Se a minha senha de root é muito strong, eu realmente preciso desativar o acesso root?

Question

Portanto, se eu editar meu arquivo /etc/ssh/sshd_config , há uma coisa PermitRootLogin onde você pode desativar logins de raiz.

No entanto, isso também significa que não posso usar serviços de upload de arquivos, como o Filezilla, devido a erros de permissão, pois não consigo chamar "sudo" do Filezilla de uma das minhas contas não raiz.

Portanto, uma alternativa é deixar os logins raiz ativados.

Se minha senha for muito longa (32+ caracteres) e muito alta entropia (minúscula, maiúscula, símbolos especiais, números, etc), essa força bruta contrária não atacará totalmente? Existe algum risco de deixar logins raiz de outra forma?

    

Answer 1

Você já está ciente do principal motivo pelo qual os logins raiz devem ser desativados por sshd_config . Ataques de força bruta, por definição, podem ser implacáveis e dar tempo suficiente, qualquer senha pode ser quebrada. Isso é verdade, pois os invasores já sabem 50% das informações necessárias para obter acesso à sua máquina: um nome de usuário privilegiado válido.

Dito isso, senhas muito longas e de alta entropia certamente reduzem os riscos de serem realmente invadidas.

A resposta para sua pergunta é: Não, uma senha muito strong não frustrará completamente os ataques de força bruta. Eles só ajudarão a mitigar o risco.

Em termos práticos, se você estiver gerenciando um computador de alto valor (para hackers), seria muito insensato permitir acesso root ssh (ou logins root geralmente). Mas se fosse esse o caso, as políticas seriam implementadas para evitar que isso fosse feito.

Se você está confortável com o risco, vá em frente. O pior que pode acontecer é que alguém instale um rootkit e torne o seu computador inútil.

    

Answer 2

Esta é provavelmente mais uma opinião do que qualquer outra coisa. Eu sugiro que você use chaves para login root "sem senha" e configure o iptables para bloquear os usuários após um determinado número de tentativas com falha. Com a transferência de arquivos, você pode aumentar as tentativas.

Adicione / edite em / etc / ssh / sshd_config

PermitRootLogin without-password

O que significa "sem senha" no arquivo sshd_config?

Verifique se você pode fazer login com uma chave primeiro

link

Em seguida, desative a autenticação por senha.

iptables

iptables -A INPUT -p tcp -m tcp --dport 22 -m tcp -m state --state NEW -m recent --set --name SSH --rsource

iptables -A INPUT -p tcp -m tcp --dport 22 -m recent --update --seconds 600 --hitcount 20 --rttl --name SSH --rsource -j REJECT --reject-with icmp-host-prohibited

iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT

Você pode aumentar ou diminuir a contagem de acessos se assim desejar

Veja link

Com essas mudanças, chaves e / ou algumas regras do iptables, eu acho razoável permitir que o root faça o login via ssh.