SSH에 왜 그렇게 안전하지 않은 기본 구성이 제공됩니까?
안전하지 않다고 생각되는 기본값을 나열합니다.
- SSH를 통한 루트 로그인 활성화
- SSH 프로토콜 버전 1 허용(MIM 공격에 취약함)
무차별 대입 공격을 처리하는 기본 메커니즘도 없습니다.
새로운 시스템에서는 상호 운용성과 호환성이 중요하다는 점을 이해할 수 있지만 이러한 기본 설정으로 서버를 네트워크에 배치하는 것은 주요 보안 문제입니다. 누군가 이러한 구성 옵션을 알지 못하는 경우 무차별 공격에 매우 취약한 서버를 활성화하고 누군가가 액세스할 수 있을 만큼 오랫동안 문제를 인식하지 못할 수 있습니다.
SSH를 통한 무차별 루팅 아이디어는 오랫동안 존재해 왔으며 모든 서버에는 봇 등의 루트 로그인 시도로 인해 "백그라운드 노이즈"가 있습니다. 이 위협을 완화하는 데 도움이 되는 SSH에 대한 일부 기본값을 제공하는 것이 합리적입니다.
이러한 안전하지 않은 기본값의 이유는 무엇입니까?
답변1
많은 시스템에서 시스템에 대한 유일한 진입점은 SSH를 통해서입니다. 사용자 계정이 아직 생성되지 않은 신규 설치에서는 루트 계정만 가질 수 있습니다.
그렇다면 여러 개의 계정을 가지고 있더라도 외부 인증을 사용했는데 인증 시스템이 실패한다면 어떻게 될까요? 상자로 돌아가서 고칠 수 있어야 합니다.
PermitRootLoginSSH 키만 유효 하도록 설정할 수 있지만 without-password, 이를 위해서는 최소한 한 번은 비밀번호로 로그인하여 SSH 키를 추가해야 합니다.
처음에 필요한 이유를 제외하고 기본값을 상당히 안전하면서도 여전히 유효하게 만드는 것은 패키지 관리자의 책임이라고 생각합니다. 최대한 안전하게 만드는 방법에는 루트 비활성화, 22 이외의 포트에서 수신 대기 설정, 비밀번호 인증 비활성화 등이 포함됩니다. 루트 SSH에서 비밀번호를 활성화하는 것 자체는 보안 허점이 아닙니다. 이는 루트 비밀번호가 취약한 경우에만 보안 허점이 됩니다.
저는 이를 방화벽 정책에 비유합니다. 대부분의 배포판은 iptables 규칙이나 sysctl 사용자 정의가 활성화되지 않은 상태로 공장에서 배송됩니다. 사용자 정의 없이 인터넷에 서버를 배치하는 것은 큰 위험입니다. 서버의 목적에 적합한 보안 정책을 구현하는 것은 서버 소유자의 책임입니다.
답변2
귀하의 배포판이 이러한 안전하지 않은 기본값의 원인일 가능성이 높습니다. 다양한 배포판은 다양한 기본 구성을 제공합니다.
반면, 사전 구성 없이 네트워크 서비스를 시작하는 것은 아마도 나쁜 생각일 것입니다. 관리자는 자신만의 특별한 요구 사항이 있는 경우가 많으며 자신의 스크립트를 게시하지 않는 경우 최소한 설치 후 구성을 검토해야 합니다.
무차별 공격: 이러한 유형의 공격을 탐지하는 다른 방법이 있습니다. IPset 및 방화벽, 침입 탐지 시스템 등이 있습니다. ssh는 자체 솔루션을 만들 필요가 없습니다.
답변3
SSH에는 안전하지 않은 기본값이 없습니다(적어도 언급한 기본값은 아님).
OpenBSD 4.7(2010년 출시)부터 프로토콜 1은 기본적으로 비활성화되어 있습니다. 프로토콜 1은 여전히 기본적으로 활성화되어 있지만 클라이언트가 요청할 때만 사용되며, 클라이언트(프로토콜 버전 2를 지원하는 모든 클라이언트처럼)는 서버나 사용자가 명시적으로 지원하지 않는 한 프로토콜 버전 2를 사용합니다. 버전 1을 요청합니다(OpenBSD 4.7부터 OpenSSH 클라이언트는 명시적으로 프로토콜 버전 1로 대체되지 않습니다).
SSH를 통한 루트 로그인 허용은 보안 문제가 아닙니다. 공격 경로를 허용한다면 서버 관리자가 제대로 일을 하고 있지 않다는 뜻이다. 추측 가능한 루트 비밀번호를 선택하지 마십시오! 루트 로그인을 비활성화하면 보안이 강화됩니다. 사용자가 실수하는 것을 방지하기 위해 보호 계층을 추가하여 보안을 향상시킵니다. 이는 좋은 일이지만 필수는 아닙니다.
어리석게 추측할 수 있는 비밀번호를 선택하지 않으면 지속적인 로그인 시도로 인한 유일한 위협은 로그 파티션을 채우는 것입니다.
로그인 시도율을 제한하는 것은 양날의 검입니다. 한편으로는 공격자가 너무 단순한 비밀번호를 추측할 위험을 줄이고 그들이 소비하는 대역폭을 줄입니다. 반면, 공격자와 동일한 네트워크 이웃에서 서버에 로그인해야 하고 엄격한 제한을 설정하면 DoS 공격에 노출될 수 있습니다.
1 뿐만 아니라뿌리그런데 로그인이 시도됩니다. 등 의 일반 이름과 일반 시스템 계정 이름도 있습니다 admin.webmaster