Paso a Paso: Como hacer que entre servidores Unix se creen uniones de confianza evitando así el tecleo continuo de claves

Para esas personas a las que le inquieta la seguridad, una buena forma de securizar, aún más, el acceso a servidores Unix de forma remota...

El proceso es muy sencillo: ya es bien conocido que ssh v1 ha sido atacada (pero aún así todavía se considera seguro), así que para esas personas que buscan jugar más a ponérselo difíciles a los atacantes, a continuación se describe en 6 breves pasos como hacer que se creen enlaces de confianza entre nuestros servidores, evitando el tecleo continuo de claves (el sistema de hacking con más probabilidad de éxito es la ingeniería social).

Pasos:

1. Entrar en el "equipo X" y teclear ssh-keygen -t rsa.



2. Se recomienda dejar todos los campos en blancos, símplemente pulsa enter. Esto nos habrá creado un subdirectorio ".ssh" en el "home del usuarioX" (/home/usarioX/.ssh/), que contendrá nuestras claves públicas y privadas.



3. Darle a este directorio los permisos apropiados, para que nuestro equipo no desconfie del host remoto.



4. Repetir estos pasos en el "equipo Y".
5. Copiar el contenido del fichero "id_rsa.pub" del "equipoX" (/home/usuarioX/.ssh/id_rsa.pub), al fichero "authorized_keys"(/home/usuarioY/.ssh/authorized_keys) del "equipoY" y viceversa.
Nota: Como apunta nuestro amigo "Anónimo": Para copiar las llaves publicas a maquinas remotas basta con poner
ssh-copy-id -i key.pub
usuario@HOST_DESTINO

De esa forma va añade directamente al fichero authorized_keys del usuario
6. Intente conectar desde el equipoX como usuarioX, al equipoY como usuarioY. La primera vez, el sistema, pide que se introduzca la contraseña y ya no la volverá a pedir mientras no se hagan cambios en la versión de SSH.

Esto permite crear niveles de segurida muy altos, puesto que por la red únicamente viaja un challenge de la clave pública del equipo y que además viaja cifrada (SSH).

Este blog únicamente pretende ser una recopilación de conocimiento en materia de seguridad y comunicaciones. Espero que os sea útil.

Nota: Hay un lector que me ha escrito una pequeña anotación; copio textualmente: "he creado un script llamado banfromlog que lee el auth de debian en busca de ips que te intentan probar usuarios genericos y les aplica un iptables -p tcp -i ethX --dport 22 -s DireccionIP -j DROP a su ip, lo cual es util si algun sistema creeis que tiene usuarios predecibles o contraseñas faciles y no podeis activar solo el método de clave publica".