Comment désactiver la connexion SSH avec mot de passe pour certains utilisateurs ?

Forte ou non, cela peut être forcé.

@SpacemanSpiff C'est à cela que servent a) les mots de passe forts et b) denyhosts/fail2ban.

Egalement, notez : Mettez ces lignes à la fin (!) du fichier /etc/ssh/sshd_config et rechargez la configuration SSH : sudo /etc/init.d/ssh reload

Il est assez important pour éviter les erreurs telles que: La directive XYZ n'est pas autorisée à l'intérieur d'un bloc Match.

@ceejayoz Dans le contexte de SSH, je suggère que c'est à cela que sert une connexion basée sur une clé. En général, la connexion en tant que root est inévitable pour les administrateurs qui n'ont pas accès physique à leurs serveurs, très courant dans les applications web à petite échelle.

@deed02392 Vous pouvez considérer une clé comme un mot de passe vraiment, vraiment fort si vous le souhaitez.

C'est tellement plus fort, ce n'est pas dans la même catégorie, c'était mon point. L'authentification par mot de passe devrait également être désactivée pour root et seules les clés devraient être autorisées pour les connexions.

D'un point de vue pratique, les mots de passe vraiment forts (pas de mots du dictionnaire, longueur >= 15 caractères, caractères mélangés, etc.) ne peuvent pas être forcés en SSH (trop lent, cela prendrait un million d'années pour être craqué). Si vous avez le fichier /etc/shadow et une table arc-en-ciel colossale, alors vous pourriez potentiellement y arriver, mais même dans ce cas, c'est peu probable. Cela étant dit, un mot de passe vraiment complexe est souvent écrit quelque part...

J'ai besoin de "seulement sftp, pas de ssh", cela bloquera également sftp?

@ceejayoz Peu importe la force d'un mot de passe que vous choisissez, il ne vous donnera pas la sécurité de l'authentification basée sur une clé. C'est parce que la validation de la clé fournit en réalité une couche supplémentaire de défense contre les attaques de l'homme du milieu, ce que vous n'obtiendrez pas avec un mot de passe plus fort.

N'a pas fonctionné pour moi, le ssh ne redémarrerait pas avec le bloc ci-dessus n'importe où dans le fichier

Selon la réponse de Trevor Hateley, vous aurez probablement besoin de Match all sur une nouvelle ligne par la suite, sinon sshd essaiera de traiter le reste du fichier comme faisant partie de votre bloc, et refusera de redémarrer avec des erreurs telles que Directive Foo n'est pas autorisée, ou pire, démarrera silencieusement mais appliquera les paramètres ultérieurs aux mauvaises personnes.

Au fait, de nos jours cela n'empêchera pas l'authentification par mot de passe tant que vous avez "ChallengeResponseAuthentication yes". Et malheureusement ChallengeResponseAuthentication ne peut pas être inclus dans un bloc "Match".