LPI-2 202-450 Topico 212.3
Shell seguro (SSH)

Na verdade, o servidor OpenSSH lê vários arquivos de configuração. O arquivo sshd_config especifica as localizações de um ou mais arquivos de chave de host (obrigatório) e a localização de arquivos authorized_keys para usuários. Também pode referir-se a vários outros arquivos.

Este arquivo contém diretivas similares as encontradas em /etc/ssh/sshd_config porém há ajustes específicos para os utilitários do SSH client tais como scp e sftp.

É o arquivo que o servidor OpenSSH lê ao ser iniciado, é bastante extenso pois é vastamente documentado com comentários pois tem uma boa quantidade de diretivas que podem ser ajustadas.

Vamos listar aqui algumas importantes:

Port

essa diretiva especifica a porta TCP que o serviço do SSH deve escutar, o padrão é na porta 22. Se for necessário mudar essa porta não esqueça de ajustar também no SELinux ou no Apparmor;

Protocol

o OpenSSH pode trabalhar com o protocolo do tipo 1, menos seguro, e o protocolo do tipo 2, mais seguro. Por isso, é bastante recomendável manter apenas o protocolo 2;

SyslogFacility

por padrão o servidor OpenSSH envia os logs para a facility AUTH do syslog;

• auth: destina-se a registrar comandos relacionados à autenticação e autorização;
• authpriv: destina-se a mensagens de natureza sensível.

Todos os logs serão escritos em /var/log/auth.log para sistemas Debian-like ou em /var/log/secure para sistemas RedHat-like.

LogLevel

por padrão o OpenSSH registra suas entradas de log no nível INFO. Se quisermos registrar mais detalhes (como tentativas de login malsucedidas) devemos aumentar o nível de registro para VERBOSE.

PermitRootLogin

especifica se o usuário root pode efetuar login por ssh ou não. Essa diretiva pode ser setada como:

• yes: o usuário root poderá logar;
• no: o usuário root não poderá logar de forma alguma;
• without-password: a autenticação utilizando senhas fica desligada para o usuário root, assim permitindo login apenas utilizando chaves;
• forced-commands-only: o login do root com autenticação de chaves será permitido, mas apenas se a opção de comando tiver sido especificada (o que pode ser útil para fazer backups remotos, mesmo se o login de root normalmente não for permitido). Todos os outros métodos de autenticação ficam desabilitados para o root.

PubkeyAuthentication

permite aos usuários logarem usando chaves ssh sem precisarem entrar com senhas;

PermitEmptyPassword

permite login para usuários sem senha definida;

PasswordAuthentication

permite autenticações utilizando senhas, porém para forçar autenticação por chaves para todos essa diretiva deve ser setada como no;

ChallengeResponseAuthentication

devene se a autenticação de "desafio-resposta" é permitida, para desabilitar a autenticação por senha também deve ser definida para no em conjunto com a diretiva acima;

IgnoreRhosts

Ignora uma modalidade de liberação de acesso legada, onde bastava que os endereços presentes nos arquivos /.rhosts e /.shosts pudessem entrar sem fornecer senha.

Banner

define um arquivo de texto para exibir seu conteúdo como banner para ser exibido sempre que alguém logar no ssh;

PrintMotd

exibe uma mensagem após o login;

MaxAuthTries

especifica o número máximo de tentativas de autenticação permitidas por conexão. Quando o número de falhas atinge a metade desse valor, as falhas adicionais são registradas no log. Ele pode ser sobrescrito pelo PAM se algum módulo PAM estiver associado;

GatewayPorts

permite a abertura de sockets no host onde roda o serviço OpenSSH permitindo o uso do recurso de encaminhamento de portas remotas, aceita os valores no (padrão), yes e clientspecified;

X11Forwarding

essa diretiva permite que janelas de programas sejam abertas através da conexão SSH. É necessário passar a opção -X para o comando ssh no cliente. Dessa forma, um programa sendo executado no servidor exibirá sua janela do ambiente gráfico do cliente.

Por padrão, todos os usuários com contas de usuário podem fazer login por meio de ssh, mas existem duas opções que podem ser adicionadas ao arquivo sshd_config para alterar o comportamento padrão:

AllowUsers

especifica alguns usuários para fazer login (ninguém mais poderá logar);

DenyUsers

proíbe alguns usuários de logar.

No Encaminhamento de porta local as conexões de um cliente SSH são encaminhadas, por meio do servidor SSH, para um servidor de destino.

