abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 00:33 | Zajímavý software

    Byl představen Stremio OS pro Raspberry Pi 5 a 4, tj. operační systém postavený nad LineageOS 21 s multimediálním centrem Stremio. Stremio lze instalovat také z Flathubu.

    Ladislav Hagara | Komentářů: 0
    včera 16:33 | Nová verze

    Po půl roce od vydání verze 2.39 byla vydána nová verze 2.40 knihovny glibc (GNU C Library). Přehled novinek v poznámkách k vydání a v souboru NEWS. Opraveno bylo 5 zranitelností (CVE).

    Ladislav Hagara | Komentářů: 0
    včera 15:33 | Pozvánky

    GNU Tools Cauldron 2024 proběhne v Praze na Univerzitě Karlově od 14. do 16. září 2024.

    Ladislav Hagara | Komentářů: 0
    21.7. 05:00 | Nová verze

    OpenMandriva ROME, tj. průběžně aktualizovaná (rolling) edice linuxové distribuce OpenMandriva, byla vydána ve verzi 24.07. S KDE Plasma 6 a spiny LXQt (2.0.0 Qt6) a GNOME (46.3). Vydáno bylo také ROME Plasma6 Wayland ISO. Vývojáři ale nepovažují Wayland za dostatečně vyspělý, aby mohl nahradit X11 pro většinu uživatelů. Linux byl povýšen na verzi 6.10. Přeložen je Clangem.

    Ladislav Hagara | Komentářů: 11
    21.7. 01:00 | Komunita

    Na čem aktuálně pracují vývojáři GNOME a KDE? Pravidelný přehled novinek v Týden v GNOME a Týden v KDE.

    Ladislav Hagara | Komentářů: 0
    19.7. 10:49 | IT novinky

    Světem se valí vlna BSOD počítačů s operačním systémem Windows v kombinaci s bezpečnostním agentem CrowdStrike. Částečně jsou ochromeny letiště, banky, burzy, Microsoft Cloud apod. Zatím je znám jen workaround v podobě nabootování do recovery režimu a smazání jednoho souboru.

    karkar | Komentářů: 125
    18.7. 23:44 | Komunita

    Nezisková organizace Apache Software Foundation (ASF) oznámila, že se částečně přestane dopouštět kulturní apropriace a změní své logo a brand. Minimálně z loga odstraní indiánské pírko. Nové logo a brand představí na své konferenci Community Over Code v říjnu letošního roku. Ta byla ještě nedávno známá jako ApacheCon.

    Ladislav Hagara | Komentářů: 68
    18.7. 19:00 | Nová verze

    Sound Open Firmware, projekt Linux Foundation, open source audio DSP firmware a SDK, byl vydán ve verzi 2.10.0. Podrobný přehled novinek na GitHubu.

    Ladislav Hagara | Komentářů: 1
    18.7. 10:33 | Komunita

    Společnost Nvidia na svém technickém blogu informuje o přechodu na open source moduly jádra pro GPU (představila je v květnu 2022). Na nejnovějších platformách Grace Hopper nebo Blackwell lze používat pouze open source moduly. Pro Turing, Ampere, Ada Lovelace nebo Hopper se doporučuje přejít na open source moduly, v oficiálním instalátoru si lze vybrat mezi proprietárním a open source modulem. Nejstarší Maxwell, Pascal nebo Volta vyžadují proprietární ovladače.

    Ladislav Hagara | Komentářů: 0
    18.7. 00:11 | Zajímavý článek

    Příspěvek na blogu společnosti Wiz se podrobně věnuje dnes již opraveným zranitelnostem v SAP AI. Útočník si mohl změnit své UID na UID firewallu, tj. 1337, a tím obejít firewall, …

    Ladislav Hagara | Komentářů: 0
    Rozcestník

    Dotaz: fail2ban nebanuje

    7.7. 20:43 jejda | skóre: 24 | blog: jejda
    fail2ban nebanuje
    Přečteno: 663×
    Ahojte! Už několik dní mě na archlinuxu zlobí fail2ban. IP adresy které má v databázi blokuje dál a postupně je odbanovává jak vyprší ban, ale nepřidává žádné nové. Všiml jsem si toho podle docela velikého spamu sshd démona v logu. V konfiguraci jsem nic neměnil. Jediná věc co mě tak napadá že by s tím mohla souviset je, že jsem upgradoval před třemi dny openssh na verzi 9.8. Nastavení:
    #/etc/fail2ban/jail.local
    [INCLUDES]
    before = paths-archlinux.conf
    
