.

Quelle est la probabilité que je rencontre de réels problèmes si je respecte des directives de base telles qu’un mot de passe fort, un accès root désactivé pour ssh, un port non standard pour ssh et éventuellement la désactivation de la connexion par mot de passe et l’utilisation d’une des règles fail2ban, denyhosts ou iptables?

Autrement dit, y a-t-il de gros méchants loups que je devrais craindre ou s’agit-il surtout de chasser les script kiddies?

Alfred doit-il s’en tenir à des solutions tierces ou sa solution de bricolage est-elle sécurisée?

La réponse

Le contributeur de SuperUser TheFiddlerWins rassure Alfred qu’il est assez sûr:

IMO SSH est l’une des choses les plus sûres à écouter sur Internet. Si vous êtes vraiment inquiet, écoutez-le sur un port haut de gamme non standard. J’aurais toujours un pare-feu (au niveau de l’appareil) entre votre box et Internet et j’utiliserais simplement la redirection de port pour SSH, mais c’est une précaution contre les autres services. SSH lui-même est sacrément solide.

je avoir des personnes ont parfois frappé mon serveur SSH domestique (ouvert à Time Warner Cable). Jamais eu d’impact réel.

Un autre contributeur, Stéphane, souligne à quel point il est facile de sécuriser davantage SSH:

La configuration d’un système d’authentification à clé publique avec SSH est vraiment triviale et prend environ 5 minutes à configurer.

Si vous forcez toutes les connexions SSH à l’utiliser, cela rendra votre système à peu près aussi résistant que vous pouvez l’espérer sans investir BEAUCOUP dans l’infrastructure de sécurité. Franchement, c’est tellement simple et efficace (tant que vous n’avez pas 200 comptes – alors ça devient compliqué) que ne pas l’utiliser devrait être une infraction publique.

Enfin, Craig Watson propose une autre astuce pour minimiser les tentatives d’intrusion:

Je gère également un serveur git personnel ouvert sur le monde sur SSH, et j’ai également les mêmes problèmes de force brute que vous, donc je peux comprendre votre situation.

TheFiddlerWins a déjà abordé les principales implications de sécurité de l’ouverture de SSH sur une IP accessible au public, mais le meilleur outil IMO en réponse aux tentatives de force brute est Fail2Ban – un logiciel qui surveille vos fichiers journaux d’authentification, détecte les tentatives d’intrusion et ajoute des règles de pare-feu à la local de la machineiptables pare-feu. Vous pouvez configurer à la fois le nombre de tentatives avant une interdiction et la durée de l’interdiction (ma valeur par défaut est de 10 jours).


Vous avez quelque chose à ajouter à l’explication? Sonnez dans les commentaires. Vous voulez lire plus de réponses d’autres utilisateurs de Stack Exchange avertis en technologie? Consultez le fil de discussion complet ici.

LAISSER UN COMMENTAIRE

S'il vous plaît entrez votre commentaire!
S'il vous plaît entrez votre nom ici