Sigurnost kućnog servera

[andrei]

vrlo generalno, nikakva, sa vanjske strane se uvijek vidi onaj port koji je otvoren, u ovom slucaju visoki..
zapravo moze se reci vrlo mala, postoje routeri gdje slanjem odredjenih paketa mozes inicirati nat sesiju da izgleda kao da je inicirana iznutra.
jel, napravis si port forwarding, ali izvana..

što se tiče ssh, predlažem da ga na routeru staviš na neki nestandardni port, recimo 9922 ili tako nešto, i to forwardaš na port 22 na serveru. na taj način ćeš se riješit velike većine default dummy scanova koji provjeravaju samo port 22, a ne gledaju iznad (jer im se ne isplati). osim toga, za one koji su baš uporni, stavi lock na ssh account nakon recimo 5 failed attemptova logina.. to bi za ssh trebalo biti dovoljno.

Pitanje: što se sigurnosti tiče koja je razlika između ovakvog pristupa (promjena porta 22 na neki nestandardni visoki u routeru, pa forward na serveru u 22) u odnosu na postavljanje visokog porta u sshd_config na serveru i forward istog tog visokog u routeru na server?

Ma ja sam iz iskustva skužio da skrivanje portova ama baš ništa ne znači. Ako se radi port scan on će opet otkriti sve portove i što je na njima.
Primjetio sam da je nešto na mom serveru ostalo "zaboravljeno". Koristim PureFTPd a kad mi je dobri frend DoDo napravio scan i dobio sam ovo kao rezultat:

Kod: Označi sve

The remote FTP server allows the user's name and password to be
transmitted in clear text, which may be intercepted by a network
sniffer or a man-in-the-middle attack.

Kako bi to mogao riješiti?
I ima još nešto, preko čega sam očigledno samo prešao kod instalacije a sada više ne znam popraviti

Kod: Označi sve

The X.509 certificate of the remote host is not signed by a known
public certificate authority. If the remote host is a public host in
production, this nullifies the use of SSL as anyone could establish a
man in the middle attack against the remote host.

Hvala!

Edit: Kako da složim ovo što je pootzko predložio?

[andrei]

Zanimljiva tema.

Dobro odlučeno je da ću staviti i firewall ali to tek kada uhvatim jedno popodne da to sredim.

Kod mene to popodne čeka da dođe na red već nekoliko mjeseci.

Na wikiju postoji članak: http://wiki.open.hr/wiki/Dokumentacija_Sigurnost koji može poslužiti kao smjernica za dalje.

a čuj, gledao sam jednu prezentaciju na ovogodišnjem CUC-u koja to objašnjava: dok nebu kasno ne buš se toga primil a kada i riješiš havariju ostaviti ćeš to privremeno riješenje kao stalno. tako je to uvijek...
za sada se ipak spremam to napraviti ali je do dosta komplicirano, treba razmišljati o svim situacijama, a ne da mi server zakaže na onome što osnovno treba raditi hehehe

što se tiče apacheja, pogledaj ovo

što se tiče ssh, predlažem da ga na routeru staviš na neki nestandardni port, recimo 9922 ili tako nešto, i to forwardaš na port 22 na serveru. na taj način ćeš se riješit velike većine default dummy scanova koji provjeravaju samo port 22, a ne gledaju iznad (jer im se ne isplati). osim toga, za one koji su baš uporni, stavi lock na ssh account nakon recimo 5 failed attemptova logina.. to bi za ssh trebalo biti dovoljno.

updateaj webappove koje imaš redovno (i plugine), i probaj sakrit phpmyadmin ako ga budeš koristio (sa .htaccessom), jer je on dosta loš po pitanju propusta, često je on krivac problema.

u tom slučaju phpmyadminu ćeš moć i dalje pristupit ako budeš koristio ssh proxy.. (ssh sa switchem -D, proguglaj to malo, lako je (ako to do sada nisi radio)), i kada ti bude upaljen proxy ćeš moći na http://localhost/phpmyadmin/ pristupit phpmyadminu od bilo gdje. samo ti. jer nikome drugome u biti ni ne trebaš dati pristup tome.

uglavnom, veća je šansa da ti netko u taj server probije tako da iskoristi propust u nekakvom cms-u koji ćeš možda potencijalno koristiti, nego u sam server koji je iza routera..

btw, sorry ako je netko iznad već spomenio nešto od ovoga što sam napisao, ne da mi se sad sve iščitavat, veliki su vam postovi

e vidiš ovo za phpmyadmin nisam nikada znao a koristim ga ne samo na domaćem serveru, iako mislim da se na onom za blog skriva iza cpanela ali moram to očito detaljnije pogledati fala fala

[pootzko]

Ma ja sam iz iskustva skužio da skrivanje portova ama baš ništa ne znači. Ako se radi port scan on će opet otkriti sve portove i što je na njima.

pa da, u tome i je trik - "ako" skeniraju portove, da većina to ipak neće raditi jer je to puno sporije nego jednostavno pronaći nekoga kome je ssh na default portu. zato velik postotak pokušaja brute force napada na ssh otpada, jer se ništa ne nađe na default portu. pa i meni osobno je prestala dolazit hrpa generičkih notificationa o lockoutu nakon što sam ssh maknio sa porta 22. kao i hrpi drugih frendova koji imaju svoje servere negdje.