    [DEFAULT]
    bantime = 604800
    findtime = 3600
    ignoreip = 127.0.0.1/8
    
    [sshd]
    enabled  = true
    filter   = sshd
    action   = nftables[type=multiport, name=SSH, port=ssh, protocol=tcp]
    backend  = systemd[journalflags=1]
    maxretry = 3
    
    #/etc/fail2ban/action.d/nftables.local
    [Init]
    blocktype = counter reject with tcp reset
    
    Funguje vám někomu fail2ban s openssh 9.8?

    Řešení dotazu:


    Odpovědi

    7.7. 21:07 jejda | skóre: 24 | blog: jejda
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    Tak jsem zkusil downgrade openssh na verzi 9.7 a fail2ban banuje jak má. Tak teď nevím co s tím když se všude píše jak je verze 9.7 zranitelná.
    7.7. 21:26 Peter Golis | skóre: 64 | blog: Bežné záležitosti | Bratislava
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    A píše ten sshd rovnaké texty do logu ktorý číta fail2ban? Pred nejakým časom som si musel upravovať regex.
    Řešení 1× (jejda (tazatel))
    7.7. 22:45 jejda | skóre: 24 | blog: jejda
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    Ajo maličko se ty výpisy liší. Musel jsem upravit soubor/etc/fail2ban/filter.d/sshd.conf Původně tam bylo _daemon = sshd a upravil jsem to na
    _daemon = sshd(?:-session)?
    
    A už to funguje i s openssh 9.8. dík!
    8.7. 07:23 Peter Golis | skóre: 64 | blog: Bežné záležitosti | Bratislava
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    Mno, ešte by stálo za to skontrolovať poslednú verziu fail2ban a poprípade sa aj ozvať do upstreamu.
    7.7. 21:37 …
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    nestacilo, janevim, pouzit mozek driv nez klavesnici na vystreleni tohole zbytecnyho dotazu?
    7.7. 21:34 …
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    a k cemu jako? k cemu je to jako dobry? akorat hovna s tim, nutit kazdej packet, co ma reachnout SSH, prochazet sitem, to taky neco stoji, vime? udrzovani blocklistu, kde jsou cinsky, rusky a co ja vim jaky adresy po kusech, taky neco stoji, vime? vsechno je to drazsi, nez nechat ty pokusy o prihlaseni proste vyfailit…
    7.7. 22:48 jejda | skóre: 24 | blog: jejda
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    Mi teda přijde lepší odeslat zpátky RST paket když se s někým nechcu bavit než nechávat to spojení vyhnít. Pokud toho bota nepsal úplný idiot tak toho nechá protože hned ví na čem je. Když to spojení necháš vytimeoutovat tak to bot zkouší znovu a znovu protože neví jestli se třeba paket neztratil. A udržovat nějaké trvalé blacklisty podle státu je ryzí nesmysl. Mám ten fail2ban nastavený docela přísně. Tři neůspěšné loginy během hodiny a týden se na port 22 nepřipojí. Necítím že by mě to nějak omezovalo.
    7.7. 23:24 …
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    @ prijde lepsi, jojo, aspon jsi uprimnej, ze to jedes na pocit :) ja vidim jasne v praxi at scale chovani hromady setupu takovejch borcu, jak to ty popisujes… kde zadnej fail2ban neni, neni zadny pravidelny cteni a zapisovani buhvijak dementne velkyho banlistu, co agregovane dela nesrovnatelne vetsi bordel, nez nejaky marny pokusy o prihlaseni… ty naopak vubec nikoho v nicem neomezujou
    7.7. 23:53 jejda | skóre: 24 | blog: jejda
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    Ono taky když ten fail2ban vypnu, tak mám z 90% zaspamovaný journal hláškama jako
    Jul 07 20:16:58 sshd-session[101289]: Failed password for invalid user test from 125.88.226.167 port 59106 ssh2
    Jul 07 20:16:58 sshd-session[101304]: Failed password for root from 217.182.68.115 port 45612 ssh2
    Jul 07 20:16:59 sshd-session[101289]: Received disconnect from 125.88.226.167 port 59106:11: Bye Bye [preauth]
    Jul 07 20:16:59 sshd-session[101289]: Disconnected from invalid user test 125.88.226.167 port 59106 [preauth]
    Jul 07 20:16:59 sshd[95346]: srclimit_penalise: ipv4: new 125.88.226.167/32 deferred penalty of 5 seconds for penalty: failed authentication
    Jul 07 20:17:00 sshd-session[101304]: Received disconnect from 217.182.68.115 port 45612:11: Bye Bye [preauth]
    Jul 07 20:17:00 sshd-session[101304]: Disconnected from authenticating user root 217.182.68.115 port 45612 [preauth]
    Jul 07 20:17:00 sshd[95346]: srclimit_penalise: ipv4: new 217.182.68.115/32 deferred penalty of 5 seconds for penalty: failed authentication
    Jul 07 20:17:15 sshd-session[101424]: Connection from 64.227.177.112 port 42224 on 192.168.223.102 port 22 rdomain ""
    Jul 07 20:17:16 unix_chkpwd[101433]: password check failed for user (root)
    Jul 07 20:17:16 sshd-session[101424]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=64.227.177.112  user=root
    Jul 07 20:17:18 sshd-session[101424]: Failed password for root from 64.227.177.112 port 42224 ssh2
    Jul 07 20:17:19 sshd-session[101453]: Connection from 43.153.171.66 port 43270 on 192.168.223.102 port 22 rdomain ""
    Jul 07 20:17:20 sshd-session[101424]: Received disconnect from 64.227.177.112 port 42224:11: Bye Bye [preauth]
    Jul 07 20:17:20 sshd-session[101424]: Disconnected from authenticating user root 64.227.177.112 port 42224 [preauth]
    Jul 07 20:17:20 sshd[95346]: srclimit_penalise: ipv4: new 64.227.177.112/32 deferred penalty of 5 seconds for penalty: failed authentication
    Jul 07 20:17:20 sshd-session[101453]: Invalid user ubuntu from 43.153.171.66 port 43270
    Jul 07 20:17:20 sshd-session[101453]: pam_faillock(sshd:auth): User unknown
    Jul 07 20:17:20 sshd-session[101453]: pam_systemd_home(sshd:auth): New sd-bus connection (system-bus-pam-systemd-home-101453) opened.
    Jul 07 20:17:20 sshd-session[101453]: pam_unix(sshd:auth): check pass; user unknown
    Jul 07 20:17:20 sshd-session[101453]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=43.153.171.66
    
