Bonjour,
J'ai installé un VPS avec DEBIAN 10, clé SSH préinstallée et cliqué "Je ne souhaite pas recevoir par e-mail les codes d’authentification de mon VPS".
Sur la page "https://docs.ovh.com/fr/vps/conseils-securisation-vps/#creer-un-utilisateur-avec-des-droits-restreints-et-agir-dans-le-systeme-avec-des-droits-root", il est conseillé de créer un nouvel utilisateur avec des droits ROOT.
Ma question est "Pourquoi créer cet autre utilisateur ?" car il existe déjà l'utilisateur "debian" qui se connecte avec la clé SSH (fichier). Ce qui est plus sécurisé, n'est-ce pas ?
Qu'en pensez-vous ?
Merci et bonne journée,
Anthony
bonjour,
je tente une réponse, les utilisateurs root et debian sont déjà connus et cela augmente donc la surface d'attaque.
Perso, j'efface le user debian pour en créer un autre (et pas un qui s'appelle admin 
)
Je présume que c'est la principale raison.
Mais je pense que la doc date de l'époque où les serveurs étaient livrés avec un accès root directement.
De toute façon généralement il suffit de déplacer le service SSH sur un autre port et de configurer fail2ban / crowdsec pour bannir les tentatives de bruteforce…
Et si on n'autorise que l'accès par clé ou que depuis certaines IPs c'est encore une sécurité supplémentaire (même si pas tjrs pratique).
crowdsec
Merci pour l'info je connaissais pas :)
Moi l'expérience m'a démontré que Fail2ban ne suffisait pas pour éviter la découverte du nouveau port SSH.
Par contre avec un Portsentry et le FW ouvert sur le port 22, c'est radical la plupart du temps.
éviter la découverte du nouveau port
Je confirme que des serveurs avec port ssh 8443 continuent à être bannis par fail2ban (et rapportés automatiquement à abuseipdb)
Perso j'avais le port 10022, peinard pendant lgtps, puis il a commencé à être scanné aussi.
Là ça doit faire 2 ans que je suis sur un autre n° de port, pas un seul scan depuis…
Mais j'ai tt de même des filtres fail2ban au cas où.
OK merci, je trouve ça bien plus logique…
OK merci pour les tuyaux.
Un nouvel utilisateur avec uniquement un MDP est sécurisé selon toi ? (surtout si on est le seul utilisateur)
J'ai essayé avec la clé dans un fichier mais c'est bien lourdingue…
Mot de passe complexe, port non scanné par les bots, fail2ban qui protège, voir n'ouvrir l'accès sur le parefeu que depuis certaines ips… et ça ira très bien..
La sécurité d'un système doit être un compromis entre la pénibilité à l'utilisation et des mesures de protections.