【セキュリティ】SSHを守る最初の一歩：鍵認証とrootログイン禁止

レン

サーバー立てたばっかりなのに、さっそく変なログインの記録がいっぱいあるんだけど…！誰かに狙われてる！？

ウィルスン

フフフ…気づいたか。キミのサーバーがインターネットに顔を出した瞬間から、ワタシのような攻撃者はIPアドレスを片っ端からスキャンして、SSHのポートを叩き続けているのだよ。放っておけば、いつか弱いパスワードを当てられてしまう。

レン

ひええ…プロクラ、どうすればいいの！？

プロクラ

落ち着いて。ウィルスンはこう見えて『守るために攻め方を教えてくれる』いいやつだよ。SSHの防御は難しくない。まずやるべきは3つだけだ。

1. パスワード認証をやめて鍵認証にする

プロクラ

一番重要なのがこれ。パスワードは総当たり（ブルートフォース）で破られる可能性があるけど、SSH鍵認証は事実上破れない長さの鍵を使う。手元で鍵ペアを作って、公開鍵だけをサーバーに登録し、/etc/ssh/sshd_configでPasswordAuthentication noにするんだ。

ウィルスン

パスワード認証さえ切ってくれれば、ワタシの総当たり攻撃は完全に無力になる。これだけで攻撃の大半は防げるのだ…！悔しいがな。

2. rootでの直接ログインを禁止する

プロクラ

PermitRootLogin noにして、rootに直接ログインできないようにする。普段は一般ユーザーで入って、必要なときだけsudoで管理者権限を使う。こうすれば、攻撃者は『ユーザー名』と『鍵』の両方を当てないといけなくなる。

レン

rootって最初から名前が分かってるもんね。それを禁止するだけで一気にハードルが上がるのか！

3. 設定を反映して、接続を切らずに確認する

この順番を守らないと、自分が入れなくなります。設定を書き換えて再起動し、そのまま接続を閉じてしまうと、次に繋がらなかったときに直す手段がありません。いま繋がっている接続は残したまま、別の窓で入れるかを確かめる。入れたと確認できてから、元の接続を閉じる。手間に見えますが、締め出しの多くはここを飛ばして起きています。

プロクラ

設定を変えたらsudo systemctl restart sshで反映。ここで大事なのは、今つないでいるSSH接続はそのままにして、別のターミナルから新しくログインできるか確認すること。もし設定ミスで入れなくなっても、元の接続が生きていれば直せるからね。

• ローカルで鍵ペアを生成し、公開鍵をサーバーの ~/.ssh/authorized_keys に登録
• sshd_config で PasswordAuthentication no / PermitRootLogin no を設定
• 設定反映後、別ターミナルから鍵でログインできることを必ず確認
• 余裕があればSSHのポート番号を22から変更するのも目くらましになる（本質的対策ではない）

ウィルスン

覚えておけ。ワタシが最初に狙うのは、いつも『一番手を抜いているサーバー』だ。鍵認証にするだけで、キミは狙う価値のない相手になる。それが一番の防御なのだよ。