Napadi na SSHD i evo kako to spreciti

Re: Napadi na SSHD i evo kako to spreciti 24.06.2005. u 11:22 · pre 260 meseci #21

Citat:

littleboy: ?

Kako ce da dodje do kljuca ?
Drzis kljuc valjda na svojoj masini, ako ti uhaka masinu onda mu i ne treba access na nekom tamo shell serveru... a obicno na kucnim masinama i ne treba da bude nekih servisa pa da moze da dodje do naloga.

Logovanjem sa javnih mashina, putem java ssh, da ne pominjem logovanjem sa drugih shell servera kojima administratori imaju pristup shellovima... Mozhe na dosta nachina...

Citat:

Ja ne drzim shell server, ali mislim da je to fer i korekt.

Ja ga, nazhalost drzhim, ali neki korisnici ne znaju za pojam rechi fer i korekt...

Citat:

alex: To suzavanje je ACL princip i sasvim je odgovarajuca zastita pored osiguravanja samog servisa putem bezbednije konfiguracije, tipa RSA ili pubkey kljuceva umesto cleartext lozinki, zatim ogranicavanje pristupa samo odredjenim korisnicima (u mom slucaju samo jedan korisnik) itd.

Da, ali kad imash shell hosting kome pristupaju ljudi shirom sveta?

Citat:

ACL se koristi svuda u svetu. Sad, administratoru (korisniku) je ostavljeno da odluci sta ce i kako ce da izvede to suzavanje - ja sam ga izveo na gore-spomenuti nacin iz slicnih razloga kao i Vanja. Siguran sam da necu da se konektujem putem SSH-a iz Afrike.

Cak i da hocu, tu je uvek VPN.

VPN je dobar nachin, ali nije za ovu temu, zaista

Citat:

Kao dodatno resenje se odlicno pokazao i port-knocking servis. Sistem je po defaultu konfigurisan da odbija konekcije sa svih ip adresa i dozvoljava konekciju samo sa IP adresa koje tacno izvedu port-knock sekvencu. Sjajna stvar.

Odlichno! Moracu da probam to, nadam se da nece stvoriti konfuziju kod korisnika

Re: Napadi na SSHD i evo kako to spreciti 24.06.2005. u 11:26 · pre 260 meseci #22

Aj vec kad pricamo i imamo multiple resenja, evo jos jedna varijanta:

http://www.snort.org/

+

http://freshmeat.net/projects/blockit/

+

IPTables | IPChains | IPFWADM | Checkpoint

Resava problem promenljive IP adrese napadaca.

Re: Napadi na SSHD i evo kako to spreciti 24.06.2005. u 11:30 · pre 260 meseci #23

http://gentoo-wiki.com/HOWTO_Protect_SSHD_with_Swatch
Radi odlicno, mada je mnogo bolje knocd. E da ali obavezno stavi knockd da ga pokrece supervice.

Potpis

CCIE #22192 )
https://pulsarpoint.rs

Re: Napadi na SSHD i evo kako to spreciti 24.06.2005. u 11:33 · pre 260 meseci #24

http://gentoo-wiki.com/HOWTO_Port_Knocking

Dobar ovaj Gentoo-Wiki

Re: Napadi na SSHD i evo kako to spreciti 24.06.2005. u 22:20 · pre 260 meseci #25

Citat:

mkdsl:

Citat:

littleboy: ?

Kako ce da dodje do kljuca ?
Drzis kljuc valjda na svojoj masini, ako ti uhaka masinu onda mu i ne treba access na nekom tamo shell serveru... a obicno na kucnim masinama i ne treba da bude nekih servisa pa da moze da dodje do naloga.

Logovanjem sa javnih mashina, putem java ssh, da ne pominjem logovanjem sa drugih shell servera kojima administratori imaju pristup shellovima... Mozhe na dosta nachina...

hm, ovde se više ne govori o zaštiti servisa na bruteforce napad, već o politici korišćenja resursa, ako imaš neodgovorne korisnike/radnike/isl neće ti pomoći nikakva zaštita. Veseljak uvek može svoju knock sekvencu i user/pass da zapiše u .txt i da to ostavlja po desktopima u internet kafeima, isl...

A šta sve i kako može da zloupotrebi i "ukrade" lokalni admin (admin drugog shell servera, internet kafea, isl) od "letećeg" korisnika nema smisla ni nabrajati...

Korisnik mora da potpuno bude svestan šta znači njegov secret key i da odgovara ukoliko ga neko zloupotrebi.

_{P.S: Gentoo wiki je odličan ;)}

Potpis

^{GnuPG public key:

tixo.asc}

^{Try and be nice to people, avoid eating fat, read a good book every now and

then, get some walking in, and try and live together in peace and harmony with

people of all creeds and nations.}

Re: Napadi na SSHD i evo kako to spreciti 24.06.2005. u 22:37 · pre 260 meseci #26

@Alex

Metoda deny all ti je bash efektivna mnogo, to se jednostavno tako ne radi ;)

Inace od ddos-a je nemoguce da se odbranite jer jednostavno tako je internet koncipiran, ako bilo ko tvrdi suprotno taj ne razume osnove.
Neki napadi samo mogu da se ublaze, ali efektivno je nemoguce da se ddos spreci u potpunosti.

