1. Cryptographie et protocole SSH (Secure Shell)

SSH constitue la méthode standard d’administration distante sous Linux. La sécurité repose sur l’authentification asymétrique par paires de clés publiques/privées :

  • Bannir les clés RSA historiques au profit de l’algorithme à courbe elliptique Ed25519, offrant un niveau de résistance cryptographique supérieur avec une empreinte compacte et des calculs plus rapides.
  • Génération d’une paire de clés robuste : ssh-keygen -t ed25519 -C "admin-ge@educasuisse.ch".

2. Durcissement du démon OpenSSH (/etc/ssh/sshd_config)

En production, le serveur SSH doit être verrouillé contre les attaques par force brute et l’usurpation de privilèges :

# Fichier de configuration durci /etc/ssh/sshd_config.d/99-hardened.conf

# Interdire la connexion directe du compte root
PermitRootLogin no

# Désactiver totalement l'authentification par mot de passe
PasswordAuthentication no
KbdInteractiveAuthentication no

# Autoriser uniquement les clés publiques modernes
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# Limiter le nombre de tentatives et sessions simultanées
MaxAuthTries 3
MaxSessions 5

# Restreindre l'accès à un groupe spécifique d'administrateurs
AllowGroups sysadmins

3. Architecture avec serveur Bastion (Jump Host)

Dans un réseau sécurisé conforme aux normes suisses, aucun serveur applicatif ou base de données ne doit posséder d’adresse IP publique directe. Tous les flux d’administration transitent par un serveur Bastion (ou Jump Host) surveillé :

# Configuration client ~/.ssh/config pour rebond transparent
Host bastion-ge
    HostName bastion.educasuisse.ch
    User adminsec
    IdentityFile ~/.ssh/id_ed25519_bastion

Host srv-prod-*
    ProxyJump bastion-ge
    User sysadmin
    IdentityFile ~/.ssh/id_ed25519_servers

4. Administration distante sous Windows avec WinRM et PowerShell Remoting

Sous Windows Server, le protocole équivalent est WinRM (Windows Remote Management), reposant sur WS-Management :

# Activation et sécurisation du listener HTTPS
Enable-PSRemoting -Force
winrm quickconfig -transport:https

# Exécution distante sécurisée
Enter-PSSession -ComputerName srv-win-01.educasuisse.local -Credential (Get-Credential) -UseSSL

Surveillance et protection active : Associez systématiquement vos accès SSH et WinRM à un outil de détection d’intrusions comme fail2ban ou un pare-feu avec état (UFW / nftables) pour bloquer les adresses IP récidivistes après 3 échecs consécutifs.

PreviousNext