Newsgroup: it.comp.os.linux.debian
Titolo: [sicurezza] squeeze colabrodo ?!?

Salve,
qualche giorno fa ho installato una VM con Debian GNU/Linux 6.0.7, ho 
aggiornato l'installazione immediatamente e abilitato (sul router) il 
PAT per il servizio SSH (che mi serve raggiungere dall'esterno).
Ora trovo col last:
 
root     pts/2        adsl-ull-78-213. Sun Mar 24 22:10 - 22:27  (00:16)
 
ï¿œ mai possibile che qualcuno abbia fatto login via SSH dall'esterno 
sulla mia VM ??!
 
Mi sembra impossibile, spiegatemi cosa potrebbe essere successo, ho 
sempre creduto che sia abbastanza difficile bucare una distro recente e 
aggiornata... cosa ne dite ?
 
Grazie,
 
Notte
 
 
 
 

 sulla mia VM ??!
 
Qual'era la password ?
 
-- 
Stefano L.

 Qual'era la password ?
 
Mi lancio:
root
admin
pippo
ciccio
debian

 debian
 
Ma soprattutto, chi ha abilitato il login di root su ssh? Di default è 
disabilitato, per cui occorre prima fare login con un utente normale e 
poi scalare con "su" a root una volta loggati.
 
-- 
Massimo Bacilieri AKA Crononauta

 disabilitato,
 
Su squeeze,a memoria ti direi il contrario, ne sono quasi certo.


No, lo pensavo anche io.
Di default Debian lo abilita. Bisogna disabilitarlo in sshd_config.
 
Il che mi è sempre parso strano, visto che in fase di installazione ti 
chiede comunque un utente "normale".
 
Però, per esempio, quando installi un server su Hetzner con le loro 
"ISO", non c'è nessun utente normale, solo root.
 
Bye.

 aggiornata... cosa ne dite ?
 
La sicurezza la fa il sistemista non la distribuzione.

 Ehm... senza apostrofo! :-O
 
Hai ragione, (e sei anche pignolino)     :-)
 
-- 
Stefano L.

 Qual'era la password ?
 
123stella_
 
 

 La sicurezza la fa il sistemista non la distribuzione.
 
Stai semplicemente pontificando o puoi dare qualche riscontro oggettivo 
che permetta di entrare nel merito del problema ?
 
Se fosse veramente necessario un hardening del sistema ogni volta che si 
espone un sshd su internet c'è un bisogno di altro che un sistemista...
 
 

 espone un sshd su internet c'è un bisogno di altro che un sistemista...
 
Guarda, la disabilitazione di ssh per root non è proprio da considerarsi 
hardening, o almeno lo è di livello infimo. 
Se ti bucano un utente, ci vuole poco, dopo, a bucare root.
 
La cosa da disabilitare è l'utilizzo di login attraverso password in toto.
I miei ssh usano solo chiavi, se affacciati su internet (insieme a 
fail2ban). Se il livello di paranoia sale, puoi anche metterli in ascolto 
su porte diverse da quella standard, ma a me con le sole chiavi non è mai 
successo niente.
 
 
Tornando alla domanda iniziale, se ci fosse una debolezza , non sarebbe 
certo da attribuire a debian, ma al protocollo stesso (ok, a parte lo 
svarione che successe qualche anno fa con openssh per etch), cosa che non 
mi pare il caso.
 
 
 
 

 mi pare il caso.
 
Potrebbe essere qualcosa anche di un pò più sofisticato e che sfrutta 
una complessità di fattori.
 


Non mi pare il massimo della sicurezza...
 
Non ho pensato a chiederlo prima, nei log vedi un attacco vocabolario ?
 
 
-- 
Stefano L.

 che permetta di entrare nel merito del problema ?
 
 
Il riscontro oggettivo è che qualcuno nel thread ti ha chiesto se eri 
stato vittima di un attacco basato su vocabolario e ancora non hai dato 
risposta.
 
