なぜSSH経由のルートログインが非常に悪いため、誰もが無効にすることをお勧めしますか？

インターネット上のすべての人は、SSHを介したルートログインを無効にすることをお勧めします。これはシステムのセキュリティホールであり、悪い習慣であるためです。

ルートログインを有効にすると何がそんなに危険なのですか（特にパスワードログインが無効な場合）？

パスワード認証が許可されている場合のセキュリティの観点からのXシンボルユーザー名とYシンボルパスワードまたはルートユーザー名とX + Yシンボルパスワードの違いは何ですか？

SSH経由のルートが悪い理由

SSHを介してコンピューターにログインしようとするボットがたくさんあります。これらのボットは次のように機能します。

彼らは次のようなものを実行してssh root@$IPから、「root」や「password123」などの標準パスワードを試します。彼らは、正しいパスワードを見つけるまで、できる限りこれを行います。世界的にアクセス可能なサーバーでは、ログファイルに多くのログエントリを表示できます。1分あたり最大20個まで移動できます。

攻撃者が幸運（または十分な時間）を持ち、パスワードを見つけた場合、彼らはルートアクセス権を持ち、それはあなたが困っているということを意味します。

しかし、rootがSSH経由でログインすることを許可しない場合、ボットはまずユーザー名を推測し、次に一致するパスワードを推測する必要があります。したがって、もっともらしいパスワードのリストにはNエントリがあり、もっともらしいユーザのリストはMエントリが大きいとしましょう。ボットにはN*Mテストするエントリのセットがあるので、サイズのセットだけであるルートケースと比較して、ボットにとっては少し難しくなりますN。

一部の人々は、この追加Mはセキュリティの本当の利益ではないと言うでしょう、そして、それはほんの小さなセキュリティ強化であることに同意します。しかし、私はこれを、それ自体は安全ではないこれらの小さな南京錠と考えていますが、多くの人々が簡単にアクセスできないようにします。もちろん、これはtorやapacheのような他の標準ユーザー名がマシンにない場合にのみ有効です。

rootを許可しないより良い理由は、rootが標準ユーザーよりもマシンに多くの損害を与える可能性があることです。したがって、運が悪ければパスワードが見つかると、システム全体が失われますが、標準のユーザーアカウントではそのユーザーのファイルしか操作できません（これは非常に悪いことです）。

コメントでは、通常のユーザーが使用する権利を持っている可能性がsudoあり、このユーザーのパスワードが推測される場合、システムも完全に失われることが言及されました。

要約すると、攻撃者がどのユーザーのパスワードを取得しても問題はありません。彼らが1つのパスワードを推測すると、システムを信頼できなくなります。攻撃者はそのユーザーの権限を使用してコマンドを実行sudoでき、システムの脆弱性を悪用してルート権限を取得する可能性もあります。攻撃者がシステムにアクセスできた場合、それを信頼できなくなります。

ここで覚えておくべきことは、SSH経由でのログインを許可されているシステム内のすべてのユーザーが追加の弱点であることです。ルートを無効にすると、明らかな弱点が1つなくなります。

SSH経由のパスワードが悪い理由

パスワードを無効にする理由は本当に簡単です。

• ユーザーは間違ったパスワードを選択します！

パスワードを試すという考えは、パスワードが推測可能な場合にのみ機能します。したがって、ユーザーがパスワード「pw123」を持っていると、システムは安全でなくなります。人々が選択したパスワードのもう1つの問題は、パスワードが決してランダムではないことです。これは、覚えにくいためです。

また、ユーザーがパスワードを再利用して、FacebookやGmailアカウントにログインしたり、サーバーにログインしたりする場合もあります。したがって、ハッカーがこのユーザーのFacebookアカウントのパスワードを取得すると、サーバーに侵入する可能性があります。ユーザーはフィッシングで簡単に紛失したり、Facebookサーバーがハッキングされる可能性があります。

ただし、証明書を使用してログインする場合、ユーザーはパスワードを選択しません。証明書は、1024ビットから4096ビット（〜128-512文字のパスワード）の非常に長いランダムな文字列に基づいています。さらに、この証明書はサーバーにログインするためにのみ存在し、外部のサービスでは使用されません。

リンク集

http://bsdly.blogspot.de/2013/10/the-hail-mary-cloud-and-lessons-learned.html

この記事はコメントからのものです。SSH経由でログインしようとするボットネットの問題、その方法、ログファイルの外観、それらを止めるためにできること。ピーター・ハンスティーンによって書かれました。

