Эта статья является результатом посещения мной автосервиса. В ожидании машины я подключил свой ноутбук к гостевой wifi-сети и читал новости. К своему удивлению я обнаружил, что некоторые сайты я посетить не могу. Зная про sshuttle (и будучи большим поклонником этого проекта) я попытался установить sshuttle сессию со своим сервером, но не тут-то было. Порт 22 был наглухо заблокирован. При этом nginx на порту 443 отвечал нормально. К следующему посещению автосервиса я установил на сервер мультиплексор sslh. Читать полностью »
Рубрика «ssh» - 4
Доступ к ssh серверу через очень зарегулированное подключение
2020-12-07 в 1:07, admin, рубрики: sshЗащита Linux-сервера. Что сделать в первую очередь
2020-10-22 в 8:20, admin, рубрики: fail2ban, linux, openssh, passwd, ssh, useradd, Блог компании VDSina.ru, информационная безопасность, Серверное администрирование, системное администрирование, хостинг
Habib M’henni / Wikimedia Commons, CC BY-SA
В наше время поднять сервер на хостинге — дело пары минут и нескольких щелчков мыши. Но сразу после запуска он попадает во враждебную среду, потому что открыт для всего интернета как невинная девушка на рокерской дискотеке. Его быстро нащупают сканеры и обнаружат тысячи автоматически скриптовых ботов, которые рыскают по сети в поисках уязвимостей и неправильных конфигураций. Есть несколько вещей, которые следует сделать сразу после запуска, чтобы обеспечить базовую защиту.
Читать полностью »
Запускаем командную строку Linux на iOS
2020-10-02 в 8:34, admin, рубрики: a-Shell, Blink shell, iOS, ipad, iSH, LibTerm, linux, ssh, Блог компании VDSina.ru — хостинг серверов, Настройка Linux, планшеты, Серверное администрирование, системное администрирование
А вы знали, что можно запустить командную строку Linux на устройстве iOS? Возможно, вы спросите: «Зачем мне пользоваться текстовыми приложениями на iPhone?» Справедливый вопрос. Но если вы читаете Opensource.com, то, вероятно, знаете на него ответ: пользователи Linux хотят иметь возможность работать с ним на любом устройстве и хотят пользоваться собственными настройками.
Но больше всего они жаждут решения сложных задач.
У меня есть семилетний iPad 2 Mini, который по-прежнему неплохо подходит для чтения электронных книг и других задач. Однако я хочу использовать его и для доступа к командной строке приложений с моим набором программ и скриптов, без которых не могу работать. Мне нужно окружение, к которому я привык, а также моя стандартная среда разработки. И вот как мне удалось этого добиться.
Читать полностью »
Прописываем процедуру экстренного доступа к хостам SSH с аппаратными ключами
2020-07-11 в 10:55, admin, рубрики: ssh, ssh key, ssh-keygen, Блог компании VDSina.ru — хостинг серверов, информационная безопасность, Настройка Linux, Серверное администрирование, системное администрирование
В этом посте мы разработаем процедуру для экстренного доступа к хостам SSH, используя аппаратные ключи безопасности в автономном режиме. Это всего лишь один из подходов, и вы можете адаптировать его под себя. Мы будем хранить центр сертификации SSH для наших хостов на аппаратном ключе безопасности. Эта схема будет работать практически на любом OpenSSH, включая SSH с единым входом.
Зачем всё это? Ну, это вариант на крайний случай. Это бэкдор, который позволит вам получить доступ к своему серверу в том случае, когда по какой-то причине больше ничего не помогает.
Читать полностью »
Опасный алгоритм SHA-1 убирают из библиотек SSH
2020-06-02 в 8:23, admin, рубрики: libssh, miran, open source, openssh, sha-1, ssh, Блог компании Дата-центр «Миран», дата-центр "Миран", информационная безопасность, коллизии хеша, криптография, Софт
Сложность атак на SHA-1. Стоимость указана из расчёта стоимости аренды одного GTX 1060 в 35 долларов/месяц
Намного позже всех остальных, но разработчики библиотек для SSH приняли решение наконец-то отключить по умолчанию устаревшую криптофункцию SHA-1. Сегодня подбор серверного ключа аутентификации SHA-1, то есть коллизия с выбранным префиксом, на арендованном кластере GPU обойдётся в $45 тыс., как указано в таблице вверху. Это делает атаку доступной не только для государственных спецслужб, но и для коммерческих клиентов.
Об отключении SHA-1 по умолчанию одновременно объявили разработчики опенсорсных библиотек OpenSSH (release notes) и libssh (изменение кода).
Читать полностью »
Про SSH Agent
2020-05-23 в 15:34, admin, рубрики: Data Analyst, data science, ssh, SSH Agent, Блог компании SkillFactory, информационная безопасность, криптография, обучение программированию, Сетевые технологии, Учебный процесс в ITВведение
SSH-agent является частью OpenSSH. В этом посте я объясню, что такое агент, как его использовать и как он работает, чтобы сохранить ваши ключи в безопасности. Я также опишу переадресацию агента и то, как она работает. Я помогу вам снизить риск при использовании переадресации агента и поделюсь альтернативой переадресации агента, которую вы можете использовать при доступе к своим внутренним хостам через bastion’ы.
Что такое SSH-agent
ssh-agent — это менеджер ключей для SSH. Он хранит ваши ключи и сертификаты в памяти, незашифрованные и готовые к использованию ssh. Это избавляет вас от необходимости вводить пароль каждый раз, когда вы подключаетесь к серверу. Он работает в фоновом режиме в вашей системе, отдельно от ssh, и обычно запускается при первом запуске ssh.
