Newsgroup: it.comp.os.linux.sys
Titolo: ho avuto paura

 Ciao a tutti,
ho messo su un piccolo router / firewall con una macchina linux che
serve una rete locale di una ventina di pc. Ho usato iptables ed ho
loggato quasi tutto. Da quando ho messo in funzione il sistema (circa
quattro mesi) non vi è stato mai neanche un tentativo di intrusione
dall'esterno, anche perchè le porte esterne erano tutte chiuse.
Siccome tale sistema si trova presso una sede remota della nostra
azienda ho pensato di usare openssh per potermi collegare dal mio
ufficio e fare amministrazione da remoto in maniera sicura. Ho usato le
chiavi RSA con la chiave privata protetta da passwd ed ho disabilitato
la passwd sul server ssh, così che posso entrare solo io dal mio pc.
Ho aperto la porta 22 in ingresso e, come per il resto, ho messo un log
in iptables anche per gli accessi ssh in ingresso. Con mio grande
stupore il giorno dopo ho trovato già una ventina di tentativi di
accesso. Ed ho avuto paura.
Ma sono solo tentativi? Sono macchine che provano a casaccio e dove
trovano la porta aperta tentano?
Vorrei sapere da voi se il sistema da me adottato di chiavi RSA è
sufficiente ad evitare l'intrusione di altri nella macchina o se c'è
ancora qualcosa che può garantire meglio la sicurezza.
Grazie per i consigli.

 ancora qualcosa che può garantire meglio la sicurezza.
E` generalmente sufficiente, ma se vuoi tenere i log e scoraggiare i meno
intraprendenti, sposta sshd su una porta diversa (sopra la 1024).
Bye.

 Grazie per i consigli.
YW
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 Grazie per i consigli.
Se hai un ip mittente fisso (o un set di ip definito) abilita solo 
quello a connettersi tramite ssh e risolvi il problema.

 ancora qualcosa che può garantire meglio la sicurezza.
guarda a livello di sicurezza non cambia nulla , ma solo per ripulire i log
basta che cambi la porta dell' ssh , spariscono completamente tutti i
tentativi......
-- 
- Davvero?  Con tre medici che lo curavano Giorgio e' morto?
- Come poteva farcela da solo contro tre?
                -- Calendario di Frate Indovino

Rispondo qui un po' a tutti.
Purtroppo non ho un ip mittente statico, altrimenti avrei permesso
l'accesso solo dal mio indirizzo. Stavo pensando di usare un ddns ma mi
sa che è peggio ancora.
Ora proverò a cambiare la porta su cui è in ascolto sshd. Può andar
bene una sopra la 10000 o c'è anche qui qlc precauzione da adottare?
Grazie infinite a tutti voi.

Ciao,
oltre a cambiare la porta di ascolto di ssh ti consiglio anche
DenyHost (
http://denyhosts.sourceforge.net/
).
remigio ha scritto:


 
un po' meno paranoico (senza sync):
blockhosts
ciao

 Grazie per i consigli.
avevo letto qualcosa di interessante al riguardo in merito al sistema di 
generazione delle chiavi ma adesso non ho tempo di andare a cercare 
appena posso lo faccio cmq segui i consigli che ti hanno dato... cambia 
porta la porta di default (> 1024), disabilita l'accesso come root (non 
si sa mai !!!)
markus
-- 
"sposarsi è il modo migliore per risolvere in due problemi che da solo 
non avresti avuto MAI !!!!" 	[anonimo... nn tanto]

 Ed ho avuto paura.
Personalmente mi e` successa una cosa del genere su di un server di
produzione, e piu` che paura mi sono sentito onorato. Addirittura, quel
giorno mi sono stilato una bella classifica sulla provenienza degli
attacchi (si, hanno vinto i cinesi seguiti dai brasiliani - o dai lituani,
non ricordo... -). Sono incosciente? Oppure sono sicuro che la
configurazione di ssh (tre utenti con una shell valida, tutti e tre con
certificato con chiave) e` abbastanza robusta per resistere a qualsiasi
genere di attacco remoto?
Enrico
P.S. si, lo so, il social engineering funziona sempre...

 trovano la porta aperta tentano?
Sì, basta guardare gli utenti coi quali viene tentato login: root,
admin, john, jack, mary e via dicendo.
Sono solo tentativi di login, non si possono neanche definire "tentativi
di intrusione" perché non cercano di sfruttare alcuna debolezza o bachi
del sistema. Semplicemente, cercando di sfruttare la stupidità di
qualche amministratore che abbia usato utenti banali con password
ridicole.
Per difendersi da questi basta impostare l'accesso ssh a un gruppo
ristretto di utenti, e iscrivere gli utenti cui si vuole permettere
l'accesso a questo gruppo.
Tranquillo, i pericoli sono altri!
-- 
Massimo Bacilieri AKA Crononauta 
ICQ:4005815

 
Quali, per esempio?

 Grazie infinite a tutti voi.
prego, ciao
--
Ranger!

 --limit 1/min --limit-burst 3 -s 
222.252.0.0/16
 -j ACCEPT
Carino questo! :-D
In generale, per configurazioni semplici,
mi sono trovato bene a partire da qui:
http://easyfwgen.morizot.net/gen/
Ti generi una prima bozza che poi rifinisci a mano.

 bene una sopra la 10000 o c'è anche qui qlc precauzione da adottare?
Gia' che ci sei, scegli una porta che non si trovi in nmap-services.
Fabio