Dotaz: Jsem paranoidní - je nebezpečné mít SSH dostupné z internetu?

[paul2no]

Starám se doma o několik počítačů s Ubuntu. Vzhledem k tomu že většinu času trávím při škole daleko od domu, chci na ty počítače mít přístup na dálku. Původně jsem to řešil tak, že jsem se připojoval na router s OpenWRT a komunikaci přesměroval dál pomocí proxycommand, jenže tohle řešení je takové nic moc (problémy s přenosem souborů v MC, ConnectBot na tabletu pro jistotu proxycommand vůbec neumí,...). Napadlo mě, že bych SSH těch počítačů zpřístupnil přímo, tj. prostě přesměroval příslušný port přes domácí NAT ven (mám veřejnou IP). Přihlašování heslem je zakázané, používám zásadně přihlašování klíčem. Otázka je jasná - může to znamenat nějaké riziko? Jsem poněkud paranoidní osoba, tak chci mít jistotu.

---

---

Odpovědi

[vdusek]

Každá služba přístupná z internetu je potenciální riziko. Její zabezpečení je vždy větší či menší komplikace.

Dlouho jsem se nesetkal na spravovaných serverech s hackem via ssh/password. Asi jsem šťastlivec a problémy se mi vyhýbají

[pavlix]

Já jsem chytil virus do experimentální instalace rawhide s heslem "test" :).

[rADOn]

Môžete to kľudne sprístupniť.

Kvôli atakom na ssh port je vhodné zmeniť číslo portu, prípadne k tomu ešte použit fail2ban (i keď na fail2ban sú rôzne názory

[Heron]

Stejně jako na změnu čísla portu

Tazateli: Pokud používáte přihlašování pouze klíčem a obecně máte nastavení ssh v pořádku, tak se není čeho bát.

[Peter Golis]

Alebo na port knocking, poprípade povolenie iba určitých geografických lokácií.

Samotný failľban v bežnej konfigurácii nezabráni všetkým útokom, ale dá sa priškrtiť. Tým však môžu utrpieť užívatelia. A tak isto nezabráni distribuovanému obťažovaniu botmi.

[pletiplot]

Moje zkušenost je taková, že útočníci na servery se zakázaným přihlášením heslem neútočí. Zkusí jednou a když vidí, že heslo ne, tak jdou dál. Hádat klíč hrubou silou je zjevný nesmysl i pro ně.

[Peter Golis]

Hmmm, botnety útočia aj s ukradnutými kľúčami. Fail2ban mi niečo také nedetekoval, tak som mu to násilím nanútil nech mi sshd zbytočne nežerie cpu pri tých útokoch.

[pavlix]

Kvôli atakom na ssh port je vhodné zmeniť číslo portu

Kvůli pohodlné práci s SSH je vhodné ho neměnit.

[Veronika]

A co .ssh/config ?

[pavlix]

Co by?

[Veronika]

Tam si číslo portu napíšeš a pak ho nemusíš nikde zadávat.

[pavlix]

Netvrdil jsem, že ne.

[nobody]

psal si neco o nepohodlnosti nonstandard portu a kdyz ti nekdo v dobre vire chce poradit ze si to muzes dat do configu, tak delas zase drsnaka ;)

[pavlix]

Pobavilo.

[Apolena]

Blbečku

[pavlix]

:)

[Šangala]

Dobré , dopsat :2222 nebo -p 2222 asi nebude to nepohodlné.

[rich]

tak pokud stavis pohodlnost nad bezpecnost tak urcite

[pavlix]

Říká člověk, který má rovnítko mezi změnou čísla portu a bezpečností?

[rich]

rovnitko tam nikde nevidim... nicmene se tak vyhnu scanum, ktere ocekavaji ssh na portu 22 => vyssi pravdepodobnost, ze nebude objeveno...
ale chapu, ze pro nekoho to muze byt nevyznamne

[Filip Jirsák]

Pokud tam budete mít vždy nejnovější distribuční verzi OpenSSH, je riziko minimální. Mnohem pravděpodobnější je třeba to, že některý z uživatelů uvnitř sítě stáhne a spustí nějaký škodlivý kód.

