View source for Linux : SSH Hardening Lanjutan (Lima Lapis Kunci Akses)

Banyak siswa dan teknisi menganggap SSH sudah aman begitu port 22 diganti jadi 2222. Padahal port itu cuma nomor pintu. Yang menentukan siapa benar-benar bisa masuk adalah kunci, daftar tamu, ruang yang boleh dibuka, batas waktu kunjungan, dan buku tamunya.

Artikel ini membahas hardening SSH sebagai lima lapis yang saling menutup. Satu lapis jebol, lapis lain masih menahan. Dan sebaliknya, satu lapis yang dilewati bisa membuat empat lapis lainnya tidak ada artinya.

== 🎯 Tujuan ==
Setelah membaca dan mempraktikkan artikel ini, kamu bisa:

* menjelaskan beda '''mengganti pintu''' dan '''mengunci pintu''' pada layanan SSH;
* memasang lima lapis pengaman: identitas, keanggotaan, kewenangan, batas, dan bukti;
* membaca konfigurasi yang '''benar-benar berlaku''' dengan <code>sshd -T</code>, bukan menebak dari isi file;
* mempersempit akun yang boleh masuk sampai level alamat IP dan group;
* mematikan fitur yang tidak dipakai (forwarding, tunnel, X11) tanpa memutus kebutuhan sah seperti SFTP;
* meninggalkan jejak yang cukup untuk menjawab pertanyaan "siapa yang masuk semalam?".

== 📍 Konteks nyata ==
Bayangkan gedung lab sekolahmu. Untuk masuk ke ruang server, ada lima hal yang harus kamu lewati: kunci pintu, daftar tamu di pos satpam, daftar ruang yang boleh kamu masuki, jam kunjungan, dan buku tamu yang mencatat kedatanganmu.

SSH bekerja dengan urutan yang sama. Port adalah nomor pintu. Kunci publik adalah kuncinya. <code>AllowGroups</code> adalah daftar tamu. <code>ForceCommand</code> dan <code>DisableForwarding</code> adalah daftar ruang. <code>LoginGraceTime</code> dan <code>MaxAuthTries</code> adalah jam kunjungan. <code>LogLevel VERBOSE</code> dan <code>auth.log</code> adalah buku tamu.

Masalahnya, banyak orang hanya mengganti nomor pintu lalu menganggap gedungnya aman. Di dalam gedung itu, pintunya masih bisa dibuka dengan sandi yang ditempel di monitor.

🔥 '''Kasus nyata:''' Sebuah SMK memindahkan SSH ke port 2222 dan memasang Fail2ban. Keduanya berjalan benar, log bersih, dan tim yakin servernya "sudah dikunci". Yang tidak dicek: akun <code>operator</code> masih memakai sandi yang sama sejak dua tahun lalu, dan tidak ada <code>AllowUsers</code> sama sekali. Suatu pagi muncul login sukses dari alamat IP di luar negeri. Nilai tiga kelas berubah, dan panitia menghabiskan dua minggu merekap ulang dari kertas. Port sudah diganti, tapi pintunya tetap terbuka lebar.

== 🧠 Konsep singkat ==
Hardening SSH bukan menambah satu baris ajaib di konfigurasi. Ini pekerjaan '''mengurangi jumlah cara masuk''' sampai tinggal cara yang benar-benar kamu butuhkan, lalu memastikan cara itu tercatat.

=== 🔹 Lima lapis, satu arah ===
{| class="wikitable"
! Lapis !! Pertanyaan !! Setelan kunci !! Kalau dilewati
|-
| 1. Identitas || Siapa kamu? || <code>PubkeyAuthentication</code>, <code>PasswordAuthentication</code> || sandi lemah jadi jalan masuk utama
|-
| 2. Keanggotaan || Siapa yang diizinkan? || <code>AllowUsers</code>, <code>AllowGroups</code>, <code>DenyUsers</code> || akun lama dan akun layanan tetap bisa masuk
|-
| 3. Kewenangan || Boleh apa setelah masuk? || <code>DisableForwarding</code>, <code>ForceCommand</code>, chroot || dapat shell penuh padahal cuma butuh unggah file
|-
| 4. Batas || Berapa banyak dan berapa lama? || <code>MaxAuthTries</code>, <code>LoginGraceTime</code>, <code>MaxStartups</code> || percobaan sandi leluasa, koneksi menggantung
|-
| 5. Bukti || Apa yang tercatat? || <code>LogLevel VERBOSE</code>, <code>auth.log</code> || tidak bisa membuktikan siapa masuk kapan
|}

Urutannya penting. Kalau lapis 1 masih menerima sandi, memperketat lapis 4 hanya memperlambat penyerang, tidak menghentikannya. Perbaiki dari kiri ke kanan.