Explicando com mais detalhes podemos abrir uma porta de conexção local e através de um túnel SSH alcançar alguma porta remota.

Esse recurso é muito útil quando precisamos alcançar algum serviço não seguro tais como HTTP e Telnet através da Internet sem precisar expor o serviço ou os dados, pois tudo isso estará protegido pela forte criptografia e autenticação do SSH.

Sintaxe para execução:

ssh -L host_local:porta_local:host_destino:porta_destino usuario@servidor_ssh

No encaminhamento de porta remota as conexões de um servidor SSH são encaminhadas, por meio do cliente SSH, para um servidor de destino. Em outras palavras é o caminho inverso do tópico anterior.

No caso através do comando do cliente SSH iremos orientar ao servidor SSH a abrir no host que o sustenta uma porta especificada no comando e encaminhar o tráfego destinado a esta porta para o estino que também especificamos no comando.

A sintaxe de todo o processo é exatamente igual ao do tópico anterior porém ao invés de usarmos a opção -L (de local) usaremos a opção -R (de remoto).

A utilização desse recurso também é análoga ao do tópico anterior.

Essa técinica consiste em criar uma conexão ssh com o objetivo de utilizar a máquina remota como um gateway/proxy. E como nos casos anteriores a opção em linha de comando a utilizar é diferente. Aqui utilizaremos -D (de Dinâmico).

Aqui, também diferente dos formatos anteriores, não precisaremos apresentar ao opcional -D todos aqueles detalhes sobre socket que precisávamos especificar. Agora basta especificar a porta TCP a qual iremos abrir em nosso cliente SSH para utilizar como entrada para nossos dados. O socket de saída será atribuído dinâmicamente pelo servidor OpenSSH funcionando análogo a um proxy squid. Segue um comando de exemplo:

ssh -D 3028 user1@end.do.servidor.remoto

É uma técnica semelhante aos túneis SSH, no caso essa técnica permite abrir a janela de uma aplicação rodando no servidor onde está rodando o sshd por meio de uma conexão SSH.

Por exemplo, para exibir localmente o programa VirtualBox instalado em uma máquina remota:

1. Abra a conexão SSH com a máquina onde está o VirtualBox utilizando a opção -X:

   ssh -X usuario@virtualbox.exemplo.local

2. Na máquina remota basta chamar o programa:

   $ VirtualBox

Pode-se simplificar isso tudo em um só comando:

ssh -X usuario@virtualbox.exemplo.local "VirtualBox"

O comando passado como argumento no final será executado na máquina remota. Opcionalmente o comando ssh também pode enviar os dados recebidos pela entrada padrão para a entrada padrão do comando remoto.

Supondo que o computador de destino tenha o IP 192.168.1.1 e a conta jeremias, a chave pública do formato DSA pode ser copiada com o comando:

cat ~/.ssh/id_dsa.pub | ssh jeremias@192.168.1.1 "cat >> ~/.ssh/authorized_keys"

Descrevendo: o conteúdo do arquivo ~/.ssh/id_dsa.pub será direcionado para o comando ssh. Este, por sua vez, redirecionará o conteúdo para o comando cat na máquina remota que por fim incluirá o conteúdo no final do arquivo /.ssh/authorized_keys na ocnta na m[aquina remota.

Hoje o processo de cópia de chaves pode ser executado com um comando específico o ssh-copy-id:

ssh-copy-id -i ~/.ssh/id_dsa.pub jeremias@192.168.1.1

Se não for especificado o -i o comando ssh-copy-id irá procurar automaticamente o arquivo ~/.ssh/id_rsa.pub.

Se for informada uma passphrase durante a criação da chave, será perdida toda a conveniência de realizar o login sem senha, pois será necessário informar a pasphrase da chave todas vez que ela for utilizada. Contud, é possível evitar a digitação da passphrase a todo momento se for utilizado o comando ssh-agent.

O ssh-agent atua como uma espécie de chaveiro. Ele armazena a autorização e libera o usuário da necessidade de digitar a passphrase novamente durante a mesma seção. Para utilizá-lo, basta executar o comando ssh-agent:

┌─[jeremias@tesla]──[18:01]──[~]
└─[1003]─>$ ssh-agent
SSH_AUTH_SOCK=/tmp/ssh-H4Fe0wcBpDjk/agent.1574038; export SSH_AUTH_SOCK;
SSH_AGENT_PID=1574039; export SSH_AGENT_PID;
echo Agent pid 1574039;

O ssh-agent irá para o segundo plano e exibirá as variáveis de ambiente que necessitam ser declaradas. Somente se essas variáveis estiverem acessíveis na cessão é que a autorização automática do ssh-agent poderá ser utilizada. Essas variáveis serão usadas pelos outros programas para fazer a autenticação via ssh-agent.

