For\u00e7a bruta contra chave SSH moderna (ex.: Ed25519, RSA 4096) \u00e9 computacionalmente invi\u00e1vel.<\/em><\/p>\n<\/blockquote>\n\n\n\nExplicado os fatos vamos para o m\u00e3o na massa :<\/p>\n\n\n\n
Estamos admitindo que voc\u00ea j\u00e1 tem o seu servidor configurado e rodando o servi\u00e7o de sshd, e para efeitos de didatica vamos estabelecer o seguinte cen\u00e1rio <\/p>\n\n\n\n
<\/p>\n\n\n\n
Servidor : SRV001<\/p>\n\n\n\n
Sistema operacional : Debian 12<\/p>\n\n\n\n
IP Privado : 192.168.10.10\/24<\/p>\n\n\n\n
observa\u00e7\u00f5es:<\/p>\n\n\n\n
O SSH j\u00e1 est\u00e1 configurado para n\u00e3o aceitar autentica\u00e7\u00e3o como root , sim isso \u00e9 uma boa pr\u00e1tica de seguran\u00e7a.<\/p>\n\n\n\n
<\/p>\n\n\n\n
Existe um usuario userteste com a senha : 123@VouMudar<\/p>\n\n\n\n
<\/p>\n\n\n\n
Esta\u00e7\u00e3o : DESK01<\/p>\n\n\n\n
Sistema Operacional : Linuxmint <\/p>\n\n\n\n
IP Privado : (DHCP)<\/p>\n\n\n\n
Usertest \u00e9 um daqueles indiv\u00edduos antes citado, pregui\u00e7oso por natureza, que insiste em nunca mudar a senha fraca pois ele j\u00e1 sabe decorada, ele esta na esta\u00e7\u00e3o dele e resolve que n\u00e3o quer mais nem digitar a senha de acesso e para isso pede ajuda ao administrador da rede.<\/p>\n\n\n\n
<\/p>\n\n\n\n
No terminal da maquina do Usertest ele inicia os trabalhos : <\/p>\n\n\n\n
<\/p>\n\n\n\n
DESK01:~$ ssh-keygen -t ed25519 -f ~\/.ssh\/id_usertest -a 100 -C \"Chave do UserTest\"\n<\/code><\/pre>\n\n\n\nVamos explicar algumas coisas , o ss-keygen, pelo pr\u00f3prio nome \u00e9 autoexplicativo, a op\u00e7\u00e3o -t define o algoritmo da chave , veja tabela abaixo<\/p>\n\n\n\nAlgoritmo<\/td> Considera\u00e7\u00f5es<\/td><\/tr> ed25519<\/td> mais recomendado hoje<\/strong> (seguro, r\u00e1pido e chave curta).<\/td><\/tr>rsa<\/td> ainda usado, mas precisa ser longo (-b 4096<\/code>).<\/td><\/tr>ecdsa<\/td> baseado em curvas el\u00edpticas, menos comum.<\/td><\/tr> dsa<\/td> obsoleto<\/strong>, n\u00e3o use.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\nA op\u00e7\u00e3o -b informa o n\u00famero de bits da chave , deve ser usada somente quando aplic\u00e1vel, para o ed25519 n\u00e3o \u00e9 necess\u00e1rio<\/p>\n\n\n\n
<\/p>\n\n\n\n
A op\u00e7\u00e3o -f, determina o local onde devem ser salvas as chaves , por padr\u00e3o devem ser salvas no diretorio .ssh do usu\u00e1rio , no exemplo ser\u00e1 criado as chaves com o nome id_usertest no diret\u00f3rio .ssh do usu\u00e1rio logado (~).<\/p>\n\n\n\n
<\/p>\n\n\n\n
Para determinar as itera\u00e7\u00f5es para derivar a chave da senha , use a op\u00e7\u00e3o -a n\u00famero, onde n\u00famero determina a quantidade de rodados do KDF (Key Derivation Function), quanto maior, mais lento para testar senhas em ataque de for\u00e7a bruta.Recomendado: pelo menos 100.<\/strong><\/p>\n\n\n\n<\/p>\n\n\n\n
O -C adiciona uma etiqueta na chave p\u00fablica.<\/p>\n\n\n\n
Voc\u00ea digitou o comando e algumas coisas v\u00e3o acontecer , uma dela \u00e9 que o ssh-keygen vai solicitar uma Passphrase<\/p>\n\n\n\n
Generating public\/private ed25519 key pair.\nEnter passphrase (empty for no passphrase): \n<\/code><\/pre>\n\n\n\nVoc\u00ea pode at\u00e9 ficar tentado a deixa sem uma passphrase, mas confie neste autor, coloque uma , algo significativo como ‘cafecomleiteemuitobom’<\/p>\n\n\n\n
Enter same passphrase again: \nYour identification has been saved in \/home\/usertest\/.ssh\/id_usertest\nYour public key has been saved in \/home\/usertest\/.ssh\/id_usertest.pub\nThe key fingerprint is:\nSHA256:ASTq3JuBu1FHLYr9VEFUJcz\/i105Ez4qb7VWRXHnbvc Chave do UserTest\nThe key's randomart image is:\n+--[ED25519 256]--+\n| ..oo++o.. .+|\n| . . o .o. .+|\n| . o + . ..|\n| o = o o . . o.|\n| = * o S .. B|\n| o B .O=|\n| o o . oooE|\n| o ..ooo |\n| . +.. |\n+----[SHA256]-----+\n<\/code><\/pre>\n\n\n\nPronto voc\u00ea confirmou sua passphrase e ele gerou as duas chaves, a p\u00fablica e a privada.<\/p>\n\n\n\n
