Bagaimana cara mencegah serangan brute-force SSH? Tutorial praktis tentang konfigurasi otentikasi kunci VPS dengan HestiaCP.

Lebih dari 90% serangan VPS disebabkan oleh... Serangan brute force terhadap kata sandi lemah SSHJika Anda masih masuk ke server menggunakan kata sandi, itu sama berbahayanya dengan meninggalkan kunci rumah Anda tergantung di pintu.

Dalam artikel ini, saya akan memandu Anda langkah demi langkah untuk sepenuhnya terbebas dari mimpi buruk serangan brute-force kata sandi. Kita akan menggabungkan... VPS melawan Putty软件Tutorial ini menggunakan alat baris perintah yang paling praktis untuk membantu Anda meningkatkan keamanan SSH ke tingkat tertinggi.

Mengapa menggunakan kunci alih-alih kata sandi?

Sekompleks apa pun sebuah kata sandi, tetap saja bisa diretas dengan metode brute force. Peretas dapat menggunakan alat untuk mencoba puluhan ribu kombinasi kata sandi per detik.

而 Kunci RSA 4096-bitSecara teori, dibutuhkan miliaran tahun untuk membobolnya. Sebagai perbandingan, kata sandi ibarat pintu kertas, sedangkan kunci adalah gerbang baja.

Langkah 1: Buat kunci SSH

在 Linux Alternatifnya, di macOS, Anda dapat langsung menghasilkan pasangan kunci RSA 4096-bit:

ssh-keygen -t rsa -b 4096

Tekan Enter untuk menyimpan jalur default. /root/.ssh/id_rsa.

Masukkan kata sandi (opsional), atau cukup tekan Enter dan biarkan kosong.

Sistem akan menghasilkan dua file:

• Kunci pribadi:id_rsa
• Kunci publik:id_rsa.pub

Ini adalah "gembok" dan "kunci" Anda.

Langkah 2: Konfigurasi kunci publik pada server

Letakkan kunci publik di direktori berlisensi VPS:

cp ~/.ssh/id_rsa.pub ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys

Pastikan direktori tersebut /root/.ssh/ ada.

Dengan cara ini, server hanya akan mengenali kunci publik Anda dan tidak lagi bergantung pada kata sandi.

Langkah 3: Ubah file konfigurasi SSH

Edit berkas konfigurasi:

nano /etc/ssh/sshd_config

Ubah parameter berikut:

RSAAuthentication yes #RSA认证
PubkeyAuthentication yes #开启公钥验证
AuthorizedKeysFile .ssh/authorized_keys #验证文件路径
PasswordAuthentication no #禁止密码认证
PermitEmptyPasswords no #禁止空密码

Langkah ini sangat penting: nonaktifkan sepenuhnya login dengan kata sandi.

Langkah 4: Mulai ulang layanan SSH

Aktifkan konfigurasi segera:

• CentOS7:

systemctl restart sshd

• Ubuntu / Debian:

systemctl restart ssh

Layanan telah dikonfirmasi beroperasi:

systemctl status sshd

Langkah 5: Pengguna Windows mengkonversi kunci menggunakan PuTTYGen.

Jika Anda menggunakan Windows, Anda perlu mengkonversi kunci pribadi ke format PuTTY:

1. 打开 PuTTYGen
2. klik Beban memuat id_rsa
3. klik Simpan kunci pribadi Simpan sebagai .ppk
4. 在 PuTTY → Koneksi → SSH → Otentikasi Pilih ini .ppk 文件

Dengan cara ini, Anda dapat masuk ke VPS Anda dengan aman menggunakan PuTTY.

Langkah 6: Verifikasi dan lindungi diri dari serangan brute-force

Konfirmasikan bahwa konfigurasi telah diterapkan:

grep "Failed password" /var/log/auth.log

Log tersebut hanya akan menampilkan upaya penyerang yang gagal, bukan upaya login yang berhasil.

Pembelaan lebih lanjut:

• Bekerja sama Fail2Ban Blokir IP penyerang secara otomatis
• Ubah port default (misalnya, ubah menjadi 2222).
• Firewall hanya mengizinkan IP tepercaya

Ketiga teknik ini dapat sepenuhnya menggagalkan upaya peretas.

总结

Melalui Hasilkan kunci → Konfigurasi kunci publik → Ubah sshd_config → Mulai ulang layanan → Gunakan PuTTY untuk mengkonversi kunci Langkah-langkah ini, Anda HestiaCP VPS dapat sepenuhnya menghilangkan risiko serangan brute-force kata sandi.

Entri "Kata sandi gagal" dalam log tersebut hanyalah upaya sia-sia dari penyerang dan tidak menunjukkan bahwa otentikasi kata sandi masih diaktifkan.

Kesimpulan: Keamanan adalah urat nadi sebuah server.

Dalam dunia keamanan informasi, kata sandi adalah mata rantai yang paling rentan. Mengganti kata sandi dengan kunci bukan hanya pilihan teknologi, tetapi juga cerminan tanggung jawab dan kebijaksanaan.

Sebagaimana dinyatakan dalam "Buku Putih Keamanan Informasi": "Keamanan bukanlah biaya, melainkan nilai."

Jadi, ambil tindakan. Bebaskan VPS Anda dari belenggu kata sandi, dan biarkan serangan brute-force peretas tetap selamanya tercatat dalam log kegagalan.