Hallo zusammen,
ich bin eben auf [1] gestossen und stelle mir dabei selbst die Frage ob das Sinn machen würde?
Prinzipiell ist bei mir ja so, dass ich mich via Zertifikat und speziellen User auf den SSH einlogge und dann erst auf den root ggf. wechseln kann.
Macht das in der Praxis Sinn SSH User in einem Chroot einzusperren? Macht ihr das?
Danke für Eure Meinung
Gruss
Chris
[1] - http://www.howtoforge.com/chroot_ssh_sftp_debian_etch
Chroot für SSH? Sinn oder Unsinn?
-
Payne_of_Death
- Beiträge: 484
- Registriert: 16.05.2004 20:21:30
-
Kontaktdaten:
Chroot für SSH? Sinn oder Unsinn?
Das System was mich zu Fall bringt muss erst mal geboren werden.
Re: Chroot für SSH? Sinn oder Unsinn?
Fuer (fremde) User, die moeglichst wenig mit dem System zu tun haben sollen, kann das schon sinnvoll sein. Fuer administrative Aufgaben an der Maschine selbst ist's allerdings Unfug, da man als User nicht aus dem chroot ausbrechen kann.
Bei der Anleitung sollte man beachten, dass sie schon sehr alt ist und der SSHd imho mittlerweile einen Teil der chroot-Vorbereitungen selbst erledigen kann.
Gruss Cae
Bei der Anleitung sollte man beachten, dass sie schon sehr alt ist und der SSHd imho mittlerweile einen Teil der chroot-Vorbereitungen selbst erledigen kann.
Gruss Cae
If universal surveillance were the answer, lots of us would have moved to the former East Germany. If surveillance cameras were the answer, camera-happy London, with something like 500,000 of them at a cost of $700 million, would be the safest city on the planet.
—Bruce Schneier
Re: Chroot für SSH? Sinn oder Unsinn?
Die Frage ist eigentlich wie ein Angreifer an deine Passwörter kommt. Dem Angreifer wird es im Zweifel egal sein ein oder zwei Passwörter mitzulesen. Du glaubst doch wohl nicht, dass jemand die Ende-zu-Ende-Verschlüsselung aufbricht, oder? Du glaubst doch wohl nicht, dass jemand alle möglichen Passwörter über eine SSH-Verbindung ausprobiert, was schon direkt auf die SHADOW-Datei Jahre dauern würde? Das ist doch alles ein Witz und dient der Beruhigung und Verdummung der normalen Administratoren.
Das Problem ist dein Client. Dort wird alles mitgelesen und geht alles verloren. Bei Windows vielleicht eher als bei Linux. Ein Passwort ist sofort verloren. Auch hilft dir kein SSH-Key, da er geklaut wird, da hilft auch keine Passphrase, da sie mitgelesen wird. Da hilft auch keine IP-Sperre, da der Angreifer deinen Rechner für den SSH-Zugriff nutzen kann.
Wenn du sicher kommunzieren willst nutze One-Time-Passwörter. Schau dir
libpam-otpw bzw. otpw-bin. Und ja, man kann damit auch viel falsch und auch viel kaputt machen. Bedenke auch, dass der Angreifer auf deinem Client die aktive Sitzung auch mitlesen und evtl. manipulieren kann.
Ach ja. Und wenn jemand deinen Server trotzdem hacken will geht er zum Provider (wie vertrauenswüdig ist er?) oder es wird eine unbekannte SSHD-Sicherheitslücke verwendet. Kostest vielleicht etwas aber mag für den Zweck ja angemessen sein.
Ok. Wahrscheinlich sind SSH-Keys schon um einiges besser als Passwörter. Aber wirklich sicher sind sie nicht. Aber wenn du nicht von Windows aus administrierst ist die Möglichkeit größer, dass dein Passwort und dein SSH-Key (inkl. Passphrase) noch nicht in fremden Händen ist.
Solltest du Windows genutzt haben und Windows nicht vertrauen ist jetzt die Chance den Server vollkommen neu zu installieren und vollkommen neue Passwörter und SSH-Keys zu rechnen.
Das Problem ist dein Client. Dort wird alles mitgelesen und geht alles verloren. Bei Windows vielleicht eher als bei Linux. Ein Passwort ist sofort verloren. Auch hilft dir kein SSH-Key, da er geklaut wird, da hilft auch keine Passphrase, da sie mitgelesen wird. Da hilft auch keine IP-Sperre, da der Angreifer deinen Rechner für den SSH-Zugriff nutzen kann.
Wenn du sicher kommunzieren willst nutze One-Time-Passwörter. Schau dir
libpam-otpw bzw. otpw-bin. Und ja, man kann damit auch viel falsch und auch viel kaputt machen. Bedenke auch, dass der Angreifer auf deinem Client die aktive Sitzung auch mitlesen und evtl. manipulieren kann.Ach ja. Und wenn jemand deinen Server trotzdem hacken will geht er zum Provider (wie vertrauenswüdig ist er?) oder es wird eine unbekannte SSHD-Sicherheitslücke verwendet. Kostest vielleicht etwas aber mag für den Zweck ja angemessen sein.
Ok. Wahrscheinlich sind SSH-Keys schon um einiges besser als Passwörter. Aber wirklich sicher sind sie nicht. Aber wenn du nicht von Windows aus administrierst ist die Möglichkeit größer, dass dein Passwort und dein SSH-Key (inkl. Passphrase) noch nicht in fremden Händen ist.
Solltest du Windows genutzt haben und Windows nicht vertrauen ist jetzt die Chance den Server vollkommen neu zu installieren und vollkommen neue Passwörter und SSH-Keys zu rechnen.