<\/p>\n\n\n\n
Ufa! Mas n\u00e3o acabou, temos de publicar no servidor nossa chave publica, para isso vamos usar outra aplica\u00e7\u00e3o o ssh-copy-id.<\/p>\n\n\n\n
DESK01:~$ ssh-copy-id -i ~\/.ssh\/id_usertest.pub usertest@192.168.10.10<\/code><\/pre>\n\n\n\nO que faz este comando, ele vai at\u00e9 o servidor onde deve ser publicado a chave p\u00fablica, fazer uma conex\u00e3o via ssh usando as credencias do usertest e c\u00f3pia a chave p\u00fablica em sua estrutura. <\/p>\n\n\n\n
<\/p>\n\n\n\n
Pois bem, neste momento o que deveriamos fazer no DESK01, est\u00e1 quase concluso, mais ainda a algo para fazer . Se uma passphrase foi definida, sempre que for feita tentativa de conex\u00e3o ele vai pedir a passphrase, para isso devo ativar o ssh-agent conforme comando abaixo <\/p>\n\n\n\n
eval \"$(ssh-agent -s)\"\nssh-add ~\/.ssh\/id_usertest<\/code><\/pre>\n\n\n\nNo caso do Linuxmint se estiver em um ambiente gr\u00e1fico ele vai aparecer uma janela pedindo para salvar a passphase.<\/p>\n\n\n\n
<\/p>\n\n\n\n
Acabou para o nosso amigo pregui\u00e7oso, mas aten\u00e7\u00e3o, o problema foi resolvido no DEKS01, ainda \u00e9 poss\u00edvel acessar o ssh com usu\u00e1rio e senha em outra esta\u00e7\u00e3o, e isso ainda \u00e9 um problema, ent\u00e3o para nosso destemido administrador de rede a luta apenas come\u00e7ou. No pr\u00f3ximo artigo, SSH sem usu\u00e1rio e senha e outras configura\u00e7\u00f5es.<\/p>\n\n\n\n
<\/p>\n\n\n\n
Por enquanto \u00e9 s\u00f3.<\/p>\n","protected":false},"excerpt":{"rendered":"
Torne o seu acesso SSH seguro de verdade, vamos usar chaves e fail2ban para deixar tudo muito mais robusto. O que \u00e9 o SSH : Secure Shell, \u00e9 um protocolo de rede que permite acesso remoto seguro a computadores e servidores, realizando tarefas como login e transfer\u00eancia de arquivos atrav\u00e9s de uma conex\u00e3o criptografada e autenticada. Ele […]<\/p>\n","protected":false},"author":3,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_regular_price":[],"currency_symbol":[],"pagelayer_contact_templates":[],"_pagelayer_content":"","footnotes":""},"categories":[6],"tags":[],"class_list":["post-156","post","type-post","status-publish","format-standard","hentry","category-conceitos"],"post_slider_layout_featured_media_urls":{"thumbnail":"","post_slider_layout_landscape_large":"","post_slider_layout_portrait_large":"","post_slider_layout_square_large":"","post_slider_layout_landscape":"","post_slider_layout_portrait":"","post_slider_layout_square":"","full":""},"_links":{"self":[{"href":"https:\/\/administracaoderedes.com.br\/index.php\/wp-json\/wp\/v2\/posts\/156","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/administracaoderedes.com.br\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/administracaoderedes.com.br\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/administracaoderedes.com.br\/index.php\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/administracaoderedes.com.br\/index.php\/wp-json\/wp\/v2\/comments?post=156"}],"version-history":[{"count":7,"href":"https:\/\/administracaoderedes.com.br\/index.php\/wp-json\/wp\/v2\/posts\/156\/revisions"}],"predecessor-version":[{"id":164,"href":"https:\/\/administracaoderedes.com.br\/index.php\/wp-json\/wp\/v2\/posts\/156\/revisions\/164"}],"wp:attachment":[{"href":"https:\/\/administracaoderedes.com.br\/index.php\/wp-json\/wp\/v2\/media?parent=156"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/administracaoderedes.com.br\/index.php\/wp-json\/wp\/v2\/categories?post=156"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/administracaoderedes.com.br\/index.php\/wp-json\/wp\/v2\/tags?post=156"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}