src/practical_settings/ssh.tex

   1 %%----------------------------------------------------------------------
   2 \subsection{OpenSSH}
   3 \subsubsection{Tested with Version} OpenSSH 6.4
   4 \subsubsection{Settings}
   5 \paragraph*{sshd\_config}
   6 \begin{lstlisting}[breaklines]
   7         # ...
   8
   9         Protocol 2
  10         PermitEmptyPasswords no
  11         PermitRootLogin no # or 'without-password' to allow SSH key based login
  12         StrictModes yes
  13         HostKey /etc/ssh/ssh_host_rsa_key
  14         Ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes128-ctr
  15         MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,hmac-ripemd160
  16         KexAlgorithms curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha256,diffie-hellman-group14-sha1,diffie-hellman-group-exchange-sha1
  17 \end{lstlisting}
  18
  19 \textbf{Note:} Older Linux systems won't support SHA2. PuTTY (Windows) does not support
  20 RIPE-MD160. Curve25519, AES-GCM and UMAC are only available upstream (OpenSSH
  21 6.1). DSA host keys have been removed on purpose, the DSS standard does not
  22 support for DSA keys stronger than 1024bit
  23 \footnote{\url{https://bugzilla.mindrot.org/show_bug.cgi?id=1647}} which is far
  24 below current standards (see section \ref{section:keylengths}). Legacy systems
  25 can use this configuration and simply omit unsupported ciphers, key exchange
  26 algorithms and MACs.
  27 %\subsubsection{Justification for special settings (if needed)}
  28 \subsubsection{References}
  29 The openssh sshd\_config  man page is the best reference: \url{http://www.openssh.org/cgi-bin/man.cgi?query=sshd_config}
  30 \subsubsection{How to test}
  31 Connect a client with verbose logging enabled to the SSH server \\
  32 \begin{lstlisting}[breaklines]
  33 $ ssh -vvv myserver.com
  34 \end{lstlisting}and observe the key exchange in the output.
  35
  36
  37 %%----------------------------------------------------------------------
  38 \subsection{Cisco ASA}
  39 \subsubsection{Tested with Version} 9.1(3)
  40 \subsubsection{Settings}
  41 \begin{lstlisting}[breaklines]
  42 crypto key generate rsa modulus 2048
  43 ssh version 2
  44 ssh key-exchange group dh-group14-sha1
  45 \end{lstlisting}
  46 Note: When the ASA is configured for SSH, by default both SSH versions 1 and 2 are allowed. In addition to that, only a group1 DH-key-exchange is used. This should be changed to allow only SSH version 2 and to use a key-exchange with group14. The generated RSA key should be 2048 bit (the actual supported maximum). A non-cryptographic best practice is to reconfigure the lines to only allow SSH-logins.
  47 \subsubsection{References}
  48 \url{http://www.cisco.com/en/US/docs/security/asa/asa91/configuration/general/admin\_management.html }
  49 \subsubsection{How to test}
  50 Connect a client with verbose logging enabled to the SSH server \\
  51 \begin{lstlisting}[breaklines]
  52 $ ssh -vvv myserver.com
  53 \end{lstlisting}and observe the key exchange in the output.
  54
  55
  56 %----------------------------------------------------------------------
  57 \subsection{Cisco IOS}
  58 \subsubsection{Tested with Version} 15.0, 15.1, 15.2
  59 \subsubsection{Settings}
  60 \begin{lstlisting}[breaklines]
  61 crypto key generate rsa modulus 4096 label SSH-KEYS
  62 ip ssh rsa keypair-name SSH-KEYS
  63 ip ssh version 2
  64 ip ssh dh min size 2048
  65
  66 line vty 0 15
  67 transport input ssh
  68
  69 \end{lstlisting}
  70 Note: Same as with the ASA, also on IOS by default both SSH versions 1 and 2 are allowed and the DH-key-exchange only use a DH-group of 768 Bit.
  71 In IOS, a dedicated Key-pair can be bound to SSH to reduce the usage of individual keys-pairs.
  72 From IOS Version 15.0 onwards, 4096 Bit rsa keys are supported and should be used according to the paradigm "use longest supported key". Also, do not forget to disable telnet vty access.
  73 \subsubsection{References}
  74 \url{http://www.cisco.com/en/US/docs/ios/sec\_user\_services/configuration/guide/sec\_cfg\_secure\_shell.html }
  75 % add any further references or best practice documents here
  76 \subsubsection{How to test}
  77 Connect a client with verbose logging enabled to the SSH server \\
  78 \begin{lstlisting}[breaklines]
  79 $ ssh -vvv myserver.com
  80 \end{lstlisting}and observe the key exchange in the output.