Sikker bruk av SSH ved UiO

SSH er et viktig verkt?y for sikker administrasjon og kommunikasjon. Likevel inneb?rer feil bruk betydelige sikkerhetsrisikoer. Disse retningslinjene skal bidra til en sikker og fleksibel bruk av SSH ved UiO.

Retningslinjer for sikker bruk av SSH ved Universitetet i Oslo

1. Generelle prinsipper

  • Passord er sensitiv informasjon og skal aldri sendes ukryptert over nett.
  • Personlig passord skal aldri lagres i klartekst i script eller konfigurasjonsfiler.
  • SSH skal prim?rt brukes for terminaltilgang. Grafisk tilgang skal normalt skje via UiO Programkiosk, UiO Drifts VDI eller annen godkjent l?sning.
  • Bruk sunn fornuft; kontakt n?rmeste leder eller IT-sikkerhet ved usikkerhet rundt tillatt praksis.

2. Hostn?kler og verifikasjon av serveridentitet

SSH bruker hostn?kler for ? verifisere identiteten til servere. F?rste gang du kobler til en ny maskin, vil du f? en advarsel om at hostn?kkelen er ukjent.

  • IT-avdelingen samler og distribuerer hostn?kler internt. For maskiner administrert av UiO skal du derfor normalt aldri motta advarsel om ukjent n?kkel.
  • Dersom du likevel f?r en advarsel om ukjent eller endret hostn?kkel ved oppkobling mot en intern maskin, sjekk n?kkel via andre kanaler eller varsle som en sikkerhetshendelse.
  • Ved oppkobling til eksterne systemer, verifiser alltid n?kkelfingeravtrykket med kjent, p?litelig informasjon f?r du godtar tilkoblingen.

3. Autentisering med passord eller n?kler

Passord er sensitiv informasjon og skal aldri sendes ukryptert over nett. F?lgende krav gjelder:

  • Private (som i privatekey) SSH-n?kler skal alltid beskyttes med sterke passord.
  • Bruk separate n?kler for privat og jobbrelatert bruk (se veilledning for hvordan sette dette opp i .ssh/config)
  • Begrens n?klenes gyldighetsomr?de med `from=""`-opsjonen i `authorized_keys` der det er praktisk mulig.
  • Der n?kkel brukes til ? kj?re en enkelt kommando, begrens den ved ? bruke `command=...` - slik at bare den kommandoen kan kj?res.
  • SSH-n?kler brukt med `ssh-agent` skal ha maksimal levetid p? 24 timer. T?m alltid ssh-agenten ved arbeidsdagens slutt.
  • Ikke bruk samme SSH-n?kler for flere brukere (ikke samme n?kler for -drift og vanlig bruker osv.)
  • Ikke gjenbruk privat-n?kler p? flere maskiner. Lag nytt n?kkel-par for hver maskin. 
  • Sikre at passord ikke lagres i SSH klienter eller applikasjoner.

4. Bruk av SSH-agent forwarding

Bruk av SSH-agent forwarding (`ssh -A`) inneb?rer betydelig sikkerhetsrisiko og skal begrenses:

  • SSH-agent forwarding skal kun brukes til maskiner der du stoler p? root-brukeren.
  • Unng? forwarding av SSH-agent gjennom flere mellomledd (hopp-servere). Bruk heller direkte tilkoblinger eller alternative l?sninger dersom mulig.
  • Bruk jumphost ( -J opsjon) der du kan.

5. X11-forwarding (grafiske applikasjoner)

X11-forwarding gir mulighet til ? kj?re grafiske applikasjoner gjennom SSH, men inneb?rer sikkerhetsrisiko:

  • X11-forwarding skal som hovedregel v?re deaktivert. Bruk kun ved behov.
  • Bruk `ssh -X` (standard X-forwarding) dersom grafisk tilgang er n?dve