Administrace komentářů

Jenže nic by tím nezískal. Proč by to vlastně dělal? Zabránil by mi v přístupu na spousty serverů, na které jsem se stejně nikdy nechtěl hlásit. (A i kdybych snad chtěl, stačí změnit IP adresu.) Ta „ochrana“ je tam spíš proto, aby si někdo kvůli jednomu překlepu nezamkl okamžitě přístup ke všem serverům ve firmě. Jeden server ho odřízne, ale ostaní to neřeší, pokud nejde o nějaký masový útok. A tak to má být. Neumím si představit, že by mě ve škole kvůli překlepu najednou odmítla celá laborka. Nicméně pokud budu rýpat do deseti hostů najednou, to už je jiné kafe!

Mám takový dojem, že i tohle se tam dá nějak ošetřit. Něco v tom stylu že udavači musí být z různých C bloků, aby se počítali. Ten konfigurák je poslední dobou hodně dlouhý a už mě nebaví se v něm vrtat.

Pokud jde o mé nastavení, nikoho neudávám a žádnými udavačskými seznamy se neřídím. Ty seznamy bývají dost velké a nic pozitivního nepřinášejí. Můj seznam obsahuje stabilně cca 200 záznamů (které se po pěti týdnech mažou, pokud to během dané doby útočník nezkusí znova) a jsem naprosto spokojený.

Můj cíl byl jasný: snížit počet pokusů o přihlášení z původních cca 3 milionů denně na únosnou mez. Dnes mám v průměru 2 pokusy za den, které samozřejmě vyřeší denyhosts. Takže jsem spokojený a nějaké sdílení dat tam vymýšlet nepotřebuju.

Už jsem chtěl přejít výhradně na autentifikaci certifikátem, ale bohužel se pořád ještě tu a tam buď já nebo některý jiný uživatel serveru potřebuje nalogovat z počítače, který není jeho. Jasně, tohle s sebou nese další riziko, ale prostě to tak je. Leda že bych u sebe pořád nosil flashdisk s klíči a certifikátem, v podobě vhodné pro OpenSSH i Putty... No, to asi ne.

Jsou tu i jiné a důležitější věci, které mě dost tankují a které se občas netýkají SSH. Například

• že denyhosts neřeší IPv6 adresy! Na to fakt pozor. Útoků přes IPv6 zatím není moc, ale právě proto můžou být nebezpečné.
• spousty pokusů o zneužití mého DNS serveru.
• neustálé zkoušení, zda je můj mail server open relay (cca 1000 případů denně).
• ten SPAM. Toho je sice dost málo, ale otravný je i tak. Už rok chci zavést pořádný filtr, ale mám na to pramálo času.

Zkrátka a dobře, obava z toho, že mě někdo nahlásí všem instancím denyhosts, je jeden z nejmenších problémů.