Linux Server - was gehört "abgeriegelt"?

[jutta]

> Alle Rechner im Freundes- und Verwandtenkreis, die ich "betreue" sind nur per Key erreichbar.

das setzt aber voraus, dass du von einem rechner aus arbeitest, auf dem der dazu passende key hinterlegt ist, oder versteh ich da was vollkommen miss? mein passwort hab ich im kopf und kann von ueberall arbeiten.

[radditz]

kaum 2 Tage beim Server rumwerkeln, schon krieg ich die erste E-Mail:
Sicherheitslücke!!

Leider gibt es für dieses Produkt eine gravierende Sicherheitslücke im FTP-Server, die es einem Angreifer erlauben kann, Vollzugriff auf Ihren Server zu erhalten [2]. Betroffen sind Sie davon, wenn Sie Plesk in einer der folgenden Versionen nutzen: 9.5.1, 9.5.2, 9.5.3 (und auch 10.x).

Wie gut, dass ich den schon deaktiviert habe...


edit: Und bzgl. SSH-Keys: Das macht nur Sinn, wenn ich immer Zugriff auf den SSH key habe...
Ich werd wohl kaum den Key auf nen FlashDrive das dann auch noch Passwortgeschützt ist mit mir rumtragen?

[penguinforce]

ich hab meinen auf meinem android-handy (vor allem deshalb, weil ich mit dem auch connect).

[Felis]

> das setzt aber voraus, dass du von einem rechner aus arbeitest, auf dem der dazu passende key hinterlegt ist, oder versteh ich da was vollkommen miss? mein passwort hab ich im kopf und kann von ueberall arbeiten.

Auf allen Rechnern wo ich reinkann - wenn der Besitzer aufmacht - sind sämtliche ~/.ssh/id_rsa.pub Schlüssel aller meiner vier Rechner abgelegt, sodass ich von "überall" wenns nötig ist reinkann. Meinen Lapi habe ich ja mit.

[radditz]

ich hab meinen auf meinem android-handy (vor allem deshalb, weil ich mit dem auch connect).

Das is ja doppelt so schlimm wie ein Flashdrive!

[penguinforce]

ich hab meinen auf meinem android-handy (vor allem deshalb, weil ich mit dem auch connect).

Das is ja doppelt so schlimm wie ein Flashdrive!

ansichtssache. es zwingt dich keiner, es genauso zu machen.

[radditz]

eh nicht

So, um es für die Nachwelt zu erhalten:

* fail2ban is nicht übel, wirkt aber keine Wunder weil es erst nachträglich Bedrohungen erkennt (in logfiles), minimiert aber die Chance von BruteForce Attacken
* Immer kontrollieren, was standardmäßig läuft und wie es konfiguriert is! hosteurope is so nett und hat FTP, Samba, Mysql, Apache und named per default am laufen, und keine firewall settings.
* Dienste nach außen hin verbergen mittels IPTables
* Apache so einstellen, dass er nicht alles über das OS und sich selbst preis gibt (Stichwort ServerTokens; ServerTokens Major reicht völlig aus)

[jutta]

> Meinen Lapi habe ich ja mit.

ich nicht. ich arbeite sehr viel von fremden pcs aus (wobei unter "fremd" der an meinem arbeitsplatz faellt, aber auch internet-cafes, pcs von bekannten, wo ich auf besuch bin, der nokia-stand am flughafen in stockholm usw). daher sind passwoerter die ich im kopf habe, fuer mich praktischer. (und putty auf einem usb-stick!)

@radditz: dass der apache per default laeuft, erwarte ich mir bei einem webserver eigentlich. irgendein sql auch. ftp ist ueblich, aber ich habs auf meinen servern nicht installiert. samba auf einem werbserver wundert mich eher.

wg. fail2ban: wenn das ssh-verbindungen generell verhindern wuerde, koenntest du auch nicht mehr auf den server. eine solide ausnahmeregel kannst du ja mangels statischer ip adresse des wartungsclients nicht eintragen.