Newsgroup: it.comp.sicurezza.varie
Titolo: SSH e sicurezza

Volevo chiedervi se, secondo voi, questa situazione č sicura:
- ssh sempre aggiornato e os debian 3
- in ascolto su una porta non standard
- viene consentito l'accesso da un solo utente (un ostacolo in piů da
superare)
- per lavorare come root devo prima loggarmi con l'utente sopra citato e
fare "su"
Ci sono altre precauzioni da prendere?
Specifico che non ho configurato nessun firewall (ci sono aperti solo i
servizi strettamente necessari) e non posso/voglio filtrare ssh per ip.
Secondo voi con una password alfanumerica di 8 caratteri č possibile un
attacco di brute force?
Grazie
Fabio

 attacco di brute force?
naa direi che, salvo novita' dal punto di vista ssh, sei a posto.
anche perche' un brute force puo' (imho) funzionare in locale
quando hai passwd sottomano, con i tempi di latenza di ssh 
ammenoche' la pass non sia banale le speranze sono poche.
-- 
nebbia

 ammenoche' la pass non sia banale le speranze sono poche.
Direi che allora sono tranquillo, la password č alfanumerica e senza nessun
senso, la password di root č alfanumerica piů simboli.
Ciao
Fabio

 chiave, giusto ?
Essendo riuscito a vincere con sforzi erculei (aggettivo questo che si
potrebbe prestare a goliardici giochi di parole, ma confido nella vostra
clemenza) la mia pigrizia, eccoeqqua un esempio di come si puň 
configurare ssh per autenticare via chiave e senza password (credo/spero
sia possibile configurarlo per usare entrambi i metodi: key + password).
http://www.hklc.com/infocenter/1115.html
Fabio: potrebbe fare al caso tuo ?
ab

 attacco di brute force?
Chiedo lumi: non è possibile configurare ssh per fargli fare
l'autenticazione via chiave oltre che via password ?
In questo modo dovrebbe potersi collegare solo l'utente che possiede la
chiave, giusto ?
Non so se questo faccia al caso tuo...
ab

 nessun senso, la password di root č alfanumerica piů simboli.
Disabilita l'autenticazione con password, usa solo quella con chiave
RSA/DSA, e' la soluzione migliore.
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM1050 <<<
              YAGF Member Group >>> 
www.google.com
 <<<
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

 key + password).
Non e' una buona idea. Se lasci l'autenticazione con password, sei a
punto a capo.
Va usata SOLO quella con chiave.


 attacco di brute force?
Direi che e' estremamente improbabile. Se sei *proprio* paranoico puoi
usare l'autenticazione a chiave pubblica invece che con password, ma a
quel punto avresti il problema di portarti appresso la chiave di accesso
su un floppy o su un altro dispositivo analogo. 
-- 
Carlo Luciano
GPG ElG/DSA 4096/1024 Key: 
http://web.tiscali.it/clbianco/clbianco.asc
ID: 0x5324A0DA - Fingerprint: 8B00C61034120506111B143DEDBF71B45324A0DA

 Va usata SOLO quella con chiave.
Intendevo chiave E password, non chiave O password. Non č possibile
configurare ssh per far sě che venga richiesta la password dopo il
controllo della chiave ? Cosě se qualcuno riesce a ciufolare la chiave
gli manca sempre un pezzo :-)
ab

 RSA/DSA, e' la soluzione migliore.
e perche' mai?
Ciao
Marco

 RSA/DSA, e' la soluzione migliore.
concordo.
 
-- 
Cristiano Deana, Biella.
Solo una volta mi ha dato uno schermo blu (meglio uno
schermo blu che uno nero come debian) [cit.]

 e perche' mai?
Perche' se la chiave non e' corretta, e' sempre disponibile
l'autenticazione con password, con tutto cio' che ne deriva.


 btw, iptables e' una sicureeza in piu' in ogni caso.
non fa mai male.


 Fabio: potrebbe fare al caso tuo ?
Purtroppo per lo stesso motivo per cui non posso filtrare gli accessi per ip
non posso nemmeno utilizzare una chiave RSA/DSA, č un compromesso tra
sicurezza e flessibilitą di utilizzo.
Ciao
Fabio

 Iptables e ti levi la paura.
Il fatto è che questi servizi mi servono tutti raggiungibili da internet.
Secondo te sono troppi? Tieni conto che sono tutti servizi con
configurazioni abbastanza restrittive.
Ciao
Fabio

 su un floppy o su un altro dispositivo analogo.
Esatto, ho evitato di usare l'autenticazione a chiave proprio per questo
motivo, se una password di 8 caratteri puņ bastare direi che lascio tutto
com'č.
Ciao
Fabio

 tutto com'č.
Per la cronaca, io faccio parte dei paranoici e giro sempre con un floppy
in tasca... ;-) 


