abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
dnes 18:30 | Komunita

Jednodeskový počítač Raspberry Pi slaví již 5 let. Prodej byl spuštěn 29. února 2012. O víkendu proběhne v Cambridgi velká narozeninová party. Na YouTube bylo při této příležitosti zveřejněno video představující zajímavé projekty postavené na Raspberry Pi.

Ladislav Hagara | Komentářů: 0
dnes 18:30 | Nová verze

Byla vydána verze 2017.1.1 svobodného multiplatformního leteckého simulátoru FlightGear. Kódový název a výchozí letiště této verze je Bergen. Přehled novinek v Changelogu.

Ladislav Hagara | Komentářů: 0
dnes 10:50 | Zajímavý software

Mozilla.cz informuje o dvou nových experimentálních funkcích v programu Firefox Test Pilot (zprávička). Snooze Tabs slouží k odkládání panelů na později. Pokud vám někdo pošle odkaz, ale vy nemáte čas si stránku hned přečíst, můžete si naplánovat otevření panelu na později. Stačí kliknout na tlačítko a vybrat, kdy chcete panel otevřít. Firefox panel schová a ve vybraný čas znovu otevře. Pulse umožňuje ohodnotit, jak dobře stránka funguje, např. jak rychle se ve Firefoxu načetla. Podle nasbíraných hodnocení pak bude Mozilla prohlížeč ladit.

Ladislav Hagara | Komentářů: 6
dnes 02:00 | IT novinky

V Barceloně probíhá veletrh Mobile World Congress 2017. Nokia na něm například představila (360° video na YouTube) novou Nokii 3310 (YouTube). BlackBerry představilo BlackBerry KEYone (YouTube) s QWERTY klávesnicí. LG představilo LG G6 (YouTube). Huawei HUAWEI P10 a P10 Plus. Samsung představil tablet Galaxy Tab S3.

Ladislav Hagara | Komentářů: 1
včera 14:00 | Nová verze

Komunita kolem Linuxu From Scratch (LFS) vydala Linux Linux From Scratch 8.0 a Linux From Scratch 8.0 se systemd. Nové verze knih s návody na instalaci vlastního linuxového systému ze zdrojových kódů přichází především s Glibc 2.25 a GCC 6.3.0. Současně bylo oznámeno vydání verze 8.0 knih Beyond Linux From Scratch (BLFS) a Beyond Linux From Scratch se systemd.

Ladislav Hagara | Komentářů: 0
včera 11:11 | Nová verze

Byla vydána verze 0.10.0 webového prohlížeče qutebrowser (Wikipedie). Přehled novinek v příspěvku na blogu. Vývojáři qutebrowseru kladou důraz na ovladatelnost pomocí klávesnice a minimální GUI. Inspirovali se prohlížečem dwb a rozšířeními pro Firefox Vimperator a Pentadactyl. Prohlížeč qutebrowser je naprogramován v Pythonu a využívá PyQt5. Zdrojové kódy jsou k dispozici na GitHubu pod licencí GNU GPL 3.

Ladislav Hagara | Komentářů: 31
25.2. 16:22 | Nová verze

Po pěti měsících od vydání Waylandu a Westonu 1.12.0 oznámil Bryce Harrington (Samsung) vydání Waylandu 1.13.0 a Westonu 2.0.0.

Ladislav Hagara | Komentářů: 6
24.2. 13:37 | Bezpečnostní upozornění

Společnost Cloudflare (Wikipedie) na svém blogu potvrdila bezpečnostní problém s její službou. V požadovaných odpovědích od reverzní proxy byla odesílána také data z neinicializované paměti. Útočník tak mohl získat cookies, autentizační tokeny, data posílaná přes HTTP POST a další citlivé informace. Jednalo se o chybu v parsování HTML. Zneužitelná byla od 22. září 2016 do 18. února 2017. Seznam webů, kterých se bezpečnostní problém potenciálně týká na GitHubu.

