forum.opennet.ru - "Выпуск сканера сетевой безопасности Nmap 7.90" (43)

"Выпуск сканера сетевой безопасности Nmap 7.90"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Выпуск сканера сетевой безопасности Nmap 7.90"	+/–
Сообщение от opennews (??), 04-Окт-20, 20:16
Спустя больше года с момента прошлого выпуска представлен релиз сканера сетевой безопасности Nmap 7.90, предназначенного для проведения аудита сети и выявления активных сетевых сервисов. В состав включено 3 новых NSE-скрипта для обеспечения автоматизации различных действий с Nmap. Добавлено более 1200 новых сигнатур для определения сетевых приложений и операционных систем... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=53829
Ответить \| Правка \| Cообщить модератору

Оглавление

закрываешь абсолютно все порты абсолютно для всех пользуешься port knocking-реше, Аноним (3), 20:25 , 04-Окт-20, (3) +1

Пароль в таких условиях вообще не нужен Как и всё остальное, в принципе Будет , Аноним (4), 20:40 , 04-Окт-20, (4) +6
и злодей имеет шанс без всякого ssh зайти через дыру в gpg или бэкдор в port kno, Аноним (6), 20:45 , 04-Окт-20, (6) +4

Чтобы не быть голословным поясню Обычно доступ открываю только для доверенного , Аноним (6), 20:54 , 04-Окт-20, (7)

Неплохая неголословость Твой запрос к web-скрипту может быть перехвачен МИТМ-м, Аноним (3), 21:30 , 04-Окт-20, (10) +4

Пусть попробует TLS-сеанс ретранслировать проверенными решениями, где изучению в, Аноним (6), 23:03 , 04-Окт-20, (12) +2

А зачем TLS ретранслировать Почти уверен, что у вас нет проверки, кем выдан сер, Аноним (13), 23:44 , 04-Окт-20, (13) –1

Как вы получите сертификат на мой домен Такой уязвимости не нашли ещё в летсэнк, Аноним (18), 02:01 , 05-Окт-20, (18)

Https прокси же как-то работают Сертификат не совпадает, если проверить, но кто, Аноним (4), 03:44 , 05-Окт-20, (21) –3

ЧИВО , Аноним (41), 15:00 , 06-Окт-20, (41)

Пожалуйста, я всегда раз просветить безграмотность Это особенность реализации h, Аноним (4), 15:20 , 06-Окт-20, (44)

Изначально исхожу из возможности MITM-атаки, когда атакующий где-то рядом с се, Аноним (39), 02:39 , 06-Окт-20, (39)

Ворота посреди пустыни, вот все ваше решение Вы не контролируете железо, вы не п, крокодил (?), 01:39 , 05-Окт-20, (17) +4

Есть такое понятие, как модель угроз Поэтому выходя в магазин вы не завариваете, Питя (?), 03:04 , 05-Окт-20, (19)

Это понятие появилось пару десятилетий назад Его придумали эффективный менедже, Аноним (25), 06:39 , 05-Окт-20, (25) –2

Планирование защиты появилось не пару десятилетий назад, что за чушь , Аноним (41), 15:02 , 06-Окт-20, (42)

Вы бы лучше сами матан подтянули, тогда бы осилили подчитать какое время потребу, Ivan_83 (ok), 07:27 , 05-Окт-20, (30) +3
Угумс Запираешь ты такой дверь на два оборота и оставляешь форточку на проветри, Pahanivo (ok), 12:11 , 05-Окт-20, (35) +1

Закрытие порта ssh для всего мира делается прежде всего для первого эшелона защи, Аноним (6), 07:52 , 05-Окт-20, (31) +1

В случае дыр в OpenSSH вы будете далеко не самой интересной и приоритетной целью, Ivan_83 (ok), 11:51 , 05-Окт-20, (33)

Надеюсь самый защищенный web-скрипт запускается от nobody , Аноним (-), 21:07 , 06-Окт-20, (46)

это разовое решение, тем более, что без учета intel me amt vpro , security through obscurity (?), 21:36 , 04-Окт-20, (11)
Вот у меня везде можно руту с паролем, пароль несколько сложнее вашего, не вижу , крокодил (?), 01:31 , 05-Окт-20, (15) –1

Постоянный скан замусоривает логи , Аноним (41), 15:04 , 06-Окт-20, (43)