[Jendа]

Otázka je jasná - může to znamenat nějaké riziko?

Trochu (například někdo zase zjistí, že OpenSSL v některých distribucích generuje snadno faktorizovatelné klíče). Myslím ale že je minimální a jsou zajímavější cíle.

[Jendа]

Jinak osobně pro lezení na nedostupné služby (NAT, divně nastavený firewall…) používám ssh -D, které vytvoří SOCKS proxy.

[lertimir]

Můj názor je že s aktuálním openSSH je to bez rizika. Pravděpodobnost toho že by existoval funkční zero day exploit na ssh přihlášní pouze klíčem a navíc by jej útočník využil mezi nalezením a opravou považuji za nulovou.

[Šangala]

Ale ta nula bude kladná, že?

[pletiplot]

Pořád bude menší, že z tebe někdo ten klíč vymlátí basebolovou pálkou za 20 dolarů. Předpoládam, že tvoje data mají pro kohokoliv jiného menší cenu.

[melkors]

Riziko ani moc ne (pokud je dostatecne silne heslo), ale zahnojeny disk zalogovanymi pokusy nudicich se pubertaku zarucene.

[Šangala]

V tomto případě pro přímé ohrožení je síla hesla je irelevantní.

[Petr Šobáň]

Proto já SSH používám na jiném portu a nevidím na tom nic špatného.

[j]

Na nestandardni port se treba z podnikovy site nepripojis. A vyjimku "domu" ti nikdo povolovat nebude. Navrch port je uplne jedno, bezne se pred pokusy o login dela scan portu, tak ze to je jen nepatrny zdrzeni, nez se najde ten spravnej.

[Heron]

Já bych k jinému portu neměl až takové výhrady, kdyby to bylo zdůvodněné. Co nesnáším je "řešení" problémů na jiné vrstvě než na které vznikly. Jestli má někdo problém s logováním, musí to vyřešit na vrstvě logování. Číslo TCP portu nemá s logy vůbec nic společného.

Ale tahle snaha mi přijde už v podstatě sisyfovská. Čím dál víc se objevují samozřejmé články o tom, že bezpečnost začíná firewallem, nutností jsou věci jako fail2ban a není od věci změnit i porty. A ti lidi tomu snad i věří.

[pavlix]

Já bych k jinému portu neměl až takové výhrady, kdyby to bylo zdůvodněné.

Což ovšem typicky není, navíc je ten port nesmyslný. Já osobně nechávám poslouchat SSH (nebo nějakou proxy) na portu 443 pro případ, že se na 22 odněkud nedostanu. To považuju za dobré zdůvodnění.

[Lol Phirae]

Já osobně nechávám poslouchat SSH (nebo nějakou proxy) na portu 443 pro případ, že se na 22 odněkud nedostanu. To považuju za dobré zdůvodnění.

Tam už mám OpenVPN, to neklapne... Tedy, existuje jakási magořina, která by to umožnila, na jméno si teď nevzpomenu, ale obávám se, že výsledek by asi byl ten, že se tam nedostanu ani přes SSH, ani přes OVPN.

[pavlix]

Tam už mám OpenVPN, to neklapne...

Tak v čem je problém? Připojíš se na OpenVPN a přes ní se dostaneš i na SSH.

[Lol Phirae]

Ano. Komentovat jsem jen to, že port 443 už pro SSH jaksi není k dispozici.

[pavlix]

Jenže v situaci, kdy není pro SSH potřeba.

[Lol Phirae]

Tak jistě, ale kua jak se jmenuje ten "multiplexovací" nesmysl jsem si stejně nevzpomněl, zatracený Alzheimer.

