Jak zapobiegać atakom siłowym SSH? Praktyczny poradnik konfiguracji uwierzytelniania kluczy VPS za pomocą HestiaCP.

Ponad 90% ataków na VPS jest spowodowanych... Atak siłowy na słabe hasło SSHJeśli nadal logujesz się do serwera za pomocą hasła, jest to tak samo niebezpieczne, jak zostawienie klucza do domu wiszącego na drzwiach.

W tym artykule krok po kroku poprowadzę Cię, jak całkowicie uniknąć koszmaru ataków siłowych na hasła. Połączymy... VPS 与 PuTTYOprogramowanieW tym samouczku wykorzystano najbardziej praktyczne narzędzia wiersza poleceń, które pomogą Ci zwiększyć bezpieczeństwo protokołu SSH do najwyższego poziomu.

Dlaczego warto używać klucza zamiast hasła?

Niezależnie od stopnia skomplikowania hasła, można je złamać metodą siłową. Hakerzy mogą używać narzędzi, które pozwalają im testować dziesiątki tysięcy kombinacji haseł na sekundę.

i 4096-bitowy klucz RSATeoretycznie złamanie go zajęłoby miliardy lat. Dla porównania, hasło jest jak papierowe drzwi, a klucz jak stalowa brama.

Krok 1: Wygeneruj klucz SSH

在 Linux Alternatywnie, na macOS możesz bezpośrednio wygenerować parę kluczy RSA o długości 4096 bitów:

ssh-keygen -t rsa -b 4096

Naciśnij Enter, aby zapisać domyślną ścieżkę. /root/.ssh/id_rsa.

Wprowadź hasło (opcjonalnie) lub po prostu naciśnij Enter i pozostaw pole puste.

System wygeneruje dwa pliki:

• Klucz prywatny:id_rsa
• Klucz publiczny:id_rsa.pub

To jest Twój „zamek” i „klucz”.

Krok 2: Skonfiguruj klucz publiczny na serwerze

Umieść klucz publiczny w katalogu licencyjnym VPS:

cp ~/.ssh/id_rsa.pub ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys

Upewnij się, że katalog /root/.ssh/ istnieć.

Dzięki temu serwer rozpozna wyłącznie Twój klucz publiczny i nie będzie już musiał opierać się na haśle.

Krok 3: Modyfikuj plik konfiguracji SSH

Edytuj plik konfiguracyjny:

nano /etc/ssh/sshd_config

Zmodyfikuj następujące parametry:

RSAAuthentication yes #RSA认证
PubkeyAuthentication yes #开启公钥验证
AuthorizedKeysFile .ssh/authorized_keys #验证文件路径
PasswordAuthentication no #禁止密码认证
PermitEmptyPasswords no #禁止空密码

Ten krok jest kluczowy: całkowicie wyłącz logowanie hasłem.

Krok 4: Uruchom ponownie usługę SSH

Spraw, aby konfiguracja zaczęła obowiązywać natychmiast:

• CentOS7:

systemctl restart sshd

• Ubuntu / Debian:

systemctl restart ssh

Potwierdzono, że usługa działa:

systemctl status sshd

Krok 5: Użytkownicy systemu Windows konwertują klucz za pomocą narzędzia PuTTYGen.

Jeśli używasz systemu Windows, musisz przekonwertować klucz prywatny do formatu PuTTY:

1. włączyć PuTTYGen
2. 点击 Załadować Załaduj id_rsa
3. 点击 Zapisz klucz prywatny Zapisz jako .ppk
4. 在 PuTTY → Połączenie → SSH → Autoryzacja Wybierz to .ppk 文件

W ten sposób możesz bezpiecznie zalogować się do swojego VPS za pomocą PuTTY.

Krok 6: Zweryfikuj i obroń się przed atakami siłowymi

Potwierdź, że konfiguracja jest aktywna:

grep "Failed password" /var/log/auth.log

W dziennikach będą widoczne tylko nieudane próby logowania atakującego, a nie udane próby logowania.

Dalsza obrona:

• Współpracować Fail2Ban Automatyczne blokowanie atakujących adresów IP
• Zmień domyślny port (np. zmień go na 2222).
• Zapora sieciowa zezwala wyłącznie na zaufane adresy IP

Te trzy techniki mogą całkowicie zniweczyć wysiłki hakerów.

podsumowując

Przez Wygeneruj klucz → Skonfiguruj klucz publiczny → Modyfikuj sshd_config → Uruchom ponownie usługę → PuTTY, aby przekonwertować klucz Te kroki, twoje HestiaCP Serwer VPS może całkowicie wyeliminować ryzyko ataków siłowych na hasła.

Wpisy „Nieudane hasło” w tych logach to po prostu daremne próby atakujących i nie oznaczają, że uwierzytelnianie hasłem jest nadal włączone.

Wniosek: Bezpieczeństwo jest podstawą funkcjonowania serwera.

W świecie bezpieczeństwa informacji hasła są najbardziej podatnym na ataki ogniwem. Zastąpienie haseł kluczami to nie tylko decyzja technologiczna, ale także wyraz odpowiedzialności i mądrości.

Jak stwierdzono w „Białej Księdze Bezpieczeństwa Informacji”: „Bezpieczeństwo nie jest kosztem, lecz wartością”.

Więc działaj. Uwolnij swój VPS od ograniczeń związanych z hasłami i pozwól hakerom na ataki siłowe na zawsze pozostać w logach.