Не расслабляйся Бэк-доры никто не отменял , iCat (ok), 06:28 , 05-Окт-20, (24) –2
Херня это все, админ влан рулит, повесил ssh только на административный IP и в л, Аноним (25), 06:42 , 05-Окт-20, (26) –1
fwknop, z (??), 11:16 , 05-Окт-20, (32)
Спасибо, интересно и элегантно, но лучше продолжу аутентификацию по ключу, тем с, Anonn (?), 03:52 , 07-Окт-20, (48) +1
мне нечего скрывать, Аноним (49), 01:00 , 08-Окт-20, (49)

nmap - шедевр, как швейцарский нож только лучше , Аноним (9), 21:22 , 04-Окт-20, (9) +9
RPM - смоглиDeb - не шмаглиexe - смоглиAppimg - не шмагли, Аноним (16), 01:37 , 05-Окт-20, (16) –1

когда мы были маленькими и кульхацверными, был только S A T A N и был он только , б.б. (?), 03:28 , 05-Окт-20, (20) –1
Главное что ебылды есть , Аноним (25), 06:43 , 05-Окт-20, (27)

Нашу свадьбу распространения бесплатного ПО только на условии GPL-2 ущемляют , Аноним (25), 06:22 , 05-Окт-20, (22) –3

s свадьбу свободу , а вражеский спелчекер меняет слова на антонимы , Аноним (25), 06:24 , 05-Окт-20, (23)
Просто гпл уже достала автора, и тот решил вмешаться сам, пока левые фирмы не ст, Тот_Самый_Анонимус (?), 07:08 , 05-Окт-20, (29) –2

Вот нравится мне pf - одно правило и точка превращается в черную дыру , Daemon (??), 06:51 , 05-Окт-20, (28) –1

ipf - всё так же , Аноним (-), 17:39 , 06-Окт-20, (45)

gui и вспомогательные скрипты на python 3 переписали уже или ещё лет десять подо, Аноним (36), 15:55 , 05-Окт-20, (36)

https packages debian org bullseye nmapНу и где тут в зависимостях питон и гуи, Аноним (38), 19:42 , 05-Окт-20, (38)

Например вот здесьsug zenmapPackage not availableИнтересно даже, почему not ava, Аноним (36), 23:22 , 06-Окт-20, (47)

Вот сейчас роскомнадзору обидно было , swine (ok), 19:40 , 05-Окт-20, (37)
Разве это не делает эту лицензию не совместимой с GPLv2 У GPLv2 же нет такого т, Аноним (41), 14:57 , 06-Окт-20, (40)

Сообщения [Сортировка по ответам | RSS]

3. Сообщение от Аноним (3), 04-Окт-20, 20:25 +1 +/–

закрываешь абсолютно все порты абсолютно для всех
@
пользуешься port knocking-решениями, посылая на рандомные порты зашифрованные udp-пакеты, обмазавшись gpg
@
получив пакет, сервер открывает ssh на 10 секунд и только для твоего айпи -- успей залогиниться!
@
никакие кул-хацкиры больше не страшны, можно даже оставить PasswordAuthentication yes и PermitRootLogin yes. Пароль для удобства ставим qwerty

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #4, #6, #11, #15, #24, #26, #32, #48, #49

4. Сообщение от Аноним (4), 04-Окт-20, 20:40 +6 +/–

Пароль в таких условиях вообще не нужен. Как и всё остальное, в принципе. Будет очень неудобно, когда доступ нужен из любой точки планеты, и серверов много. Очень упростит доступ проникнувшим на роутер злоумышленникам.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

6. Сообщение от Аноним (6), 04-Окт-20, 20:45 +4 +/–

> пользуешься port knocking-решениями, посылая на рандомные порты зашифрованные udp-пакеты, обмазавшись gpg
и злодей имеет шанс без всякого ssh зайти через дыру в gpg или бэкдор в port knock-ере.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #7

7. Сообщение от Аноним (6), 04-Окт-20, 20:54 +/–

Чтобы не быть голословным поясню. Обычно доступ открываю только для доверенного шлюза, но как-то понадобилось организовать вход напрямую с любых адресов. После того как поизучал имеющиеся популярные port knocking системы, пришёл к выводу, что аудитом там и не пахло и безопасность кода очень сомнительна, в условиях, что обработчики запускаются под root и слушают трафик. Есть вероятность словить переполнение буфера при разборе пакетов или бэкдор. Поэтому на коленке написал простой защищённый паролем web-скрипт, который записывает в файл IP при обращении и потом вызываемый по крону другой скрипт открывает порт для этого IP на какое-то время.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #10, #46

9. Сообщение от Аноним (9), 04-Окт-20, 21:22 +9 +/–

nmap - шедевр, как швейцарский нож... только лучше.