これらは、直接ルートログインを許可しない理由の一部である可能性があります。

• ブルートフォースの試み。ルートへの直接ログインは、ブルートフォース攻撃の成功により大きな損害をもたらす可能性があります。
• 「パスワードなし」SSHキーの設定ミス（人為的エラーが発生）により、マシンがインターネットに公開される可能性があります

しかし、これは氷山の一角にすぎません。次のような他の制限と構成を構成する必要があります。

• デフォルトのポートを変更する（22）
• 強力なパスワードとパスフレーズ
• ホストベースの認証を無効にする
• 許可されたユーザーのリストを作成する
• アイドルタイムアウトの構成
• SSHv2プロトコルを強制する
• 空のパスワードを無効にする
• 総当たり攻撃に対する対策としてfail2banを使用する
• すべてを記録する
• SSHキーを構成し、.ssh / authorized_keysの公開キーのみを信頼する

ルートユーザー名とX + Yシンボルパスワードは、少なくともXシンボルユーザー名+ Yシンボルパスワードと同じくらい暗号的に安全です。実際、それはさらに安全であり、人々の名前は簡単に推測できます（ボットはjohn、mike、billなどを試すだけです。また、標的型攻撃である場合は特に不運です。誰かが会社のサーバーを破壊したい場合、システム管理者の名前（ニックネーム）を見つけることは問題になりません。

そして、攻撃者がシステム管理者がsshログインに使用するアカウントにアクセスできるようになると（そして、タスクを使用suまたはsudo実行するために）、システム管理者が次のパスワードを入力したときに攻撃者のルートパスワードを送信するプログラムでそのユーザーのセッションに感染する可能性があります時間。

それはだ任意のセキュリティの観点から、悪い習慣を考えられている（またはする必要があります）rootのログインのタイプ。「通常の」ユーザーログイン-> su / sudoチェーンは、監査証跡を追加します。平易な英語で：それは誰が何をしたかを見つけることを可能にします。

特別なケースとして、ルートアクセス権を持つのは1人だけである場合があります。その場合、追加の「通常の」ユーザーを使用しても、多くの価値が追加されることはありません（少なくとも私はその価値を見ることはできませんでした）。しかし、とにかく-あなたはとにかくシステム上の単純なユーザーを持つことになっています（非管理タスク、wgetの実行など;-)）。

ルートログインを有効にすると何がそんなに危険なのですか（特にパスワードログインが無効な場合）？

インターネットを開いている場合、攻撃者（ボット/ボットネット/ハッカー）はパスワードを推測するだけで、システムを完全に制御できます。また、同じ理由で、システムアカウント（www-data、プロキシなど）のいずれもSSH経由でログインできません。

（たとえば公開鍵を使用して）パスワードログインを無効にした場合は、秘密鍵を保持する人がシステムを完全に制御できることを考慮してください。ユーザーで公開鍵を使用する方が良い理由を以下に示します。

パスワード認証が許可されている場合のセキュリティの観点からのXシンボルユーザー名とYシンボルパスワードまたはルートユーザー名とX + Yシンボルパスワードの違いは何ですか？

追加のユーザー名は、次の理由でセキュリティのレイヤーを追加できます。a）攻撃者は、ユーザー名とパスワードのペアを知っている必要があります。b）攻撃者がシステムに侵入した場合、特権アカウントにすぐにアクセスできないため、攻撃者に微妙なニュアンスが加わります。

この場合、公開鍵もプラスです。

1. 攻撃者はあなたの公開鍵を必要とします
2. 攻撃者が昇格した権限を取得するには、パスワード（または認証方法）が必要です

安全対策を講じている限り、まったく悪いことではありません。例として、CSF（Configure Server Firewall）をインストールし、許可される失敗の試行回数を設定することができます。したがって、誰かが5回以上失敗した場合、自動的にブロックされます したがって、ベストアンサーの最初の部分全体はまったく問題になりません。これは私に何度も起こり、幸運にもすべての紹介者が永久にブロックされました。サーバーについては、サーバーを管理しているのがあなただけなら大した問題ではないと思いますが、もちろんシステム管理者がたくさんいる場合、または組織で働いている場合は、明らかに使用しないでください。ルート。また、デスクトップPCの場合、多くのソフトウェアを使用するため、セキュリティリスクがあるため、別のアカウントを使用する方が良いと思いますが、サーバーでは、信頼できないランダムなソフトウェアを探す場合は、できるだけ低く保つようにしてください。したがって、結論は次のとおりです。いいえ、サーバーを適切に管理する方法を知っていれば、それほど害はありません。