[pletiplot]

Dovedu si představit nějaký knock-knock mechanismus, který na firewallu přepínal různé DNATy, ale obojí najednou teda nevim, to asi ne.

[pavlix]

Viz níže.

[Ilmarinen]

Myslíš sslh? Funguje to dobře, používám cca rok.

[Lol Phirae]

Jo! (Přidávám do záložek, než to zas zapomenu )

[Petr Šobáň]

Nevím proč - že by blokovaly i odchozí porty tam nevidím důvod je blokovat - možná ty co jsou na sdílení plochy, a souborů....

Jinak jedno to není když jsem to měl na portu 22 tak jsem za den měl několik stovek pokusů o hádání hesel a pod...co to mám na jiném portu tak žádné útoky nejsou - pouze ojediněle.

Samozřejmě takové ty hodně nezbedné IP které mě buší do PC mám bloknuté už přímo na firewallu.

[Filip Jirsák]

Nevím proč - že by blokovaly i odchozí porty tam nevidím důvod je blokovat

To, že vy nevidíte důvod ty porty blokovat, neznamená, že ve spoustě sítí zablokované nejsou. Já zase nevidím důvod přesouvat SSHD na jiný port, a také to neznamená, že to nikdo nedělá.

Jinak jedno to není když jsem to měl na portu 22 tak jsem za den měl několik stovek pokusů o hádání hesel a pod...co to mám na jiném portu tak žádné útoky nejsou - pouze ojediněle.

To jste ale nenapsal žádný důvod, proč by to nebylo jedno. To, že jste zaznamenal nějaké pokusy, je pouze konstatování stavu – a k tomu by ještě bylo potřeba připojit nějaké zdůvodnění, třeba že je to špatné a proč. Ale to už by byl klasický flamewar.

[PanZvedavy]

jednoduse tunelovat SSH na openwrt..rychle, ciste a bezpecne.

[Plamen]

Já to řeším trochu jinak (asi jsem o stupeň paranoidnější):

openvpn, firewall přesměruje port na správný vnitřní počítač ... a poté, co se připojím, zapnu si v tunelu ssh. Nemám tedy žádné dodatečné problémy s proxy, vše mi běží stejně, jako bych seděl doma, u vedlejšího stolu. A ta stanice určitě unese zátěž jedné běžící služby navíc. Tedy stanic je v tomto případě povícero, takže buď může být vyhrazena jedna (nejčastěji používaná), nebo může mít každá vlastní vpn server, dle libosti

Ale jistotu ... no, tu stejně nikdy mít nemůžeme.

[paul2no]

Hezká debata o (ne)přesouvání SSH na jiný port než 22.

No, já stejně porty změnit musel (na 6022x), protože jaksi skrz NAT neforwarduju port 22 na 4 počítače (navíc "z venku" na portu 22 je router).

[Šangala]

Hm, a není lepší se dostat na jednu mašinu a z ni pak už kamkoliv včetně routeru jen zevnitř?

[pavlix]

+1

Kdyby nic jiného, tak nějaká jednoduchá VPN, případně i nějaká automatická.

[paul2no]

No to jsem právě psal, že jsem to dělal přes proxycommand skrz router, jenže s tím byly problémy.

[Šangala]

Myslel jsem normálně přes router NAT 22 na konkrétní stroj, na který se dostaneš z venku a z něj už pak kam potřebuješ a navíc nemusíš mít povolenou administraci routeru z venku…

[petrfm]

Rozbehej si na tom routeru VPN server a pak tohle nemusis resit. Pripojis se do VPNky a pak uz na libovolny pocitac a jeho SSH, jako bys byl ve vnitrni siti. Vyhodou je, ze muzes pouzivat i jine sluzby z te site, jako bys byl v lokalni siti.

Ja pro tyhle ucely s uspechem pouzivam router mikrotik, je to spolehlive, jednoduse se to naklika (kdyz se to uz trochu umi) a nemusis mit zadny port, vyjma te VPNky vystaveny ven.