Ответить | Правка | Наверх | Cообщить модератору

10. Сообщение от Аноним (3), 04-Окт-20, 21:30 +4 +/–

> Чтобы не быть голословным
> Есть вероятность
Неплохая неголословость.
> записывает в файл IP при обращении
Твой запрос к "web-скрипту" может быть перехвачен МИТМ-мужиком и полностью им ретранслирован без изменений. Тогда доступ будет открыт ему, а не тебе. Все-таки иногда лучше пользоваться
проверенными решениями, где изучению вопроса уделяли больше 20 минут.
> защищённый паролем
gpg encrypt/sign куда надежнее пароля.
> по крону другой скрипт
Зачем крон, когда есть firewall-cmd --timeout=10s --add-rich-rule="...".

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #12

11. Сообщение от security through obscurity (?), 04-Окт-20, 21:36 +/–

это разовое решение, тем более, что без учета intel me amt vpro

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

12. Сообщение от Аноним (6), 04-Окт-20, 23:03 +2 +/–

> Твой запрос к "web-скрипту" может быть перехвачен МИТМ-мужиком и полностью им ретранслирован без изменений.
Пусть попробует TLS-сеанс ретранслировать.
> Все-таки иногда лучше пользоваться
проверенными решениями, где изучению вопроса уделяли больше 20 минут.
Я совсем не уверен, что они проверены, а не написаны также на коленке и слепо не подхвачены другими. К тому же некоторые готовые решения переусложнены и содержат много лишнего. У других код тянется и передаётся по рукам много лет и проще написать своё с нуля, чем проводить аудит.
> gpg encrypt/sign куда надежнее пароля.
Это первый эшелон защиты и привлекать в него gpg излишне и ведёт к риску компрометации через сам gpg. Ключи проверяются на стадии ssh, выносить их на стадию открытия доступа к порту нет смысла.
> Зачем крон, когда есть firewall-cmd --timeout=10s --add-rich-rule="...".
Здесь принцип "чем проще и меньше внешних сущностей и абстракций, поведение которых напрямую не контролируется, - тем лучше".

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #13, #17

13. Сообщение от Аноним (13), 04-Окт-20, 23:44 –1 +/–

А зачем TLS ретранслировать? Почти уверен, что у вас нет проверки, кем выдан сертификат. Тогда прекрасно сработает атака по принципу работы cloudflare: MITM, сертификат с летсенкрипта, декодируем payload и кодируем заново.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #18

15. Сообщение от крокодил (?), 05-Окт-20, 01:31 –1 +/–

Вот у меня везде можно руту с паролем, пароль несколько сложнее вашего, не вижу ни единого повода так заморачиватся кнокингом и даже просто меня 22 на чтото другое.
В опенссш есть все необходимое чтобы делать брутфорс не благодарным занятием, да и неизвестный хост в сети не настолько интересен чтобы после проверки двух десятков популярных пар трать на него силы.
Но раньше было очень забавно - отключаешь RSA крипту и смотришь как боты почти все не могут, сейчас наоборот длинный рса хостовый ключ заставляет ботов отмирать на вычислениях :))

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #43

16. Сообщение от Аноним (16), 05-Окт-20, 01:37 –1 +/–

RPM - смогли
Deb - не шмагли
exe - смогли
Appimg - не шмагли

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #20, #27

17. Сообщение от крокодил (?), 05-Окт-20, 01:39 +4 +/–

Ворота посреди пустыни, вот все ваше решение.
Вы не контролируете железо, вы не провели адит всего софта и не делаете инкрементальный адит при обновлениях и вообще поди бинарными пакетами обновляетесь, у вас софт не изолирован всякими чрутами, селинксами, капсиумами, маками и прочим, у вас не подписанный загрузчик и нет секуребута и тп....
Но почемуто считаете что вас обязательно взломают через брут по ссш - это даже не смешно, это как минимум фиксация, из психиатрии.
Отдельно скажу что бесят те кто еще и icmp режет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #19, #31

