Ein VServer absichern

Wenn man sich einen neuen VServer geleistet hat, muss man ein paar Sachen beachten und absichern.

Das sollte man gewissenhaft machen, da sonst der VServer gekapert werden kann.

Bei  mir war es zumindest schon mal „halb“ passiert. Nicht der VServer wurde  mir gestohlen, sondern jemand hat sich an meinem Mail Server zu  schaffen gemacht. Beziehungsweise wurde mein Mail Server als Mail Bombe  benutzt. Das heißt, es wurden die ganze Zeit Spamnachrichten über meinen  Server verschickt. So kann man übrigens verdammt schnell auf die  Blacklisten aller Mailanbieter kommen. Also wenn ihr das mal  ausprobieren wollt – ich kann das nicht empfehlen.

Meine VServer laufen bis jetzt immer auf Ubuntu. Daher wird das Tutorial auch hier darauf aufbauen. Man kann aber vieles auch für andere Betriebssysteme adaptieren.

Root Login initial benutzen und neuen Benutzer Account anlegen

Jeder  VServer Anbieter teilt euch beim Kauf mit, wie die IP zum Server heißt  und wie das Passwort des ROOT Accounts ist. Ab diesen Zeitpunkt habt ihr  also die wichtigsten Elemente bekommen. Mit der IP und mit dem Passwort  könnt ihr euch nun initial einloggen:

ssh root@ip-addr

Der  ROOT Account ist der mächtigste Account auf eurem VServer. Er sollte  dringend deaktiviert werden und der Login sollte nur dieses eine Mal  benutzt werden.

Damit ihr den ROOT Account deaktivieren könnt, braucht ihr natürlich einen anderen Account – euren Account!

adduser spidey

Wenn ihr das eingegeben habt, müsst ihr nun ein paar Fragen beantworten. So könnt ihr hier euer Passwort definieren.

Damit  euer neuer Account aber überhaupt etwas machen kann und auch ein wenig  „Power“ bekommt, muss er zur „sudo“ Gruppe hinzugefügt werden. Mithilfe  von „sudo“ können dann ROOT Befehle ausgeführt werden.

usermod -aG sudo spidey

Public Key Login aktivieren

Nun ist also euer Account angelegt und nun kommt die Sicherheit:

Mithilfe  des Public Key Logins müsst ihr nun beim Anmelden kein Passwort mehr  benutzen. Zum Anmelden braucht ihr dann euren Private Key. Diesen kennt  nur ihr und wird gegen den hinterlegten Public Key auf euren Server  authentifiziert. Diese Keys sind sehr lang und bringen daher eine  erhöhte Sicherheit!

Am Anfang müsst ihr natürlich auf euren  Computer das Schlüsselpaar (private und public) generieren. Der private  Key wird auf dem Computer bleiben und der public Key wird auf dem Server  hinterlegt. Öffnet hierzu bitte eine neue Konsole.

ssh-keygen

Wenn  ihr ein paar Fragen beantwortet habt, wird euch der Speicherort  angezeigt. Ihr solltet nun dahin navigieren. Dort sollte sich ein  Schlüsselpaar befinden:

• id_rsa (private)
• id_rsa.pub (public)

Nun habt ihr zwei Möglichkeiten diesen public Key auf eurem Server zu hinterlegen:

ssh-copy-id

Mit  dem ssh-copy-id Skript/Programm könnt ihr euren public Key auf den  Server kopieren lassen. Dazu muss der Account und die IP angegeben  werden. Damit der Key auch für den richtigen Account hinterlegt wird,  müsst ihr natürlich den neu angelegten Nutzeraccount benutzen.

ssh-copy-id spidey@ip-addr

Wenn  ihr diesen Befehl ausgeführt habt, werdet ihr nach euren Passwort  gefragt. Später werden wir diese ganzen Passwortabfragen beim Verbinden  noch deaktivieren. Dann kann man sich nur noch mithilfe des  Schlüsselpaares verbinden. Aber dieses eine Mal werden wir das Passwort  noch benutzen. Macht nun eine neue Konsole auf und testet euren private  Key.

ssh spidey@ip-addr

Nun solltet ihr gleich verbunden sein und es sollte keine Nachfrage nach einen Passwort kommen.