 controllo della chiave ?
E' possibile solo con SSH, distribuito da 
www.ssh.com
. Invece non e'
possibile con OpenSSH. 
Pero' con OpenSSH puoi sempre usare uno sporco trucco. Installi due demoni
sshd in ascolto, uno sull'IP pubblico che accetta solo autenticazione a
chiave pubblica e uno sul localhost che accetta solo l'autenticazione con
password. Poi configuri il primo dei due in modo che, se l'autenticazione
con chiave e' positiva, si limiti ad aprire un tunnel SSH verso l'altro
demone, che ti chiede la password. Se anche la password e' giusta, ti si
apre la sospirata finestra della shell... ;-) 
E' un po' macchinoso, soprattutto per quanto riguarda la configurazione
dei due server, pero' funziona... ;-) 


 in tasca... ;-)
Io per via della pigrizia e soprattutto la scarsa memoria (mi dimenticherei
sempre il floppy) non posso proprio utilizzare questo metodo, perň ti
capisco perfettamente ;-))
Ciao
Fabio

 capisco perfettamente ;-))
gia', infatti e' un peccato che quei portachiavi usb ;) costino
ancora tanto (e che non abbia dappertutto porte usb)
-- 
nebbia

 accessi per ip
neanche /24 o /16 in iptables a controllare i servizi (sempre
che siano servizi che vuoi raggiungere solo tu) o ssh? 
-- 
nebbia

 con configurazioni abbastanza restrittive.
Scusa, avevo frainteso il post iniziale. 
Mi pareva che ti fosse necessario SOLO ssh + apache, e che gli altri
servizi ti fossero necessari solo localmente.
Poiche' non e' cosi', se proprio non puoi disabilitarli, configurarli e
tenerli aggiornati e' l'unica cosa possibile.
Tieni pero' conto che talvolta sono aperti anche altri servizi (in tanti
casi, ad esempio, portmap) per cui magari iptables e' utile ugualmente.
io di solito perdo tempo a configurarlo (tanto e' abbastanza semplice,
se non fai NAT o MASQUERADING...)


 com'č.
Non usare una chiave ti impedisce [1] di fare il login da postazioni non
di fiducia, su cui possono essere in azione dei keylogger stealth. Penso
agli internet point, ad esempio, ma anche alla macchina del tuo cuggino,
quella con la collezione di trojan e backdoor che si e' beccato via mail
o irc, o... Io quando sono fuori voglio poter accedere alle macchine dal
posto piu' impensabile e (IMHO) la chiave e' la cosa migliore. Comunque,
e mi rifaccio ad un precedente post, l'autenticazione con chiave prevede
anche l'inserimento di una password: sarebbe un po' stupido usare chiavi
prive di password. Quindi, di fatto, usare l'accesso con chiave fornisce
gia' due dei principi per l'autenticazione: qualcosa che hai (la chiave)
e qualcosa che sai (la password). La chiave te la puoi portare sempre in
tasca (che so: un cd-r in formato credit card) oppure puoi prevedere dei 
sistemi per recuperarla immediatamente in caso di bisogno, con le dovute
precauzioni.
Fabio
[1] o, per lo meno, dovrebbe ragionevolmente impedirti.

 ha scritto nel messaggio
news:b0qsd9$fds$2...@ciemme.it...

Esatto, soprattutto per la seconda, io ne avevo visto uno da 128Mb in cui
potevo mettere le varie chiavi e parecchi dati utili ma poi se mi capita di
dover utilizzare un pc senza usb sono fregato.
Ciao
Fabio

 che siano servizi che vuoi raggiungere solo tu) o ssh?
Tutti i servizi devono essere accessibili da tutti (anche se sto pensando di
fare una specie di black list di un range di ip visto che stanno facendo un
po' troppi tentativi e non fanno altro che sprecare banda), idem purtroppo
anche per ssh visto che mi capita spesso di connettermi con differenti
provider.
Ciao e grazie
Fabio

 precauzioni.
Ehm, qui è già più difficile, dall'ftp i dati arrivano in chiaro, e quindi
non mi sembra saggio, dovrei crittografare la chiave con password (però non
è che sia tanto sicuro come metodo, imho).
Ciao
Fabio

 se non fai NAT o MASQUERADING...)
Penso che prima o poi dovrò configurarlo, infatti volevo bloccare l'accesso
al server ad alcuni ip.
Ciao
Fabio

 è che sia tanto sicuro come metodo, imho).
E chi ha parlato di ftp? Devi usare HTTPS, come minimo. La chiave, come 
ti dicevo, la dovresti criptare comunque. IMHO la protezione con la sua
password e' piu' che sufficiente. Questa chiave, se vuoi, dopo la butti
via e non ci pensi piu', soprattutto se e' stata trasferita in chiaro.
Fabio

 dei due server, pero' funziona... ;-) 
Grazie per la dritta.
Andrea

 Grazie per la dritta.
Di nulla, facci sapere com'e' andata... ;-)
Per la cronaca, il barbatrucco e' stato da me implementato su una
workstation Win2K-SP3 con l'OpenSSH di CygWin. Funziona tutto
perfettamente, ho solo qualche problema se devo fare aprire al primo sshd
altri tunnel cifrati oltre a quello verso il secondo sshd (ad esempio un
tunnel per VNC). Ma questo probabilmente e' dovuto a settaggi un po'
troppo "paranoici" del primo sshd, appena ho un attimo di tempo faccio un
po' di prove... 


 
Non credo che avrò tempo di farlo a breve, per l'intanto me lo
son segnato.
Andrea