18. Сообщение от Аноним (18), 05-Окт-20, 02:01 +/–

Как вы получите сертификат на мой домен? Такой уязвимости не нашли ещё в летсэнкрипт.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #21, #39

19. Сообщение от Питя (?), 05-Окт-20, 03:04 +/–

Есть такое понятие, как модель угроз. Поэтому выходя в магазин вы не завариваете дверь, а запираете ее на ключ, но на два поворота, а не на один. Учите матчасть.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #25, #30, #35

20. Сообщение от б.б. (?), 05-Окт-20, 03:28 –1 +/–

когда мы были маленькими и кульхацверными, был только S.A.T.A.N.
и был он только под unix
эх, где те времена с ыыыксклюзивами

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

21. Сообщение от Аноним (4), 05-Окт-20, 03:44 –3 +/–

Https прокси же как-то работают. Сертификат не совпадает, если проверить, но кто ж это будет делать сегодня? Браузеры вот не делают.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #41

22. Сообщение от Аноним (25), 05-Окт-20, 06:22 –3 +/–

> Отличия от GPLv2 сводятся к добавлению нескольких исключений и условий, таких как возможность использования кода Nmap в продуктах под несовместимыми с GPL лицензиями после получения разрешения от автора и необходимость отдельного лицензирования поставки и использования nmap в составе проприетарных продуктов.
Нашу свадьбу распространения бесплатного ПО только на условии GPL-2 ущемляют!

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #23, #29

23. Сообщение от Аноним (25), 05-Окт-20, 06:24 +/–

s/свадьбу/свободу/ , а вражеский спелчекер меняет слова на антонимы?!!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

24. Сообщение от iCat (ok), 05-Окт-20, 06:28 –2 +/–

>...закрываешь абсолютно все порты абсолютно для всех
Не расслабляйся! Бэк-доры никто не отменял...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

25. Сообщение от Аноним (25), 05-Окт-20, 06:39 –2 +/–

> Есть такое понятие, как модель угроз.
Это понятие появилось пару десятилетий назад. Его придумали "эффективный менеджеры" чтобы впаривать лохам дырявые, недоделанные, частичные решения безопасности.
> Учите матчасть.
Вот и учи: DoD 5200.28-STD Supersedes CSC-STD-001-83, dtd 15 Aug 1983 Library No. S225,711 DEPARTMENT OF DEFENSE STANDARD DEPARTMENT OF DEFENSE TRUSTED COMPUTER SYSTEM EVALUATION CRITERIA DECEMBER 1985 - о модели угроз речи нет, только чесная оценка реального уровня безопасности.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #42

26. Сообщение от Аноним (25), 05-Окт-20, 06:42 –1 +/–

Херня это все, админ влан рулит, повесил ssh только на административный IP и в логах тишина обеспечена.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

27. Сообщение от Аноним (25), 05-Окт-20, 06:43 +/–

Главное что ебылды есть.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

28. Сообщение от Daemon (??), 05-Окт-20, 06:51 –1 +/–

Вот нравится мне pf - одно правило и точка превращается в черную дыру. :)

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #45

29. Сообщение от Тот_Самый_Анонимус (?), 05-Окт-20, 07:08 –2 +/–

>Нашу свадьбу распространения бесплатного ПО только на условии GPL-2 ущемляют!
Просто гпл уже достала автора, и тот решил вмешаться сам, пока левые фирмы не стали подавать в суд от его имени, не спросив его самого.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

30. Сообщение от Ivan_83 (ok), 05-Окт-20, 07:27 +3 +/–

Вы бы лучше сами матан подтянули, тогда бы осилили подчитать какое время потребуется на брут адекватного пароля хотя бы в 8 символов при зажержке ответа хотя бы в 1 секунду и лимите одновременных логонов в 32.
И потом, все эти любители кноканья портов, изображающие из себя сетевых партизан-нинзя, просто неуловимые джо, которые никому не интересны.
Целевые атаки с брутом это даже не единицы процентов от того что стоит ожидать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