=== 🔹 Kenapa ganti port bukan hardening ===
Mengganti port 22 ke 2222 mengurangi jumlah pemindaian otomatis, dan itu ada gunanya. Tapi secara keamanan, port hanya mengubah '''alamat pintu''', bukan '''kunci pintu'''.

* Pemindai yang serius tetap menemukan port SSH dalam hitungan menit, karena mereka memindai semua port.
* Sandi lemah tetap lemah di port mana pun.
* Akun yang tidak seharusnya ada tetap bisa masuk di port mana pun.

Jadi ganti port boleh, tapi letakkan sebagai pelengkap lapis 1 dan 2, bukan penggantinya.

=== 🔹 Nilai pertama yang menang ===
Ini aturan yang paling sering bikin bingung. <code>sshd_config(5)</code> menulis dengan jelas: untuk setiap keyword, '''nilai pertama yang ditemukan yang dipakai'''. Bukan yang terakhir.

Paket Debian dan Ubuntu menaruh baris berikut di '''awal''' <code>/etc/ssh/sshd_config</code>:

<syntaxhighlight lang="text">
Include /etc/ssh/sshd_config.d/*.conf
</syntaxhighlight>

Artinya semua file di folder itu dibaca lebih dulu, sehingga isinya '''mengalahkan''' isi file utama. Di dalam folder, file dibaca berurutan sesuai abjad. Maka <code>10-hardening.conf</code> menang atas <code>50-cloud-init.conf</code>, tapi kalah kalau kamu menamainya <code>99-lupa.conf</code>.

⚠️ '''Hati-hati:''' Inilah penyebab paling umum dari kalimat "sudah saya set <code>PasswordAuthentication no</code> tapi masih bisa login pakai sandi". File utama sudah benar, tapi drop-in lain menimpanya. Selalu buktikan dengan <code>sshd -T</code>, jangan dengan <code>grep</code> di satu file.

=== 🔹 Tiga perintah uji yang mirip tapi beda ===
{| class="wikitable"
! Perintah !! Gunanya !! Catatan
|-
| <code>sshd -t</code> || uji sintaks konfigurasi || tidak membuktikan nilai akhir
|-
| <code>sshd -T</code> || cetak konfigurasi efektif || butuh root, karena membaca include dan host key
|-
| <code>sshd -T -C user=x,addr=y</code> || terapkan blok <code>Match</code> lebih dulu || meniru koneksi tertentu
|}

<code>sshd -T</code> adalah satu-satunya cara jujur menjawab "setelan apa yang benar-benar dipakai layanan ini sekarang". Kalau dijalankan sebagai user biasa, ia gagal dengan <code>Permission denied</code> saat membaca file drop-in — dan itu bukan tanda konfigurasimu rusak, hanya kurang hak baca.

=== 🔹 Socket dan service: dua pintu yang harus dibereskan bersama ===
Di Ubuntu 22.10 ke atas, SSH bisa dijalankan lewat '''socket activation''': <code>ssh.socket</code> yang membuka port, lalu menyerahkan koneksi ke <code>ssh.service</code>. Akibatnya, mengubah <code>Port</code> di <code>sshd_config</code> saja tidak memindahkan pintunya.

📊 '''Angka penting:''' Pada VM latihan yang dipakai artikel ini (OpenSSH 9.6p1), <code>ssh.service</code> dan <code>ssh.socket</code> sama-sama aktif. Port 2290 baru benar-benar terbuka setelah unit socket diberi <code>ListenStream=</code> kosong untuk menghapus daftar bawaan, lalu <code>ListenStream=0.0.0.0:2290</code>. Tanpa baris kosong itu, port 22 lama ikut tertinggal.

Cara memeriksanya cuma satu baris:

<syntaxhighlight lang="text">
systemctl cat ssh.socket | grep ListenStream
ss -tlnp | grep -E ':22|:2222|:2290'
</syntaxhighlight>

== 🧩 Istilah penting ==
{| class="wikitable"
! Istilah !! Arti singkat
|-
| Public key auth || Login memakai pasangan kunci, bukan sandi. Server menyimpan kunci publik, klien memegang kunci privat.
|-
| Drop-in || File tambahan di <code>sshd_config.d/</code> yang dibaca lebih dulu karena baris <code>Include</code>.
|-
| Match block || Blok konfigurasi bersyarat, misalnya hanya berlaku untuk group atau alamat tertentu.
|-
| Chroot || Mengurung user di dalam satu folder, sehingga <code>/</code> miliknya adalah folder itu.
|-
| Forwarding || Kemampuan meneruskan port lewat koneksi SSH, sering dipakai untuk menerobos firewall.
|-
| Grace time || Batas waktu untuk menyelesaikan login sebelum koneksi diputus.
|-
| StrictModes || Pemeriksaan izin file kunci dan home directory sebelum login diterima.
|-
| Socket activation || Layanan dijalankan saat ada koneksi, port dibuka oleh unit <code>.socket</code>.
|-
| Restrict || Opsi di <code>authorized_keys</code> yang mematikan semua fasilitas tambahan pada satu kunci.
|-
| ForceCommand || Perintah yang dipaksa berjalan saat kunci dipakai, mengabaikan perintah dari klien.
|}

== 🔧 Praktik: Memasang Lima Lapis di VM Latihan ==
Siapkan satu VM Debian atau Ubuntu dengan akses konsol (bukan hanya SSH). Ini wajib, karena kesalahan pada lapis 2 bisa mengunci kamu sendiri di luar.

💡 '''Tips:''' beri nama file drop-in dengan angka kecil, misalnya <code>10-hardening.conf</code>. Angka kecil dibaca lebih dulu, jadi setelanmu menang atas file bawaan yang bernomor besar. Ganti nama file setelah terpasang berarti setelanmu bisa tiba-tiba kalah.

# '''Ambil snapshot dulu''', lalu buka '''dua sesi SSH'''. Sesi pertama untuk bekerja, sesi kedua dibiarkan terbuka sebagai jalan pulang kalau konfigurasi baru salah.
# '''Potret konfigurasi awal''' sebelum mengubah apa pun.

<syntaxhighlight lang="text">
sudo sshd -T | sort > /root/sshd-awal.txt
sudo sshd -T | grep -E '^(port|permitrootlogin|passwordauthentication|kbdinteractive|pubkeyauthentication|allowusers|allowgroups|maxauthtries|logingracetime|maxstartups|x11forwarding|loglevel)'
ss -tlnp | grep sshd
</syntaxhighlight>

# '''Lapis 1 - pasang kunci, matikan sandi.''' Buat kunci di komputer klien, lalu salin ke server.

<syntaxhighlight lang="text">
ssh-keygen -t ed25519 -a 100 -C "lab-admin@smk"
ssh-copy-id -p 2222 lab@192.168.100.50
ssh -p 2222 -o PreferredAuthentications=publickey lab@192.168.100.50 'whoami; id'
</syntaxhighlight>

# Pastikan login dengan kunci berhasil '''sebelum''' mematikan sandi. Setelah itu buat drop-in berikut, dengan nama yang urutannya paling awal.

<syntaxhighlight lang="text">
sudo tee /etc/ssh/sshd_config.d/10-hardening.conf >/dev/null <<'EOF'
PubkeyAuthentication yes
PasswordAuthentication no
KbdInteractiveAuthentication no
PermitEmptyPasswords no
PermitRootLogin no
EOF

sudo sshd -t && sudo sshd -T | grep -E '^(passwordauthentication|permitrootlogin|kbdinteractive)'
sudo systemctl reload ssh
</syntaxhighlight>

# '''Lapis 2 - batasi siapa yang boleh masuk.''' Buat group khusus, isi hanya akun yang benar-benar perlu.

<syntaxhighlight lang="text">
sudo groupadd -f ssh-users
sudo usermod -aG ssh-users lab
sudo tee -a /etc/ssh/sshd_config.d/10-hardening.conf >/dev/null <<'EOF'
AllowGroups ssh-users
MaxAuthTries 3
EOF

sudo sshd -t && sudo sshd -T | grep -E '^(allowgroups|maxauthtries)'
</syntaxhighlight>

# Uji dengan akun yang '''tidak''' masuk group tersebut. Hasil yang benar adalah penolakan, bukan prompt sandi.

<syntaxhighlight lang="text">
ssh -p 2222 tamu@192.168.100.50 whoami
# Permission denied (publickey).
</syntaxhighlight>

# '''Lapis 3 - batasi apa yang boleh dilakukan.''' Akun yang hanya perlu mengunggah file tidak perlu shell penuh.

<syntaxhighlight lang="text">
sudo tee -a /etc/ssh/sshd_config.d/10-hardening.conf >/dev/null <<'EOF'
X11Forwarding no
PermitTunnel no
AllowAgentForwarding no
ClientAliveInterval 300
ClientAliveCountMax 2

Match Group sftp-guru
    ChrootDirectory /srv/sftp/%u
    ForceCommand internal-sftp
    DisableForwarding yes
    AllowTcpForwarding no
    PermitTTY no
EOF

sudo sshd -t && sudo sshd -T -C user=guru1,addr=192.168.100.60 | grep -E 'chrootdirectory|forcecommand|allowtcpforwarding|permittty'
</syntaxhighlight>

# Folder chroot harus milik <code>root</code> dan tidak boleh bisa ditulis user — ini syarat yang diperiksa <code>sshd</code> tanpa kompromi.

<syntaxhighlight lang="text">
sudo mkdir -p /srv/sftp/guru1/unggah
sudo chown root:root /srv/sftp/guru1 && sudo chmod 755 /srv/sftp/guru1
sudo chown guru1:guru1 /srv/sftp/guru1/unggah && sudo chmod 750 /srv/sftp/guru1/unggah
sftp -P 2222 guru1@192.168.100.50 <<< 'pwd; ls'
</syntaxhighlight>

# '''Lapis 4 - batasi banyaknya dan lamanya.''' Tambahkan batas koneksi yang belum terautentikasi, lalu ukur efeknya.

<syntaxhighlight lang="text">
sudo tee -a /etc/ssh/sshd_config.d/10-hardening.conf >/dev/null <<'EOF'
LoginGraceTime 20
MaxStartups 10:30:60
MaxSessions 3
EOF

sudo sshd -t && sudo systemctl reload ssh
time nc -w 30 192.168.100.50 2222
# koneksi diputus sekitar 20 detik, bukan menggantung
</syntaxhighlight>

# '''Lapis 5 - tinggalkan bukti.''' Nyalakan log yang mencatat sidik jari kunci, lalu baca hasilnya.

<syntaxhighlight lang="text">
sudo sed -i 's/^#\?LogLevel .*/LogLevel VERBOSE/' /etc/ssh/sshd_config.d/10-hardening.conf
sudo sshd -t && sudo systemctl reload ssh
sudo journalctl -u ssh -n 20 --no-pager
sudo grep -E 'Accepted|Failed|refused' /var/log/auth.log | tail -5
</syntaxhighlight>

# '''Rekap akhir.''' Bandingkan potret awal dan akhir, lalu simpan sebagai bukti pekerjaan.

<syntaxhighlight lang="text">
sudo sshd -T | sort > /root/sshd-akhir.txt
diff /root/sshd-awal.txt /root/sshd-akhir.txt
</syntaxhighlight>

=== 🔹 Enam uji rusak terkendali ===
Lakukan di VM latihan, bukan di server produksi.

* '''A. Drop-in menimpa file utama''' — set <code>PasswordAuthentication no</code> di <code>sshd_config</code>, tapi buat <code>50-cloud-init.conf</code> berisi <code>yes</code>. Status: login sandi tetap diterima. Bukti: <code>sshd -T</code> menampilkan <code>yes</code>. Artinya: yang berlaku bukan yang kamu baca.
* '''B. Izin home terlalu terbuka''' — <code>chmod 777 ~lab</code>. Status: kunci ditolak. Bukti: <code>Authentication refused: bad ownership or modes</code>. Artinya: <code>StrictModes</code> melindungi, tapi juga bisa mengunci orang yang berhak.
* '''C. Port di config, socket tidak''' — ubah <code>Port 2222</code> tanpa menyentuh <code>ssh.socket</code>. Status: port 22 masih terbuka. Bukti: <code>ss -tlnp</code> menunjukkan dua port. Artinya: ada dua pintu, dan yang lama adalah yang paling sering dipindai.
* '''D. AllowGroups dengan nama salah''' — tulis <code>AllowGroups ssh-user</code>. Status: semua login ditolak, termasuk admin. Bukti: log <code>User lab not allowed because none of user's groups are listed in AllowGroups</code>. Artinya: lapis 2 harus diuji dari sesi kedua.
* '''E. Terlalu banyak kunci di agent''' — <code>MaxAuthTries 3</code> dan klien membawa enam kunci. Status: <code>Too many authentication failures</code> untuk user yang sah. Bukti: log percobaan beruntun dengan sidik jari berbeda. Artinya: batas ketat butuh <code>IdentitiesOnly yes</code> di sisi klien.
* '''F. Chroot bukan milik root''' — <code>chown guru1 /srv/sftp/guru1</code>. Status: SFTP mati total. Bukti: <code>fatal: bad ownership or modes for chroot directory component</code>. Artinya: kenyamanan user tidak boleh mengalahkan syarat keamanan chroot.

== 🏭 Dipakai di dunia kerja ==
* '''Sekolah dan kampus:''' server nilai, CBT, dan e-rapor diakses dari lab, ruang guru, dan kadang dari rumah. <code>AllowGroups</code> plus kunci per guru membuat satu akun bocor tidak otomatis membuka semua data.
* '''Kantor dan UMKM:''' satu server dipakai untuk aplikasi kasir, file sharing, dan backup. Memisahkan group <code>admin</code> dan <code>sftp</code> mencegah staf yang hanya perlu unggah laporan mendapat shell penuh.
* '''Hosting dan VPS:''' penyedia menyediakan akses root lewat kunci, bukan sandi. <code>PermitRootLogin no</code> dan akun sudo terpisah membuat jejak audit tetap bisa ditunjuk saat insiden.
* '''Industri dan manufaktur:''' mesin produksi diakses vendor lewat jalur terbatas. <code>Match Address</code> dan <code>ForceCommand</code> menjaga agar vendor hanya bisa menjalankan perintah uji yang disepakati, bukan menjelajah jaringan pabrik.
* '''ISP dan NOC:''' perangkat dipantau 24 jam. Batas <code>MaxStartups</code> dan <code>LoginGraceTime</code> mencegah koneksi menggantung menghabiskan slot saat gangguan massal.
* '''Remote worker dan developer:''' banyak kunci di laptop. Kebiasaan <code>IdentitiesOnly yes</code> dan passphrase kunci membuat <code>MaxAuthTries</code> ketat tetap nyaman dipakai.

== ✅ Verifikasi ==
{| class="wikitable"
! Yang dicek !! Perintah !! Hasil benar
|-
| Konfigurasi efektif || <code>sudo sshd -T</code> || nilai sesuai keinginan, bukan tebakan
|-
| Group yang diizinkan || <code>sudo sshd -T | grep allowgroups</code> || hanya group yang kamu buat
|-
| Port yang benar-benar terbuka || <code>ss -tlnp | grep sshd</code> || satu port, pemiliknya jelas
|-
| Efek blok Match || <code>sudo sshd -T -C user=guru1,addr=192.168.100.60</code> || chroot dan forcecommand muncul
|-
| Sandi benar-benar mati || <code>ssh -o PreferredAuthentications=password lab@host</code> || ditolak, bukan prompt sandi
|-
| Jejak login || <code>sudo journalctl -u ssh -n 20</code> || ada baris <code>Accepted publickey</code> dan sidik jari
|-
| Konfigurasi tidak rusak || <code>sudo sshd -t</code> || keluar tanpa pesan
|}

🧪 '''Uji cepat:''' jalankan <code>sudo sshd -T | grep -E 'passwordauthentication|allowgroups|maxauthtries'</code>. Kalau tiga baris itu belum sesuai rencanamu, hardening belum selesai — sekeras apa pun kelihatannya file konfigurasimu.

== ⚠️ Kesalahan umum & troubleshooting ==
{| class="wikitable"
! Gejala !! Penyebab !! Perbaikan
|-
| Masih bisa login pakai sandi || drop-in lain menimpa || cari dengan <code>sshd -T</code>, rapikan urutan nama file
|-
| <code>sshd -T: Permission denied</code> || dijalankan tanpa root || pakai <code>sudo</code>
|-
| Semua user ditolak || <code>AllowGroups</code> salah nama || perbaiki dari konsol, bukan SSH
|-
| <code>bad ownership or modes</code> || home atau kunci terlalu terbuka || <code>chmod 700 ~/.ssh</code>, <code>chmod 600 authorized_keys</code>
|-
| Port lama masih terbuka || <code>ssh.socket</code> belum diubah || edit unit socket, <code>daemon-reload</code>, restart socket
|-
| <code>Too many authentication failures</code> || agent membawa banyak kunci || <code>IdentitiesOnly yes</code> di klien
|-
| SFTP gagal setelah chroot || folder chroot bisa ditulis user || milik <code>root</code>, mode 755, subfolder untuk unggahan
|-
| Forwarding tetap jalan || hanya <code>AllowTcpForwarding no</code> || tambah <code>DisableForwarding yes</code> pada blok yang sama
|-
| Log tidak menunjukkan siapa masuk || <code>LogLevel</code> masih INFO || naikkan ke VERBOSE, lalu reload
|}