Primjetio sam da je nešto na mom serveru ostalo "zaboravljeno". Koristim PureFTPd a kad mi je dobri frend DoDo napravio scan i dobio sam ovo kao rezultat:

Kod: Označi sve

The remote FTP server allows the user's name and password to be
transmitted in clear text, which may be intercepted by a network
sniffer or a man-in-the-middle attack.

Kako bi to mogao riješiti?

nemoj koristiti ftp već sftp (što je u biti ssh). u ftp klijentu promijeni postavke accounta u sftp i promijeni port iz 21 u port na kojemu će ti biti ssh i dobit ćeš sftp. radit će ti iz korisničke perspektive jednako kao da koristiš i ftp.

I ima još nešto, preko čega sam očigledno samo prešao kod instalacije a sada više ne znam popraviti

Kod: Označi sve

The X.509 certificate of the remote host is not signed by a known
public certificate authority. If the remote host is a public host in
production, this nullifies the use of SSL as anyone could establish a
man in the middle attack against the remote host.

pa jesi kupio ssl certifikat od nekog vendora? pretpostavljam da ne jer je skupo
možeš koristiti self signed certifikate. pogledaj ovo

Edit: Kako da složim ovo što je pootzko predložio?

na šta točno misliš?

[andrei]

pa da, u tome i je trik - "ako" skeniraju portove, da većina to ipak neće raditi jer je to puno sporije nego jednostavno pronaći nekoga kome je ssh na default portu. zato velik postotak pokušaja brute force napada na ssh otpada, jer se ništa ne nađe na default portu. pa i meni osobno je prestala dolazit hrpa generičkih notificationa o lockoutu nakon što sam ssh maknio sa porta 22. kao i hrpi drugih frendova koji imaju svoje servere negdje.

Primljeno na znanje, promjeniti ću malo kasnije kada server ode offline (gasi se svaku večer u 21 a budi se u 7 ujutro ).

nemoj koristiti ftp već sftp (što je u biti ssh). u ftp klijentu promijeni postavke accounta u sftp i promijeni port iz 21 u port na kojemu će ti biti ssh i dobit ćeš sftp. radit će ti iz korisničke perspektive jednako kao da koristiš i ftp.

Malo mi je to nezgodancija jer onda više ne mogu kontrolirati račune posebno sa ISPConfigom . Inače sad čitam preporuku kaže kao i ti promjeni u SFTP. Koja je razlika između FTPS-a i SFTP-a?

osim toga, za one koji su baš uporni, stavi lock na ssh account nakon recimo 5 failed attemptova logina.. to bi za ssh trebalo biti dovoljno.

Na ovo mislim

Hvala

EDIT:

http://www.startssl.com/?app=21
Nikako mi nije jasno kako ovo postaviti...

[max360se]

Pitanje: Zasto gasis server svaki dan?

[pootzko]

@andrei:
razlika između ftp i sftp je da je sftp kriptiran (niti username i password, niti podaci ne idu u clear textu već su kriptirani)

lockanje ssh accounta podešavaš u ssh daemon config fileu.. proguglaj malo gdje se taj fajl nalazi u distribuciji koju koristiš i onda malo proskrolaj kroz taj file i naći ćeš opciju za lockanje u slučaju neuspjelih pokušaja. uključi ju i postavi broj dozvoljenih krivih passworda..



@max360se:
ako je samo za osobne stvari, vjerojatno nema potrebu imat ga upaljenog dok spava pa nema smisla trošit struju..

[max360se]

Da samo je stvar u tome sto su server distre obicno podesene da rade razne testove svakih x vremena ili svakih x reboota jer se serveri u pravilu ne gase jer nikad neznas sto nece raditi kako treba kad ga upalis.

[pootzko]

a dobro, ali to je kod složenijih servera od kojih se i očekuje da pružaju uslugu cijelo vrijeme i kod kojih su se stvari zakomplicirale od kojekakvih custom zahvata. nisam siguran da će on imat takve zahtjeve baš ni da će imati toliko složene stvari da mu se sve skuri ako ugasi to računalo..

[max360se]

Moj FS je odmah po defaultu imao podeseno da svakih nekoliko reboota checkira diskove. Ja sam to ostavio jer mi pase i nikad ne gasim server.

EDIT:
Nisam strucnjak, ali nebi li ti bilo prakticnije na napravis VPN na taj server.

[drone]

Da samo je stvar u tome sto su server distre obicno podesene da rade razne testove svakih x vremena ili svakih x reboota jer se serveri u pravilu ne gase jer nikad neznas sto nece raditi kako treba kad ga upalis.

Ako si ga podesio kako treba, znat ćeš. Ja sam kod instalacije Debiana sve poisključivao i onda naknadno dodavao i konfigurirao samo ono što mi treba, nema tu neke mistike. Kućne servere uglavnom nema potrebe stalno držati uključene. Meni je bitna i potrošnja struje. Zato sam sklepao nešto što sam od starih komponenti mogao, da troši što manje i mjerio potrošnju pomoću wattmetra. Neprekidno ostane uključen ponekad po nekoliko dana kad skidam i seedam torente, inače nema potrebe. Boota se brže nego što se laserski printer kojeg preko CUPS-a "servira" zagrije.