31. Сообщение от Аноним (6), 05-Окт-20, 07:52 +1 +/–

Закрытие порта ssh для всего мира делается прежде всего для первого эшелона защиты в случае выявления дыры в OpenSSH. Защита от брута вторична. Закрытие ssh также имеет смысл на многопользовательских системах, где вы не можете контролировать пароли других пользователей, которые вполне могут один пароль, даже семантически надёжный, использовать на куче других сервисов, а ключи могут утечь при локальных взломах их систем.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #33

32. Сообщение от z (??), 05-Окт-20, 11:16 +/–

fwknop

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

33. Сообщение от Ivan_83 (ok), 05-Окт-20, 11:51 +/–

В случае дыр в OpenSSH вы будете далеко не самой интересной и приоритетной целью.
И таких дыр было за 20 лет по пальцам пересчитать.
На многопользовательских системах никто не мешает либо отключить вход по паролю для всех кроме избранных, либо задействовать двухфакторный вход.
У меня стойкое ощущение что вы не читали man sshd_config и просто не знаете что там много чего настраивается.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31

35. Сообщение от Pahanivo (ok), 05-Окт-20, 12:11 +1 +/–

Угумс. Запираешь ты такой дверь на два оборота и оставляешь форточку на проветривание.
Особенно смешно применение модели с запиранием квартиры к сетевой секурити ... тут надо совсем нифига не понимать сути.
Если строить подобную "модель", дак на надо ее правильно строить, и выглядеть она будет примерно так: комната будет иметь десятки дверей, часть из которых вы не можете контролировать, а часть просто не видите, надеясь лишь на строителей.
Упрощение моделей это лишь следствие либо не понимания темы, либо скудоумия.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

36. Сообщение от Аноним (36), 05-Окт-20, 15:55 +/–

gui и вспомогательные скрипты на python 3 переписали уже или ещё лет десять подождать?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #38

37. Сообщение от swine (ok), 05-Окт-20, 19:40 +/–

>Добавлена опция "--discovery-ignore-rst"
Вот сейчас роскомнадзору обидно было.

Ответить | Правка | Наверх | Cообщить модератору

38. Сообщение от Аноним (38), 05-Окт-20, 19:42 +/–

https://packages.debian.org/bullseye/nmap
Ну и где тут в зависимостях питон и гуи?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36 Ответы: #47

39. Сообщение от Аноним (39), 06-Окт-20, 02:39 +/–

Изначально исхожу из возможности MITM-атаки, когда атакующий где-то "рядом" с сервером. Тогда получу точно так же, MITM-ом - перехвачу запросы от letsencrypt-а к веб-серверу.
Если считать это невозможным, тогда и в принципе можно не запариваться так сильно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

40. Сообщение от Аноним (41), 06-Окт-20, 14:57 +/–

> необходимость отдельного лицензирования поставки и использования nmap в составе проприетарных продуктов
Разве это не делает эту лицензию не совместимой с GPLv2? У GPLv2 же нет такого требования.

Ответить | Правка | Наверх | Cообщить модератору

41. Сообщение от Аноним (41), 06-Окт-20, 15:00 +/–

> Браузеры вот не делают.
ЧИВО?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #44

42. Сообщение от Аноним (41), 06-Окт-20, 15:02 +/–

> Это понятие появилось пару десятилетий назад.
Планирование защиты появилось не пару десятилетий назад, что за чушь.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25

43. Сообщение от Аноним (41), 06-Окт-20, 15:04 +/–

> не вижу ни единого повода
Постоянный скан замусоривает логи.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

44. Сообщение от Аноним (4), 06-Окт-20, 15:20 +/–

Пожалуйста, я всегда раз просветить безграмотность. Это особенность реализации https-прокси. Пару лет назад эту технологию (secure proxy или как-то так называется) поддерживали только хром и фф (и они оба не показывали, что трафик на деле подписан mitm сертификатом, а оригинальный защищён только до mitm), потом добавили поддержку в curl и этот уже жаловался на расхождения и ему нужно было указать параметр для игнорирования.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41

45. Сообщение от Аноним (-), 06-Окт-20, 17:39 +/–

ipf - всё так же.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28

46. Сообщение от Аноним (-), 06-Окт-20, 21:07 +/–

Надеюсь самый защищенный web-скрипт запускается от nobody!?!?!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