    to se mi taky zrovna moc nelíbí. A vypnout logování sshd úplně, aby byl člověk hluchý a slepý? To filtrování paketů firewalem myslím nezatěžuje systém víc jak ten spam v logu.
    8.7. 00:15 X
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    Vidim dobre, ze mas povolene prihlasovsni heslem na portu 22 ? WTF? Dej si tam cerifikat, a vydoky port, nebo to rovnou soupni za wireguard a a na nejaky fail2ban se uplne vykasli..
    8.7. 00:39 jejda | skóre: 24 | blog: jejda
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    Jo mám heslo, ale klíče používám taky. Občas se přihlašuju ze strojů kde ty klíče nemám, tak je heslo potřeba. To heslo není zas úplně jednoduché. Když má útočník jenom tři pokusy za týden tak je bez šance myslím.
    8.7. 10:08 …
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    heslo je v pohode, pokud mas jistotu, ze tam nikde neni zadny slaby, neni problem… je dost naser nemoznost zasahnout bo u sebe zrovna nemam klic :D ale vysokej port, co v sobe idealne nema cislo 22 vubec, je docela jistota a f2b pak nema zadnou praci a v logu je klid…
    8.7. 19:23 pavele
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    Heslo není v pohodě, protože umožňuje útok man-in-the-middle.
    9.7. 10:37 ...
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    overeni fingerprintu serveru je jeste pred zadanim hesla, wanna try that again? kdyz opozici k heslum, tak aspon at sedi, prosim :-D
    9.7. 11:34 chinook | skóre: 28
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    Když jsme u toho hesla. Taky většinou používám jen klíče, ale mám i servery z důvodu připojení pokud u sebe nemám klíče. Povolen přístup přes heslo rovnou k root uživateli.