Manuell den public Key hinterlegen

Als Erstes brauchen wir euren public Key. Der soll ja nun auf dem Server hinterlegt werden.

cat ~/.ssh/id_rsa.pub

Den  Inhalt solltet ihr in die Zwischenablage kopieren. Irgendwo solltet ihr  noch die Konsole von euren VServer haben. Dort solltet ihr immernoch  als ROOT angemeldet sein. Wechselt nun zu euren Benutzeraccount. Der  Befehl hierfür heißt „switch user <userName> oder kurz:

su - spidey

Nun  solltet ihr euch in euren „Home“ Verzeichnis befinden. Wenn ihr nich  wisst wo ihr seid, hilft der Befehl „pwd“. Dieser gibt euch den  aktuellen Pfad aus. In euren Homeverzeichnis müssen nun ein paar Ordner  angelegt werden. Diese Ordner müssen außerdem mit den richtigen Rechten  versehen werden.

mkdir ~/.ssh/ chmod 700 -R ~/.ssh/

Danach  muss nun die Datei „authorized_keys“ angelegt werden. Die Datei füllen  wir mit dem Inhalt aus der Zwischenablage, bzw. mit dem public Key. Ihr  könnt die Datei mit einen Editor eurer Wahl öffnen. Ich benutze meist  für sowas den Editor „nano“. Wenn dieser nicht installiert ist, kann man  ihn fix nachinstallieren oder den Editor „vi“ benutzen.

nano ~/.ssh/authorized_keys

Den Editor kann man dann mithilfe von „Steuerung+X“ verlassen. Die Nachfrage muss man mit der Taste y bestätigen.

Nun ist der public Key installiert. Macht nun eine neue Konsole auf und testet euren private Key.

ssh spidey@ip-addr

Nun solltet ihr gleich verbunden sein und es sollte keine Nachfrage nach einen Passwort kommen.

Passwort Logins deaktivieren

Fassen wir nochmal kurz zusammen, was bis hier hin geschehen ist:

• Login via ROOT Account
• neuen Benutzer anlegen und Passwort hinterlegen
• Private und public Key generieren
• public Key auf dem Server hinterlegen
• Login mithilfe von Schlüsselpaar erfolgreich durchführen

Nun  kommt der Augenblick, wo der Passwort Login deaktiviert wird. Das  sollte aber nur gemacht werden, wenn der Login mithilfe des  Schlüsselpaares erfolgreich war.

Um den Passwort Login zu deaktivieren müssen wir die SSH Konfiguration anpassen.

Die nächsten Schritte könnt ihr gerne unter euren neuen Account durchführen. Also in diesem Beispiel – spidey.

sudo nano /etc/ssh/sshd_config

Nun müssen wir einige Konfigurationen finden. Bei „nano“ kann man mithilfe von „Steuerung+W“ suchen.

• PasswordAuthentication auf no stellen
• PubkeyAuthentication auf yes stellen (sollte standardmäßig so sein)
• ChallengeResponseAuthentication auf no stellen (sollte bereits so sein)

Diese Einstellungen müssen dann auch wieder mithilfe von „Steuerung+X“ gespeichert werden.

Diese Änderungen müssen natürlich übernommen werden und dafür muss der SSH Dienst neugestartet werden.

sudo systemctl reload sshd

Nun  sollte der Passwort Login deaktiviert sein. Bevor ihr euch aber jetzt  zu schnell vom Server ausloggt, solltet ihr die neue Konfiguration  testen. Macht bitte wieder eine neue Konsole auf und testet den SSH  Login mit dem Schlüsselpaar erneut.

ssh spidey@ip-addr

Wenn das auch wieder funktioniert, ist der Großteil geschafft.

Im  nächsten Beitrag werde ich euch noch ein paar Feinheiten der Ubuntu  Firewall erklären. Damit aber erstmal der Schutz da ist, solltet ihr  noch zwei Befehle ausführen.

sudo ufw allow ssh
sudo ufw enable

Diese  beiden Befehle sind schnell erklärt. Der erste Befehl fügt den SSH Port  (21) als Ausnahme zu der Firewall hinzu. Klar, wie wollt ihr euch zum  Server verbinden, wenn der Port 21 nicht freigegeben ist.

Der  zweite Befehl aktiviert die Firewall. Ab jetzt kann man von außen also  nur noch über den Port 21 auf euren Server zugreifen. Und dieser ist  geschützt durch die private/public Key Authentifizierung. Bevor ihr euch  aber auch hier wieder abmeldet, solltet ihr einer separaten Konsole  euren Login erneut testen. Der sollte hoffentlich noch funktionieren.

ssh spidey@ip-addr

Wenn  das geklappt hat, sehen wir uns im nächsten Beitrag wieder. Dort  erkläre ich dann ein paar Dinge und Feinheiten zur Firewall und warum  jeder eine haben sollte.

Quelle: https://www.digitalocean.com/community/tutorials/initial-server-setup-with-ubuntu-16-04