SSH e ușa principală a serverului și prima pe care o încearcă boții, din primul minut după ce IP-ul devine public. Trei setări în sshd_config și o pereche de chei elimină aproape tot riscul; restul e igienă.
O parolă, oricât de lungă, poate fi ghicită, reutilizată sau prinsă prin phishing. O cheie ed25519 nu se transmite niciodată pe fir: serverul verifică o semnătură, iar partea privată rămâne pe laptopul tău, protejată de o frază de acces. Când dezactivezi autentificarea cu parolă, listele de parole scurse devin inutile. OpenSSH refuză implicit root cu parolă din versiunea 7.0, prin prohibit-password, dar cel mai simplu e să interzici root de tot și să intri cu un cont personal care escaladează prin sudo.
fail2ban citește logul de autentificare și adaugă în firewall o regulă temporară pentru fiecare IP care a eșuat de mai multe ori într-un interval. Oprește brute force-ul lent și reduce zgomotul. Nu te protejează dacă ai lăsat parole active pe conturi previzibile, pentru că un botnet încearcă din mii de IP-uri, câte o dată fiecare. Ordinea contează: întâi chei și fără root, apoi fail2ban ca strat suplimentar. Portul non-standard e din aceeași categorie: scanarea tuturor porturilor durează secunde.
| Directivă | Valoare recomandată | Ce face |
|---|---|---|
| PasswordAuthentication | no | Acceptă doar chei; brute force-ul cu parole devine inutil |
| PermitRootLogin | no | Root nu se poate autentifica direct; intri cu utilizator + sudo |
| AllowUsers | deploy admin | Doar conturile listate pot deschide sesiuni |
| MaxAuthTries | 3 | Limitează încercările per conexiune |
| KbdInteractiveAuthentication | no | Închide și calea interactivă de parolă |
ssh-keygen -t ed25519 -a 100 -C "deploy@exemplu.ro"
ssh-copy-id -i ~/.ssh/id_ed25519.pub deploy@exemplu.roPasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no
PubkeyAuthentication yes
AllowUsers deploy admin
MaxAuthTries 3
LoginGraceTime 30[sshd]
enabled = true
maxretry = 5
findtime = 10m
bantime = 1h
ignoreip = 127.0.0.1/8 203.0.113.10În primele douăsprezece ore după alocarea IP-ului, logul arăta mii de încercări pe root din zeci de țări. Cu PasswordAuthentication no toate au eșuat instantaneu; fail2ban a redus apoi și volumul din log la câteva linii pe zi.
Un fost colaborator încă avea cheia în authorized_keys pe cinci servere de client, un an după terminarea contractului. Agenția a introdus o listă centrală de chei și o verificare lunară a fișierului pe fiecare mașină administrată.
Ai nevoie de o a doua cale de acces pregătită dinainte: o a doua cheie păstrată offline, consola din panoul furnizorului sau accesul KVM la serverul dedicat. De aceea nu lași parolele active „de rezervă”; folosești în schimb consola furnizorului, care nu e expusă pe internet.
Nu ca măsură de securitate. Reduce zgomotul din loguri și încărcarea produsă de boți, ceea ce e util pe un server mic, dar orice scanare găsește portul nou în secunde. Dacă vrei liniște, pune SSH în spatele unui VPN sau limitează sursa prin firewall.
Pentru majoritatea serverelor cheile cu frază de acces sunt suficiente. Pe servere critice sau când mai mulți oameni au acces, un al doilea factor TOTP prin PAM adaugă protecție dacă un laptop e furat cu cheia deblocată. Alternativ, accesul doar prin VPN are efect similar.
Un server de producție e atacat automat din primele minute după ce primește IP public, indiferent cât de mic e proiectul. Ghidul ordonează controalele după impact, de la accesul SSH până la răspunsul la incident, cu legislația din România care se aplică. Fiecare temă are o pagină dedicată, cu răspuns scurt, exemple și configurări.