Newsgroup: it.comp.os.linux.sys
Titolo: tentativi di login in ssh

salve a tutti.
mi scuso se le domande che faccio sono banali, ma non sono granche'
esperto in sicurezza...
oggi ho spulciato l'auth.log del mio server e ho visto che ha ricevuto un
sacco di tentativi di login con ssh.
posto qualche esempio:
19:45:05 antani sshd[25006]: Failed password for root from ::ffff:218.36.
XXXXXX port 40410 ssh2
Sep 12 19:45:09 antani sshd[25009]: Failed password for root from ::ffff:218.36.
XXXXXX port 40502 ssh2
Sep 12 19:45:13 antani sshd[25011]: Illegal user test from
::ffff:218.36.XXXXX
 Sep 12 19:45:13 antani sshd[25011]: error: Could not
::get shadow information for NOUSER
Sep 12 19:45:13 antani sshd[25011]: Failed password for illegal user test
from :
:ffff:218.36.XXXXXX port 40594 ssh2
[non ho inserito l'ip perche' ho letto sul NG che non si dovrebbe fare]
come vedete, ha provato con vari user, con varie porte e non ci e'
riuscito. 
ho controllato a chi appartiene l'ip: e' una grande corporation asiatica...
ora come e' possibile?
cosa posso fdare per tutelarmi un po' di piu'?
come detto non sono esperto in materia...
grazie
-- 
Mr.Orange							       
antani _chiocciolina_ gmail _punto_ com		
orangeek dot homelinux dot org

aggiungo una cosa:
ho trovato altri tentativi (non  ho controllato pero' nei log gzippati) e
n: alcuni da amsterdam altri dalla stessa corporation asiatica...
mi chiedevo:
-esiste un prog che analizza i log (anche i gz) di ssh e mi mostra chi e
quando si e' collegato? in particolare mi interessava poter escludere
dalla visualizzazione tutti i login da 10.0.0.x (la mia LAN). una specie
di grep -v ...


 cosa posso fdare per tutelarmi un po' di piu'?
non usare password stupide... :-P

 non usare password stupide... :-P
questo l'avevo immaginato...:D
pensavo anche ad impedire accesso da root in ssh (cioe' solo una volta
fatto il login e' possibile diventare root con su) e di cambiare la porta
utilizzata, anche se ho visto nei log che quello ha provato a loggarsi con
ssh su varie porte...
vedro'...


 cosa posso fdare per tutelarmi un po' di piu'?
Chiudi ssh se non lo usi dall'esterno, altrimenti assicurati di
non avere password idiote.
Davide
-- 
Today is the first day of the rest of the mess

 -esiste un prog che analizza i log (anche i gz) di ssh e mi mostra chi
logwatcher
Davide
-- 
We are going to give a little something, a few little years more, to
socialism, because socialism is defunct.  It dies all by itself.  The
bad thing is that socialism, being a victim of its ... Did I say
socialism?
		-- Fidel Castro

 
purtroppo non posso chiudere ssh dall'esterno; mi puo' servire.
cambiare la porta puo' servire a qualcosa?
le password non dovrebbero essere idiote...


 Pensato mai di passare a conoscere i lieti misteri di ssh-keygen?
beh...
le chiavi ssh le uso per loggarmi dalla macchina principale al
serverino... onde evitare ogni volta user e passwd. il fatto e' che a
volte mi loggo da macchine windows all'esterno con putty; dovrei vedere
come fare a portarmele dietro (non ho chiavette usb e gmail non mi sembra
cosi' sicuro...:) e se putty le puo' usare...


> cambiare la porta puo' servire a qualcosa?
Scommetto che se ci pensi fino a sudare ci arrivi da solo...

 cosi' sicuro...:) e se putty le puo' usare...
dai su che una chiavetta da 64MB ora costa una sciocchezza!
-- 
Giorno^3

 come detto non sono esperto in materia...
Ciao,
io ho limitato gli accessi agli IP europei, poiche' sono sicuro di dover
usare l'ssh solo dall'italia (volendo si potrebbe limitare agli IP
italianai, ma non ho una lista...)
Non e' una soluzione, ma un po' aiuta...
Gabriele

 dalla Cina.
Beato te :-(
debian:/var/log# cat auth.log.0 |grep ssh |grep Failed |wc -l
    2671
Di questi 2652 sono da uno stesso ip, proveniente sa Berlino, solo nella 
giornata di ieri!!!!
Comunque anche gli altri log riportano valori simili, e oggi pare che e' la 
volta di Santa Monica (Stati Uniti). :-)
Comunque fino ad oggi nonostante tutti questi tentativi non ho mai avuto 
problemi, se la password e' tosta ssh resiste.
Ciao.
---
Outgoing mail is certified Virus Free.
Checked by AVG anti-virus system (
http://www.grisoft.com
).
Version: 6.0.760 / Virus Database: 509 - Release Date: 10/09/2004 

 fatto il login e' possibile diventare root con su) e di cambiare la porta
beh, questa dovrebbe essere una scelta di default per qualsiasi macchina
accetti ssh da host non assolutamente fidati...
-- 
cat: .signature: No such file or directory

