วิธีป้องกันการโจมตีแบบ Brute-force ผ่าน SSH? คู่มือปฏิบัติจริงเกี่ยวกับการตั้งค่าการตรวจสอบสิทธิ์คีย์ VPS ด้วย HestiaCP

กว่า 90% ของการโจมตี VPS เกิดจากการโจมตีแบบ Brute-force กับรหัสผ่าน SSH ที่อ่อนแอหากคุณยังคงใช้รหัสผ่านในการล็อกอินเข้าเซิร์ฟเวอร์ของคุณ มันอันตรายพอๆ กับการทิ้งกุญแจบ้านไว้ที่ประตู

บทความนี้จะแนะนำคุณทีละขั้นตอนเพื่อกำจัดฝันร้ายของการโจมตีรหัสผ่านแบบเดาสุ่มอย่างสมบูรณ์ เราจะใช้VPS ร่วม กับซอฟต์แวร์PuTTYโดยใช้บทช่วยสอนการใช้งานผ่านบรรทัดคำสั่งที่ใช้งานได้จริงที่สุด เพื่อช่วยยกระดับความปลอดภัยของ SSH ของคุณให้ถึงระดับสูงสุด

เหตุใดจึงใช้คีย์แทนรหัสผ่าน?

ไม่ว่ารหัสผ่านจะซับซ้อนแค่ไหน ก็ยังสามารถถูกเจาะได้ด้วยวิธีการโจมตีแบบเดาแบบสุ่ม (Brute Force) แฮกเกอร์สามารถใช้เครื่องมือต่างๆ เพื่อลองรหัสผ่านนับหมื่นชุดต่อวินาทีได้

ตามทฤษฎีแล้ว การ ถอดรหัสRSA ขนาด 4096 บิตจะต้องใช้เวลานับพันล้านปี เมื่อเปรียบเทียบกันแล้ว รหัสลับเปรียบเสมือนประตูที่ทำจากกระดาษ ในขณะที่กุญแจเปรียบเสมือนประตูเหล็กที่แข็งแกร่ง

ขั้นตอนที่ 1: สร้างคีย์ SSH

สร้างคู่คีย์ RSA 4096 บิตโดยตรงบนLinux หรือ macOS:

ssh-keygen -t rsa -b 4096

กด Enter เพื่อบันทึกเส้นทางเริ่มต้น /root/.ssh/id_rsa.

ป้อนรหัสผ่าน (ไม่จำเป็น) หรือกด Enter แล้วปล่อยว่างไว้ก็ได้

ระบบจะสร้างไฟล์สองไฟล์:

• คีย์ส่วนตัว:id_rsa
• คีย์สาธารณะ:id_rsa.pub

นี่คือ "แม่กุญแจ" และ "กุญแจ" ของคุณ

ขั้นตอนที่ 2: กำหนดค่าคีย์สาธารณะให้กับเซิร์ฟเวอร์

วางคีย์สาธารณะไว้ในไดเร็กทอรีที่ได้รับอนุญาตของ VPS:

cp ~/.ssh/id_rsa.pub ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys

ตรวจสอบให้แน่ใจว่าไดเร็กทอรีถูกต้อง /root/.ssh/ มีอยู่

ด้วยวิธีนี้ เซิร์ฟเวอร์จะรู้จักเฉพาะคีย์สาธารณะของคุณเท่านั้น และจะไม่ต้องพึ่งพารหัสผ่านอีกต่อไป

ขั้นตอนที่ 3: แก้ไขไฟล์การกำหนดค่า SSH

แก้ไขไฟล์การกำหนดค่า:

nano /etc/ssh/sshd_config

ปรับเปลี่ยนพารามิเตอร์ต่อไปนี้:

RSAAuthentication yes #RSA认证
PubkeyAuthentication yes #开启公钥验证
AuthorizedKeysFile .ssh/authorized_keys #验证文件路径
PasswordAuthentication no #禁止密码认证
PermitEmptyPasswords no #禁止空密码