Ladislav Hagara | Komentářů: 1
24.2. 08:22 | Nová verze

Byla vydána první beta verze Ubuntu 17.04 s kódovým názvem Zesty Zapus. Ke stažení jsou obrazy Kubuntu, Lubuntu, Ubuntu Budgie, Ubuntu GNOME, Ubuntu Kylin, Ubuntu Studio a Xubuntu. Dle plánu by Ubuntu 17.04 mělo vyjít 13. dubna 2017.

Ladislav Hagara | Komentářů: 58
23.2. 17:53 | Bezpečnostní upozornění

Google na svém blogu věnovaném počítačové bezpečnost informuje o nalezení "reálného" způsobu generování kolizí hašovací funkce SHA-1. Podrobnosti a zdrojové kódy budou zveřejněny do 90 dnů. Již dnes lze ale na stránce SHAttered nalézt 2 pdf soubory, jejichž obsah se liší a SHA-1 otisk je stejný (infografika).

Ladislav Hagara | Komentářů: 41
Jak se stavíte k trendu ztenčování přenosných zařízení (smartphony, notebooky)?
 (13%)
 (2%)
 (72%)
 (3%)
 (10%)
Celkem 727 hlasů
 Komentářů: 68, poslední dnes 07:29
    Rozcestník

    Dotaz: Zabezpeceni sluzby pred hadanim hesla

    26.1.2005 00:05 petr_p
    Zabezpeceni sluzby pred hadanim hesla
    Přečteno: 322×
    Uz delsi dobu pozoruji, ze se obcas nejaky robot snazi hadat hesla k uctum pres ssh. Nekteri roboti zkousi jen roota, jini ruzne systemove ucty a jiny osobni jmena bezna v anglofonnich zemich. Utok obvykle trva minutu az nekolik hodin s frekvenci 0.5 tipu za sekundu.

    Zjimalo by me, zda nekdo neresil podobny problem. Hledal jsem ruzne po netu, nekdo si pise vlastni PAM moduly, nekdo vyuziva netfilter, jini parsuji logy ssh demona. Nekteri doporucuji port-nocking.

    Jiste ze nejjednodussi ochranou jsou silna hesla, ale pokud se nebudu aktivne branit, je to jen otazka casu. Zatim problem resim manualnim blokovanim vybranych IP nalezenych v logu.

    Predevsim mi jde o detekci utoku, naslednou protiakci si uz dokazu zajistit.

    PS: Pokud nekoho taha za usi zivotny robot, tak verte, ze zase me vadi nezivotna forma.

    Odpovědi

    26.1.2005 00:24 Michal Čihař | skóre: 61 | blog: Bláboly | Praha
    Rozbalit Rozbalit vše Re: Zabezpeceni sluzby pred hadanim hesla
    No já jsem to "vyřešil" přístupem jen z povolených IP ... a až někam pocestuju, tak konečně rozběhám portknocking :-)
    26.1.2005 00:48 rho
    Rozbalit Rozbalit vše Re: Zabezpeceni sluzby pred hadanim hesla
    Dalsi typ: presun ssh na iny port mimo "standardny scan range" napr. 22222 a nahod portsentry.
    26.1.2005 00:52 jm
    Rozbalit Rozbalit vše Re: Zabezpeceni sluzby pred hadanim hesla
    Zakazat prihlasovani heslem. ;-)
    26.1.2005 01:01 Michal Čihař | skóre: 61 | blog: Bláboly | Praha
    Rozbalit Rozbalit vše Re: Zabezpeceni sluzby pred hadanim hesla
    To je samozřejmě rozumné tak jako tak, ale ty roboti se stejně připojujou, potvory :-)
    26.1.2005 08:05 Zdeněk Polách | skóre: 4
    Rozbalit Rozbalit vše Re: Zabezpeceni sluzby pred hadanim hesla
    No, od doby, co jsem SSH poslal na jiny port nez 22, tak mam od toho shitu klid - do te doby mi logy rostly jak dive. Mimochodem, sledoval jsem jak roste seznam jmen, se kterymi to ta trubka zkousi, - (podle mne zkousi jen jmena bez hesla, zadna hesla se neoveruji, alespon log o tom nic nerika ) a prubezne roste - vychazim pri tom z uvahy, ze kdyz nekde uspeje, prida to na list toho, co bude dal zkouset :) To by clovek neveril, ze muzou jeste ted na siti existovat stroje s SSH a uzivateli bez nastavenych hesel (s nastavenym shellem, samozrejme :))) :)
    26.1.2005 09:15 jm
    Rozbalit Rozbalit vše Re: Zabezpeceni sluzby pred hadanim hesla
    Jo, to muzu potvrdit, dokud SSH bezelo na portu 22, tak toho byly v logu mraky. Ten port knocking vypada zajimave, ale zatim moje nadseni nikdy nedospelo do faze realizace. :-)
    26.1.2005 08:51 Zdeněk Štěpánek | skóre: 57 | blog: uz_mam_taky_blog | varnsdorf
    Rozbalit Rozbalit vše Re: Zabezpeceni sluzby pred hadanim hesla
    Zdravim