 
Ma scusa, non è uno spostare il problema?
Se posso loggarmi poi posso fare su per brutalizzare la macchina, oppure 
provare a fare qualche buffer overflow
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

 Gabriele
beh, e' gia' qualcosa... ma da ssh, dal firewall o dal router?
dove posso controllare la class di ip italiana?




ma non me ne farei veramente di nu c***o...:D


 accetti ssh da host non assolutamente fidati...
appunto...:D


 provare a fare qualche buffer overflow
si, ok, ma:
1) root si chiama uguale su qualsiasi unix. Imbroccare per bruteforce la
sua password, a parità di complessità della stessa, è statisticamente
più facile di imbroccare una coppia user/pass, per quanto poco voglia
dire...
2) vietare l'accesso diretto a root via ssh significa poter
tracciare *chi* sta usando l'accesso a root. Se invece lo consenti sai
solo *da dove* si è collegato. E ne passa...
3) i buffer overflow sono un problema che sta da un'altra parte, e le
soluzioni stanno nel mantenere aggiornato il SW passibile di BOF,
indipendentemente da chi accede a cosa...


 e se putty le puo' usare...
Puo`.
-- 
Vuoi fare colpo su di lei con me?
Fai colpo su di lei con me! Fai colpo su di lei con me!
[Dr. Gonzo : Paura e delirio a Las Vegas]

 italianai, ma non ho una lista...)
Hai un'elenco di IP europei?



http://www.iana.org/assignments/ipv4-address-space
quelli associati al ripe sono europei
Ciao
Gabriele

 Ma leggi quando ti rispondono, almeno??
ti rigiro la domanda:
Ma leggi quando rispondono, almeno?? :)
ho solo detto che non mi andava di comprare una chiavetta (per quanto
costi poco) solo per il problema di ssh...
o forse la tua domanda faceva riferimento a qualcos'altro?


ringrazio tutti per i consigli.
ho creato (e uso) le chiavi per l'accesso locale e configurero' ssh per
non accettare login da root da esterno (o in generale, se non e' possibile
specificare).Usero' password sicure, come sempre, e daro' un occhio piu'
spesso ai log...


 poi tanto, alla fine.
mi sembra chiaro e naturale (vorrei anche vedere! :) che non te ne freghi
piu' di tanto.
altrettanto chiara mi sembra la mia frase: "non me ne farei di niente"
(oltre ovviamente all'uso per le chiavi ssh).
mah.


 questo: 
http://the.earth.li/~sgtatham/putty/latest/alpha/puttygen.exe
Esattamente, dato che il formato delle chiavi di putty non e' compatibile 
con quello OpenSSH, quindi se la chiave viene generata con ssh-keygen putty 
non lo importa, a meno che sempre con puttygen non carichi la chiave e glie 
la fai convertire.


 fermata, sta per passare il tram a cui puoi attaccarti.
[questa e' veramente folle...]
scendi dal piedistallo!
dove avrei sbagliato? nel dire che "non mi serve ad un c***o la
chiavetta"?? devo per forza rispondere "si', la compro!" ?? fortuna che
nessuno mi ha consigliato (ovviamente giorno^3 non c'entra nulla con
questa storia) di comprarmi un Ipod "cosi' la chiave ssh la trasferisci +
veloce", altrimenti avrei dovuto spendere 400euro! almeno la chiavetta
64mb costa poco...
mi sa che proprio che "t'ho beccato" in un momento sbagliato... sarai in
quei giorni penso. e cmq la "minaccia" di non rispondermi piu' e'
ridicola...
ciao ciao 
[ricordati di mettermi nel tuo scorefile; memorizzalo su una chiave usb,
cosi' te lo puoi portare dietro e non vedrai mai i miei msg]


 quelli associati al ripe sono europei
Si, hai ragione, intendevo IP europei non italiani.
Ciao


 solo *da dove* si è collegato. E ne passa...
E significa anche tracciare *chi* ha cancellato i log? >-)
Io ho "AllowUsers ..." e non ho incluso "root" nell'elenco, cmq, in debian, 
attualmente il default e` "PermitRootLogin yes"...
Ciao,
gc :-)

 E significa anche tracciare *chi* ha cancellato i log? >-)
Ecco che si inserisce il fantomatico syslog server... :-P