ขั้นตอนนี้สำคัญมาก: ปิดใช้งานการเข้าสู่ระบบด้วยรหัสผ่านโดยสมบูรณ์

ขั้นตอนที่ 4: รีสตาร์ทบริการ SSH

ตั้งค่าให้มีผลทันที:

• CentOS7:

systemctl restart sshd

• อูบุนตู / Debian:

systemctl restart ssh

ได้รับการยืนยันแล้วว่าบริการยังคงใช้งานได้:

systemctl status sshd

ขั้นตอนที่ 5: สำหรับผู้ใช้ Windows ให้แปลงรหัสโดยใช้โปรแกรม PuTTYGen

หากคุณใช้ Windows คุณต้องแปลงรหัสส่วนตัวให้เป็นรูปแบบ PuTTY ก่อน:

1. การฝ่าฟันอุปสรรค พุตตี้เจน
2. 点击 โหลด เ id_rsa
3. 点击 บันทึกรหัสส่วนตัว บันทึกเป็น .ppk
4. 在 PuTTY → การเชื่อมต่อ → SSH → การตรวจสอบสิทธิ์ เลือกตัวเลือกนี้ .ppk ไฟล์

ด้วยวิธีนี้ คุณสามารถเข้าสู่ระบบ VPS ของคุณได้อย่างปลอดภัยโดยใช้ PuTTY

ขั้นตอนที่ 6: ตรวจสอบและป้องกันการโจมตีแบบเดาสุ่ม

ตรวจสอบว่าการตั้งค่ามีผลใช้งานแล้ว:

grep "Failed password" /var/log/auth.log

บันทึกจะแสดงเฉพาะความพยายามที่ล้มเหลวของผู้โจมตีเท่านั้น ไม่ใช่การเข้าสู่ระบบที่สำเร็จ

การป้องกันเพิ่มเติม:

• ร่วมมือ Fail2Ban บล็อก IP ที่โจมตีโดยอัตโนมัติ
• เปลี่ยนพอร์ตเริ่มต้น (เช่น เปลี่ยนเป็น 2222)
• ไฟร์วอลล์อนุญาตเฉพาะ IP ที่เชื่อถือได้เท่านั้น

เทคนิคทั้งสามนี้สามารถขัดขวางความพยายามของแฮ็กเกอร์ได้อย่างสมบูรณ์

总结

โดย การทำตามขั้นตอนเหล่านี้ —การสร้างคีย์สาธารณะ การกำหนดค่าคีย์สาธารณะ การแก้ไข sshd_config การรีสตาร์ทบริการ และการแปลงคีย์โดยใช้ PuTTY—คุณสามารถกำจัดความเสี่ยงจากการโจมตีรหัสผ่านแบบเดาสุ่มบน VPS ของHestiaCP ได้อย่างสมบูรณ์

ข้อความ "ป้อนรหัสผ่านไม่ถูกต้อง" ในบันทึกเหล่านั้นเป็นเพียงความพยายามที่ไร้ผลของแฮกเกอร์ และไม่ได้บ่งชี้ว่าการตรวจสอบรหัสผ่านยังคงเปิดใช้งานอยู่

สรุป: ความปลอดภัยคือหัวใจสำคัญของเซิร์ฟเวอร์

ในโลกของความปลอดภัยทางข้อมูล รหัสผ่านเป็นจุดอ่อนที่สุด การเปลี่ยนจากรหัสผ่านมาใช้คีย์ไม่ใช่แค่ทางเลือกทางเทคโนโลยี แต่ยังสะท้อนถึงความรับผิดชอบและความรอบคอบอีกด้วย

ดังที่ระบุไว้ใน "เอกสารไวท์เปเปอร์ด้านความปลอดภัยของข้อมูล": "ความปลอดภัยไม่ใช่ต้นทุน แต่เป็นคุณค่า"

ดังนั้นจงลงมือทำ ปลดปล่อย VPS ของคุณจากพันธนาการของรหัสผ่าน และปล่อยให้การโจมตีแบบ Brute-force ของแฮกเกอร์คงอยู่ตลอดไปในบันทึกการเข้าสู่ระบบที่ล้มเหลว