Poz

Re: Napadi na SSHD i evo kako to spreciti 24.06.2005. u 22:57 · pre 260 meseci #27

web_Killer:

Prvo, metoda nije deny all, citaj malo pazljivije.

Drugo, ovo nema nikakve veze sa ddos napadima, vec brute force napadom na ssh servis (da li si procitao o cemu se prica u ovoj temi?), sto je druga prica.

Trece, odbrana od (d)dos napada se ne resava na nivou sshd servisa na linux masini.

Na kraju, jaaaako bih voleo da me prosvetlis kako se to radi. Bas bih voleo da cujem tvoje eeekspertsko misljenje na tu temu.

Potpis

Alex: My favorite site is http://localhost/
R.J. Oppenheimer: "I am become death, destroyer of worlds" (1945 AD)
tweet.13x ||
linkedin.13x

Re: Napadi na SSHD i evo kako to spreciti 24.06.2005. u 23:04 · pre 260 meseci #28

Citat:

TiXo: hm, ovde se više ne govori o zaštiti servisa na bruteforce napad, već o politici korišćenja resursa, ako imaš neodgovorne korisnike/radnike/isl neće ti pomoći nikakva zaštita.

Pomoci ce mi to shto im necu dozvoliti da key sa svog rachunara zloupotrebi neko drugi. To je bukvalno poklanjanje naloga neovlashcenoj osobi.

Citat:

Veseljak uvek može svoju knock sekvencu i user/pass da zapiše u .txt i da to ostavlja po desktopima u internet kafeima, isl...

A mozhe i da kazhe svom drugaru, pa drugar kazhe drugom drugaru... Shto se svodi manje vishe na isto... Ali tad bar znam da je moj sistem siguran, tachnije da JA nisam omogucio trecoj osobi da neovlashceno koristi nalog.

Citat:

A šta sve i kako može da zloupotrebi i "ukrade" lokalni admin (admin drugog shell servera, internet kafea, isl) od "letećeg" korisnika nema smisla ni nabrajati...

Bash zbog toga...

Citat:

Korisnik mora da potpuno bude svestan šta znači njegov secret key i da odgovara ukoliko ga neko zloupotrebi.

Upravo tako.

Citat:

weB_KiLeR: @Alex

Inace od ddos-a je nemoguce ...

???!? Poenta?

@ Alex,

bez nervoze, please

. Apsolutno te razumem

Re: Napadi na SSHD i evo kako to spreciti 24.06.2005. u 23:52 · pre 260 meseci #29

Rasprava sa vama nema poente, uzgred alex znam o cemu se radi i ove 2 teme su usko vezane, a tvoja secure metoda me odusevljava, najlakse je zabraniti sav saobracaj sa odredjenih lokacija...

Re: Napadi na SSHD i evo kako to spreciti 25.06.2005. u 03:30 · pre 260 meseci #30

hm, sto se kljuceva tice, nije problem staviti passphrase na key auth i isto tako zabraniti login/PAM autentifikaciju. sa druge strane, moguce je menjati neke od block-ova u raznim cipherima i time praviti jedinstveni klijent/server par, ali nisam siguran koliko je to pametno posto se time slabi sam algoritam. elem, mislim da je firewalling ponajbolje resenje ako se serveru pristupa sa fiksnih adresa, svakako mnogo bolje nego ostaviti ga na dobar dan. podsetio bih na predivna desavanja sa openssl-om i openssh-om pre par godina kada je mesec dana sve bilo busno i exploiti su nadirali svakih par dana. ne bih se pouzdao u tradicionalno supalj sw, vec bih se drzao suptilnijih metoda...

Potpis

OV SM
LA PK

Re: Napadi na SSHD i evo kako to spreciti 25.06.2005. u 04:12 · pre 260 meseci #31

Ko prica o ddosu ?

Ne moguce je 100 % zastiti masinu od ovakvih napada, mozes da koristis knockd, ali ponovo postoji rizik, kao i kod public keyeva.. i ostalih metoda.
Zato sam i rekao da je najbolje da se osigura masina prvo, pa onda tek tamo neke sshd zastite i slicno..a password da bude na odgovornost korisnika.

Potpis

\x47 \x6f \x64 \x20 \x6d \x61 \x64 \x65 \x20 \x70 \x6f \x74 \x2e \x20 \x4d
\x61 \x6e \x20 \x6d \x61 \x64 \x65 \x20 \x62 \x65
\x65 \x72 \x2e \x20 \x57 \x68 \x6f \x20 \x64 \x6f \x20 \x79 \x6f \x75 \x20
\x74 \x72 \x75 \x73 \x74 \x20 \x3f

Forum kao aplikacija na telefonu

Srodne teme