Impedir que o SSH anuncie seu número de versão

13

O servidor que estou usando é o Ubuntu 10.10. Para garantir a segurança, desejo editar o banner que o servidor envia ao cliente.

Se eu telnetar para o meu host na porta 22, ele informa a versão exata do SSH que estou executando (SSH-2.0-OpenSSH_5.3p1 Debian-3ubuntu4). A situação é a mesma com o MySQL e o Cyrus.

Alguma sugestão? Pelo menos para SSH?

obrigado

linux security

— Lerikun
fonte

5

Espero que você também perceba que é preciso mais do que remover esses banners para garantir que seu servidor esteja seguro.

— Ben Pilbrow

10

Essas informações são amplamente irrelevantes; os bots tentarão hacks que funcionam na versão mais antiga, independentemente das informações da versão fornecidas pelo servidor. Usuários hostis que atacam maliciosamente seu servidor são a menor das suas preocupações; usuários descuidados são geralmente muito mais perigosos.

— Chris S

Ben, acho que sei o que estou perguntando. E eu sei como proteger um servidor NIX, obrigado. Chris, tatear no escuro também é bom. Independentemente do snort, iptables fail2bans etc.

— Lerikun

desde que você saiba que essa é uma das muitas coisas a fazer, tudo bem. Não queria que você fosse embora, pensando que seu sistema era super seguro, só isso.

— Ben Pilbrow

Como o Auticracy apontou, quero pelo menos ocultar o "Debian-3ubuntu4".

— Lerikun

17

Quase universalmente, os banners de identificação fazem parte do código compilado e não possuem opções de configuração para alterá-los ou suprimi-los. Você precisará recompilar essas partes do software.

— Jeff Ferland
fonte

Obrigado. A única resposta realmente útil aqui. E quanto ao TCP Wrapper, eles apenas adicionam um banner, mas não ocultam as informações reais?

— Lerikun

6

Além de compilado, também é usado pelos clientes para determinar os níveis de conexão compatíveis.

— 21411 Jeremy Bouse

32

Embora seja proibitivamente difícil ocultar o número da versão do seu daemon SSH, você pode ocultar facilmente a versão linux (Debian-3ubuntu4)

Adicione a seguinte linha ao /etc/ssh/sshd_config

DebianBanner no

E reinicie seu daemon SSH: /etc/init.d/ssh restartouservice ssh restart

— Harrison Powers
fonte

7

Obrigado, isso funciona perfeitamente! Concordo que a remoção das informações da versão é segurança por obscuridade e pode apresentar mais problemas que eles resolvam. No entanto, com o Debian, o OpenSSH não apenas anuncia sua própria versão, mas a versão e o sabor específico do sistema operacional - ie "SSH-2.0-OpenSSH_6.7p1 Raspbian-5 + deb8u3". Parabéns, sem nenhum tipo de autenticação, você agora está ciente de que está conversando com um RaspberryPi executando o Raspbian, e seu próximo passo óbvio seria tentar conectar-se como "pi" à senha padrão. IMHO isso está dando maneira a muita informação no primeiro encontro.

— Saustrup

Brilhante, uma das melhores jóias escondidas encontradas aqui.

— Rui F Ribeiro

19

Ocultar aqueles não protegerá seu servidor. Existem muitas outras maneiras de identificar o que seu sistema está executando. Para o SSH em particular, o anúncio da versão faz parte do protocolo e é necessário.

http://www.snailbook.com/faq/version-string.auto.html

— bahamat
fonte

Quanto menos pessoas souberem do seu sistema ... Você pode discordar. E quanto a outros serviços? Eu estou falando em geral sobre Cyrus (IMAP / POP3) e MySQL e outros. E se houver dois Admins - não preciso seguir o protocolo ?!

— Lerikun

3

@lerikun: Não se trata de compartilhá-lo com hackers assustadores. É sobre o SSH não conseguir se conectar porque não sabe qual protocolo usar. SSHD tem que anunciar.

— Satanicpuppy

9

"quanto menos pessoas souberem do seu sistema, melhor". Sim, claro, essa é uma afirmação que soa bem, mas não faz muito, como "Se eu ganhar na loteria, vou ...". A segurança através da obscuridade é, na melhor das hipóteses, pouca segurança.

— precisa

1

Robert, essa é uma afirmação que significa muito. Por que o cofre está no quarto escuro, onde ninguém pode vê-lo? ... Deixa pra lá. Não pergunto como proteger meu servidor. Eu acho que minha pergunta foi clara. Sim Autocracia Eu quero pelo menos me livrar deles.

— Lerikun

2

Pelo que vale, Robert Moir está completamente certo.

— Sirex

8

Tenho certeza de que você não pode realmente alterar o anúncio da versão.

As melhores maneiras de proteger o sshd são:

Mude o número da porta padrão.
Proibir logons raiz.
Force o protocolo 2 (supondo que isso não seja feito por padrão).
Lista de servidores que têm permissão para fazer o SSH na lista de permissões.

Os três primeiros podem ser feitos modificando / etc / sshd_config

O quarto depende de qual software de firewall você está usando.

— Satanicpuppy
fonte

1/2/3 já feito. usando certificados sem senhas. Fail2ban (IMAP, POP, SMTP, VPN, WEB) e denyhosts (SSH) A questão é sobre os anúncios de versão para outros serviços.

— Lerikun

6

Como dito acima, alterar um número de versão é

Difícil de fazer
Segurança através da obscuridade
Não é flexível

O que eu sugiro é implementar o Port Knocking. É uma técnica bastante simples para ocultar qualquer coisa que esteja sendo executada no seu servidor.

Aqui está uma boa implementação: http://www.zeroflux.org/projects/knock

Foi assim que eu o implementei nos meus servidores (outros números) para abrir o SSH apenas para as pessoas que conhecem 'a batida secreta':

[openSSH]
    sequence = 300,4000,32
    seq_timeout = 5
    command = /opencloseport.sh %IP% 2305
    tcpflags = syn

Isso dará uma janela de 5 segundos na qual os 3 pacotes SYN precisam ser recebidos na ordem correta. Escolha portas distantes umas das outras e não sequenciais. Dessa forma, um scanner de porta não pode abrir a porta por acidente. Essas portas não precisam ser abertas pelo iptables.

O script que eu chamo é este. Ele abre uma porta específica por 5 segundos para o IP enviar os pacotes SYN.

#!/bin/bash
/sbin/iptables -I INPUT -s $1 -p tcp --dport $2  -j ACCEPT
sleep 5
/sbin/iptables -D INPUT -s $1 -p tcp --dport $2  -j ACCEPT

Pode ser muito difícil enviar pacotes SYN, então eu uso o script para conectar-me ao SSH dos meus servidores:

#!/bin/bash
knock $1 $2
knock $1 $3
knock $1 $4
ssh $5@$1 -p $6

(É bastante óbvio o que está acontecendo aqui ...)

Depois que a conexão é estabelecida, a porta pode ser fechada. Dica: use a autenticação de chave. Caso contrário, você precisará ser muito rápido para digitar sua senha.

— Bart De Vos
fonte