Newsgroup: it.comp.os.linux.sys
Titolo: [OT]attacco (?) su ssh

ciao
ieri guardando i log del mio pc (che lascio acceso quasi tutto il giorno)
ho visto che in varie occasioni un certo ip ha provato qualche decina di
password per il mio serivizio ssh.
Ora... che devo fare ? mandare i log al provider ? far finta di nulla ?
mettere su iptables una regola per bloccare quell'ip ? (che però ho paura
sia dinamico quindi inutile...)


Solo una decina??? Fortunato...
Dovrebbe essere un qualche worm che prova a caso account tipici
(nomi di programmi, account amministrativi e nomi di persona).
Butta via e vivi tranquillo
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

 password per il mio serivizio ssh.
Io in genere ne trovo un centinaio, provenienti dalla Cina o sa Dio.
Copia del log all'abuse del provider ed IP nel firewall.
Davide
-- 
If I wanted Windows, I'd live in a greenhouse!

 sia dinamico quindi inutile...)
Fai un whois e metti tutta la sottorere nella regola.
Luca
-- 
<<>><<>><<>><<>><<>><<>><<<>><<>><<>><<
Luca Paredi
Computing technical supporter              
Universita' degli Studi dell'Insubria  
<<>><<>><<>><<>><<>><<>><<<>><<>><<>><<

 sia dinamico quindi inutile...)
1) se il PC è tuo puoi penissimo spegnere SSH perchè si suppone che
l'accesso da remoto non sia necessario
2) se la 1) non è fattibile, perchè non firewallare SSH dall'esterno,
indistintamente ??
3) se anche la 2) non è fattibile... perchè non usi SSH in maniera seria (e
quindi non come un telnet crittato) e usi le chiavi, settando pure :
# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication yes
??
Questo tanto per risolvere il problema alla base.
Se poi vuoi mailare l'abuse de provider fai pure.
Ma se sono cinesi dubito che otterrai risposte adeguate.
Max

 PasswordAuthentication yes
Era NO, non Yes
Max

> PasswordAuthentication no
??



man sshd_config
PasswordAuthentication
   Specifies whether password authentication is allowed.  
   The default is ``yes''.
L'autenticazione con password se metti no, quindi, non funziona piů.
Ci vuole qualche altro metodo di autenticazione.
Per scoprirli, qualche hint:
man ssh-keygen
!google "ssh key authentication"
Salumi
MAx

Ora... che devo fare ? 
A parte l'autenticazione diversa dalla password (ma alcune volte non
e' applicabile per varie ragioni), usa l'opzione AllowUsers in cui
metti pochi utenti (ovviamente non metti root) e scegli degli username
difficili da indovinare (il log dei tentativi ti da' l'idea di quali
siano i nomi facili da indovinare).
Ciao,
luigi

 metti pochi utenti 
autenticazione diversa dalla password per me non e possibile e attualmente
ho un solo utente in AllowUser (che non e root).
Stavo pensando addirittuta di fare un utente solo per ssh con la possibilita
di non accedere praticamente a nulla tranne che a 'su' verso un'altro
utente normale predefinito. e possibile fare questo senza PAM? (sono su
slack 10)

 sia dinamico quindi inutile...)
Scusa l'ignoranza ma attraverso quale utility hai potuto rilevare questo
tentativo di attacco?

 tentativo di attacco?
logwatch e' li' per quello.
Davide
-- 
AFAIR, being insane is usually a pre-requisite for becoming a
sysadmin. In the few cases where it's not pre-requisite, it's
certainly going to be a bonus.  --SIggi the Underpaid

 
fwlogwatch?
Io ho quello sulla debian.

CtRiX wrote:

Scusa l'ignoranza ma cosi' facendo ad ogni connessione e' necessario
inserire la passphrase a meno di non usare ssh-agent.
Inserire una passphrase piuttosto che una password non e' lo stesso.
Se l'autenticazione viene fatta attraverso password e la password e' debole
e' facile scoprirla ma questo vale anche per la passphrase.

in realtà:
cat /var/log/messages |grep ssh |grep -v listening |grep -v "192.168" |grep
-v "127.0.0"


 
Com'e' che io in messages non ho nessuna info su ssh?
Eppure lo uso spesso per collegarmi ai miei server, dovrei vedere almeno le
connessioni effettuate.

 


 le connessioni effettuate.
Alcune distribuzioni li mettono in /var/log/secure.
Guarda com'e' configurato syslog in /etc/syslogd.conf 
-- 
Davide Veneziano
http://www.vene.ws
ICQ# 14047537

 inserire la passphrase a meno di non usare ssh-agent.
devi avere la chiave privata e la passphrase o solo la chiave privata se non usi la passphrase.

 e' facile scoprirla ma questo vale anche per la passphrase.
Intanto la pass*phrase* non e' una pass*word* :-) E poi la passphrase
resta sul client: il server ti autentica esclusivamente tramite un
challenge tra chiave pubblica (sul server) e chiave privata, senza
trasmissione di dati sensibili, quindi la passphrase non passa tramite
internet neanche criptata. Per beccare la password devi riuscire a
leggere lo shadow sul server o intercettare il traffico di rete,
mentre per la passphrase devi accedere alla chiave privata sul client,
che magari e' conservata in una penna usb e ulteriormente
cifrata. Quanto all'algoritmo penso che per venga usato sempre md5 ma
non ne sono sicuro. In definitiva se fai attenzione alla tua chiave
privata e' molto piu' sicuro usare la passphrase.
.a.
-- 
Il mattino ha l'oro in bocca. Il MATTino ha l'OrO In bOcca.
i lma tt ino ha l'o roin bocc a.ilmattinohal'oroinbocca. il ma tt in
oh al' or oi nb oc ca. il matti noha l'oroinbocca. IL MATtiNO Ha l'ORO
InBOCCa. I l m a t t i n o  h a l' o r o i n b o c c a . ilmattinohal'oroin
BoCcA. iLmAtTiNoHaL'oRoInBoCcA.