Notre serveur est maintenant op\u00e9rationnel, n\u00e9anmoins il est obligatoire d’\u00eatre pr\u00e9sent physiquement devant celui-ci pour l’administrer. Nous allons changer cela en permettant la connexion depuis une machine distante \u00e0 ce serveur gr\u00e2ce au logiciel SSH, et nous\u00a0compl\u00e9terons\u00a0le tout en permettant de nous authentifier sans saisir de mot de passe par l’utilisation d’une paire de cl\u00e9s RSA.<\/p>\n
Installation d’openssh-server<\/p>\n
Aptitude affiche la liste des paquets \u00e0 installer et demande on confirmation, on confirme en tapant y puis en validant. Aptitude t\u00e9l\u00e9charge alors les paquets requis et installe automatiquement openssh-server et ses d\u00e9pendances. Durant le processus d’installation openssh g\u00e9n\u00e8re automatiquement une cl\u00e9 RSA et DSA qui serviront \u00e0 chiffrer le trafic entre le client et le serveur. Il est d’ores et d\u00e9j\u00e0 possible de se connecter au serveur depuis une machine cliente.<\/p>\n Deux possibilit\u00e9s :<\/p>\n On peut ainsi ouvrir une session avec un nom d’utilisateur existant sur le serveur (dans mon cas, riri et root). Il faut d\u00e9sormais configurer le fichier sshd.conf pour s\u00e9curiser notre serveur. Pour cela, on tape # What ports, IPs and protocols we listen for # Lifetime and size of ephemeral version 1 server key # Logging # Authentication: RSAAuthentication yes # Don’t read the user’s ~\/.rhosts and ~\/.shosts files # To enable empty passwords, change to yes (NOT RECOMMENDED) # Change to yes to enable challenge-response passwords (beware issues with # Change to no to disable tunnelled clear text passwords # Kerberos options # GSSAPI options X11Forwarding yes # Permet de d\u00e9porter l’affichage graphique du serveur sur le client #MaxStartups 10:30:60 # Allow client to pass locale environment variables # Sous syst\u00e8me SFTP pour le transfert de fichiers UsePAM yes<\/p>\n <\/p>\n On change la valeur de la ligne Red\u00e9marrer le serveur avec la commande : La partie suivante va permettre de s’authentifier sans mot de passe et ce en utilisant une paire de cl\u00e9s publique\/priv\u00e9e.<\/p>\n Avec Putty sont venus 2 utilitaires nomm\u00e9s Puttygen et Pageant. Le premier permet de g\u00e9n\u00e9rer le couple de cl\u00e9s qui va nous permettre de nous authentifier, le second permet de configurer le syst\u00e8me pour utiliser automatiquement lesdites cl\u00e9s sans avoir \u00e0 retaper la \u00ab\u00a0passphrase\u00a0\u00bb qui sera utilis\u00e9e lors de la g\u00e9n\u00e9ration des cl\u00e9s.<\/p>\n Linux b\u00e9n\u00e9ficie d’un outil d\u00e9di\u00e9 \u00e0 la g\u00e9n\u00e9ration de cl\u00e9s pour ssh nomm\u00e9 ssh-keygen. Pour g\u00e9n\u00e9rer celles-ci, on utilise la commande suivante : Notre serveur est maintenant pr\u00eat \u00e0 accepter les connexions utilisant une authentification par cl\u00e9. Quittez Putty puis relancez-le.<\/p>\n Tapez la commande suivante : Et alors me direz-vous ? Si on ne sp\u00e9cifie pas de cl\u00e9 priv\u00e9e \u00e0 utiliser pour l’authentification on peut toujours se connecter en utilisant le couple login\/pass. Quand on connait la fragilit\u00e9 d’un mot de passe, il vaudrait mieux supprimer la possibilit\u00e9 de se connecter en utilisant celui-ci. Rien de plus simple ! Editez le fichier sshd_config<\/p>\n Rep\u00e9rez la ligne suivante :<\/p>\n et remplacez-la par<\/p>\n Red\u00e9marrez le service ssh avec la commande :<\/p>\n Il est d\u00e9sormais impossible de se connecter au serveur par ssh en utilisant un mot de passe !