7일차 (2/2) OPEN SSH

OPEN SSH -> 그냥 SSH로 보면 된다.
1.정의 : 원격관리 서비스, 통신 간에 암호화(RSA)
(#22)

암호화 기술
1. sha - /etc/shadow 에 들어있는 내용들
2. md5 - 5.대 centos이나 싱글 os 부팅 시 확인가능
3. RSA

2.pkg : server, client => openssh~.rpm
SSH server 설치
# rpm -Uvh openssh-server~.rpm (sftp)
# rpm -Uvh openssh-client~.rpm (scp)

SSH daemon 활성화
# /etc/rc.d/init.d/sshd restart

# netstat -atunp|grep sshd (#22)
ssh 서비스에 대한 기본설정(ssh_config) | ssh_config 내용이 sshd_config에 전달되고 최종적으로 실행
ssh 서비스에 대한 데몬설정(sshd_config) ↓ // sshd_config만 수정해도 무관 (백업필수!!)

#Port 22                          //기본설정은 Port22임
#AddressFamily any
#ListenAddress 0.0.0.0      // IPv4에서 전체 네트워크를 의미
#ListenAddress ::              // IPv6에서 전체 네트워크를 의미
# activation of protocol 1
Protocol 2          // ssh에 대한 버전을 뜻함 1:사용자인증방식(id, pw), 2:공개키 인증방식(rsa) 보안↑

#KeyRegenerationInterval 1h        //유효 클라이언트를 확인하기 위한 갱신기간 (기본값 1시간)
#ServerKeyBits 1024              //생성시 암호 최소값 512, 기본값 1024bit

# Logging  
# obsoletes QuietMode and FascistLogging
#SyslogFacility AUTH         //  AUTH = 사용자 인증방식
SyslogFacility AUTHPRIV    //  AUTHPRIV = 사용자 인증방식 + 공개키 인증방식
#LogLevel INFO            

// 로그가 기록되는 양
Info all - 사용시 : ㄱ. 관리자의 나태함, ㄴ.log서버가 따로 존재시 (서버가 log만 담당하므로)
Warning login부터 저장 - 실무에서 주로 이용
Criti service부터 저장
Emerg systemdown (init 0, power off)           

 #LoginGraceTime 2m
#PermitRootLogin yes
PermitRootLogin no           //원격 서비스는 적용하지 않는 것이 좋다.
#StrictModes yes            //사용자의 홈 디렉토리 권한값을 체크하도록 되어있는 지시자.
#MaxAuthTries 6    //고정된 ID로 접근 할 수 있는 최대 횟수.
#MaxSessions 10  //연결 가능한 최대 갯수, 기본 값은 10개

Man In The Middle (MITM) 공격
PermitRootLogin을 no로 하는 이유는, 중간에 Key값 마저 가로채서 쓰레기 값으로 공격할 수 있기 때문에 개인키는 안되고 RSA와 같은 공개키방식이 이용된다.

# override default of no subsystems
Subsystem                                sftp          /usr/libexec/openssh/sftp-server
ssh=>부가서비스인 sftp 사용케함  서비스명    해당 서비스 실행경로

# ssh server-ip (보안설정이 안된 곳에서 이용. root만)
# ssh -l [계정명] [server-ip]
# ssh [계정명]@[server-ip] 실무이용

puttry 접속시 rsa2 공개키 방식의 방식으로 ssh-rsa로 접속한다. 주어진 키는 d1:84:e4~ :2e이다.
암호화 bit는 2048 bit를 이용한다. 기존에 ID/passwd만을 이용한 로그인에서 보안을 더한 접속 방식이다.

windows에서는 xp까지는 telnet을 기본적으로 지원했으나 win7부터 지원안함.
ssh또한 마찮가지이다.

windows용 ssh client
PuTTY - 무료 프로그램, 초~중 상급 사용자까지 이용
SecureCRT - 상용 (독일 vandeky가 제공) 데이터 전송속도 조절 가능, 로그 정보 확인 가능. tab기능도 있슴
Xshell, Gshell - 콘쉘에 최적화됨, 유닉스용. 한전은 60%이상이 솔라시스템인데 콘쉘을 이용함.

