Hallo Liste,
also ich denke mal (ohne spinnen zu wollen) eine guter server mit
fernzugriff sieht etwa so aus:
es läuft ssh2 mit einer guten zertifikatsverschlüsselung, eine IDS bzw ein
programm welches portscans erkennt und danach dynamisch z.B. IPs oder gar
ssh2 zeitweise ganz sperrt und portknocking. Ich denke mal das so eine
rechner gut absichert ist und man trotzdem noch als berechtigter admin
drauf zugreifen kann. Ach ja die Firewall hab ich ja ganz vergessen, aber
die brauch ich wohl nicht extra zu erwähnen. Ich kann mir nicht vostellen
das sowas in einem sinnvollen zeitrahmen knackbar ist. Jetzt werden wieder
einige sagen: ja ssh2 und netzwerkverkehr abhören usw....dazu sag ich nur,
ja alles ist knackbar, auch wenn ich das bei ssh2 erstmal sehen möchte,
aber wie sagte ein befreundeter admin heute zu mir: die größten gefahren
kommen nicht aus dem internet, die kommen meistens aus dem eigenen
netzwerk. Wie gesagt meistens.....
Ach ja. noch eine idee, root an ssh am besten gar nicht zulassen (den nimmt
eh jeder zweite angreifer) und einen tunnel über einen extra angelegten
user aufbauen und dann den server über z.B. webmin fernwarten. Und da die
verbindung zum webmin eh ssh2 verschlüsselt ist und dann vielleicht auch
noch über https läuft ....................(ist das eigentlich schon mit
kanonen auf spatzen schiessen? :-))
Mit freundlichen Grüßen
A.Gegner
Andreas
Burkhardt To: suse-linux@suse.com
Daniel Hanke wrote:
Zusätzlich noch Portknocking einbauen um dem Admin immer Zugriff zu gewähren :-)
security by obscurity
Wo denn bitte? Kann da jetzt nicht ganz folgen.
also bitte. Du willst einen Mechanismus der sich darauf verlässt, dass ein anderer Rechner vorher kontaktet/gescannt wurde, um dann einen weiteren Rechner zu schützen mit Hilfe von Informationen die vom Angreifer stammen. Dieser Schutz kann aber per Port knocking ausgehebelt werden, damit nicht jeder einfach den Admin aussperren kann, was dieses Konzept leider mit sich bringt. Das findest du nicht etwas seltsam?
Nein. Nicht wirklich. Der Admin brauch seinen Zugriff. Also macht man diesen Zugang so sicher wie möglich.
Nein, der Zuganng hat sicher zu sein oder darf nicht existieren. Wenn Dein SSH verwundbar ist und (noch) nicht gepatcht werden kann, sollte es abgeschaltet werden.
Man kann ein SSH nicht abschalten, wenn man im Urlaub ist. Und ich würde fast wetten, daß im SSH noch Fehler sind. Also abschalten!?!? Hmmm, manchmal braucht man aber diese Möglichkeit zum Administration aus der Ferne
Ansonsten lebst du von der Hoffnung - von der Hoffnung, daß der Gegner nicht so schlau ist wie Du.
Davon leben wir, solange wir Rechner ans Netz anschließen.
Dann bau dir doch für den
Portknocker Einmal-"Schlüssel". Mit dem Stand des Mondes ist gar nicht so schlecht... Sogesehen wäre ja jedes Passwort "Security by obsurity".
Noe, nicht ganz. Obscure wäre ein SSH auf dem Port 2222. Etwas mehr Sicherheit, aber nicht wirklich unauffindbar. Meine Idee dabei war, das kaum jemand sich den Port 2222 als erstes anschaut. Und wenn er dort nachschaut, hat er bereits verloren. Außer jemand schaut sich pro Tag nur einen Port an. Aber das wäre jemand, der unbedingt in _Deine_ Maschine will. Die meisten Angreifer suchen aber nur irgendeine Maschine für ihren Spam oder Viren oder Filme.
Die Grenzen sind sicherlich fließend, jedoch kann ein Paßwort so gewählt werden, daß es in vernünftiger Zeit (was vernünftig ist, entscheidet dein Sicherheitsbedürfnis) nicht mehr knackbar ist.
Gruß Thomas
-- Andreas Burkhardt Linux +49 172 3026633 Training Cauerstraße 32 Consulting D-10587 Berlin http://burkhardt.IT Administration -- Um die Liste abzubestellen, schicken Sie eine Mail an: suse-linux-unsubscribe@suse.com Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: suse-linux-help@suse.com