Barrapunto

Esto ya se ha comentado muchas veces, pero parece que no termina de calar. La mejor manera de protegerse de estos ataques es desactivar el acceso con contraseña, y permitir únicamente el acceso por medio de clave pública/privada con su frase de paso.

En el servidor instalas la clave pública, y la privada (yo en mi caso la llevo en el llavero, en un pendrive, con una buena frase de paso). Al haber desactivado el acceso con contraseña, el atacante al no tener la clave privada, no tiene ni si quiera la oportunidad de intentar introducir una contraseña.

Otras cosas que se pueden hacer es mover de puerto el servicio, por ejemplo. Y por supuesto ajustar la configuración de tu servidor para permitir únicamente el protocolo SSHv2.

Eso suena muy interesante, me podrías explicar en cuatro palabras cómo confguras el SSH para hacerlo así, o darme algún enlace que me sirva de punto de partida? Muchas gracias ;)

A lo mejor me estoy pasando de listo, pero si "password" la traducimos por "palabra clave", "passphrase" debería ser "frase clave", no?

De todas formas, prefiero decir "frase de paso" a "passphrase", hablando en español, claro.

Eso esta muy bien si solo accedes desde tu ordenador, pero a veces es necesario acceder al servidor desde un ordenador distinto (donde no tienes la llave privada), asi que si quitas la opcion de poner clave... te quedas sin acceder.

O llevas encima siempre la llave privada, cosa que no me parece muy practico.

Existe otro pequeño problema al utilizar claves públicas y privadas.

Si tienes una red en la que, para conectarte entre las distintas máquinas, se utiliza ssh y todas las máquinas utilizan autenticación por medio de clave pública/privada con que una persona tenga acceso a un sólo equipo automáticamente se hará con toda la red.

Eso ha pasado en mi curro, consiguieron colarse, se supone que por fuerza bruta, por el ssh y el usuario root tenía las claves del resto de las máquinas de la red la persona que se coló tenía acceso al resto de servidores de toda la red. Lo mejor es utlizar password.

Saludos