암호화된 FTP이용하기
sftp (Secure FTP)
일반적인 FTP Service는 평문통신이므로 보안에 취약하다.
sftp 서비스는 SSH service와 함꼐 동작하는 서비스로 데이터 전송시 암호화된 데이터로 안정성을 보장 받는다.

sftp [servel-ip] 보안 설정이 안된 곳에서 접속시 이용
sftp [계정명]@[Server-ip] 보안 설정이 된 곳일 때 이용

sftp>mget * //해당 경로의 모든 파일들을 다운 mget : multidowload

[ 실습문제1 ]

아래의 조건을 이용하여 파일 전송의 차이를 확인하시오.

※ 실습 목적 : ① Dir - "w" 권한을 부여)

② ssh 보안설정에 따른 권한 제약확인

- 조건 -

image1_ssh 설정 : PermitRootLogin = no
image1 Dir : /backup - 757, root.root
image2 File : /backup/aaa - 604, root.root
/backup/bbb - 660, root.root

"image2" 의 "/backup/aaa, bbb" 파일 두개를 sftp를 이용하여 "image1" 의 "/backup" 으로 업로드 하시오.

[root@localhost backup]# sftp sevas@192.168.117.200
Connecting to 192.168.117.200...
sevas@192.168.117.200's password:
sftp> cd /backup
sftp> ls -l
-rw----r--    1 root     root            0 Feb 13 00:08 aaa
-rw-r--r--    1 root     root            0 Feb 13 00:09 bbb
sftp> mget *
Fetching /backup/aaa to aaa
Fetching /backup/bbb to bbb
sftp> exit
[root@localhost backup]# ll
합계 20
-rw----r--  1 root root    0 2013-02-13 00:23 aaa
-rw-r--r--  1 root root    0 2013-02-13 00:23 bbb
-rw-r--rw-. 1 root root 1131 2013-02-05 20:41 fstab
-rw----rw-  1 root root 3891 2013-02-12 23:26 sshd_config
-rw----rw-. 1 root root 4599 2013-02-06 23:16 vsftpd.conf
-rw----rw-. 1 root root 1001 2013-02-05 20:41 xinetd.conf

[ 실습문제2 ]

아래의 조건을 이용하여 파일 전송의 차이를 확인하시오.

※ 실습 목적 : ① Dir - "x" , File - "w" 권한을 부여

② ssh 보안설정에 따른 권한 제약확인

- 조건 -

image1_ssh 설정 : PermitRootLogin = no

image1 Dir : /backup - 751, root.root

image1 File : /backup/aaa - 644, root.root

/backup/bbb - 646, root.root

image2 File : /backup/aaa - 604, root.root

/backup/bbb - 660, noose.noose

"image2" 의 "/backup/aaa, bbb" 두개의 파일을 "image1" 의 "/backup" 으로 업로드

(단, "bbb" 파일의 경우 업로드 이전 파일의 내용을 입력해둘 것.

[root@localhost backup]# sftp root@192.168.117.200
Connecting to 192.168.117.200...
root@192.168.117.200's password:
sftp> cd /backup
sftp> ls -l
-rw----r--    1 root     root            0 Feb 13 00:08 aaa
-rw-rw----    1 noose    noose           0 Feb 13 00:09 bbb
-rw-r--r--    1 root     root            0 Feb 13 00:36 cc
sftp> get aaa
Fetching /backup/aaa to aaa
sftp> get cc
Fetching /backup/cc to cc
sftp> put bbb
Uploading bbb to /backup/bbb
bbb                                         100%    0     0.0KB/s   00:00
sftp> get bbb
Fetching /backup/bbb to bbb
sftp> exit