Io ho diverse macchine debian esposte su internet. Alcune fanno da 
honeypot. Non c'è verso di entrare da SSH a meno di non avere password 
banali e hackabili in poco tempo.
 
Questo problema è facilmente risolvibile in fase di installazione non 
abilitando l'accesso come root ed impostando password complesse (tempo 
richiesto 30 secondi).
In fase post installazione con un semplice "apt-get install fail2ban" si 
risolve il problema del bruteforcing e disabilitando l'accesso con 
password (e magari anche quello di root) si eliminano altre cause di 
intrusioni. (tempo richiesto 2 minuti).
(*)
 
Come vedi, se si sa dove mettere le mani i metodi per prevenire ci sono 
tutti e la sicurezza la fa l'uomo e non la distribuzione che non può 
nulla contro l'idiozia di impostare password di root come "pippo".
 
Quanto al post-intrusione, esistono un fottio di log che potresti 
consultare (e condividere, se vuoi una mano).
 
Il fatto che tu li abbia ancora sull'HD e che nessuno li abbia cancellati 
o svuotati (nemmeno l'auth.log o il last) mi fa pensare che o l'intruder 
era un incapace (vedi sopra sulle responsabilità) perchè lascia in chiaro 
il suo IP oppure era un bot che ha usato un attacco a dizionario (vedi 
sopra per le responsabilità) oppure sei un troll (**).
 
 
 
In generale, quindi, squeeze non è un colabrodo.
 
 
 
(*) Poi puoi anche fare hardening con selinux, grsec, iptables e chi più 
ne ha più ne metta...
 
(**) Esiste anche la remota possibilità che le radiazioni nucleari in 
quella zona siano troppo alte.
 


No... la VM era compromessa per cui l'ho rimossa

> Se ti bucano un utente, ci vuole poco, dopo, a bucare root.
 
La sicurezza multiutente pluridecennale di unix/linux  distrutta in un post ?
 
Direi che sarebbe meglio dettagliare non ti pare ?
 
 
Giulia
PS: E un bel pezzo che non sento parlare di privilege escalation nemmeno in windows , a meno di rarissimi bug zero day (ma proprio rarissimi).
 
Giulia
 

 in windows , a meno di rarissimi bug zero day (ma proprio rarissimi).
 
Per fortuna... io ï¿œ da meno una settimana.... e non parlo chiaramente di
roba letta su misteriose mailing list ad accesso riservatissimo, ma di
cose pubblicamente disponibili a tutti e pubblicate su una rivista
elettronica divulgativa come LWN.
 
http://lwn.net/Articles/543273/
 
 
 
-- 
Flavio Visentin
 
Scientists discovered what's wrong with the female brain: on the left
side, there's nothing right, and on the right side, there's nothing left

 No... la VM era compromessa per cui l'ho rimossa
 
Male. Prima spegnere, poi analizzare ed infine buttare
 
Enrico

 default per sshd con acceso root abilitato MI FIDO
 
Male. Prima controllo, poi valuto ed infine decido se fidarmi o meno
 
Enrico

 un utente consente una rapida pe a root... ï¿œ un dato di fatto.
 
Visto che l'OP parlava di una debian aggiornata appena installa e quindi i presupposti sono sono falsi(e' sicuramente nel 50% che non lo consente),
siccome ex falso quodlibet direi di chiuderla qui , per non impegolarci come sempre in discorsi capziosi.....
 
Giulia
 
 

RISOLTO: avevo memorizzato l'accesso su JuiceSSH nel cellulare e a cena 
un mio collega si era messo a pistolare col MIO telefono attivando la 
connessione.
 


colabrodo il tuo cellulare dunque... la prima regola e' la sicurezza
fisica degli apparati, la seconda e' MAI memorizzare la password di root
su dispositivi mobili..


Ottimo.


LOL, quindi hai piallato una macchina non compromessa ritenendola tale ?