<\/p>\n T’es gentil mais devoir taper la passphrase \u00e0 chaque fois c’est quand m\u00eame chiant. Quelque part c’est pas faux :o. Et c’est pour cela que les agents ssh sont l\u00e0. Sous Windows nous utiliserons Pageant, fourni avec PuTTy tandis que sous linux nous utiliserons les outils ssh-agent et ssh-add. C’est parti !<\/p>\n Rien de plus simple ! Lancez l’outil pageant depuis le \u00ab\u00a0Menu d\u00e9marrer –> PuTTy –> Pageant\u00a0\u00bb. Double-cliquez sur l’ic\u00f4ne qui est apparue dans la barre des t\u00e2ches (l’ordinateur avec un trait noir) puis cliquez sur \u00ab\u00a0Add key\u00a0\u00bb. Dans la fen\u00eatre qui apparait, choisissez votre fichier id_rsa.ppk, validez puis saisissez votre passphrase lorsqu’elle vous est demand\u00e9e et voil\u00e0 ! La cl\u00e9 priv\u00e9e sera m\u00e9moris\u00e9e sous sa forme d\u00e9cod\u00e9e pendant toute la dur\u00e9e o\u00f9 la machine sera allum\u00e9e. Peu importe le nombre de fois o\u00f9 vous lancerez putty, il vous sera uniquement demand\u00e9 votre login, l’authentification sera faite automatiquement avec votre cl\u00e9 et il n’y aura plus besoin de saisir de mot de passe ou de passphrase<\/p>\n Installation et configuration d’OpenSSH Notre serveur est maintenant op\u00e9rationnel, n\u00e9anmoins il est obligatoire d’\u00eatre pr\u00e9sent physiquement devant celui-ci pour l’administrer…. Continue reading »<\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-194","post","type-post","status-publish","format-standard","hentry","category-non-classe"],"_links":{"self":[{"href":"https:\/\/pro.richardbaret.fr\/index.php?rest_route=\/wp\/v2\/posts\/194","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/pro.richardbaret.fr\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/pro.richardbaret.fr\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/pro.richardbaret.fr\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/pro.richardbaret.fr\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=194"}],"version-history":[{"count":44,"href":"https:\/\/pro.richardbaret.fr\/index.php?rest_route=\/wp\/v2\/posts\/194\/revisions"}],"predecessor-version":[{"id":419,"href":"https:\/\/pro.richardbaret.fr\/index.php?rest_route=\/wp\/v2\/posts\/194\/revisions\/419"}],"wp:attachment":[{"href":"https:\/\/pro.richardbaret.fr\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=194"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/pro.richardbaret.fr\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=194"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/pro.richardbaret.fr\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=194"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}riri@srv-debian:~$ sudo aptitude install openssh-server<\/code><\/p>\nMachine cliente sous Windows<\/h2>\n
\n
\n
Machine cliente sous linux<\/h2>\n
\n
ssh -l nomutilisateur ipduserveur<\/code> et valider.<\/li>\n
\nriri@srv-debian:~$ sudo nano \/etc\/ssh\/sshd_config<\/code>
\nVoici le contenu de ce fichier :
\n
\n# Package generated configuration file
\n# See the sshd(8) manpage for details<\/code><\/p>\n
\nPort 22
\n# Use these options to restrict which interfaces\/protocols sshd will bind to
\n#ListenAddress ::
\n#ListenAddress 0.0.0.0
\nProtocol 2 # Version du protocole utilis\u00e9 par ssh, la version 2 est la plus r\u00e9cente, la v1 est obsol\u00e8te
\n# HostKeys for protocol version 2
\nHostKey \/etc\/ssh\/ssh_host_rsa_key #Emplacement de la cl\u00e9 RSA du serveur
\nHostKey \/etc\/ssh\/ssh_host_dsa_key #Emplacement de la cl\u00e9 DSA du serveur
\n#Privilege Separation is turned on for security
\nUsePrivilegeSeparation yes #Sp\u00e9cifie si sshd s\u00e9pare les privil\u00e8ges en cr\u00e9ant un processus fils
\n#non privil\u00e9gi\u00e9 pour prendre en charge le trafic r\u00e9seau entrant.
