Seminar OpenBSD – Benutzer, Rechte, Authentifizierung und OpenSSH

Konten und Fernzugänge gehören zu den wichtigsten Sicherheitsgrenzen eines Servers. Das Seminar verbindet lokale Benutzerverwaltung, Login-Klassen, doas und eine restriktive OpenSSH-Konfiguration zu einem nachvollziehbaren Berechtigungsmodell.

Inhaltsverzeichnis

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Benutzer, Gruppen und Login-Klassen nach einem Rollenmodell verwalten
• Administrative Aufgaben mit doas minimal und nachvollziehbar delegieren
• OpenSSH-Zugänge mit Schlüsseln, Einschränkungen und Protokollierung absichern
• Kontenlebenszyklus, Prüfungen und Reaktion auf verdächtige Zugriffe organisieren

Zielgruppe

Systemadministration, Sicherheitsadministration, technische Anwendungsbetreuung, DevOps und Revision.

Voraussetzungen

Grundkenntnisse der OpenBSD-Administration und sicherer Umgang mit der Shell. Grundlagen von SSH und Public-Key-Verfahren sind hilfreich.

Seminarinhalte

1. Schritt 1: Rollen und Kontenarten definieren

   Personenbezogene Konten, technische Konten, Dienstkonten und administrative Rollen werden getrennt. Namenskonventionen, Eigentümerschaft und Ablaufregeln werden festgelegt.

2. Schritt 2: Benutzer und Gruppen verwalten

   Konten werden angelegt, geändert, gesperrt und entfernt. Primär- und Zusatzgruppen werden nach dem Minimalprinzip zugewiesen.

3. Schritt 3: Login-Klassen einsetzen

   Ressourcen, Umgebungswerte, Authentifizierungsmerkmale und Sitzungsgrenzen werden über login.conf strukturiert verwaltet und nach Änderungen geprüft.

4. Schritt 4: Dateirechte und Eigentümerschaft kontrollieren

   Modi, Eigentümer, Gruppen, umask, besondere Bits und Verzeichnisrechte werden anhand typischer Administrations- und Dienstszenarien untersucht.

5. Schritt 5: Administrative Delegation mit doas planen

   Regeln werden auf konkrete Befehle, Identitäten und Zielkonten begrenzt. Parameter, Umgebung und Passwortanforderungen werden bewusst festgelegt.

6. Schritt 6: SSH-Schlüssel sicher verwalten

   Schlüsseltypen, Erzeugung, Schutz, Verteilung, authorized_keys, Widerruf und Rotation werden in einen geregelten Lebenszyklus überführt.

7. Schritt 7: sshd restriktiv konfigurieren

   Anmeldeverfahren, Root-Zugriff, Benutzer- und Gruppenfilter, Weiterleitungen, Sitzungsgrenzen und Protokollierung werden nach Schutzbedarf eingestellt.

8. Schritt 8: Befehls- und Dateiübertragungszugänge begrenzen

   Erzwungene Befehle, eingeschränkte Schlüsseloptionen, SFTP-Bereiche und chroot-Szenarien werden aufgebaut und getestet.

9. Schritt 9: Zugriffe überwachen und prüfen

   Erfolgreiche und fehlgeschlagene Anmeldungen, Sitzungen, Schlüsselverwendung und administrative Aktionen werden aus Protokollen nachvollzogen.

10. Schritt 10: Kontenlebenszyklus standardisieren

    Eintritt, Rollenwechsel, Vertretung, längere Abwesenheit und Austritt werden als freigabepflichtiger Ablauf mit regelmäßiger Rezertifizierung dokumentiert.

Praxisübungen

• Ein Rollenmodell mit lokalen Gruppen, Login-Klassen und minimalen doas-Regeln umsetzen
• Einen ausschließlich schlüsselbasierten SSH-Zugang mit eingeschränkten Weiterleitungen konfigurieren
• Einen technischen SFTP-Zugang isolieren und anhand der Protokolle überprüfen

Methodik

Die Vermittlung verbindet fachliche Einordnung, demonstrierte Systemarbeit und schrittweise Laborübungen. Konfigurationen werden zunächst geplant, anschließend in einer Übungsumgebung umgesetzt, geprüft und dokumentiert. Fehlerbilder und Wiederherstellungswege werden bewusst einbezogen.