Newsgroup: it.comp.sicurezza.varie
Titolo: Sicurezza SSH

Avrei bisogno di un aiuto, fino ad ora ho utilizzato con grande
soddisfazione ssh all'interno della mia lan, ora però avrei bisogno di
rendere ssh disponibile anche da internet, quindi dovrei pubblicare la porta
22.
Qui vengono i problemi, ho una Mandrake 8.2 aggiornata all'ultima versione,
ssh è configurato per non accettare connessioni come root, ho cambiato la
porta su cui è in ascolto e tengo ssh sempre aggiornato. Tenendo conto che
per comodità devo permettere a chiunque di arrivare al login (quindi non
faccio chiedere prima il certificato) secondo voi corro dei rischi?
Il server non contiene dati importanti per altri, però sono essenziali per
me, quindi non vorrei che qualcuno potesse entrare.
C'è qualche modo per attivare dei log dettagliati? Ho provato con:
SyslogFacility AUTH
LogLevel DEBUG3 (a quanto ho capito è il massimo)
Ma non produce nessun log, o almeno non riesco a trovarlo.
Mi interesserebbe un semplice log con almeno l'elenco degli utenti che si
sono loggati, l'ip, la data e l'ora.
Vi ringrazio molto e scusate la lunghezza del messaggio.
Fabio

porta su cui è in ascolto e tengo ssh sempre aggiornato.
Cambiare la porta serve a pochino, IMHO. Un qualsiasi portscan te la trova
*e* capisce che e' SSH (ovviamente -- e "indovina" anche la versione :-)).
Port 			22
Protocol 		2		; Importante :-)
ListenAddress 		0.0.0.0		; 
SyslogFacility          AUTH		; Verificare in /etc/syslog.conf!
LogLevel                VERBOSE		; 
LoginGraceTime          60
PermitRootLogin         no
StrictModes             yes
RSAAuthentication       yes
PubkeyAuthentication    yes
IgnoreRhosts            yes
IgnoreUserKnownHosts    yes
RhostsRSAAuthentication no
HostbasedAuthentication no
PasswordAuthentication  no
PermitEmptyPasswords    no
X11Forwarding 		no
PrintLastLog		yes
KeepAlive		no
UseLogin		no
ReverseMappingCheck	yes		; Occhio
In /etc/hosts.allow (se compilato con LIBWRAP)
sshd:	ALL
e in /etc/hosts.deny
sshd:	(reti non affidabili)
Gia' da tempo io prèdico l'inserimento della Corea fra le reti non
affidabili. E IMHO anche Cina e Croazia ci starebbero bene.
Leonardo e una (modesta) proposta per la discussione
-- 
Says I, "My young lassie, I canna' weel tell ye,
The road and the distance I canna' weel gie,
But if you'll permit me tae gang a wee bittie,
I'll show you the road an' the miles tae Dundee".

affidabili. E IMHO anche Cina e Croazia ci starebbero bene.
Aggiungi almeno un paio di provider francesi, e sono abbastanza
d'accordo.
-- 
Maurizio - Tannoiser - Lemmo
STIGE Srl Servizi Informatici
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

 X11Forwarding           no
Pero' potrebbe essere utile in certi casi. Pensi che dia problemi
abilitarlo? 
Potrebbe anche servire un:
AllowTcpForwarding yes
per forwardare connessioni VNC (si, anche sotto X), POP3, SMTP,
HTTP,ecc. Chiaro che se i tunnel non servono si puo' tranquillamente
mettere un bel "no". 
E, magari, anche un
AllowUsers lista_di_nomi
puo' servire.
-- 
Carlo Luciano
GPG ElG/DSA 4096/1024 Key: 
http://web.tiscali.it/clbianco/clbianco.asc
ID: 0x5324A0DA - Fingerprint: 8B00C61034120506111B143DEDBF71B45324A0DA

d'accordo.
wanadoo? Uno di questi giorni gli devo fare del vero male fisico :-(
Avessero un abuse loro, almeno, anziche' appoggiarsi a TIN...
Leonardo


puo' servire.
Giustissimo. Avevo provato con il vecchio sshd e avevo problemi, pero'
ora ci voglio ritentare con OpenSSH.
Si era perso nel mucchio delle cose che prima o poi devo fare.
Leonardo


 PasswordAuthentication  no
... ahem... :)
Fabio

 Fabio
Anch'io

 Direi che la seconda non ha influenza. [1]
Ok, ok... la prossima volta mi leggo tutto il thread, prima :)
Fabio

wanadoo? Uno di questi giorni gli devo fare del vero male fisico :-(
vedi che ci capiamo al volo?? :))


 ora ci voglio ritentare con OpenSSH.
A me funziona bene (OpenSSH 3.2.3p1 su Win2K con CygWin). 'lista_di_nomi' 
e' in effetti un nome solo, ma non penso che faccia storie con una lista 
vera e propria di UserIDs.