\n#Apr\u00e8s une authentification r\u00e9ussie, un autre processus est cr\u00e9\u00e9
\n#avec les privil\u00e8ges de l’utilisateur authentifi\u00e9. Le but de la s\u00e9paration
\n#de privil\u00e8ges est d’\u00e9viter l’escalade de privil\u00e8ges si le processus
\n#non privil\u00e9gi\u00e9 est corrompu. Par d\u00e9faut \u00ab yes \u00bb.<\/p>\n
\nKeyRegenerationInterval 3600 # Utilis\u00e9 dans le cas de l’utilisation de la v1 du protocole ssh
\nServerKeyBits 768<\/p>\n
\nSyslogFacility AUTH
\nLogLevel INFO<\/p>\n
\nLoginGraceTime 120 # Temps en secondes avant lequel le serveur coupe la connexion
\n# si aucune information d’authentification n’est fournie
\nPermitRootLogin yes # Autorise la connexion en tant que root. Il faut passer cette option \u00e0 no
\nStrictModes yes<\/p>\n
\nPubkeyAuthentication yes # Autorise l’authentification par cl\u00e9 publique
\n#AuthorizedKeysFile %h\/.ssh\/authorized_keys<\/p>\n
\nIgnoreRhosts yes
\n# For this to work you will also need host keys in \/etc\/ssh_known_hosts
\nRhostsRSAAuthentication no
\n# similar for protocol version 2
\nHostbasedAuthentication no
\n# Uncomment if you don’t trust ~\/.ssh\/known_hosts for RhostsRSAAuthentication
\n#IgnoreUserKnownHosts yes<\/p>\n
\nPermitEmptyPasswords no # Emp\u00eache l’utilisation de mots de passe vides<\/p>\n
\n# some PAM modules and threads)
\nChallengeResponseAuthentication no<\/p>\n
\n#PasswordAuthentication yes<\/p>\n
\n#KerberosAuthentication no
\n#KerberosGetAFSToken no
\n#KerberosOrLocalPasswd yes
\n#KerberosTicketCleanup yes<\/p>\n
\n#GSSAPIAuthentication no
\n#GSSAPICleanupCredentials yes<\/p>\n
\nX11DisplayOffset 10
\nPrintMotd no
\nPrintLastLog yes
\nTCPKeepAlive yes # Maintient la connexion ouverte
\n#UseLogin no<\/p>\n
\n#Banner \/etc\/issue.net<\/p>\n
\nAcceptEnv LANG LC_*<\/p>\n
\nSubsystem sftp \/usr\/lib\/openssh\/sftp-server<\/p>\nPermitRootLogin<\/code> de \u00ab\u00a0yes\u00a0\u00bb \u00e0 \u00ab\u00a0no\u00a0\u00bb. On enregistre en faisant Ctrl-X puis \u00ab\u00a0o\u00a0\u00bb pour valider les changements.<\/p>\n
\nriri@srv-debian:~$ sudo \/etc\/init.d\/ssh restart<\/code>
\nIl est d\u00e9sormais impossible de se logger en tant que \u00ab\u00a0root\u00a0\u00bb. Il faudra d\u00e9sormais se connecter avec un utilisateur standard et passer soit par la commande \u00ab\u00a0su root\u00a0\u00bb pour devenir \u00ab\u00a0root\u00a0\u00bb une fois connect\u00e9 ou bien pr\u00e9fixer les commandes par l’instruction \u00ab\u00a0sudo\u00a0\u00bb comme vu dans un article pr\u00e9c\u00e9dent.<\/p>\nG\u00e9n\u00e9ration des cl\u00e9s<\/h1>\n
Sous Windows avec PuttyGen<\/h2>\n
G\u00e9n\u00e9ration de la paire de cl\u00e9s<\/h3>\n
\n
Sous linux, avec ssh-keygen<\/h2>\n
\nssh-keygen -t rsa -b 1024 -f id_rsa<\/code>
\nCette commande cr\u00e9e une cl\u00e9 rsa de 1024 bits stock\u00e9e dans le fichier id_rsa. La cl\u00e9 publique se trouve dans le fichier id_rsa.pub. L’utilitaire demande ensuite de saisir une passphrase (de pr\u00e9f\u00e9rence assez longue), je vous conseille de le faire pour prot\u00e9ger votre cl\u00e9. Si quelqu’un s’empare de la cl\u00e9 priv\u00e9e, s’il ne connait pas la passphrase permettant de la d\u00e9verrouiller elle ne lui servira \u00e0 rien. Tapez une seconde fois votre passphrase lorsqu’elle vous est demand\u00e9e puis validez. Votre paire de cl\u00e9s est cr\u00e9\u00e9e !<\/p>\nCopie de la cl\u00e9 sur le serveur<\/h1>\n
Sous Windows<\/h2>\n
\n
\nriri@srv-debian:~$ cd
\nriri@srv-debian:~$ mkdir .ssh
\nriri@srv-debian:~$ cd .ssh
\nriri@srv-debian:~$ nano authorized_keys
\n<\/code><\/li>\nSous linux<\/h2>\n
\nriri@srv-debian:~$ ssh-copy-id -i ~\/id_rsa.pub user@ipduserveur<\/code>
\nTapez le mot de passe de l’utilisateur lorsqu’il vous est demand\u00e9. Et voil\u00e0, la cl\u00e9 est automatiquement copi\u00e9e dans le dossier \u00ab\u00a0\/home\/nomutilisateur\/.ssh\/authorized_keys\u00a0\u00bb<\/p>\nConnexion au serveur en utilisant la paire de cl\u00e9s<\/h1>\n
Sous Windows<\/h2>\n
\n
Et maintenant ?<\/h1>\n
riri@srv-debian:~$ sudo nano \/etc\/ssh\/sshd_config<\/code><\/p>\n#PasswordAuthentication yes<\/code><\/p>\nPasswordAuthentication no<\/code><\/p>\nriri@srv-debian:~$ sudo \/etc\/init.d\/ssh restart<\/code><\/p>\nUtilisation d’un agent pour conserver les cl\u00e9s en m\u00e9moire<\/h1>\n
Sous Windows<\/h2>\n
Sous linux<\/h2>\n","protected":false},"excerpt":{"rendered":"