47. Сообщение от Аноним (36), 06-Окт-20, 23:22 +/–

Например вот здесь
sug: zenmap
Package not available
Интересно даже, почему not available, они уже старый pygtk турнули из реп что ли? Если перейти в бастер или старее, только там есть.
Или вот здесь http://deb.debian.org/debian/pool/main/n/nmap/nmap_7.80+dfsg... в недопиленных (судя по до сих пор открытому https://github.com/nmap/nmap/pull/1484/files) патчах.
Вы, если пытаетесь аргументировать дебианом, не забывайте о том, что софтина, не распиленная на 50 пакетов по два файла в каждом, в нём вообще за пакет не считается, и надо всё дерево рыть.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38

48. Сообщение от Anonn (?), 07-Окт-20, 03:52 +1 +/–

> обмазавшись gpg
Спасибо, интересно и элегантно, но лучше продолжу аутентификацию по ключу, тем самым избавляясь от подобных цирковых трюков.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

49. Сообщение от Аноним (49), 08-Окт-20, 01:00 +/–

мне нечего скрывать

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

3. Сообщение от Аноним (3), 04-Окт-20, 20:25	+1 +/–
закрываешь абсолютно все порты абсолютно для всех @ пользуешься port knocking-решениями, посылая на рандомные порты зашифрованные udp-пакеты, обмазавшись gpg @ получив пакет, сервер открывает ssh на 10 секунд и только для твоего айпи -- успей залогиниться! @ никакие кул-хацкиры больше не страшны, можно даже оставить PasswordAuthentication yes и PermitRootLogin yes. Пароль для удобства ставим qwerty
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #4, #6, #11, #15, #24, #26, #32, #48, #49

4. Сообщение от Аноним (4), 04-Окт-20, 20:40	+6 +/–
Пароль в таких условиях вообще не нужен. Как и всё остальное, в принципе. Будет очень неудобно, когда доступ нужен из любой точки планеты, и серверов много. Очень упростит доступ проникнувшим на роутер злоумышленникам.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3

6. Сообщение от Аноним (6), 04-Окт-20, 20:45	+4 +/–
> пользуешься port knocking-решениями, посылая на рандомные порты зашифрованные udp-пакеты, обмазавшись gpg и злодей имеет шанс без всякого ssh зайти через дыру в gpg или бэкдор в port knock-ере.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3 Ответы: #7

7. Сообщение от Аноним (6), 04-Окт-20, 20:54	+/–
Чтобы не быть голословным поясню. Обычно доступ открываю только для доверенного шлюза, но как-то понадобилось организовать вход напрямую с любых адресов. После того как поизучал имеющиеся популярные port knocking системы, пришёл к выводу, что аудитом там и не пахло и безопасность кода очень сомнительна, в условиях, что обработчики запускаются под root и слушают трафик. Есть вероятность словить переполнение буфера при разборе пакетов или бэкдор. Поэтому на коленке написал простой защищённый паролем web-скрипт, который записывает в файл IP при обращении и потом вызываемый по крону другой скрипт открывает порт для этого IP на какое-то время.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6 Ответы: #10, #46

9. Сообщение от Аноним (9), 04-Окт-20, 21:22	+9 +/–
nmap - шедевр, как швейцарский нож... только лучше.
Ответить \| Правка \| Наверх \| Cообщить модератору

10. Сообщение от Аноним (3), 04-Окт-20, 21:30	+4 +/–
> Чтобы не быть голословным > Есть вероятность Неплохая неголословость. > записывает в файл IP при обращении Твой запрос к "web-скрипту" может быть перехвачен МИТМ-мужиком и полностью им ретранслирован без изменений. Тогда доступ будет открыт ему, а не тебе. Все-таки иногда лучше пользоваться проверенными решениями, где изучению вопроса уделяли больше 20 минут. > защищённый паролем gpg encrypt/sign куда надежнее пароля. > по крону другой скрипт Зачем крон, когда есть firewall-cmd --timeout=10s --add-rich-rule="...".
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7 Ответы: #12

11. Сообщение от security through obscurity (?), 04-Окт-20, 21:36	+/–
это разовое решение, тем более, что без учета intel me amt vpro
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3