    Nevidím v tom žádné riziko. Uvažuji správně? Přijde mně zbytečné zadávat heslo pro uživatele a pak ještě pro roota. Předpokladem je, samozřejmě mít silné heslo.
    9.7. 12:06 jejda | skóre: 24 | blog: jejda
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    A fail2ban tam máš? Já bych si povolit vzdálený login heslem na roota bez fail2ban teda netroufl. Mám to tak, že root může přes ssh jenom klíčem a když jako obyčejný uživatel potřebuju vyšší pravomoc tak používám sudo -i
    9.7. 12:25 chinook | skóre: 28
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    failban nemám, nadruhou stranu, je to 108bitové heslo. Klidně bych dal silnější, ale keepass to tak v defaultu generuje, tak to tak používám.

    Jaký je rozdíl, se přihlásit jako root nebo obyčejný uživatel a pak pod tím stejným userem zadat sudo a použít to stejné heslo? Pokud utočník už jednou to heslo prolomil?

    Bezpečnější bych viděl, se přihlásit pod nějakým userem a pak přes su pod rootem a zadat root heslo. Asi by to vyloučilo strojové prolemení root hesla. Což bez failbanu by asi teoreticky jít mohlo, pokud se lze hlásit přímo na roota. To pak záleží na síle hesla.
    9.7. 13:27 jejda | skóre: 24 | blog: jejda
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    Když útočník prolomí heslo userovi který může používat sudo, je to v prdeli. Jde o to, že ten login heslem by měla být taková zoufalá nouzovka. Proč to útočníkovi usnadňovat tím, že nemusí hádat taky username? root je všude. Když tak nad tím přemýšlím, tak jediný důvod proč mám vůbec roota přes ssh povoleného je ten, když potřebuju vzdáleně mountnout kompletní filesystém. Všecko ostatní se dá pořešit přes sudo.
    9.7. 13:46 chinook | skóre: 28
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    to mě nenapadlo s tím rootem a userem.

    Právě taky přemýšlím, že vypnu přihlašování pod rootem všude. Snažím se mít furt někde stroj, kde mám klíče na přihlášení a muselo by se vysrat dost věcí, abych potřeboval použít heslo.

    Ale už se mně stalo tolik věcí, které mě ani nenapadly, že to prostě zatím vypnout nechci, tak přemýšlím nad bezp. riziky.

    Heslo můžu mít v pohodě uložené v telefonu. S klíčem to je už horší. Tel. mám vždy u sebe. Nebo je nějaký nápad mít nějak bezpečně uložené klíče?

    Zkoušel jsem yubikey, ale přes windows to uplně nativně nechodí. Nebo jsem to nějak nepochopil :(
    Řešení 1× (chinook)
    9.7. 20:14 ...
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    IMHO kdyz to chces hrotit smerem k dokonalosti, ma smysl se zamyslet nad jednim (nebo nekolika malo) dobre udrzovanymi bounce-hosty, kam se tim heslem dostanes, aby to bylo nekde, kde tomu muzes verit a muzes si tam nechat klice k ostatnim vecem, kde muzes mit prihlaseni jen klicem... pak se da vymyslet treba port-knocking, aby to SSH bylo videt, jenom kdyz spravne zatukas necim dalsim; muzes taky ty dalsi masiny ofirewallovat, aby se tam nedalo pripojit odjinud, nez z tech bounce-hostu... zalezi asi, jak moc si chces hrat :)

    HW klicenky mam v planu vyzkouset a asi je nakonec taky u nas v tymu zavedeme, protoze pro handling pristupu skrz ne bude jednodussi pripravit materialy pro ISO certifikace, nez nekomu vysvetlovat, ze hesla fakt nejsou takovej problem, _pokud_ si do tymu clovek nenabere lemply... :-D

    9.7. 16:21 ...
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    fail2ban je zbytecnej, _pokud_ mas takhle silny heslo, ktery nikde neleaknulo, atd... musis si tim heslem proste bejt jistej - pokud je admin toho systemu prave presne 1.0 kusu, tak se to da zaridit dost snadno, staci "nebejt debil" :D horsi to samozrejme je v sdilenych prostredich, ale to tady neni ten pripad, ne... @ to drama z neuspesnych pokusu v logach... na co to jako vubec logovat? dulezity jsou preci uspesny pokusy a idealne zalogovany tak, aby to smazat neslo (kdyz uz to teda chces hrotit, tak treba at to proste posle mail pri kazdym loginu, nebo se da posilat na remote syslog server, nebo tak neco)

