Re: [ml] Sicurezza di SSH, meglio chiavi o password?

On Wednesday 20 June 2007 14:48, Fabio Panigatti wrote:
> Quel che volevo sottolineare
> e' che (IMHO) spostare sshd su una porta <>22/tcp come misura per limitare
> la monnezza nei log non ritengo che sia "security through obscurity" nella
> sua accezione negativa e, come tale, deprecabile (come ho spesso sentito).

Lasciando stare per un attimo le classificazioni, ritengo che le cose debbano 
essere viste da N punti di vista, sicurezza e tutto cià che ci gira intorno.

Se io avessi un embedded su CF eviteri tutta sta *monnezza*, per non generare 
inutile I/O.Se posso risolvere con il minimo sforzo implementativo, un 
piccolo/medio _problema_, perchà non farlo ? 

Ritengo anche che cambiare porta a sshd potrebbe non far incappare in quelle 
sviste che, aimÃ, dall'era dei tempi son sempre accadute.Circa 2 anni fa, in 
ufficio, un ex collega seguendo la procedura d'installazione di un software 
web, aveva creato un account per l'upload di file da uno script php, alla 
fine ci si à ritrovati, dopo un paio di giorni, con una home piena di 
materiale pornografico su un server di un cliente in una facoltosa serverfarm 
vicino Roma :) Avevano fatto un bruteforce su ssh per una notte, riuscendo a 
trovare user e passw.

Se user e passw fossero state generate con un minimo criterio umano, questo 
non sarebbe accaduto, se l'utente fosse stato creato con le giuste 
credenziali, questo non sarebbe accaduto.Purtroppo, le sviste capitano, e le 
capacità di ognuno son diverse, ma,  se la connect del codice utilizzato per 
l'attacco, avesse fallito, la problematica si sarebbe posticipata, ma il 
controllo periodico avrebbe avuto una possibilità di risolvere il problema 
prima che questo si presentasse.Se la read del codice non avesse letto il 
banner, dubito che sarebbe partito l'attacco :-).
Con queste considerazioni, io le macchine che hanno sshd aperto al mondo, le 
lascio su una porta non standard, per evitare, anche errori umani, che 
possono sempre accadere.Il filo logico che mi porta a queste considerazioni à 
quello che il sistema sicuro per default à una cosa, ma tenere un sistema 
sicuro à un'altra.

Salut.