    Na muj firewall se taky dobejvaj, zatim neuspesne. Uctu tam je par a rozhodne nemaji anglicka jmena. Osobne si myslim ze nejaka hesla zkouseji, ale asi stejne jako prihlasovaci jmeno, ale jistej si vubec nejsem, log si uz nepamatuju.

    Jednoduchy automaticky reseni podle me je jednou za den grepnout log na radky s neuspesnymy prihlasenimi, vytahnout z toho IP adresy, vyhazet ty co tam jsou min nez 5krat (to asi nebude robot) a zbytek zablokovat.

    Zdenek
    www.pirati.cz - s piráty do parlamentu i jinam www.gavanet.org - czfree varnsdorf
    26.1.2005 10:51 petr_p
    Rozbalit Rozbalit vše Re: Zabezpeceni sluzby pred hadanim hesla
    Dekuji za reakce. Asi jsem opomenul prozradit, ze se nejedna o osobni pocitac ale o server, i kdyz ponekud komorni.

    Z toho plynou jista omezeni. Napr. nestandardni port nebo port-knocking neni zrovna sikovna vec (to si budu krome hesla jeste pamatovat, ktery server pouziva jaky port a odemykaci sekvence?). Zakazat autentizaci heslem je pekna myslenka, ale kdo s sebou nosi soukromy klic? To spis mam u sebe fingerprint serveru.

    Vlastne vsechny tyto metody zvetsuji mnozstvi informaci, ktere utocnik musi znat, cimz je obtiznejsi je uhodnout. Takze jsou ekvivalenti dostatacne dlouhemu klici.

    Proto si myslim, ze smysl ma detekovat utok a ten zablokovat. Jde mi spise o konkretni realizaci. Libilo by se mi napr. behem 10 neuspesnych pokusu odhalit utocnika a zablokovat jej na 2 dny.

    Ochranny systestem by mel umet urcit IP klienta, pocet bezprostredne predchazejicich souvislych neuspesnych pokusu, mozna jmeno uctu, o ktery se snazi. Na zaklade techto informaci by mel byt schopny napr. spustit externi skript. Vidim to na PAM nebo primo SSH demona.

    Znate neco podobneho?
    27.1.2005 01:23 jm
    Rozbalit Rozbalit vše Re: Zabezpeceni sluzby pred hadanim hesla
    No ja nevim, treba snortsam. Ad pam nebo sshd - to jsem nejak nepochopil, jak by to melo fungovat.
    27.1.2005 10:20 petr_p
    Rozbalit Rozbalit vše Re: Zabezpeceni sluzby pred hadanim hesla
    Blokovani na zaklade TCP neni dobre, protoze to sebou vezme i regulerni uzivatele, kteri se uspesne autentizuji. Proto onen detekcni system musi znat historii neuspesnych pokusu. A protoze ssh relace je sifrovana, tak detekce se musi delat az po rozsifrovani relace, tnz. v sshd nebo PAM nebo parsovani logu (coz bude prozatim asi nejjednodussi).
    27.1.2005 11:11 jm
    Rozbalit Rozbalit vše Re: Zabezpeceni sluzby pred hadanim hesla
    Uprimne receno, nevidim v tom zadny rozdil. Pokud to budete delat pres PAM, tak nastava naprosto stejny problem - pokud se nekdo bude opakovane prihlasovat se spatnym heslem na ten uzivatelsky ucet, tak bude ucet na nejakou dobu nebo trvale zablokovan a zadne zadani spravneho hesla opravnenemu uzivateli nijak nepomuze. (Myslel jsem samozrejme blokovani prihlasovani z konkretni IP adresy, ne blokovani portu jako takoveho.)
    27.1.2005 12:58 petr_p
    Rozbalit Rozbalit vše Re: Zabezpeceni sluzby pred hadanim hesla
    Ano, v kontextu par uzivatelu, jak to vidite vy, to je ekvivalnetni. Chtel jsem najit ponekud robusnejsi reseni.

