Михаил Флёнов - Linux глазами хакера

□ LogLevel— уровень событий, которые будут попадать в журнал. Возможные уровни соответствуют системным, которые мы будем рассматривать в разд. 12.5 ;

□ LoginGraceTime— интервал времени, в течение которого пользователь должен ввести правильный пароль, иначе соединение будет разорвано;

□ РеrmitRootLogin— определяет, разрешено ( yes) или запрещено ( no) входить в систему по SSH-протоколу под пользователем root. Мы уже говорили, что root — это бог в системе, и его возможности нужно использовать аккуратно. Если в систему нельзя входить с такими правами, то и по SSH тем более. Срочно меняйте этот параметр на no;

□ StrictModes— указывает, должен ли sshd проверять состояние файлов и их владельцев, пользовательских файлов и домашней директории до ввода пароля. Желательно установить yes, потому что многие начинающие пользователи делают свои файлы все доступными для записи;

□ RSAAuthentication— разрешена ли аутентификация по алгоритму RSA. Параметр действует для 1 версии протокола;

□ PubkeyAuthentication— дозволена ли аутентификация по публичному ключу. Параметр действует для 2-й версии протокола;

□ AuthorizedKeysFile— файл с публичным ключом, который может использоваться для аутентификации;

□ RhostsAuthentication— разрешение аутентификации по файлам $HOME/.rhostsи /etc/hosts.equiv. По умолчанию стоит no, и без особой надобности менять этот параметр не стоит, потому что это небезопасно;

□ IgnoreRhosts— если параметр равен yes, то запрещается читать файлы ~/.rhostsи ~/.shosts. Без необходимости значение лучше не изменять, потому что это может повлиять на безопасность;

□ AuthorizedKeysFile— файл для хранения списка авторизованных ключей. Если пользователь входит в систему с имеющимся в этом файле ключом, то его пустят автоматически без ввода дополнительных паролей;

□ RhostsRSAAuthentication— если этот параметр yes, то при аутентификации будет требоваться ключ хоста из директории /etc/ssh/ssh_known_hosts. Параметр используется в 1 версии SSH;

□ IgnoreUserKnownHosts— если параметр равен no, то необходимо доверять компьютерам из списка ~/.ssh/known_hostsпри RhostsRSAAuthentication-аутентификации. Не верьте никому, поэтому параметр лучше всего изменить на yes;

□ PasswordAuthentication— если значение равно yes, то будет требоваться пароль. При использовании авторизации через ключи параметр можно отключить;

□ PermitEmptyPasswords— по умолчанию установлено no, что запрещает использование пустых паролей, и изменять это значение не стоит;

□ KerberosAuthentication— использовать проверку подлинности по протоколу Kerberos. В последнее время именно эта аутентификация набирает большую популярность благодаря своей безопасности;

□ KerberosOrLocalPasswd— если пароль Kerberos не был принят, то включается проверка локального файла паролей из файла /etc/shadow;

□ KerberosTicketCleanup— очищать билет Kerberos из кэша при выходе из системы;

□ Banner— позволяет указать файл, в котором находится текст приветствия, отображаемый пользователями.

Кроме приведенных в листинге 5.1 можно использовать следующие директивы:

□ AllowGroups— позволить вход в систему только пользователям указанных групп (перечисляются через пробел в одной строке);

□ AllowUsers— разрешить вход в систему пользователям, имена которых перечислены через пробел;

□ DenyGroups— запретить вход в систему пользователям указанных через пробел групп;

□ DenyUsers— запретить вход в систему пользователям, имена которых перечислены через пробел. Этот параметр бывает удобен, когда дано разрешение на вход группе, но нужно отказать в подключении к SSH-серверу одному из ее пользователей.

Я рекомендую вам явно прописать группы или имена пользователей, которые могут входить в систему по SSH.

Настройки SSH-клиента содержат еще меньше параметров. В файле /etc/ssh/ssh_configнаходятся глобальные настройки для всех пользователей в системе. Но вы можете для любого из них переопределить произвольный параметр в файле .ssh_configиз директории пользователя. В листинге 5.2 приведено содержимое глобального файла настроек без некоторых комментариев.

# Site-wide defaults for various options