PHP Blogger

Böse Buben und Hacker gibts leider überall. Da darf man schon mal ein bisschen paranoid sein. Als Angehöriger der deutschen Sprache erst recht - schliesslich sind wir als Schwarzmaler und Pessimisten bekannt. Naja. Noch schlimmer sollen in dieser traditionellen Hinsicht die Schweizer sein, aber so wirklich verifizieren kann ich das nicht. Hat man halt mal irgendwo gehört.

Wo Iren, Spanier und Franzosen Sonnenkinder und Optimisten sind, dürfen sich Deutsche, Österreicher und Schweizer in Missmut üben - aber ich will diesen Kampf der Nationalitäten nicht weiter entfachen. Schließlich gehts hier ja nur um eine Einleitung zum Thema. Irgendwie muss ich ja zur Sache kommen. Jetzt leider etwas verkrampfter als sonst.

So. Kurze Rede, gar kein Sinn: Ich musste diese Woche mal wieder einen Rootserver aufsetzen und nichts ist schöner, als from the scratch quasi auf der grünen Wiese oder mit einem nackten Arsch anzufangen. Puh. Irgendwie schreib ich heute nur Blödsinn. Naja, mal weiter im Text.

Wir haben also einen nackigen Rootserver mit nichts als einer minimalen Betriebsystem-Installation samt sshd am Laufen und sind mit einem Root-Account eingeloggt. Wer jetzt einen Grund für seinen Pessimismus haben möchte, sollte mal folgendes tun:

1. Eine Woche nichts
2. Nach einer Woche einen Blick in /var/log/messages oder eben ins Syslog werfen und
3. mal gucken, wieviele Login-Attacks er auf seinem SSH-Port hatte

Oh weh - da soll mir mal einer sagen, er hatte keine Login-Attacke - das glaub ich nämlich nicht. In der Regel werden einfach so von Bots die IPs abgescannt und WKPs (Well Known Ports) wie eben SSH oder FTP angepingt und mit beschissenen Wörterbuch-Attacken bombardiert. Da kann es einem schon die Laune verderben, wenn man an Sicherheitslücken, unsichere Passworte und anderen Unsinn denkt. Halt! Komm vom Klo wieder her, wenn Du Dich übergeben hast *lach*

Was kann man dagegen tun? Auch wenn es .mario nicht gefällt: Wir kochen heute mal wieder. Es gibt Port-Salat. Hat leider nix mit Portwein zu tun, den kippen wir uns danach hinter die Binde. Oder eben ein gutes Bierchen.

So, also Port-Salat. Was meint denn der Dichter und Poet PHP Blogger damit?

Der Ansatzpunkt sind also die WKPs, die wie der Namen schon sagt: Jeder kennt. 21 ist FTP, 80 ist HTTP und 22 SSH - nur so als Beispiel. Wenn also jemand an FTP herankommen möchte, hat er unter anderem die Möglichkeit, einen kleinen Hack über Port 21 zu machen. Vielleicht schafft ers und er ist drin. Oder sie, falls es ein böses Mädchen ist (Es leben die guten Suchbegriffe!).

Wir packen also unsere Ports in den Port-Salat, ein paar Käsestreifen, ein bisschen Senf, vielleicht noch ein bisschen Schadenfreude. Dann umrühren und die Ports schön vermischen.

Jamie Oliver würde jetzt sicherlich noch empfehlen ein paar Daemons scharf anzubraten und in den Pott zu werfen, aber das sparen wir uns. Hatte ich schon erwähnt, das heute nur Müll aus meiner Tastatur kommt?

Aber weiter mit dem Port-Salat: Wir haben also jetzt alles schön durcheinander. Auf Port 21 läuft der Indianer, auf Port 80 der SSH-Daemon und Port 22 wird von z.B. ProFTPd beglückt. Eieiei, das ist ganz schön scheisse: FTP geht nicht mehr mit dem Default-Port, und der Internet Explorer samt Kollegen auf Safari oder brennenden Füchsen zeigen auch nix mehr an. Aber SSH ist jetzt super sicher und die Verwirrung ist komplett.

Okay. Ich gebe zu, es hätte genügt, nur den SSH Port umzulegen. Den braucht eh nur der Admin und dem ist es wurscht, ob er jetzt 22 oder was anderes beim connecten angibt.

Also ab mit dem Salat ins Klo und mal überlegen, was man an SSH noch ändern könnte. Vielleicht hatte ich es noch nicht erwähnt, aber SSH ist einer der mächtigsten Services, die auf einem Server laufen und daher besonders schützenswert. Was gibt es denn noch für eine bekannte Größe?

DER ROOT ACCOUNT. Verzeih mir die Schreierei. Ganz klar, den gibts auf jeder Maschine. Braucht man den? Nein, eigentlich nur zum Initialisieren und Warten eines Servers. Die meisten Dinge sollte man mit einem Standard-User erledigen. Mit mit den Befehlen su und sudo kann man ja jederzeit zum root werden.

Was spricht also dagegen, dem root-Account das Einloggen zu verbieten? Und so gehts:

1. Standard-User anlegen, wenn es noch keinen gibt. Und ganz wichtig, vielleicht einen etwas ausgefallenen oder kryptischen Namen mit einem sicheren Passwort wählen.
2. Neuen User testen (ganz wichtig, sonst sperrt man sich ganz schnell aus!)
3. mit vi /etc/ssh/sshd_config (auf einem Debian System) die SSH-Daemon Config öffnen.
4. Den Parameter “Port” (per default auf 22) auf einen beliebigen anderen Port setzen, der noch frei ist. Kann natürlich auch ein nicht verwendete WKP sein.
5. “PermitRootLogin” (per default auf “yes” auf den Wert “no” setzen.
6. Wer seine Besucher beim Login begrüssen möchte, kann mit “Banner” noch eine Textdatei mit entsprechendem Text definieren.
7. :wq
8. /etc/init.d/ssh reload
9. fertig.

Mit ein paar kleinen Config-Änderungen hat man seinem System ein bisschen mehr Sicherheitsluft gegönnt. Achso, connecten geht dann jetzt so:

ssh meinuser@meinserver.de -p 123

Hehe. 123 ist natürlich der Port, den Du eingestellt hast und meinuser der Benutzername des Users, den Du angelegt hat. Wenn Dir jetzt auch noch meinserver.de gehört, nennst Du wohl auch jahresdomain.de Dein eigen *lach*

So, die Kochprofis sind raus. Guten Hunger beim Verzehr des Port-Salats.

Ähnliche Artikel:

1. Port-Fetischismus oder dirty Games mit Ports
2. Automatische Update-Benachrichtung für Rootserver
3. Formulare gegen XSS Angriffe absichern
4. Wie verschwindet mal eben ein Gig RAM aus einem laufenden Server?