    @ sudo, s tim, kolik to melo historicky CVEs, zase proste, nejjistejsi varianta je nemit ho v systemu vubec, nez aby se muselo resit, ktera komponenta ho muze jak spustit a jak se do ni da stouchnout z venku, aby z toho byl hned remote root...
    Max avatar 9.7. 20:26 Max | skóre: 72 | blog: Max_Devaine
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    fail2ban ti u malých nasazení může ušetřit zdroje a trochu eliminovat hnůj v lokgách.
    Zdar Max
    Měl jsem sen ... :(
    9.7. 22:58 ...
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    otazka pristupu, no, mne prijde fail2ban prilis braindead, kdyz uz hracky, co treba crowdsec?
    10.7. 10:40 Andrej | skóre: 51 | blog: Republic of Mordor
    Rozbalit Rozbalit vše Re: fail2ban nebanuje

    Opravdu si myslíš (a neděláš si legraci), že udržování seznamu pár adres je dražší než výpočty kolem asymetrické kryptografie, ke kterým jinak dochází při každém neúspěšném pokusu o přihlášení?

    To byl asi jenom takový žert, že jo! (Jinak si to nelze vysvětlit.)

    Není náhodou lepší tu tunu ařiťmetiky přeskočit a zastavit připojení ještě v kernelu v nftables, než se jím bude vůbec zabývat SSH? Jinak přijde párkrát context-switch, pak nějaký fork(), pak spousta OpenSSL výpočtů (které obvykle nejsou „akcelerované“, na rozdíl od symetrické kryptografie u již navázaného spojení) — a to všechno jenom proto, aby se zjistilo, že druhá strana nemá přístup… Kopnout druhou stranu do prdele!

    10.7. 11:16 …
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    ty jsi jdi sudlat to svoje dokonaly btrfs na tech svejch par idle masinach, nikdo se te na nic neptal
    10.7. 14:14 Andrej | skóre: 51 | blog: Republic of Mordor
    Rozbalit Rozbalit vše Re: fail2ban nebanuje

    Jak tě sere, že (jako vždy) nemáš pravdu, to je jednoduše k nezaplacení.

    Jen se dál zoufale, beznadějně a bezmocně zlob. :-D :-D :-D Musí být těžké věcem tolik nerozumět, což?

    Hádej, jak moc mě zajímá, jestli se mě nějaký náhodný anonymní idiot na něco ptal nebo ne. Uhádneš?

    10.7. 16:22 …
    Rozbalit Rozbalit vše Re: fail2ban nebanuje
    krasna projekce, krasny kdyz mi takovyhle pero z gauce pripisuje jakoukoliv emoci :D sak ty prave sam jsi pres ten svuj gejzir toho co tady predvadis neschopnej cehokoliv jinyho, nez akorat projekci :D si tady ty svoje blitky projdi zpetne, ty lolku :D
    11.7. 22:53 Andrej | skóre: 51 | blog: Republic of Mordor
    Rozbalit Rozbalit vše Ale no tak, jen se vzteky neposer!

    To↑↑↑ je ale výstavní exemplář, hele!

    Ten zoufalý vztek je prostě skvělé zpestření jinak nudných vláken — jen tak dál!

    12.7. 10:15 ...
    Rozbalit Rozbalit vše Re: Ale no tak, jen se vzteky neposer!
    ty mas neco s hlavou? jedinej vztek, co tu vidim, je tvuj :-D ja jsem napriklad nepouzil jedinej vykricnik, to ty tvoje prispevky jsou vykrik :-D a btw, zas projekce, vnimas? nevnimas, co? neni kapacita, evidentne :-D dobre tady mezi ty retardy zapadas :-D
    12.7. 11:13
    Rozbalit Rozbalit vše Re: Ale no tak, jen se vzteky neposer!
    Je nutné, abyste ty nebo tvoji nejbližší okamžitě volali 284-016-111 nebo 284-016-110. Tvůj zdravotní stav to nezbytně vyžaduje.
    12.7. 14:12 ...
    Rozbalit Rozbalit vše Re: Ale no tak, jen se vzteky neposer!
    zase projekce, jo? :-D krom toho, ze jsi dement, jsi jeste aj nudnej dement...

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.