Sorry für PM grad eben... Jan Handwerker, Freitag 05 März 2010:
Dann solltest Du entweder über anonymous-ftp nachdenken (wo kein Passwort und kein Username übers Netz geht), oder aber einen www-Server aufmachen.
Ich sehe Dein Problem nicht. Mit der Benutzername/Paßwort-Kombi, die da vielleicht übers Netz gehen mag, kommt man sowieso nicht auf den Server drauf. Denn für einen Shell-Login braucht man ssh ausschließlich mit Keys. Webserver hilft nicht, da ich damit nicht eine Konfigurationsdatei von Server A hochladen und von Server B wieder runterladen kann.
Wenn Du wirklich unkritische Daten hast, veröffentliche sie ruhig.
Ja, warum soll jemand nicht sehen, wie meine main.cf aussieht, die für zwei Minuten auf der Kiste liegt und danach sowieso wieder gelöscht wird. Und wieso soll nicht jemand den Treiber sehen, der sowieso irgendwo im Netz verfügbar ist, und denn ich halt gerade irgendwo hin verschieben will. Da sehe ich jetzt echt keine Probleme. Das ftp-Verzeichnis ist sowieso meistens leer. Sollte jemand da seinen Pornokram ablegen, weil er mein Paßwort erschnüffelt hat, dann ändere ich das Paßwort und lösch das Zeugs wieder. Ist mir aber noch nie passiert[1].
Meine Systemsicherheit würde ich davon allerdings nicht abhängig machen.
Ein ftp-Server ist doch nicht per se unsicher, oder jedenfalls nicht unsicherer als jeder andere Serverdienst auch. Das Kernproblem von ftp ist die Klartextübertragung von Username/Password, was aber in meinem Fall wie dargelegt keine Rolle spielt. Gruß! AT [1] Hand aufs Herz: wievielen hier ist schon mal der ftp-Login erschnüffelt worden, woraufhin jemand haufenweise Daten auf den Server gekippt hat? -- Andre Tann -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
On Friday 05 March 2010 14:26:17, Andre Tann wrote:
[1] Hand aufs Herz: wievielen hier ist schon mal der ftp-Login erschnüffelt worden, woraufhin jemand haufenweise Daten auf den Server gekippt hat?
Ja, solches frage ich mich manchmal auch: bin ich fahrlässig oder sind die anderen paranoid? Die Wahrheit liegt wohl, wie immer, irgendwo dazwischen. Tatsache ist, dass ich seit 2 Jahren einen kleinen zusätzlichen Billig- Webaccount bei einem sehr grossen internationalen Provider habe, auf den ich nur per ftp oder http-Applikation rauf- und runterladen kann, sftp ist in diesem Angebot nicht drin. Sowohl die Bekanntheit des Providers (mit unzähligen Webspaces auf dem gleichen Server) als auch der erotische Inhalt meiner Präsenz dort, sind sicher durchaus anziehend auch für Schnüffler. Dennoch ist noch nie was passsiert dort. Bin ich einfach ein Glückspilz? Daniel -- Daniel Bauer photographer Basel Barcelona professional photography: http://www.daniel-bauer.com -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
Am Freitag, 5. März 2010 schrieb Daniel Bauer:
On Friday 05 March 2010 14:26:17, Andre Tann wrote:
[1] Hand aufs Herz: wievielen hier ist schon mal der ftp-Login erschnüffelt worden, woraufhin jemand haufenweise Daten auf den Server gekippt hat? ... ich nur per ftp oder http-Applikation rauf- und runterladen kann, sftp ist in diesem Angebot nicht drin. Sowohl die Bekanntheit des Providers (mit unzähligen Webspaces auf dem gleichen Server) als auch der erotische Inhalt meiner Präsenz dort, sind sicher durchaus anziehend auch für Schnüffler.
Dennoch ist noch nie was passsiert dort. Bin ich einfach ein Glückspilz? ja...
Ich denke, dass die Betreiber der Backbones und der vielen Router dazwischen nicht vorrangig die Bösewichte sind, die mit den mitgeschnittenen Passwörtern die Server hacken und dort Müll abladen. Die sitzen eher irgendwo, hacken sich die ersten Server und von dort aus (damit die Anbindung schnell genug ist) weitere Rechner. Aber von dort aus können die nicht unbedingt Daten bzw. Passwörter aus einer laufenden TCP-Übertragung mitschneiden. Ausnahmen wären natürlich staatliche (also welche in den Staaten, in denen die beteiligten Netzwerkgeräte stehen) Schnüffler, die das dann mithilfe eines Providers tun könnten. Nach dem, was ich bisher so in den Logs von Internetservern gesehen habe, ist das Einfallstor eher irgendeine PHP-Anwendung oder eine Username-Passwort-Kombination, die einer Wörterbuchattacke nicht standhält (wobei auch da Tools wie fail2ban ein wenig helfen können). Btw: bei meinem Billig-Host-Angebot steht auch nichts von sftp. Netterweise funktioniert es aber trotzdem :-)) Gruß Martin -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
participants (3)
-
Andre Tann
-
Daniel Bauer
-
Martin Hofius