Estou usando vários RPi's no meu roteador, que têm encaminhamento de porta para a porta 22 para a Internet maligna. Quando eu me conecto ao RPi usando openSSH (Powershell: ssh username@ip-adress -p 12345) ele solicita uma senha para o usuário framboesa.
A senha contém letras minúsculas e maiúsculas, números e símbolos e tem mais de 15 caracteres.
Pergunta:
Quão seguro é esse método de login e, se for ruim, como posso protegê-lo da maneira certa?
O RPi tem acesso total a todos os dispositivos de rede em minha casa, incluindo unidades com dados confidenciais. Por isso é muito importante estar seguro.
Isso é moderadamente seguro, mas você pode fazer muito melhor. Os limites de sua solução atual incluem exigir vigilância para proteger contra ataques mitm, uma única camada de proteção e exposição de que você está executando vários alvos ssh atrás de sua caixa. Sua segurança também é limitada à força de sua senha - embora isso pareça bom na superfície, há muitas senhas longas e vulneráveis e, se sua senha for comprometida por qualquer meio, o jogo acaba.
Se você migrar do uso de uma senha para uma configuração baseada em chave e usar uma senha/frase de acesso para proteger sua chave privada, você terá uma configuração mais segura.
Se você quiser aumentar ainda mais a segurança, o "padrão ouro" seria executar uma VPN em seu roteador e fazer login pela VPN (novamente com um sistema de chave pública/privada ou compartilhada) antes de fazer login no ssh no VPN. Isso eliminaria o encaminhamento de porta e a publicidade que o ssh está executando para o mundo todo, fornecendo uma camada extra de proteção.
Adicionar um firewall que permite apenas conexões de rfc1918 (endereços privados - portanto, na VPN) fornecerá outra camada de segurança e reduzirá ainda mais o risco de ataques mitm.
Eu comentaria que usar a porta 12345 sobre a porta 22 fornece apenas proteção mínima - qualquer porta que escaneie seu IP poderá descobrir que você tem várias instâncias de openssh expostas.
Em uma configuração como a sua, isso geralmente é tão seguro quanto a máquina de conexão.
É aqui que suas credenciais são inseridas e armazenadas e é aqui que elas podem ser roubadas.
Fora isso, as vulnerabilidades exploráveis remotamente do OpenSSH são raras e rapidamente corrigidas. Certifique-se de não usar versões desatualizadas em ambos os lados.
Dependendo das apostas, você pode querer melhorar o seguinte:
Esteja avisado de que, faça o que fizer, suas portas ssh serão eventualmente encontradas pelos inúmeros bots que coletam a Internet e serão constantemente atacadas com tentativas de login. Se o seu Pi registrar todos eles, você obterá longos logs cheios dessas tentativas que podem preencher o espaço disponível.