Abschaltung der Passwort-Authentifizierung von SSH

Von den drei hier am FB3 möglichen SSH-Authentifizierungsmethoden müssen wir in Zukunft leider auf eine verzichten.
Über Gründe und Auswirkungen soll der nachfolgende Text informieren.

Das Sicherheitsproblem

Beobachtet werden fortwährende Angriffe auf den SSH-Dienst mit dem Ziel, durch Brute-Force-Attacken und Wörterbuchangriffe an die Passwörter von Nutzern zu gelangen.

Schutzmaßnahmen traditioneller Art laufen mittlerweile ins Leere, weil sie nur dazu geeignet sind, wiederholte Angriffe von einzelnen Adressen aus zu erkennen und zu verhindern, die meisten Angriffe jetzt aber von weltweit verteilten Bot-Netzen aus erfolgen.

Gefährdet werden durch diese Angriffe nicht nur unmittelbar die informationstechnische Vertraulichkeit und Identität aller Nutzer und ihrer Daten, sondern mittelbar auch die Sicherheit der vernetzten Rechner des FB3 und der darauf laufenden Dienste.

Die Konsequenz

In der Folge dieser Entwicklung sind wir leider gezwungen, die Passwort ^_Authentifizierung für den SSH-Zugang am FB3 zu deaktivieren.

Das alleine schon deswegen, weil sich die oben beschriebene Situation in der Zukunft sicherlich nicht verbessert und SSH mit seinen vielfältigen Anwendungsmöglichkeiten der einzige Dienst im sich entwickelnden Netzwerk-Sicherheitskonzept des Fachbereichs sein wird, der nicht standardmäßig der Eingangsfilterung durch eine Firewall unterliegt.

Auswirkungen

Innerhalb der Sicherheitsdomäne des Fachbereichs (siehe dazu [ * ]) mit ihren sogenannten "trusted hosts" wird sich für normale Nutzer nichts ändern, hier kommt schon seit langem die passwortfreie, kryptographisch unterstützte Hostbased-Authentifizierung zum Einsatz.
(Gemeint sind hiermit die Mac- Linux- und Unix-Rechner in den zentralen Pools und die von den Technikern administrierten entsprechenden Rechner in den Arbeitsgruppen).

Für alle anderen Zugangswege ergibt sich die Notwendigkeit des Umstiegs auf Public-Key-Authentifizierung.

Dieser Umstieg kann schon jetzt und sollte sogar frühzeitig vollzogen werden, um zum Zeitpunkt der Abschaltung nicht in Zugzwang zu geraten.

Was dafür zu tun ist, läßt sich den Dokumentationen Putty: Public Key Authentication konfigurieren für Windows
bzw. OpenSSH: Public Key Authentication konfigurieren für alle anderen Betriebssysteme entnehmen.

Einfache Merkhilfe:

Wenn derzeit die Abfrage
Password:
beim Login von "draußen" erscheint,
wird dieser Zugang nach der Umstellung nicht mehr funktionieren.

Lautet die Abfrage jedoch
Enter passphrase for key '<Name>':,
dann ist schon alles Nötige getan.