Durcir OpenSSH sans casser l'exploitation

OpenSSH concentre à lui seul une part importante des écarts relevés lors d'un audit de configuration. Le durcissement y est simple techniquement, mais il coupe l'accès au système quand il est appliqué sans précaution. La méthode ci-dessous limite ce risque en séparant l'observation, l'application et la vérification.

1. Observer avant de modifier

Avant toute modification, relevez la configuration effective plutôt que le contenu du fichier : les directives incluses et les blocs conditionnels rendent la lecture directe trompeuse.

# Configuration réellement appliquée par le démon
sshd -T | sort

# Algorithmes négociés lors d'une connexion réelle
ssh -vv -o BatchMode=yes serveur 2>&1 | grep -E 'kex|cipher|mac'

2. Appliquer par lots réversibles

Regroupez les directives par nature de risque : authentification, algorithmes, exposition. Chaque lot fait l'objet d'un fichier séparé dans sshd_config.d, ce qui rend le retour arrière immédiat.

# /etc/ssh/sshd_config.d/10-auth.conf
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
MaxAuthTries 3
LoginGraceTime 30

3. Vérifier et mesurer la dérive

• Rejouer le contrôle CIS correspondant après chaque lot
• Conserver la sortie de sshd -T comme référence de comparaison
• Planifier un contrôle hebdomadaire pour détecter les modifications manuelles

Cette séquence transforme un durcissement ponctuel en contrôle continu : l'écart devient mesurable, donc traitable.

Une imprécision ou une erreur dans cet article ? Signalez-la nous, nous corrigeons et datons la mise à jour.