SSH pe chei și hardening

SSH e ușa de la server. Hardening-ul înseamnă să o încui bine: doar chei (fără parole), fără login de root, opțional un port ne-standard. Regula critică: testezi noua configurație dintr-o a doua sesiune ÎNAINTE să o închizi pe prima, ca să nu te blochezi afară.

Fișierul de configurare

sudo nano /etc/ssh/sshd_config

# setează / modifică:
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
# opțional: Port 2222

Aplică și testează în siguranță

sudo systemctl restart ssh

# NU închide sesiunea curentă!
# dintr-un alt terminal:
ssh deploy@server
# dacă merge -> ești ok. Dacă nu -> revii pe sesiunea veche și repari.

Verifică că ai cheia urcată

Înainte de a dezactiva parola, asigură-te 100% că te poți conecta cu cheie. Pe server, `~/.ssh/authorized_keys` al userului tău trebuie să conțină cheia ta publică. Dacă nu, `PasswordAuthentication no` te blochează definitiv afară.

Port ne-standard: pro și contra

Mutarea de pe portul 22 reduce zgomotul din log-uri (boți care încearcă parole), dar nu e securitate reală — un scan găsește portul oricum. Fă-o dacă vrei log-uri mai curate, dar nu te baza pe ea.

Console de urgență

Majoritatea furnizorilor de VPS oferă o „consolă web" / „recovery console" care funcționează chiar dacă SSH e stricat. Știi unde e ÎNAINTE să faci hardening.

Configurația recomandată

# /etc/ssh/sshd_config
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
X11Forwarding no
MaxAuthTries 3

sudo systemctl restart ssh   # apoi testezi din alt terminal

Exercițiu

Pe serverul de test: verifică că te poți conecta cu cheie. Editează sshd_config: dezactivează parola și login-ul de root. Restart ssh. Din alt terminal, verifică că te conectezi ca „deploy" și că `ssh root@server` e refuzat.

Greșeli frecvente

• Închizi sesiunea curentă înainte să testezi noua configurație.
• Dezactivezi parola fără să confirmi că ai cheia urcată — te blochezi afară.
• Nu știi de consola de urgență a furnizorului.
• Greșești sintaxa în sshd_config și serviciul nu repornește (verifică `sudo sshd -t`).

De reținut

• PermitRootLogin no, PasswordAuthentication no, PubkeyAuthentication yes.
• Testează din a doua sesiune înainte de a o închide pe prima.
• Confirmă cheia urcată înainte de a tăia parola.
• Cunoaște consola de urgență a furnizorului.

Pe scurt

Hardening SSH = doar chei, fără root, testat din a doua sesiune. Un pas mic care elimină categoria cea mai comună de atac.

Comenzi de observare/validare Ubuntu:
sudo sshd -t
sudo sshd -T
systemctl status ssh --no-pager
Plan: copie configurație → editare minimă → sshd -t → reload conform unității → conexiune nouă.
Reguli de evaluat: autentificare pe cheie; acces root; utilizatori permiși; recuperare.

Documentație și surse

• Ubuntu Server documentation — Canonical
• nginx documentation — nginx