Vbox Linux SSH 연결

Vbox Linux SSH 연결

• root의 SSH 접속 막기

• VirtualBox 리눅스 SSH 연결 (NAT)

• VirtualBox 리눅스 인터넷 연결
• NAT를 이용하면 Host OS에서 Guest OS로 접속 가능하나, 외부에서는 접속할 수 없다.

  VirtualBox 리눅스 SSH 연결 (브리지)

• NAT와는 달리 네트워크 구조상 Host OS와 Guest OS가 대등한 관계가 된다.
  상호간 통신하기에 편리하고, 공유기에서 포트포워딩만 해주면 웹서비스도 간단히 연결할 수 있다.

1. ssh가 설치되어 있지 않다면 설치한다.
   • How to Setup SSH Server on Kali Linux
2. PAM을 사용하지 않는다면 ssh 설정을 수정한다.
   • PAM (Pluggable Authentication Modules) in Linux
   • 사용자 보안 - PAM]

     vi /etc/ssh/ssh_config
     # PermitRootLogin prohibit-password   >>>  PermitRootLogin yes
     service ssh restart
     # systemctl restart ssh
     ssh localhost # test

     User Authentication HOWTO
     User Authentication HOWTO - 2. 어떻게 사용자 정보가 여러분의 시스템에 저장되는가
     User Authentication HOWTO - 3. PAM (Pluggable Authentication Modules)
     User Authentication HOWTO - 4. 사용자 인증 보안
     User Authentication HOWTO - 5. 함께 묶기

사용하지 않는 서비스 제거

/etc/pam.d/ 아래 파일에서 사용하지 않거나 들어보지 못한 프로그램 구성파일은 보안 허점을 제공하지는 않지만 제거해서 인증을 거부하는게 좋다.
인증을 요청하는 서비스 이름을 가지는 파일을 찾지 못하면 PAM은 /etc/pam.d/other를 참조한다.
/etc/pma.d/other 는 대체로 안전한 설정을 사용하도록 설정되어 있다.(그렇지 않다면 안전하도록 수정해야 한다.)

Kali-linux PAM 구성(2019.12.17)

root@kali:/etc/pam.d# grep -Hv "^#" common* other passwd sshd login
common-account:account  [success=1 new_authtok_reqd=done default=ignore]        pam_unix.so 
common-account:account  requisite                       pam_deny.so
common-account:account  required                        pam_permit.so
common-auth:auth        [success=1 default=ignore]      pam_unix.so nullok_secure
common-auth:auth        requisite                       pam_deny.so
common-auth:auth        required                        pam_permit.so
common-password:password        [success=1 default=ignore]      pam_unix.so obscure sha512
common-password:password        requisite                       pam_deny.so
common-password:password        required                        pam_permit.so
common-password:password        optional        pam_gnome_keyring.so 
common-session:session  [default=1]                     pam_permit.so
common-session:session  requisite                       pam_deny.so
common-session:session  required                        pam_permit.so
common-session:session  required        pam_unix.so 
common-session:session  optional        pam_systemd.so 
common-session-noninteractive:session   [default=1]                     pam_permit.so
common-session-noninteractive:session   requisite                       pam_deny.so
common-session-noninteractive:session   required                        pam_permit.so
common-session-noninteractive:session   required        pam_unix.so 
other:@include common-auth
other:@include common-account
other:@include common-password
other:@include common-session
passwd:@include common-password
sshd:@include common-auth
sshd:account    required     pam_nologin.so
sshd:@include common-account
sshd:session [success=ok ignore=ignore module_unknown=ignore default=bad]        pam_selinux.so close
sshd:session    required     pam_loginuid.so
sshd:session    optional     pam_keyinit.so force revoke
sshd:@include common-session
sshd:session    optional     pam_motd.so  motd=/run/motd.dynamic
sshd:session    optional     pam_motd.so noupdate
sshd:session    optional     pam_mail.so standard noenv # [1]
sshd:session    required     pam_limits.so
sshd:session    required     pam_env.so # [1]
sshd:session    required     pam_env.so user_readenv=1 envfile=/etc/default/locale
sshd:session [success=ok ignore=ignore module_unknown=ignore default=bad]        pam_selinux.so open
sshd:@include common-password
login:auth       optional   pam_faildelay.so  delay=3000000
login:auth       requisite  pam_nologin.so
login:session [success=ok ignore=ignore module_unknown=ignore default=bad] pam_selinux.so close
login:session    required     pam_loginuid.so
login:session [success=ok ignore=ignore module_unknown=ignore default=bad] pam_selinux.so open
login:session       required   pam_env.so readenv=1
login:session       required   pam_env.so readenv=1 envfile=/etc/default/locale
login:@include common-auth
login:auth       optional   pam_group.so
login:session    required   pam_limits.so
login:session    optional   pam_lastlog.so
login:session    optional   pam_motd.so motd=/run/motd.dynamic
login:session    optional   pam_motd.so noupdate
login:session    optional   pam_mail.so standard
login:session    optional   pam_keyinit.so force revoke
login:@include common-account
login:@include common-session
login:@include common-password

null 패스워드 금지

• null 패스워드를 사용하지 못하도록 설정

  # common-auth:auth        [success=1 default=ignore]      pam_unix.so nullok_secure
  # common-auth:auth        [success=1 default=ignore]      pam_unix.so nullok
  common-auth:auth        [success=1 default=ignore]      pam_unix.so