Com o ssh-agent ativo e as variáveis de ambiente declaradas, é utilizado o comando ssh-add para incluir a chave do usuário no ssh-agent:

┌─[jeremias@tesla]──[18:12]──[~]
└─[1004]─>$ ssh-add
Enter passphrase for /home/jeremias/.ssh/id_rsa:
Identity added: /home/jeremias/.ssh/id_rsa (/home/jeremias/.ssh/id_rsa)

A pasphrase será solicitada apenas no momento da execução do comando ssh-add, feito isso, não será necessário informar a passphrase nas sessões onde as variáveis exportadas estiverem acessíveis.

Além de servir pssh formatos de chaveara criar chaves SSH o comando ssh-keygen permite a manipulação das chaves SSH. Para entendermos isso importa dizer que as chaves SSH são chaves assimétricas, em outras palavras a chave privada é diferente da chave pública. Posto isso deve-se entender que a partir da chave privada podemos gerar a devida chave pública. Porém a partir da chave pública nunca poderemos gerar a chave privada. E é esse o segredo de toda a segurança quando se fala em assimetria dentro do escopo de cryptografia.

Bom com o que colocamos acima fica fácil entender o porque a chave privada sempre deve ser guardada com muito cuidado. Pois se a perdermos não temos como recuperá-la sem operações de backup.

Sobre as chaves públicas há 4 formatos disponíveis para aplicações diferentes:

1. o formato do próprio OpenSSH;
2. o formato PEM;
3. o formato PKCS8;
4. o formato RFC4716.

A chave no formato do próprio OpenSSH é a que o comando ssh-keygen gera automaticamente quando criamos uma chave. Mas no dia a dia é interessante saber alterar o formato da chave pública quando necessário.

Usaremos duas opções no ssh-keygen:

-e

esta é a opção de "exportação" no caso ela lê o arquivo de chave privada ou chave pública no formato OpenSSH que especificaremos com a opção -f e permite exportá-lo nos formatos RFC4716, PEM e PKCS8 que devem ser especificados na opção -m;

-f

especifica o arquivo de chave ao qual iremos trabalhar;

-i

essa é a opção de "importação" com essa opção poderemos apenas especificar arquivos de chave pública (não aceita arquivos de chave privada) e nos formatos que não sejam o do próprio OpenSSH (afinal estamos importando) usando essa opção poderemos especificar na opção -m os formatos RFC4716, PEM e PKCS8.

-m

é a opção que usamos para especificar os formatos de chave RFC4716, PEM e PKCS8. Quando na execução de uma importação essa opção irá especificar o formato do arquivo de entrada, quando na execução de uma exportação essa opção irá especificar o arquivo de saída, nos dois casos o formato padrão (se a opção for omitida) será o RFC4716.

Ao utilizar o comando ele sempre irá printar o resultado na saída padrão. Portanto deveremos usar o pipe > para direcionar essa saída para um arquivo e podermos manipulá-lo.

Exemplos:

Exportar uma chave pública (formato RFC4716) a partir de uma chave privada: ssh-keygen -e -m RFC4716 -f .ssh/chave > /tmp/chave.ppk

Exportar uma chave pública (formato PEM) a partir de uma chave pública:

ssh-keygen -e -m PEM -f .ssh/chave > /tmp/chave.pem

Importar uma chave pública para o formato do OpenSSH:

ssh-keygen -i -m PEM -f /tmp/chave.pem > /tmp/chave.pub

Podemos usar o comando SCP para copiar arquivos entre o host local e o host remoto usando a criptografia e autenticação do SSH.

• Copiando um arquivo local para um servidor remoto:

  scp localhostfile.txt user1@remotehost.example.com:/home/user1/

• copiando um arquivo de um host remoto para a o host local:

  scp user1@remotehost.example.com:/home/user1/remotehostfile.txt .

O SFTP (SSH File Transfer Protoco ou protocolo de transferência de arquivo por SSH) é um protocolo de transferência de arquivos seguro. Ele tem pleno suporte as funcionalidades de segurança e autenticação do OpenSSH.