vzdálená administrace serveru z nedůvěryhodného počítače

26.3.2009 22:51 | Přečteno: 1200×

Napadla mě taková věc. Stalo se vám už někdy, že jste se potřebovali přihlásit jako admin k vašemu domácímu serveru a po ruce nebyl žádný důvěryhodný počítač? Jen školní učebna, internetová kavárna, či počítač vašeho známého s bůhvíjakou hromadou keyloggerů, spywaru a jiné havěti? Co potom? jak provést nutný administrační zásah, aniž bych administrátorský účet vystavil riziku? Jedno řešení mě napadlo, ale třeba je to úplná blbost....

Z logiky věci vyplývá, že účet použitý pro takovéto přihlášení je nutno považovat za prozrazený. Co kdyby si tedy člověk připravil takovýto nouzový scénář pro strýčka příhodu:

1. Vytvořit určitý počet nouzových účtů s administrátoskými právy pomocí sudo a velmi silným heslem. Říkejme jim třeba Pepa1 až Pepa5.

2. V případě takovéto nouzové situace se přihlásit na Pepa1 pomocí ssh a provést nutnou opravu.

3. Zákaz přihlášení pomocí Pepa1 v sshd.conf. Zákaz přihlášení na Pepa1 vůbec. Sudo passwd -l pepa1. Ostranění účtu pepa1?

4. logout

Takhle by to možná šlo? Tyto Uživatele mohu mít v zásobě podle uvážení, a po každém použití je likvidovat. Jediným rizikem je, že by útočník stihl odposlechnuté údaje zneužít ještě během doby kdy jsem přihlášen, což je nepravděpodobné. A jde vůbec nějak omezit počet přihlášení na jeden účet na 1 aby se současně se mnou už nikdo nepříhlásil? Samozřejmě toto je nouzová varianta, pouze pro extrémní případy. Má to smysl,nebo je to jen security by obsurity?        

Komentáře

[Luboš Doležel (Doli)]

Řešení: PDA/telefon v kapse.

[bigfish]

tohle řešení je příliš drahé. Jen kvůli tomu, že jdnou za rok mě možná potká nějaký průser nebudu kupovat PDA.

[Luboš Doležel (Doli)]

Tak telefon/PDA se hodí na spoustu věcí...

[miro]

Drahé, ale jediné, které uspokojí i paranoika.

[CET]

Prd:) SKEY/OTP kalkulacka v beznem telefonu (pokud teda clovek nema nejakej starej krap s 2 radkovym cernobilym displejem) neni vubec drahy reseni a pritom je skvely i pro paranoiky:)

[Eregon]

Neměl bys link na takovou kalkulačku, která by se dala dát do Symbian telefonu? (konkrétně N95). Docela se mi tyhle OTP hesla líběj.

[miro]

Takže v podstatě "stačí" zmermomocnit putty a využít session, kterou si na nedůvěryhodném počítači dobrovolně ustavíte, k vytvoření backdooru na vašem serveru? A to pomíjím, že pokud sebou nenosíte fingerprint serveru, tak by stačil i man in the middle attack. Jasný - lama na to mít nebude, ale paranoika jsem si vždycky představoval trochu jinak. Z nedůvěryhodného počítače asi jedině s livkem (+ hw token), a to ještě pořád musím majiteli stroje alespoň elementárně důvěřovat (či považovat některé typy útoků za extrémně nepravděpodobné).

[David Watzke]

+1, už mnohokrát se mi to hodilo a v dnešní době ssh klient (putty) člověk rozjede na kdejakým smetí za pár korun

[Semo]

Pokial uz pocas svojho prihlasenia sa zakazes v sshd_confog a restartnes sshd, tak ti to neobmedzi existujuce spojenie, iba nevytvoris dalsie.

[Bodyn]

Kdyz tak ctu vasi vizi, napada me jestli jste nekdy slysel o OTP (one time password - jednorazova hesla). Myslim ze pro vasi potrebu je to ponekud dotazenejsi nez harakiri s uzivateli. Proste vytvorit jednoho uzivatele s jednorazovymi hesly, nebo je dat kazdemu uzivateli. Fantazii se meze nekladou.

[bigfish]

o tom jsem neslyšel. Díky za tip.

[CET]

Presne tak, OneTimePassword (keyword OTP, OPIE, SKEY). Na duveryhodnym pocitaci, localhostu nebo i na neduveryhodnym pocitaci inicializujes databazi. Zada se heslo a z podle toho se pak podle cisel generuji jednorazova hesla. Prihlaseni pak predpoklada bud predem pripraveny seznam (takhle chodim do banky), nebo kalkulacku (mam v telefonu) - samozrejme lepsi je nejaka duveryhodna "kalkulacka", kam zadas svoje supertajny heslo (seznam ti muze nekdo zkopirovat nebo ukrast). Kdyz se pak prihlasis, nabidne ti system prihlaseni pomoci SKEY/OTP - tam ti napise cislo, coz znamena, kolikate heslo mas zadat. To zjistis bud ze seznamu nebo spocitas na kalkulacce. Obvykle se system pta i na normalni permanentni heslo, jde nastavit poradi, jestli se bude ptat nejdriv na skey a pak klasiku nebo obracene. Mam to takhle nastaveny na Gentoo a Debianu pro SSH a sudo a heslo generuju na telefonu. System samozrejme cislo snizuje/zvysuje, takze se nestane, ze by se ti jedno heslo mohlo opakovat. Tohle je zrejme nejlepsi zpusob, jak se logovat z neduveryhodnych pocitacu. Druhy dobry zpusob je pomoci certifikatu na karte, ale k tomu potrebujes zase specialni HW a SW - pro skey potrebujes obvykle podporu jenom na strane serveru.

[CET]

A jenom dodam, pokud uz se prihlasis na server, prepnes pres sudo do admina, tak ihned nahodit screen a mit tak moznost vytvaret si dalsi root bashe bez nutnosti se znovu hlasit ...

[Václav "Darm" Novák]

Celkem mě nadchla tahle hračka kterou teď používáme k vzdálenému přihlášení do práce. Každou minutu nové šestimístné heslo (zadává se uživatelem vytvořený pin + heslo), navíc chráněné proti bruteforce tím, že je v případě jediného špatného pokusu nutné zadat ještě heslo příští (tzn, čekání další minutu a ještě nutnost trefit se znova a na první pokus).

[Jendа]

Možná by se hodilo prohodit 2) a 3), případně dát 3) do .bashrc...

[petr]

Na flashdisk si stáhneš portaputty, který neukládá data do registru ale do flashdisku, budeš se přihlašovat pomocí klíčů uložených na flashdisku, vytvoříš si jich několik a vždy po připojení ten použitý klíč smažeš a restartuješ sshd.