12. Сообщение от Аноним (6), 04-Окт-20, 23:03	+2 +/–
> Твой запрос к "web-скрипту" может быть перехвачен МИТМ-мужиком и полностью им ретранслирован без изменений. Пусть попробует TLS-сеанс ретранслировать. > Все-таки иногда лучше пользоваться проверенными решениями, где изучению вопроса уделяли больше 20 минут. Я совсем не уверен, что они проверены, а не написаны также на коленке и слепо не подхвачены другими. К тому же некоторые готовые решения переусложнены и содержат много лишнего. У других код тянется и передаётся по рукам много лет и проще написать своё с нуля, чем проводить аудит. > gpg encrypt/sign куда надежнее пароля. Это первый эшелон защиты и привлекать в него gpg излишне и ведёт к риску компрометации через сам gpg. Ключи проверяются на стадии ssh, выносить их на стадию открытия доступа к порту нет смысла. > Зачем крон, когда есть firewall-cmd --timeout=10s --add-rich-rule="...". Здесь принцип "чем проще и меньше внешних сущностей и абстракций, поведение которых напрямую не контролируется, - тем лучше".
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #10 Ответы: #13, #17

13. Сообщение от Аноним (13), 04-Окт-20, 23:44	–1 +/–
А зачем TLS ретранслировать? Почти уверен, что у вас нет проверки, кем выдан сертификат. Тогда прекрасно сработает атака по принципу работы cloudflare: MITM, сертификат с летсенкрипта, декодируем payload и кодируем заново.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12 Ответы: #18

15. Сообщение от крокодил (?), 05-Окт-20, 01:31	–1 +/–
Вот у меня везде можно руту с паролем, пароль несколько сложнее вашего, не вижу ни единого повода так заморачиватся кнокингом и даже просто меня 22 на чтото другое. В опенссш есть все необходимое чтобы делать брутфорс не благодарным занятием, да и неизвестный хост в сети не настолько интересен чтобы после проверки двух десятков популярных пар трать на него силы. Но раньше было очень забавно - отключаешь RSA крипту и смотришь как боты почти все не могут, сейчас наоборот длинный рса хостовый ключ заставляет ботов отмирать на вычислениях :))
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3 Ответы: #43

16. Сообщение от Аноним (16), 05-Окт-20, 01:37	–1 +/–
RPM - смогли Deb - не шмагли exe - смогли Appimg - не шмагли
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #20, #27

17. Сообщение от крокодил (?), 05-Окт-20, 01:39	+4 +/–
Ворота посреди пустыни, вот все ваше решение. Вы не контролируете железо, вы не провели адит всего софта и не делаете инкрементальный адит при обновлениях и вообще поди бинарными пакетами обновляетесь, у вас софт не изолирован всякими чрутами, селинксами, капсиумами, маками и прочим, у вас не подписанный загрузчик и нет секуребута и тп.... Но почемуто считаете что вас обязательно взломают через брут по ссш - это даже не смешно, это как минимум фиксация, из психиатрии. Отдельно скажу что бесят те кто еще и icmp режет.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12 Ответы: #19, #31

18. Сообщение от Аноним (18), 05-Окт-20, 02:01	+/–
Как вы получите сертификат на мой домен? Такой уязвимости не нашли ещё в летсэнкрипт.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13 Ответы: #21, #39

19. Сообщение от Питя (?), 05-Окт-20, 03:04	+/–
Есть такое понятие, как модель угроз. Поэтому выходя в магазин вы не завариваете дверь, а запираете ее на ключ, но на два поворота, а не на один. Учите матчасть.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17 Ответы: #25, #30, #35

20. Сообщение от б.б. (?), 05-Окт-20, 03:28	–1 +/–
когда мы были маленькими и кульхацверными, был только S.A.T.A.N. и был он только под unix эх, где те времена с ыыыксклюзивами
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16

21. Сообщение от Аноним (4), 05-Окт-20, 03:44	–3 +/–
Https прокси же как-то работают. Сертификат не совпадает, если проверить, но кто ж это будет делать сегодня? Браузеры вот не делают.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #18 Ответы: #41

22. Сообщение от Аноним (25), 05-Окт-20, 06:22	–3 +/–
> Отличия от GPLv2 сводятся к добавлению нескольких исключений и условий, таких как возможность использования кода Nmap в продуктах под несовместимыми с GPL лицензиями после получения разрешения от автора и необходимость отдельного лицензирования поставки и использования nmap в составе проприетарных продуктов. Нашу свадьбу распространения бесплатного ПО только на условии GPL-2 ущемляют!
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #23, #29

23. Сообщение от Аноним (25), 05-Окт-20, 06:24	+/–
s/свадьбу/свободу/ , а вражеский спелчекер меняет слова на антонимы?!!
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #22

