Máy chủ Linux thường được quản trị từ xa thông qua giao thức SSH, kết nối với máy chủ OpenSSH – phần mềm SSH mặc định trên các hệ điều hành như Ubuntu, Debian, CentOS, FreeBSD và nhiều hệ thống dựa trên Linux/BSD khác. Vì SSH là cổng truy cập chủ yếu vào máy chủ, nên rất nhiều nỗ lực đã được đầu tư để bảo vệ phía máy chủ.

Tuy nhiên, bảo mật không chỉ dừng lại ở phía máy chủ mà còn cần chú trọng đến bảo mật phía client – tức là OpenSSH client (lệnh ssh). Bạn có thể tìm hiểu thêm về mô hình SSH client-server trong hướng dẫn “SSH Essentials: Làm Việc Với Máy Chủ, Client và SSH Keys.”

Trong khi việc tăng cường bảo mật máy chủ nhằm mục tiêu làm khó kẻ tấn công truy cập vào hệ thống, thì bảo mật phía client lại cần tập trung vào việc bảo vệ kết nối SSH và client khỏi các mối đe dọa như:

● Tấn công “man-in-the-middle” từ các hacker trên mạng.
● Các máy chủ đã bị xâm nhập hoặc độc hại gửi gói dữ liệu không hợp lệ, chuỗi điều khiển nguy hiểm hoặc khối lượng dữ liệu quá lớn nhằm làm quá tải client.
● Sai sót do con người, ví dụ như nhập sai địa chỉ máy chủ hoặc thiết lập cấu hình không chính xác.

Trong bài hướng dẫn này, bạn sẽ học cách tăng cường bảo mật cho OpenSSH client trên Ubuntu 20.04, đảm bảo rằng mọi kết nối SSH được thực hiện một cách an toàn tối đa.

Mục lục nội dung

Yêu cầu

Để hoàn thành hướng dẫn này, bạn cần:

● Một thiết bị sử dụng làm SSH client, ví dụ:
– Máy tính cá nhân của bạn
– Một “jump host” hoặc “bastion host” SSH
– Một máy chủ Ubuntu 20.04 được thiết lập theo hướng dẫn “Cài đặt máy chủ ban đầu với Ubuntu 20.04”, bao gồm tài khoản người dùng không phải root có quyền sudo
– Một máy chủ SSH mà bạn muốn kết nối, ví dụ:
– Máy chủ được liệt kê trên trang của DataOnline
– (Các tham chiếu khác về SSH và tài liệu liên quan)

● Một máy chủ đám mây
● Một dịch vụ công cộng như GitHub hoặc GitLab
● Một thiết bị của bên thứ ba mà bạn được phép truy cập

Khi đã chuẩn bị xong, hãy đăng nhập vào thiết bị SSH client của bạn với tư cách người dùng không phải root để bắt đầu.

Bước 1 – Tăng cường cấu hình chung

Trong bước này, bạn sẽ thực hiện một số cấu hình tăng cường ban đầu để cải thiện bảo mật tổng thể của SSH client.

Cấu hình tăng cường phù hợp với client phụ thuộc rất nhiều vào mô hình đe dọa và ngưỡng rủi ro của bạn. Tuy nhiên, cấu hình dưới đây được xem là an toàn tổng quát phù hợp với hầu hết người dùng.

Nhiều cấu hình tăng cường cho OpenSSH client được thực hiện trong tệp cấu hình toàn cục của OpenSSH client, nằm ở /etc/ssh/ssh_config. Ngoài tệp này, một số cấu hình cũng có thể được thiết lập trong tệp cấu hình cục bộ của người dùng, tại ~/.ssh/config.

Trước khi tiếp tục, bạn nên sao lưu tệp cấu hình hiện có để có thể phục hồi nếu có sự cố xảy ra.

Tạo bản sao lưu của tệp cấu hình bằng các lệnh sau:

sudo cp /etc/ssh/ssh_config /etc/ssh/ssh_config.bak
cp ~/.ssh/config ~/.ssh/config.bak

Các lệnh trên sẽ lưu các bản sao lưu của các tệp ở vị trí mặc định, với phần mở rộng .bak được thêm vào.

Lưu ý: Tệp cấu hình SSH cục bộ (~/.ssh/config) có thể không tồn tại nếu bạn chưa từng sử dụng. Nếu vậy, bạn có thể bỏ qua.

Bây giờ, mở tệp cấu hình toàn cục bằng nano hoặc trình soạn thảo yêu thích của bạn để bắt đầu áp dụng các biện pháp tăng cường:

sudo nano /etc/ssh/ssh_config

Lưu ý: Tệp cấu hình OpenSSH client bao gồm rất nhiều tùy chọn mặc định. Tùy thuộc vào cấu hình hiện tại của bạn, một số tùy chọn tăng cường đã có thể được thiết lập.

Khi chỉnh sửa tệp, một số tùy chọn có thể bị comment (bắt đầu bằng dấu #). Để chỉnh sửa hoặc kích hoạt tùy chọn, hãy bỏ dấu # ở đầu dòng.

Trước tiên, nếu bạn không sử dụng X11 display forwarding, hãy vô hiệu hóa nó bằng cách đặt các tùy chọn sau:

Trong tệp /etc/ssh/ssh_config:

X11 forwarding cho phép hiển thị các ứng dụng đồ họa từ xa qua kết nối SSH, nhưng hiếm khi được sử dụng. Việc vô hiệu hóa giúp ngăn chặn các máy chủ độc hại cố gắng chuyển tiếp phiên X11 tới client của bạn, điều này có thể dẫn đến việc vượt qua quyền truy cập hệ thống hoặc theo dõi phím bấm.

Tiếp theo, hãy cân nhắc vô hiệu hóa SSH tunneling. Vì SSH tunneling được sử dụng rộng rãi, bạn có thể để nó bật nếu cần thiết. Nếu không cần, bạn có thể vô hiệu hóa như sau: