Я уже несколько раз устанавливал cygwin (с запущенным sshd) на Windows 2003 DC.
Но теперь другой администратор, который фактически отвечает за этот домен, спросил меня, действительно ли это безопасно.
Редактировать:: Я изменил вопрос, чтобы он лучше соответствовал принятому ответу. Я переместил другую часть вопроса, которую я изначально имел в виду, в новую ветку, пожалуйста, нажмите здесь.
В общем, вы не хотите, чтобы на серверах устанавливались лишние службы. Учитывая важную работу компьютеров контроллеров домена Active Directory (хранение учетных данных пользователей и выполнение аутентификации), вы должны беспокоиться о них даже больше, чем, скажем, о файловом сервере.
Однако при этом серверный компьютер без установленного программного обеспечения был бы бесполезен. Вам необходимо провести оценку рисков, сопоставить ее с преимуществами программного обеспечения и принять решение на этой основе. Этот общий процесс - это то, что вам нужно проработать для каждой предоставляемой вами услуги (даже если это просто то, что вы делаете «в уме», а не формальный процесс). Бессмысленное раскрытие служб без взвешивания риска (или, что еще хуже, раскрытие их, когда нет никакой пользы - думаю, установка IIS по умолчанию в Windows 2000 Server) - плохая идея.
Чтобы ответить на ваш конкретный вопрос:
OpenSSH был предметом пристального внимания сообщества, учитывая характер предоставляемых им услуг. К сожалению, разрешить sshd чтобы выдать себя за пользователей, вам придется запускать его с довольно привилегированными учетными данными (в большинстве случаев SYSTEM), поэтому ошибка в самом демоне может привести к компрометации на уровне удаленной SYSTEM. По общему признанию, я думаю, что шансы на такой компромисс в OpenSSH довольно низкие, но это все же возможность.
У вас должно быть какое-то ограничение скорости попыток входящего подключения (чтобы предотвратить атаки DOS - мне нравится sshd_block, лично). Вам следует серьезно подумать о разрешении входа в систему только на основе сертификатов (а не паролей). Вы должны ограничить количество пользователей, которые могут получить доступ к серверу через SSH, только теми, кому нужен доступ. Вам следует отключить переадресацию портов и / или SFTP, если вам не нужны эти функции.
Краткое изложение моих ощущений было бы следующим: подумайте о том, что вы делаете, и сделайте свою «домашнюю работу» при настройке, и все будет в порядке.
Я не могу придумать ничего, что могло бы пойти не так, но это не значит, что хакер тоже не мог.