24. Сообщение от iCat (ok), 05-Окт-20, 06:28	–2 +/–
>...закрываешь абсолютно все порты абсолютно для всех Не расслабляйся! Бэк-доры никто не отменял...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3

25. Сообщение от Аноним (25), 05-Окт-20, 06:39	–2 +/–
> Есть такое понятие, как модель угроз. Это понятие появилось пару десятилетий назад. Его придумали "эффективный менеджеры" чтобы впаривать лохам дырявые, недоделанные, частичные решения безопасности. > Учите матчасть. Вот и учи: DoD 5200.28-STD Supersedes CSC-STD-001-83, dtd 15 Aug 1983 Library No. S225,711 DEPARTMENT OF DEFENSE STANDARD DEPARTMENT OF DEFENSE TRUSTED COMPUTER SYSTEM EVALUATION CRITERIA DECEMBER 1985 - о модели угроз речи нет, только чесная оценка реального уровня безопасности.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19 Ответы: #42

26. Сообщение от Аноним (25), 05-Окт-20, 06:42	–1 +/–
Херня это все, админ влан рулит, повесил ssh только на административный IP и в логах тишина обеспечена.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3

27. Сообщение от Аноним (25), 05-Окт-20, 06:43	+/–
Главное что ебылды есть.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16

28. Сообщение от Daemon (??), 05-Окт-20, 06:51	–1 +/–
Вот нравится мне pf - одно правило и точка превращается в черную дыру. :)
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #45

29. Сообщение от Тот_Самый_Анонимус (?), 05-Окт-20, 07:08	–2 +/–
>Нашу свадьбу распространения бесплатного ПО только на условии GPL-2 ущемляют! Просто гпл уже достала автора, и тот решил вмешаться сам, пока левые фирмы не стали подавать в суд от его имени, не спросив его самого.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #22

30. Сообщение от Ivan_83 (ok), 05-Окт-20, 07:27	+3 +/–
Вы бы лучше сами матан подтянули, тогда бы осилили подчитать какое время потребуется на брут адекватного пароля хотя бы в 8 символов при зажержке ответа хотя бы в 1 секунду и лимите одновременных логонов в 32. И потом, все эти любители кноканья портов, изображающие из себя сетевых партизан-нинзя, просто неуловимые джо, которые никому не интересны. Целевые атаки с брутом это даже не единицы процентов от того что стоит ожидать.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19

31. Сообщение от Аноним (6), 05-Окт-20, 07:52	+1 +/–
Закрытие порта ssh для всего мира делается прежде всего для первого эшелона защиты в случае выявления дыры в OpenSSH. Защита от брута вторична. Закрытие ssh также имеет смысл на многопользовательских системах, где вы не можете контролировать пароли других пользователей, которые вполне могут один пароль, даже семантически надёжный, использовать на куче других сервисов, а ключи могут утечь при локальных взломах их систем.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17 Ответы: #33

32. Сообщение от z (??), 05-Окт-20, 11:16	+/–
fwknop
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3

33. Сообщение от Ivan_83 (ok), 05-Окт-20, 11:51	+/–
В случае дыр в OpenSSH вы будете далеко не самой интересной и приоритетной целью. И таких дыр было за 20 лет по пальцам пересчитать. На многопользовательских системах никто не мешает либо отключить вход по паролю для всех кроме избранных, либо задействовать двухфакторный вход. У меня стойкое ощущение что вы не читали man sshd_config и просто не знаете что там много чего настраивается.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #31

35. Сообщение от Pahanivo (ok), 05-Окт-20, 12:11	+1 +/–
Угумс. Запираешь ты такой дверь на два оборота и оставляешь форточку на проветривание. Особенно смешно применение модели с запиранием квартиры к сетевой секурити ... тут надо совсем нифига не понимать сути. Если строить подобную "модель", дак на надо ее правильно строить, и выглядеть она будет примерно так: комната будет иметь десятки дверей, часть из которых вы не можете контролировать, а часть просто не видите, надеясь лишь на строителей. Упрощение моделей это лишь следствие либо не понимания темы, либо скудоумия.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19

36. Сообщение от Аноним (36), 05-Окт-20, 15:55	+/–
gui и вспомогательные скрипты на python 3 переписали уже или ещё лет десять подождать?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #38