Miért fontos az SSH biztonság?

Az SSH a szerver elsődleges adminisztrációs kapuja. Ha az SSH nincs megfelelően biztonságossá téve, brute-force támadók másodpercenként próbálgathatják a különféle jelszó-kombinációkat. A jelszavas SSH hitelesítés önmagában nem elég biztonságos – a kulcs alapú hitelesítés az ajánlott megoldás.

SSH kulcs alapú hitelesítés beállítása

1. Kulcspár generálása a kliensen (a saját gépeden, nem a szerveren!): generálj egy modern ED25519 kulcspárt.
2. Publikus kulcs másolása a szerverre: az ssh-copy-id parancs bemásolja a publikus kulcsot a szerver ~/.ssh/authorized_keys fájljába.
3. Kulcsos bejelentkezés tesztelése: még a jelszavas auth kikapcsolása előtt ellenőrizd, hogy a kulcsos belépés működik!
4. Jelszavas hitelesítés kikapcsolása az /etc/ssh/sshd_config fájlban.
5. SSH daemon újraindítása a változtatások alkalmazásához.

1. Kulcspár generálása (kliensen)

# ED25519 kulcspár generálása (ajánlott, modern algoritmus)
ssh-keygen -t ed25519 -C "szerver-admin"

# RSA kulcspár (régebbi rendszerekkel kompatibilis, 4096 bit)
ssh-keygen -t rsa -b 4096 -C "szerver-admin"

2. Publikus kulcs másolása a szerverre

ssh-copy-id root@SZERVER-IP

# Ha nem az alapértelmezett 22-es portot használja az SSH:
ssh-copy-id -p 2222 root@SZERVER-IP

3. Kulcsos bejelentkezés tesztelése

# Belépés tesztelése – ha jelszó nélkül megy, működik a kulcsos auth
ssh root@SZERVER-IP

# Vagy verbose móddal a részletekért:
ssh -v root@SZERVER-IP

4. sshd_config módosítása

A szerveren szerkeszd az SSH konfigurációs fájlt:

nano /etc/ssh/sshd_config

Módosítsd vagy add hozzá a következő sorokat:

# Jelszavas hitelesítés KIKAPCSOLVA
PasswordAuthentication no

# Root belépés csak kulccsal engedélyezett (jelszóval tiltott)
PermitRootLogin prohibit-password

# Üres jelszavak tiltása
PermitEmptyPasswords no

# X11 forwarding kikapcsolása (ha nem kell)
X11Forwarding no

5. SSH daemon újraindítása

systemctl restart sshd

# Ellenőrzés: az SSH fut-e?
systemctl status sshd

SSH port megváltoztatása (opcionális)

Az SSH port 22-ről más portra váltása nem növeli érdemben a biztonságot, de jelentősen csökkenti az automatikus brute-force botok általi próbálkozások számát a naplókban. Ha portot váltasz, ne felejtsd el a tűzfalban is megnyitni az új portot és bezárni a 22-est!

# /etc/ssh/sshd_config - portváltás
Port 2222

# Új port megnyitása a tűzfalban
v-add-firewall-rule ACCEPT tcp 2222

# SSH újraindítása
systemctl restart sshd

# Régi 22-es port bezárása a tűzfalban (csak UTÁNA!)
# v-delete-firewall-rule [régi szabály ID]