Durcissement Zero Trust d’un VPS : les 10 règles essentielles pour les nœuds Linux en production
Des clés de sécurité matérielles ed25519-sk aux ports SSH non standard, en passant par le durcissement sysctl du noyau et la journalisation auditd, voici notre liste de contrôle de sécurité.
1. Désactiver l’authentification par mot de passe et la connexion root
La grande majorité des analyses automatisées sur internet visent les mots de passe SSH de root par attaque par dictionnaire. Désactiver la connexion SSH de root par mot de passe élimine immédiatement 99,4 % du bruit des attaques par force brute :
bash
Dans /etc/ssh/sshd_config.d/99-hardened.conf :
PermitRootLogin prohibit-password
PasswordAuthentication no
ChallengeResponseAuthentication no
KbdInteractiveAuthentication no
UsePAM yes
2. Imposer les clés Ed25519 ou les clés matérielles FIDO2
Les clés RSA 2048 standard sont dépréciées par les normes cryptographiques modernes. Adoptez la cryptographie moderne sur courbe d’Edwards (Ed25519) ou des jetons matériels FIDO2 (Yubikey) :
bash
ssh-keygen -t ed25519-sk -O resident -C "production-admin@nodexvps"
3. Durcir les paramètres réseau du noyau avec sysctl
Empêchez l’usurpation d’IP, rejetez les paquets SYN invalides et ignorez les requêtes ICMP de diffusion en réglant /etc/sysctl.d/99-security.conf :
bash
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
net.ipv4.tcp_syncookies = 1
net.ipv4.conf.all.accept_source_route = 0
net.ipv6.conf.all.accept_source_route = 0
net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0
Appliquez les changements immédiatement avec sudo sysctl --system.
4. Activer le pare-feu cloud NodexVPS
Combinez UFW/nftables au niveau de l’hôte avec les règles du pare-feu de périphérie hors bande de NodexVPS pour rejeter le trafic malveillant avant qu’il ne consomme le moindre cycle CPU sur votre interface réseau virtuelle.