테스트 서버에 openssh 서버를 설치했는데 제대로 작동합니다. 그러나 곧 나는 어떤 계정 이름을 입력하든(예를 들어) 서버가 항상 내 요청에 응답하고 비밀번호를 입력하라고 요청한다는 것을 깨달았습니다. 실제로 존재하지 않는 루트나 다른 계정으로 로그인하는 것은 허용되지 않습니다. 그러나 분명히 이것은 안전한 현상이 아닙니다. 몇 개의 작은 사이트를 테스트했고 ssh 요청에도 응답했지만 "root"를 입력하려고 시도했지만 로그인할 수 없었습니다.ssh [email protected]
그렇다면 openssh-server가 내가 지정한 계정을 제외한 일부 요청을 무시하도록 하려면 어떻게 해야 합니까? 일부 대형 웹사이트에 SSH로 접속해 보았지만 분명히 내 요청을 무시하고 기다리게 만들었습니다.
미리 감사드립니다.
답변1
실제로는 그 반대입니다.더먼저 사용자 이름과 비밀번호를 안전하게 기다린 다음 어떤 부분이 잘못되었는지 자세히 설명하지 않고 인증 오류로 응답하세요.
서버가 사용자 이름을 받은 후 즉시 "해당 사용자 이름 없음" 메시지로 응답하면 보안이 저하됩니다. 비밀번호를 추측하지 않고 기존 사용자 계정 목록을 무차별 대입하는 것은 쉽지 않기 때문입니다(구문 제한으로 인해 모든 사용자 이름(가능한 값이라고도 함)은 모든 비밀번호의 공간보다 훨씬 작습니다.
또한 ssh액세스는 단순히 사용자 이름 + 비밀번호가 아니라는 점에 유의하세요. 예를 들어 사용자 이름 + 개인 키를 사용하여 로그인할 수도 있습니다(사용자가 비밀번호를 하나만 갖고 있는 경우 특정 사용자 이름에 사용하려는 키가 여러 개 있을 수 있음).