启鑫的黑板报

标签： 安全

  • Debian 12 上禁用密码登录并配置 SSH 密钥登录

    在 Debian 12 上禁用密码登录并配置 SSH 密钥登录（使用 ed25519）

    1: 生成 SSH 密钥对

    首先，在本地机器上生成一个 ed25519 类型的 SSH 密钥对。打开终端并执行以下命令：

    ssh-keygen -t ed25519 -C "[email protected]"
    • -t ed25519 指定生成 ed25519 密钥。
    • -C 用于添加一个注释，通常使用电子邮件或用户名。

    系统会提示你选择密钥存储的位置：

    Enter file in which to save the key (/home/your_user/.ssh/id_ed25519):

    你可以直接按回车选择默认位置，也可以指定一个不同的文件名。接着会要求输入一个密码来保护私钥（可以选择为空）。

    2: 将公钥复制到 Debian 12 服务器

    将生成的公钥复制到 Debian 12 服务器上。在本地机器上执行以下命令：

    ssh-copy-id -i ~/.ssh/id_ed25519.pub user@your_debian_server_ip
    • ~/.ssh/id_ed25519.pub 是你生成的公钥路径。
    • user@your_debian_server_ip 是你 Debian 12 服务器的用户名和 IP 地址。

    该命令会将公钥复制到目标服务器的 ~/.ssh/authorized_keys 文件中，确保你可以使用私钥登录服务器。

    3: 禁用密码登录

    登录到 Debian 12 服务器（假设你已经能够通过密钥登录），然后修改 SSH 配置文件来禁用密码登录。

    1. 打开 /etc/ssh/sshd_config 配置文件：
    sudo nano /etc/ssh/sshd_config
    1. 查找以下两行并修改或确保它们如下所示：
    PasswordAuthentication no
ChallengeResponseAuthentication no

    这些设置将禁用密码认证和挑战响应认证。

    1. 确保以下行未被注释掉，并设置为 yes：
    PubkeyAuthentication yes
    1. 保存文件并退出编辑器（在 nano 中按 CTRL + X，然后按 Y 保存更改）。

    4: 重新启动 SSH 服务

    修改配置文件后，需要重新启动 SSH 服务以使更改生效：

    sudo systemctl restart sshd

    5: 测试 SSH 密钥登录

    在本地机器上，尝试使用 SSH 密钥登录到服务器：

    ssh -i ~/.ssh/id_ed25519 user@your_debian_server_ip

    如果成功登录且没有要求输入密码，说明密钥认证配置成功。

    6: 确保只有密钥登录

    为了进一步加强安全性，你可以尝试使用 SSH 密码登录进行连接。应该会被拒绝，确保只有密钥能够登录。

  • 零信任（Zero Trust）工作原理

    零信任的核心理念

    零信任的核心是“默认不信任，始终验证”（Never Trust, Always Verify）。它基于以下假设：

    • 网络边界不再可靠：传统的“内外有别”模型在云服务、移动办公和内部威胁面前失效。
    • 攻击者可能已经潜伏：零信任假设系统内部已经存在威胁，因此需要对每一环节进行保护。
    • 动态环境需要动态防御：静态的安全规则无法应对现代复杂的攻击。

    零信任的目标是通过细粒度的访问控制和持续的安全检查，确保只有经过验证的合法用户和设备才能访问特定资源，且访问范围被严格限制。

    零信任的详细工作原理

    1. 强身份验证（Identity Verification）

    • 多因素认证（MFA）：用户必须提供多种身份证明（如密码+手机验证码、指纹+智能卡）防止凭据被盗用。
    • 上下文感知（Context Awareness）：验证不仅仅基于“谁”，还包括“时间”、“地点”和“设备”。
    • 设备身份：设备本身也需要验证（如通过设备证书或安全状态检查）。

    2. 最小权限访问（Least Privilege Access）

    • 用户或设备只获得完成当前任务所需的最小权限，并且权限是临时的。
    • 实时授权（Just-in-Time Access）：权限是根据需求动态分配的。

    3. 不信任网络（Assume Breach）

    • 假设网络不可信，所有流量都必须加密。
    • 端到端加密：即使数据在内部网络传输，也要防止窃听或篡改。

    4. 微分段（Micro-Segmentation）

    • 将网络划分为多个独立的小区域，每个区域有独立的访问控制。
    • 实现方式：通过软件定义网络（SDN）、防火墙规则或虚拟专用网络（VPN）实现分段。

    5. 持续监控和行为分析

    • 实时日志分析：使用SIEM系统收集所有访问和操作的日志。
    • 异常检测：通过机器学习或规则引擎识别异常行为。
    • 自适应响应：根据风险级别动态调整访问权限。

    6. 策略驱动的访问控制

    • 访问决策基于预定义的安全策略，综合多种因素：用户身份、设备状态、环境因素和时间因素。

    零信任的技术架构

    常见工具和方法：

    • 身份和访问管理（IAM）：集中管理用户身份和权限，支持单点登录（SSO）和角色访问控制（RBAC）。
    • 零信任网络访问（ZTNA）：替代传统VPN，提供按需、基于应用的访问。
    • 端点检测与响应（EDR）：监控设备的安全状态，检测恶意软件或异常行为。
    • 安全网关和代理：检查并过滤所有流量，确保符合安全策略。
    • 数据加密和分类：对敏感数据进行加密，并根据敏感性进行分级保护。
    • 威胁情报和SIEM：整合外部威胁情报与内部日志，实时分析风险。

    实际应用场景

    场景：员工远程访问公司财务系统

    1. 发起请求：员工通过笔记本电脑登录公司门户，输入用户名和密码。
    2. 身份验证：系统要求MFA，员工通过手机接收验证码，并检查设备证书。
    3. 上下文检查：检测到员工连接的是家用Wi-Fi，并且设备状态符合要求。
    4. 策略评估：财务系统访问策略符合当前时间及设备要求。
    5. 授权访问：通过ZTNA建立与财务系统的加密连接，开放财务应用端口。
    6. 持续监控：系统记录操作，发现异常行为时触发警报，要求重新验证身份。

    零信任的优势与挑战

    优势：

    • 更高的安全性：减少信任假设，防止内部和外部威胁。
    • 适应性强：支持云环境、远程办公和BYOD（自带设备）。
    • 限制损失：即使部分系统被攻破，攻击范围也被限制。

    挑战：

    • 实施复杂：需要重新设计网络架构，整合多种技术。
    • 成本高：部署和维护零信任需要大量资源。
    • 用户体验：频繁验证可能影响便利性。
    • 文化转变：需要从传统的“信任内网”的思维转向“零信任”。

    与传统模型的对比

    特性传统模型零信任模型
    信任假设内网可信，外网不可信无默认信任，内外均需验证
    边界定义明确的外围防火墙无固定边界，资源级保护
    访问控制基于IP或网络位置基于身份、设备和上下文
    数据保护依赖网络层加密端到端加密+持续监控
    适应性适合静态本地环境适合云和分布式环境

    总结

    零信任通过强身份验证、最小权限、不信任网络、微分段和持续监控，构建了一个动态、细粒度的安全体系。它的核心在于消除任何默认信任，将安全性提升到每一用户、每一设备、每一资源的层面。虽然实施起来有一定复杂性，但对于现代企业（尤其是依赖云和远程工作的场景），零信任已成为应对复杂威胁的最佳实践之一