Securizar SSH mediante Latch en Raspbian.

Hola amantes de la seguridad!!

En esta entrada vamos a ver como instalar Raspbian en la Raspberry Pi y securizar el servicio ssh para evitar posibles ataques mediante Latch y Fail2Ban.

Para quien no conozca la Raspberry Pi dejo unos enlaces con información:

• Web Oficial: https://www.raspberrypi.org/
• Info e historia: https://es.wikipedia.org/wiki/Raspberry_Pi
• Proyectos: http://www.omicrono.com/tag/raspberry-pi/
• Sistemas Operativos: https://raspberryparatorpes.net/raspberry-pi-sistemas-operativos/

Tenemos dos opciones para la instalación de Raspbian:

• NOOBS: se trata de un instalador de sistemas operativos para Raspberry.

• Descargamos la imagen desde este enlace.
• Lo descomprimimos en la raíz de una tarjeta SD previamente formateada.
• Introducimos la tarjeta en la Raspberry y la arrancamos (enchufamos).

• Basta con elegir el/los sistema/s operativo/s que queramos instalar y pinchar en Install.
• Cuando termine el proceso, nos mostrará un grub donde elegir el sistema operativo.

• RASPBIAN: descargar la imagen directamente.
• Descargamos la imagen del siguiente enlace. 
• A continuación tenemos que "copiar" la imagen en una tarjeta SD de forma que sea booteable. En Windows podemos usar Win32DiskImage, en Linux Startup Disk Creator.

LATCH

Con Raspbian ya instalado, vamos a securizar el servicio SSH con Latch.

Lo primero que necesitamos es crear una cuenta de Desarrollador en la web de Latch. Con la cuenta ya creada y logueados, añadiremos una nueva aplicación indicando un nombre, obtendremos esta pantalla con los datos de la misma.

• Nombre: nombre de la aplicación.
• Id Aplicación: número que identifica la aplicación.
• Secreto: clave secreta, podemos renovarla si creemos que está comprometida.
• Imagen: icono de la aplicación, no debe superar 1Mb de tamaño y se recomienda que esté en formato png de 24 bits sin canal alfa, con unas proporciones 1:1.
• Las opciones OTP y Bloquear tras consultar, solo están disponibles en las cuentas de pago.
• Operaciones: cada una de las acciones incluidas en el servicio y que se quieren proteger.

Añadiremos una operación para proteger el login del servicio SSH. Pinchamos en añadir y le ponemos un nombre. Dejamos la web abierta para copiar algunos datos que necesitaremos para la configuración de Latch.

A continuación descargamos el plugin de Latch para Unix del Github de Eleven Paths. Descomprimimos y nos situamos en la raiz de la carpeta resultante.

Ejecutamos el siguiente comando para instalar el plugin:

./configure prefix=/usr sysconfdir=/etc && make && sudo make install

Tras la instalación, tendremos el módulo pam_latch.so en el directorio /usr/lib. Debemos mover dicho módulo al directorio PAM del sistema operativo, en el caso de Raspbian se encuentra en /lib/arm-linux-gnueabihf/security/.

El siguiente paso es modificar la configuración PAM del servicio SSH, para ello modificamos el archivo /etc/pam.d/sshd añadiendo la siguiente linea:

auth required pam_latch.so config=/etc/latch/latch.conf accounts=/etc/latch/latch.accounts operation=<NOMBRE OPERACION> otp=no

Donde NOMBRE OPERACION es el nombre que pusimos al crear la operación (sshd-login) en la web de Latch.

En la carpeta del plugin de Latch que descargamos anteriormente, hay una carpeta "examples" con ejemplos de los archivos a modificar para cada servicio, echarles un vistazo en caso de tener problemas.

A continuación configuramos el plugin editando el archivo /etc/latch/latch.conf.

• app_id: id de la aplicación.
• secret_key: clave secreta ("Secreto" en la web).
• sshd-login: este es el nombre que le dimos a la operación anteriormente, aquí introducimos el número id de la misma.

Por último configuramos SSH para uso del plugin, esto lo haremos editando el archivo /etc/ssh/sshd_config, añadiendo o modificando las siguientes lineas:

• UserPAM yes
• ChallengeResponseAuthentication yes
• PasswordAuthentication no

Reiniciamos el servicio (sudo service sshd restart) para cargar la nueva configuración.


Con Latch configurado, solo nos falta parear un usuario para así activar o desactivar el acceso a SSH desde nuestro móvil, además recibiremos notificaciones de bloqueo, accesos, etc.
 Instalamos Latch en el móvil desde Google Play, abrimos la aplicación y nos logueamos con la cuenta creada en la web. Añadimos un nuevo servicio y Generamos nuevo código.

Como podéis ver en la captura anterior, tenemos un tiempo para usar el código, usamos el siguiente comando en la terminal de la Raspberry para parear el servicio:  latch -p <CODIGO>

Recibiremos un aviso en el móvil confirmando que el servicio ha sido pareado. Ahora nos aparecerá el nuevo servicio creado en la pantalla principal de la aplicación, desde aquí podemos bloquear o permitir el login SSH.

Ya disponemos de un segundo factor de autenticación mediante Latch. Ni que decir tiene que esto mismo se puede realizar para el login de una máquina, comando sudo, servicio vnc y un largo etc.


FAIL2BAN

Como complemento tenemos Fail2Ban, una aplicación escrita en Python para la prevención de intrusos penalizando las ips que intentan el acceso por fuerza bruta en servidores SSH, FTP, HTTP, etc.

Fail2Ban bloquea las ips que intenten loguearse un determinado número de veces (indicado por el usuario) por un tiempo determinado (indicado por el usuario), evitando así ataques por diccionario.

Su instalación es muy sencilla, descargamos el paquete correspondiente a nuestra distribución Linux desde la web oficial y lo instalamos.

Para configurarlo tenemos que editar dos archivos.

• /etc/fail2ban/fail2ban.conf

 

• loglevel: elegimos los datos que mostrará el archivo log.
• logtarget: ruta y nombre del archivo log.
• pidfile: podemos elegir el número de proceso de fail2ban-server.

•  /etc/fail2ban/jail.conf

• bantime: tiempo en segundos que estará baneada la ip.
• maxretry: número de intentos antes de ser baneado.
• ignoreip: lista de ips que serán ignoradas y por tanto no baneadas.
• protocol: protocolo por defecto (TCP/UDP).

 Éstas son algunas de las opciones disponibles, recomiendo echar un vistazo a todas detenidamente.

Reiniciamos el servicio (sudo service fail2ban restart) y ya lo tenemos todo listo. Para ver el log en tiempo real, podemos hacer uso del comando less +F /var/log/fail2ban.log para ver el archivo completo o tail -f /var/log/fail2ban.log para ver solo las últimas lineas.

Como véis ya he recibido algunos ataques...


Hasta aquí la entrada de hoy, espero os haya gustado y que sea de utilidad.

Un saludo, vasco.