== 🔐 Catatan keamanan & etika ==
* '''Jangan pernah menutup sesi terakhir sebelum sesi baru terbukti bisa masuk.''' Aturan ini menyelamatkan banyak server dari reinstall.
* '''Kunci privat tidak boleh berpindah mesin lewat chat.''' Kalau terlanjur, cabut dari <code>authorized_keys</code> dan anggap bocor.
* '''Beri passphrase pada kunci pribadi.''' Kunci tanpa passphrase di laptop yang hilang sama dengan sandi yang ditempel di monitor.
* '''<code>authorized_keys</code> adalah daftar kunci, bukan tempat sampah.''' Kunci lama milik teknisi yang sudah keluar harus dihapus, bukan diabaikan.
* '''Log SSH memuat data pribadi:''' nama user, alamat IP, sidik jari kunci. Jangan tempel log mentah ke grup pesan.
* '''Uji hanya di lab sendiri.''' Mencoba <code>MaxAuthTries</code> atau brute force ke server orang lain adalah pelanggaran hukum, bukan latihan.
* '''Kunci yang bocor bukan urusan teknis saja.''' Di sekolah, akun yang dipakai bersama berarti tidak ada nama yang bisa ditunjuk saat data berubah.

== 📌 Kesimpulan ==
Hardening SSH adalah pekerjaan mempersempit pintu, bukan menghiasinya. Ganti port boleh, tapi itu lapis paling tipis. Yang menentukan adalah kunci yang dipakai, daftar orang yang diizinkan, ruang yang boleh dibuka, batas waktu, dan catatan yang ditinggalkan.

Kalau kamu hanya punya waktu untuk satu perbaikan hari ini, matikan login sandi dan pastikan kuncimu bekerja. Kalau punya waktu satu jam, tambahkan <code>AllowGroups</code> dan buktikan dengan <code>sshd -T</code>.

Langkah berikutnya: buka <code>/etc/ssh/sshd_config.d/</code>, baca semua file di dalamnya, lalu catat siapa yang sebenarnya berhak masuk ke servermu. Jawaban jujur dari pertanyaan itu biasanya lebih mengejutkan daripada isi konfigurasinya.

== 🔗 Materi terkait ==
* [[Linux : Mengamankan SSH Server dengan Port Custom]] — lapis paling tipis, cocok dibaca lebih dulu
* [[Linux : Membatasi Percobaan Login SSH dengan Fail2ban]] — penjaga otomatis di depan pintu
* [[Mengijinkan User Tertentu Remote SSH]] — dasar <code>AllowUsers</code> sebelum masuk ke <code>AllowGroups</code>
* [[Linux : Manajemen User, Group, dan sudo]] — siapa yang berhak dan seberapa jauh
* [[Linux : Log dan journalctl untuk Troubleshooting]] — membaca jejak login dengan benar

== 📚 Referensi ==
* <code>sshd_config(5)</code> — Debian bookworm: <code>Include</code>, <code>PermitRootLogin</code>, <code>PasswordAuthentication</code>, <code>MaxAuthTries</code>, <code>LoginGraceTime</code>, <code>MaxStartups</code>, <code>DisableForwarding</code>, <code>Match</code>. https://manpages.debian.org/bookworm/openssh-server/sshd_config.5.en.html
* <code>sshd(8)</code> — Debian bookworm: mode uji <code>-t</code>, mode uji lanjutan <code>-T</code>, parameter <code>-C</code>, format <code>authorized_keys</code> dan opsi <code>restrict</code>. https://manpages.debian.org/bookworm/openssh-server/sshd.8.en.html
* <code>ssh-keygen(1)</code> — Debian bookworm: pembuatan kunci <code>ed25519</code> dan opsi <code>-a rounds</code>. https://manpages.debian.org/bookworm/openssh-client/ssh-keygen.1.en.html
* OpenSSH 8.8 Release Notes (26 September 2021) — penonaktifan tanda tangan RSA berbasis SHA-1 secara bawaan. https://www.openssh.com/txt/release-8.8
* Debian Wiki SSH — catatan paket <code>openssh-server</code> dan default konfigurasi Debian. https://wiki.debian.org/SSH

[[Category:TKJ]]
[[Category:Linux]]
[[Category:Server]]
[[Category:Cyber Security]]