127.0.0.1 é um host local. Você pode ter o authorized_keys configurado em algum outro lugar - dê uma olhada no sshd_config .
Eu tenho esta mensagem perturbadora no meu log sshd:
Jun 01 00:39:00 redy sshd[7856]: Accepted publickey for mgara from 127.0.0.1 port 34732 ssh2: RSA SHA256:ymHGJgkw9wZp6E5d/LudMza4rAeacI4mdyj/oMLgPJE
Jun 01 00:38:58 redy sshd[7846]: Did not receive identification string from 127.0.0.1 port 34730
Jun 01 00:38:58 redy sshd[7845]: Did not receive identification string from 127.0.0.1 port 34728
Jun 01 00:38:58 redy sshd[7844]: Server listening on :: port 7022.
Jun 01 00:38:58 redy sshd[7844]: Server listening on 0.0.0.0 port 7022.
Jun 01 00:38:57 redy sshd[7794]: PAM 2 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=58.218.198.144 user=root
que está me atrapalhando porque não tenho nenhuma chave pública configurada para ser autorizada, nem tentei acessá-la de qualquer maneira no momento. Por exemplo, minha pasta .ssh está vazia.
[mgara@redy ~]$ ls ~/.ssh
known_hosts
Isso significa que meu computador está sendo conectado ao ssh por algum invasor potencialmente mal-intencionado?
Meu entendimento é que 127.0.0.1 é localhost, ou seja, meu computador, o que não faz sentido para mim. Isso é algum comportamento benigno / esperado do sshd, ou esse tipo de invasor inteligente está logando falsificando seu endereço IP para localhost?
Há alguma medida que eu possa tomar para investigar isso, se necessário, e se é um endereço de compromisso?
Atualmente, tenho o sshd em execução na porta 22 e tenho o fail2ban em execução, pois meu computador é constantemente bombardeado com tentativas de login.
Eu já desliguei o sshd:
[mgara@redy ~]$ sudo service sshd status
Redirecting to /bin/systemctl status sshd.service
● sshd.service - OpenSSH server daemon
Loaded: loaded (/usr/lib/systemd/system/sshd.service; disabled; vendor preset: disabled)
Active: inactive (dead) since Thu 2017-06-01 12:22:59 PDT; 22h ago
Docs: man:sshd(8)
man:sshd_config(5)
Main PID: 966 (code=exited, status=0/SUCCESS)
Jun 01 11:48:53 redy sshd[15527]: Received disconnect from 101.66.253.100 port 45742:11: Bye Bye [preauth]
Jun 01 12:08:14 redy sshd[21037]: Invalid user support from 103.207.38.167 port 56463
Jun 01 12:08:14 redy sshd[21037]: input_userauth_request: invalid user support [preauth]
Jun 01 12:08:15 redy sshd[21037]: pam_unix(sshd:auth): check pass; user unknown
Jun 01 12:08:15 redy sshd[21037]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=103.207.38.167
Jun 01 12:08:17 redy sshd[21037]: Failed password for invalid user support from 103.207.38.167 port 56463 ssh2
Jun 01 12:08:17 redy sshd[21037]: error: Received disconnect from 103.207.38.167 port 56463:3: com.jcraft.jsch.JSchException: Auth fail [preauth]
Jun 01 12:08:17 redy sshd[21037]: Disconnected from 103.207.38.167 port 56463 [preauth]
Jun 01 12:22:59 redy systemd[1]: Stopping OpenSSH server daemon...
Jun 01 12:22:59 redy systemd[1]: Stopped OpenSSH server daemon.
mas ainda tenho mensagens de log que saem depois de parar o sshd!
Jun 01 19:41:53 redy sshd[24602]: Accepted publickey for mgara from 127.0.0.1 port 42700 ssh2: RSA SHA256:oTJuUm8APxMB0nHOKhAo+mdnM5L59g+7kxy7TzsdNp0
Jun 01 19:41:47 redy sshd[24581]: Did not receive identification string from 127.0.0.1 port 42698
Jun 01 12:26:26 redy sshd[26552]: Accepted publickey for mgara from 127.0.0.1 port 38096 ssh2: RSA SHA256:bBBPSge3eFEDWY50mjvOjQgYRSqiN6/qy+jlewBLdGA
Jun 01 12:26:24 redy sshd[26542]: Did not receive identification string from 127.0.0.1 port 38094
Jun 01 12:26:24 redy sshd[26541]: Did not receive identification string from 127.0.0.1 port 38092
Jun 01 12:26:24 redy sshd[26540]: Server listening on :: port 7022.
Jun 01 12:26:24 redy sshd[26540]: Server listening on 0.0.0.0 port 7022.
Jun 01 12:26:02 redy sshd[7844]: Received signal 15; terminating.
Meu ssh_config é o padrão que vem com o Fedora 25.
127.0.0.1 é um host local. Você pode ter o authorized_keys configurado em algum outro lugar - dê uma olhada no sshd_config .
Para o benefício de qualquer outra pessoa que tenha visto esse comportamento estranho e não consiga descobrir, no meu caso, foi o servidor x2go. Desativar o sshd não desativa o servidor x2go e, aparentemente, ele tentará estabelecer conexões com o host local de forma intermitente. Para mim foi o suficiente para desligar, desabilitar o x2go e as mensagens foram embora.
Tags sshd