Dotaz: Denyhost - rozlisovani na urovni loginu

[polo23]

Ahoj,

narazil jsem na nasledujici problem. Jsem v LAN za verejnou IP adresou "X" a potrebuju se prihlasovat domu do jine site pres SSH. Bohuzel v hosts.deny mam zaznam zakazujici verejnou IP adresu "X", protoze se z ni nekdo snazi nabourat ke me pres SSH. Tim padem je blokovana a ja nemam sanci se pripojit. Chtel jsem se zeptat zda je nejak mozne dat do hosts.allow neco jako:

sshd: mojejmeno@domaci_ip

a do hosts.deny

sshd: domaci_ip

V dokumentaci zadny takovy priklad neni a ja si myslim ze Denyhost neumi rozlisovat na urovni prihlas jmena, ale mozna se pletu.
Diky

Odpovědi

[Ondřej Kopka]

Pokud nemáš potřebu držet se denyhosts, můžeš použít fail2ban. Má mnohem větší možnosti konfigurace a lze použít nejen pro ssh. V konfiguraci si nastavíš do ignorehost IP adresu stroje, která nemá být nikdy blokována. V konfiguraci ssh zakaž přihlášení na roota a povol přihlášení jen konkrétním uživatelům. Pak už jen stačí vygenerovat si klíče, zakázat přihlašování přes heslo a je hotovo.

[JanM]

V konfiguraci si nastavíš do ignorehost IP adresu stroje, která nemá být nikdy blokována.

Totéž ale zvládne i denyhost a navíc to neřeší problém tazatele.

Since it is quite possible for a user to mistype their password repeatedly it may be desirable to have DenyHosts prevent specific IP addresses from being added to /etc/hosts.deny. To address this issue, create a file named allowed-hosts in the WORK_DIR. Simply add an IP address, one per line. Any IP address that appears in this file will not be blocked. Additionally, as of v1.0.3, a valid hostname can also be placed in the allowed-hosts file. For each hostname appearing in this file, the IP address will be resolved and any ssh connections that match either this hostname or this resolved IP address will not be blocked.

Nicméně, zaměřit se na jiné metody blokování by asi výhledově bylo stejně rozumnější, protože např. Arch linux už denyhost vyřadil z repozitáře někdy před půl rokem.

[polo23]

Ahoj,

muzes nejakou s tech dalsich metod nastinit? Mas na mysli treba TCP Wrapper? Pokud by bylo mozne ho pouzit bez inetd tak bych o tom uvazoval...

K tomu DenyHosts - tam je taky velka vyhoda, ze ziskavas seznam IP adres ze serveru, na ktery uploaduji "clenove" tohoto projektu adresy z nich na ne bylo utoceno. Takze tim muzes taky predchazet potizim...

[JanM]

DenyHost bylo z Archu vyhozeno právě kvůli končící podpoře TCP Wrappers.

Alternativou jsou iptables, pomocí nich blokují třeba fail2ban a sshguard. Osobně používám ufw jako GUI pro firewall, ten má definovanou akci "limit", což není úplně totéž, ale zatím mi to stačí.

http://hostingfu.com/article/ssh-dictionary-attack-prevention-with-iptables http://www.the-art-of-web.com/system/fail2ban/

Ohledně původního problému: nestačilo by otevřít SSH ještě na jiném (neobvyklém) portu a připojovat se na něj? Nebo vymyslet pravidlo pro iptables, které by identifikovalo ten konkrétní počítač?

[pavlix]

Ohledně původního problému: nestačilo by otevřít SSH ještě na jiném (neobvyklém) portu a připojovat se na něj? Nebo vymyslet pravidlo pro iptables, které by identifikovalo ten konkrétní počítač?

Nebo se na něj připojovat přes HTTP tunel, to je nenápadnější :).

[polo23]

Muzes to s tim pripojenim pres http tunel trochu rozvest?
Diky

[pavlix]

To měl být vtip :). Ve skutečnosti je mnohem nenápadnější to SSH schovat do DNS traffiku, to útočník náhodný útočník zkoušet nebude :).

[polo23]

Aha, ja jsem si rikal, ze o necem takovem jsem v zivote neslysel:)

[pavlix]

Jo takhle... ta to sorry, až takhle jsem tě chytit nešel. Tunelování přes HTTP je samozřejmě možné, stejně jako přes ICMP nebo dokonce DNS. S tím, že poslední z nich má asi největší prostup, protože funguje i na sítích kde máš DROP na veškerou komunikaci do internetu.

Vtip byl jen to nasazení těchto technik jako běžnou ochranu SSH.

Že jsi o něčem v životě neslyšel, není důvod to hned smést ze stolu.

[polo23]

Diky za info, ssh mam samozrejme pristupne na neobvyklem portu:)

[pavlix]

Nemám nic proti tomu, když lidé používají security by obscurity. Určitou funkci to má (například zpřehlednění logů).

Ale co mi přijde úplně na hlavu je, když lidi uvozují větu o použití security by obscurity slovem „samozřejmě“. To je jako kdyby vyřvávali z okna „já tomu prd rozumím“.

[lertimir]

V zásadě je to nesmysl. Ale drobnou ochranu proti script kiddies to poskytovat může.

[pavlix]

Viz:

Nemám nic proti tomu, když lidé používají security by obscurity. Určitou funkci to má (například zpřehlednění logů).

[aaaaaaaaaaaaaaaa]

Na sprehladnenie logov staci povolit pristup len z 1 IP (staticka, domaca) a nechavat domaci PC zapnuty. Netreba ani menit porty. Je to tiez security by obscurity (keby niekto prisiel ku mne domov, nasiel by kluc ulozeny na nezavislom mediu a vymamil by zo mna heslo, tak by toto cele bolo zbytocne), ale podla mna to funguje lepsie ako kopec inych "zarucene otestovanych" rieseni.

[pavlix]

Na sprehladnenie logov staci povolit pristup len z 1 IP

Už vidím reakci zákazníka na „opravím to příští středu, až budu doma“ :).

[Radovan Garabík]

sem v LAN za verejnou IP adresou "X" a potrebuju se prihlasovat domu do jine site pres SSH. Bohuzel v hosts.deny mam zaznam zakazujici verejnou IP adresu "X", protoze se z ni nekdo snazi nabourat ke me pres SSH.

Posledných pár mesiacov také riešim povolením SSH (a iných služieb výlučne) cez IPv6 a nastavením 6to4 (keďže natívne pripojenie nemám nikde).

[lertimir]

Pokud není problém v DoS útoku, tak bych snahu se bourat přes ssh řešil nastavením přihlášení pouze přes klíče, přihlášení přes heslo zcela znemožnil a neblokoval adresy.

[ahuska]

http://cs.wikipedia.org/wiki/Port_knocking