SSH max authtries && SSH 配置文件简便地增强安全性

0 如果有一个黑客攻击我的SSH。我基本上无解。我使用下面的配置防护

LoginGraceTime 60

MaxAuthTries 6

那么攻击防护的情况如下，

(a) 黑客攻击SSH，建立TCP连接，这个笨黑客不能一口气发送任意次用户名和密码了。

(b) 假设它在0.1秒内发了6次暴力破解要求。那么TCP连接会断开。由此走回步骤(a)

这里MaxAuthTries发挥作用了。因为0.1秒小于60秒，所以黑客可以忽略这个时间的设置。

1 确保安全性总是需要多层的方案。SSH 就是个好例子。可以使用多种方法，包括简单的 sshd 配置、通过 PAM 指定谁可以使用 SSH、应用端口敲门技术隐藏存在 SSH 访问的事实等。应用这些技术可以大大增加黑客入侵的难度，黑客不得不突破三个不常见的障碍。

1. 把 SSH 的标准端口改为不常用的值并增强 SSH 配置，从而挡住最简单的攻击。
2. 定义有限的用户列表，只允许这些用户登录。
3. 完全隐藏允许 SSH 访问的事实，要求根据特殊的 “敲门” 序列识别有效用户。

清单 1. 通过修改 SSH 配置文件简便地增强安全性

Port 22960 
LoginGraceTime 30 
MaxAuthTries 3 
Protocol 2 
PermitRootLogin no

2 认证时限,未认证连接与认证次数

LoginGraceTime表示认证的时限,我们可以调整认证的时间限制,例如:

LoginGraceTime 20

即在20秒之内不能完成认证,则断开,如下:

ssh  root@192.168.27.142

root@192.168.27.142's password: 

Connection closed by 192.168.27.142

注意在这里如果密码输入错误,则重新计时,如果我们输错了密码,计时将重新开始,幸运的是我们有MaxAuthTries,来解决认证次数的问题.

MaxAuthTries 1

这里表示只允许输错一回密码.

我们要注意的是除了SSH自身的选项控制认证次数外,它还通过pam进行验证,所以如果我们设置MaxAuthTries 10,则允许输错密码的次数可能还是3,如果MaxAuthTries 2,则以MaxAuthTries为准.

如果是MaxAuthTries 2,我们输错密码的提示如下:

ssh  root@192.168.27.142

root@192.168.27.142's password: 

Permission denied, please try again.

root@192.168.27.142's password: 

Received disconnect from 192.168.27.142: 2: Too many authentication failures for root

3

MaxAuthTries

Specifies the maximum number of authentication attempts permitted per connection. Once the number of failures reaches half this value, additional failures are logged. The default is 6.

from that text in the man page it looks like it resets for each *connection* (nothing to do with the ipaddress).

REF:

1 http://www.ibm.com/developerworks/cn/aix/library/au-sshlocks/

2 http://blog.chinaunix.net/uid-16728139-id-3265394.html