Forum Mjukvara Linux och övriga operativsystem Tråd Inlägg

SSH attacker

1 2
Skriv svar
Permalänk
Medlem
●

Mitt sätt att bruka SSH kanske är lite överdrivet, men man sover gott om natten

+SSH körs på en annan port
+Root inloggning avstängd, lika så lösenord
+Inloggning från mitt 'username' med stark SSH nyckel

+IPtables regler som talar om vilka IPn som får ansluta till SSH porten

När man loggat in i gnome får man ange den långa och krångliga "Passphrasen" för SSH nyckel
(Sessioner -> Startprogram -> Lägg till: ssh-add /home/username/.ssh/min-nyckelfil)

I $HOME/.ssh/config ligger följande rader (dock editerade av säkerhetsskäl ):
# Server 1
Host min-domän.se
Port 45192

samt i $HOME/.bashrc
alias server1-wan='ssh -X -L 10025:smtp.bredband.net:25 -L 10110:pop.bredband.net:110 -L 8080:127.0.0.1:8080 -L 29150:127.0.0.1:29150 min-domän.se'
alias server2 osv osv

P.g.a raderna i $HOME/.ssh/config slipper man skriva så mycket när man skickar filer i 'scp' eller ansluta till en terminal utan tunnlar.

Mycket smidigt, samt känns tryggt att alltid tunnla all mail/www trafik över "osäkra" (W)LAN hem, till Debian burken.

Kanske min lösning ovan kan hjälpa någon som är "nybörjare" på SSH till en säkrare konfiguration.

Redigera
Citera flera Citera
Permalänk
Medlem
●

Hmm...verkar ju som nycklar är the way to go
Verkar ju vara helt omöjligt för någon utan fysisk tillgång till nyckeln att ta sig in (via ssh iallafall) och även om nyckeln skulle komma på vift nånstans så måste ändå lösen has till den...plus att man ju alltid kan byta om man vet med sig att man varit klantig.

Känns som 99.9% säkerhet utan att göra något mera faktiskt

Dock är det ju jobbigt att man inte kommer ifrån att vem som helst kan hamra som galningar mot port 22 och få CPU'n att jobba en massa

Såg nyss att det finns nåt (inte i min ssh dock tyvärr) "MaxAuthTries" där man kan ange antalet försök per session eller nåt. Hittar inte så mycket info om det, men det verkar ju va lite det vi letar efter här inne....eller kanske inte

Jaja, det blir väl till att skapa nycklar här då. Antar att man kan skapa dom även på servern, även om alla tutorials skapar dom på en annan burk och sen scp'ar dom till servern.

Undrar vad som händer med usernamnet dock, det har jag inte hittat något om direkt.
Alltså, om jag skapar en nyckel med puttygen från min XP-burk och så heter jag olle här, medans min user på servern är pelle, kommer nyckeln jag skapar då göra att jag bara kan connecta som olle eller skriver man som vanligt user@host när man connectar med sin nyckel sedan???

Visa signatur

CCNA sedan juni 2006

Redigera
Citera flera Citera
Permalänk
Medlem
●
Citat:

Ursprungligen inskrivet av Seb74

Undrar vad som händer med usernamnet dock, det har jag inte hittat något om direkt.
Alltså, om jag skapar en nyckel med puttygen från min XP-burk och så heter jag olle här, medans min user på servern är pelle, kommer nyckeln jag skapar då göra att jag bara kan connecta som olle eller skriver man som vanligt user@host när man connectar med sin nyckel sedan???

Det styrs av under vilket konto på linux burken du lägger ssh nyckeln
så tanka upp den på t.ex: /home/pelle och ställ in i putty:
Connection -> Data -> Auto-login username: pelle
Samt:
Connection -> SSH -> Auth -> Private key file..

så kommer det gå bra

Redigera
Citera flera Citera
Permalänk
Medlem
●
Citat:

Ursprungligen inskrivet av Seb74
Vad menar du med det? Dom verkar ju testa en jäkla massa användarnamn och sedan massa lösen på varje. Är det inte så dom gör?
Är väl ändå ingen som kan komma in med en user som inte finns, så dom MÅSTE väl gissa både user/pass alltid???