    Napr. kdyz se nekdo prihlasuje hodne rychle za sebou a vzdy korektne nebo ma sever mnoho uzivatelu hlasicich se z jednoho stroje, nastavala by casto false-positive hodnoceni. Ale uznavan, ze je to trochu vykonstruovana situace.

    Uznavam, ze mam prehnane naroky a dekuji za radu. Misto snortu pak staci netfiltrovy limit. Vyzkousim a poreferuji.
    27.1.2005 13:55 Tomáš Hála | skóre: 39 | blog: blog
    Rozbalit Rozbalit vše Re: Zabezpeceni sluzby pred hadanim hesla
    To je typická úloha pro nějaký Intrusion Detection System. Zkus třeba Snort..
    27.1.2005 17:50 petr_p
    Rozbalit Rozbalit vše Re: Zabezpeceni sluzby pred hadanim hesla
    Tak jsem se vyzkousel netfilter, modul recent:
    -A ssh-attack-block -m recent --remove --name SSH-ATTACK-SUSPECTED --rsource -j LOG --log-prefix "SSH atack:" 
    -A ssh-attack-block -m recent --set --name SSH-ATTACK-BLOCKED --rsource -j REJECT --reject-with icmp-host-prohibited 
    -A ssh-attack-unblock -m recent --remove --name SSH-ATTACK-BLOCKED --rsource -j ACCEPT 
    -A stop-ssh-attack -m recent ! --rcheck --seconds 3600 --name SSH-ATTACK-BLOCKED --rsource -j ssh-attack-unblock 
    -A stop-ssh-attack -m recent --rcheck --name SSH-ATTACK-BLOCKED --rsource -j REJECT --reject-with icmp-host-prohibited 
    -A stop-ssh-attack -m recent --update --seconds 30 --hitcount 5 --name SSH-ATTACK-SUSPECTED --rsource -j ssh-attack-block 
    -A stop-ssh-attack -m recent --set --name SSH-ATTACK-SUSPECTED --rsource -j ACCEPT 
    
    Vstupni podminka vypada takhle:
    -A internet -p tcp -m tcp --dport 22 -m state --state NEW -j stop-ssh-attack 
    
    Asi by to bylo jednodussi s dst_limit, ale co. Princip spociva v tom, ze kazdy novy klient je oznacen za podezreleho (recent seznam SSH-ATTACK-SUSPECTED). A kdyz do 30 sekund stejny klient navaze 5 spojeni, je zablokovan na 1 hodinu (seznam SSH-ATTACK-BLOCKED).
    27.1.2005 20:42 Martin Čížek | skóre: 20 | Praha
    Rozbalit Rozbalit vše Re: Zabezpeceni sluzby pred hadanim hesla
    No třeba v mých podmínkách by to bylo dost problematické - občas se na server připojim ve třech instancích, občas zkopíruju scp-čkem několik souborů po sobě - takže bacha na parametry :-).
    Kdyby dva z nás byli dvěma z nich, všichni z nás by mohli být všemi z nich.
    28.1.2005 13:14 petr_p
    Rozbalit Rozbalit vše Re: Zabezpeceni sluzby pred hadanim hesla
    Ja vi, ze to muze byt pro nekoho obtezujici. Proto jsem hledal reseni pres PAM. Netvrdim, ze je to definitivni reseni, napr. k recent seznamum je mozne pristupovat z userspace, takze po uspesnem prihlaseni bych mohl klienta z toho seznamu vyhodit (mozna se k tomu nekdy dostanu).

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.