Агент SSH хранит секретные ключи в безопасности из-за того, что он не делает:
- Он не записывает никакой информации о ключах на диск.
- Он не позволяет экспортировать ваши личные ключи.
Секретные ключи, хранящиеся в Агенте, могут использоваться только для одной цели: подписания сообщения.
Но если агент может только подписывать сообщения, как SSH шифрует и расшифровывает трафик?
При первом изучении открытых и закрытых ключей SSH естественно предположить, что SSH использует эти пары ключей для шифрования и дешифрования трафика. Именно так я и думал. Но это не тот случай. Пара ключей SSH используется только для аутентификации во время первоначального соединения.
Читать полностью »
Маленькие хитрости SSH
2020-04-30 в 14:46, admin, рубрики: ITSumma, ssh, Блог компании ITSumma, информационная безопасность, криптография, сессии, Сетевые технологии, трюки, хитрости, шифрованияВ этой статье собраны наши лучшие приемы для более эффективного использования SSH. Из нее вы узнаете как:
- Добавить второй фактор к логину SSH
- Безопасно пользоваться agent forwarding
- Выйти из вставшей SSH сессии
- Сохранить постоянный терминал открытым
- Поделиться удаленной сессией терминала с другом (без Zoom!)
Добавление второго фактора к своему SSH
Второй фактор аутентификации к своим SSH соединениям можно добавить пятью разными способами:
- Обновить свой OpenSSH и использовать ключ шифрования. В феврале 2020 года в OpenSSH была добавлена поддержка ключей шифрования FIDO U2F (Universal Second Factor). Это отличная новая функция, но есть нюанс: только те клиенты и серверы, которые обновились до версии OpenSSH 8.2 и выше смогут пользоваться ключами шифрования, так как февральское обновление вводит для них новые типы ключей. Командой
ssh –Vможно проверить клиентскую версию SSH, а серверную — командойnc [servername] 22
Читать полностью »
Удалённые инкрементные резервные копии ZFS. Проще некуда
2020-03-07 в 9:31, admin, рубрики: increment, proxmox, receive, remote, send, ssh, zfsПодстрахуй братуху, подстрахуй...
В ZFS 0.8 появилась возможность отправлять инкрементные снимки зашифрованных данных не расшифровывая. То есть имея зашифрованный массив можно организовать его зеркальную копию на удалённой машине не доверяя владельцу удалённого помещения. Ключ и расшифрованные данные не покидают доверенное помещение.
Никто из моих клиентов (микроконтор) не имеет более одного серверного помещения, если туда придёт к примеру пожар — всему звезда. Договорившись со своим коллегой по опасному админскому бизнесу вы можете взаимно страховать друг друга не опасаясь, что данными могут воспользоваться.
Любой сервис в виде виртуальной машины ставится на Proxmox, где данные размещены на ZFS, и у вас всегда будет возможность хранить удалённую копию виртуальной машины. Есть шанс, что в один прекрасный день вместо впадания в уныние вы съездите в удалённое помещение, заберёте железяку и запустите все службы в полном здравии. Я уже перевёл почти все свои сервисы на Proxmox около 2 лет назад и ни капли не жалею, всё отлично работает. На ZFS у меня работает терминальный сервер на 30 человек, на который завязаны тонкие клиенты (то есть 30 полноценных рабочих мест). Помимо актуальной копии у вас будут ещё и снапшоты за последние x дней и локально и удалённо.
Да, вы потеряете производительность от самого использования zfs и от шифрования, но для себя я пришёл к выводу, что готов заплатить эту цену за такой функционал.
Читать полностью »
Скрипт добавления серверов из Google Cloud в config ssh
2020-01-19 в 16:17, admin, рубрики: GCP, Google Cloud Platform, python, ssh, Серверное администрированиеАннотация. Статья про очень простой скрипт, формирующий из списка серверов когфиг для ssh Linux. Проверено на Ubunta 18, используется Goodle Cloud SDK, Python 2.7, Bash.
После резкого увеличения количества серверов, с которыми приходится работать, понял, хранилище паролей и CMDB уже не дают такого оперативного доступа, как в те времена, когда просто помнил все ip и реквизиты наизусть. Может быть и потому, что CMDB мы до конца еще так и не осилили. Но тем не менее решать проблему быстрого доступа по SSH к большому количеству серверов как-то надо.
Дальше — с точки зрения терминала Linux (выполнялось на Ubunta 18). Возможно, работает и в других дистрибутивах и, вероятно, даже есть аналог на Windows — не смотрел.
Главные требования:
- Легко повторять. Администраторов несколько
и нужна возможность настроить одинаково у всех. Плюс к тому допускаем удаленную работу — хоть у каждого ноутбук, но ситуация, когда работаешь не за своим привычным "давно настроенным и отлаженным" компьютером бывает. - Сервера добавляются, удаляются, меняют адреса. Это должно учитываться.
Для этого решил использовать alias хостов в настройках ssh, список серверов получать через gcloud cli клиент GCP, а автоматизировать все это с помощью Python 2.7 (потому что он в Ubuntu был по умолчанию и я решил его изучить для работы с данными). Сам скрипт с описанием под катом.
Тайная жизнь Linux сервера или веерная брутфорс атака на подсистему SSH
2020-01-03 в 19:20, admin, рубрики: ssh, атака, безопасность, брутфорс, информационная безопасностьСегодня мой внешний IP был заблокирован в сервисе IVI с сообщением
Ваш ip-адрес идентифицируется как анонимный.
Пожалуйста, обратитесь к своему интернет-провайдеру. IP адрес <IP>.
Данные предоставлены maxmind.com