* Andre Tann wrote on Wed, Dec 28, 2005 at 11:35 +0100:
Erhard Schwenk, Mittwoch, 28. Dezember 2005 11:11:
siehe oben. Eventuell kommt noch Verlegen des sshd auf einen anderen Port oder Port Knocking in Betracht, aber beides tendiert in Richtung "Security by Obscurity", was grundsätzlich als wirkungslos bis gefährlich zu betrachten ist.
Was ist daran gefährlich? Wenn der sshd an Port 30000 statt an Port 22 lauscht, dann ergibt sich doch kein Risikounterschied.
Gefährlich an "Security by Obscurity" ist, dass es suggeriert, es wäre ein Unterschied - ist's aber nicht. Ein brauchbarer Portscanner bekommt SSH ganz einfach und sicher raus (SSH meldet sich ja entsprechend). Also "indirekt gefährlich". Jetzt, wo Du weniger scans siehst, denkst Du vielleicht, kurze Passwörter reichen ja doch - oder sowas in der Art.
Wohl aber sind die Maßnahmen keineswegs wirkungslos: ich beobachte, daß die Anzahl der Unterhaltungsversuche mit dem sshd gegen Null geht, sobald ich irgend einen hohen Port einstelle.
Na ja, die Anfragen werden konstant sein, bloss schon vom IP Stack abgewiesen. Spart natürlich ein Fork, Traffic und CPU Last, klar.
Und das ist doch schon mal was, und wenn es nur die Übersichtlichkeit des Logfiles ist.
IMHO sollte man logfiles eh automatisch auswerten (lassen), ich verwende mein kleines logmail (http://sws.dett.de/logmail/) und lass den Kram gleich rausfiltern.
Davon abgesehen: Die Verwendung eines Paßwortes oder eines Public Keys ist letztlich auch nur Security by Obscurity.
Nein, ist es nicht. Selbst wenn Du das Verfahren kennst, nützt es Dir nichts. Wenn ich weiss, das Dein SSH auf Port 30000 läuft, kann ich ihn angreifen, wie wenn er auf 22 laufen würde. Der Einzige Unterschied hier ist, ob ich den Algorithmus (port + 29978) kenne, oder nicht. Keine Sicherheit, weil solche Geheimnisse selten welche bleiben. Vielleicht liest die Angreiferin mit und korrgiert gerade den auto-rooter :) Bei einem Public Key Verfahren ist der Algorithmus bekannt (sogar in Sourcen :)), aber es ist trozdem nicht so leichter angreifbar, als wäre es ein Geheimnis: die Sicherheit kommt nicht daher, sondern von einem individuellen Geheimnis (dem Schlüssel). Da muss man dann 1024 bit RSA oder vergleichbar "raten", was durchaus zu praktischen Problemen führt :-) oki, Steffen -- Dieses Schreiben wurde maschinell erstellt, es trägt daher weder Unterschrift noch Siegel.