Hittar tyvärr inget här som jag tror jag klarar att fixa....vet inte ens om jag har nåt iptables eller liknande på min BSD-burk
En lösning som verkar mer på min nivå är ju att endast tillåta vissa ip-ranges....tex i routern.
Frågan är då om det finns någon ip-range som används enbart i sverige?
Ska funka både från KTH/SU, BBB, modemuppringning, samt några till dynamiska. Finns det nån range som passar in allt detta, men ändå blockar merparten av skiten utifrån?

Ofta när det kommer intrångsförsök så är det ju skumma IP'n som man inte brukar stöta på själv annars, så kanske är det lätt att filtrera bort skit utifrån.

Sen ska jag nog sätta Schedule på ssh i routern....typ från 09:00-21:00 eller så

Förresten, det är väl inte så att DoS-skydd i routern kan låsa ute sånt här? När nån håller på i en timme och testar om och om och om igen på port 22....det är inte sånt hamrande som räknas som DoS-attack???

Vissa användarnamn är givna, t.ex. root.

Redigera
Citera flera Citera
Permalänk
Medlem
●

Flera nämner det här på länken från första sidan.
"The entire thing seems automated, and as soon as the guest logs in, a local root exploit gets used to gain root access..automatism stops there though"

Jag som trodde root var säkert. Varför disablear man egentligen root-login utifrån, när ett vanligt user-konto så lätt ger tillgång till root???

Visa signatur

CCNA sedan juni 2006

Redigera
Citera flera Citera
Permalänk
Medlem
●
Citat:

Ursprungligen inskrivet av Seb74
Flera nämner det här på länken från första sidan.
"The entire thing seems automated, and as soon as the guest logs in, a local root exploit gets used to gain root access..automatism stops there though"

Jag som trodde root var säkert. Varför disablear man egentligen root-login utifrån, när ett vanligt user-konto så lätt ger tillgång till root???

Det är väl därför det kallas root exploit. Tanken är inte att det ska vara så lätt att få root.

Redigera
Citera flera Citera
Permalänk
Medlem ★
●

Ett väldigt enkelt sätt att byta port bara ut mot internet är ju att ställa in det i sin router (om man har en sådan) Port 12345 på internet > 22 local

Visa signatur

Citera mig för svar.
Arch Linux

Redigera
Citera flera Citera
Permalänk
Medlem
●
Citat:

Ursprungligen inskrivet av fog
Ett väldigt enkelt sätt att byta port bara ut mot internet är ju att ställa in det i sin router (om man har en sådan) Port 12345 på internet > 22 local

Jo, det är ju det enklaste såklart om man vill testa byta port.
Tycker iallafall alla routers borde ha nån form av skydd mot port-hamrande. Tex borde man kunna ställa in att om samma IP är på port 22 alltför frekvent så blockas det IP't tillfälligt.
Man måste ju för fan kunna skydda sig mot folk som missbrukar ens dator sådär....eller typ nån lustigkurre som får för sig att pinga som en galning. Tar ju massa bandbredd OCH cpu OCH massa loggar som fylls. Fan skandal att inget sånt skydd finns i alla routers som man sedan själv kan tweaka själv som man vill

Tycker jag då iallafall

Visa signatur

CCNA sedan juni 2006

Redigera
Citera flera Citera
Permalänk
Medlem
●
Citat:

Ursprungligen inskrivet av Svanteson
Annars kan man lägga till följande regler i iptables

iptables -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --update --seconds 60 --hitcount 3 --rttl -j DROP
iptables -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --set -j ACCEPT

Då får de tre försök, sedan blockas ipadressen i 60s. Det gjorde åtminstone mina loggar mycket kortare.

Mvh/Nicklas

Jag testade just de där reglerna och de fungerar precis som jag vill. Jag har letat ett tag efter något sådant. Tackar så mycket

En notis för det som tänker testa. Om ni använder -I för att lägga in reglerna i början av kedjan så kom ihåg att lägga in dom i bakvänd ordning, annars funkar det inte.

Redigera
Citera flera Citera
Permalänk
Medlem
●

För OpenBSD-användare fungerar detta bra:

http://legonet.org/~griffin/openbsd/block_ssh_bruteforce.html

Redigera
Citera flera Citera
1 2
Skriv svar