[Warnung/Erinnerung] Benutzt SSH Keys!

Nichts gegen SSH-Keys - aber ein deaktivierter Root-Account und ein User-Account mit einem sehr komplexen Passwort ist imho auch ausreichend sicher.
Die Brute-Force Angriffe müssen nämlich dann Usernamen UND Passwort raten. Und das ist ziemlich unmöglich.

Thomas

Mir ist auch der Aufwand mit den Keys zu hoch. Aktuell habe ich diese im Google Drive, aber dann ist das ganze spiel eigentlich auch hinfaellig..

Ich habe nur einen Benutzer, der SSH-Login darf, mit einem ca 20-Stelligen Passwort(-Satz). Das Klappt auch auf Smartphone-Tastaturen gut und ich kann mich an allen Geraeten einloggen.

Exakt dass ist der Grund wieso ich auch keine SSH-Keys durchgehend nutze.
Mal muss ich mich vom Handy einloggen. Mal von irgendeinem Kundenrechner aus...

Ich suche noch immer eine App fürs Smartphone, die ed25519 kann ...

Wenn man die Keyfiles mit einem Passwort schützt, ist es eigentlich fast egal, ob diese in der Cloud abgelegt werden. Meine liegen am NAS, über mein VPN kann ich mir jederzeit fehlende auf z.B. Handy oder Notebook herunterladen. (Und eine Passphrase sollten Keyfiles immer haben, außer für automatisierte Aufgaben über Scripte!)

Ich finde Keyfiles extrem praktisch. So muss ich mir nur die Passphrase merken. Am Smartphone bzw. Tablet verwende ich VX Connectbot, dort werden sie einwandfrei unterstützt. Und auf fremden Rechnern würde ich niemals eine SSH-Verbindung zu meinen Servern herstellen! Das ist meiner Ansicht nach eine der schlimmsten Aktionen, die man machen kann. Würde bei mir aber sowieso nicht gehen, weil SSH nur über das VPN erreichbar ist.

MfG Christian

In wiefern ist der aufwand für SSH-Keys zu hoch?

Key machen fertig.
Den kannst du dann auch für "AndFTP" z.B. für android nutzen oder putty oder im Terminal bei linux oder Filezilla etc.

Der KEy muss ja auch nicht per se immer ein Passwort haben. Du solltest ihn halt nur gut schützen.

Viel wichtiger als SSH-Keys finde ich eigentlich Fail2Ban und eine Mailbenachrichtigung bei erfolgreichem Login,
so beugt man Brute-Force effektiver vor und bekommt auch im Notfall bescheid.

Dienste wie blocklist.de finde ich auch sehr interessant dafür.

Viele Grüße!
margau

Das stimmt. Fail2Ban sehe ich mit Key files beide auf Platz 1.

Wobei ein login ohne File ja sowieso ausgeschlossen ist. Bei richtiger Konfiguration.

Noch ein Tipp zum vorbeugen von Brute-Force: SSH-Port ändern. Ist selbstverständlich kein Schutz in dem Sinne, reduziert aber erfahrungsgemäß die Anzahl an jeglichen Fremdlogins um 100%.

Naja eig. Standard. Denke auch bei Management Servern sollte das von Anfang an so sein. Oder ist das so?

Allerdings kommen wir jetzt ja immer tiefer in die Materie. Jemand der den Ssh port ändert und ändern kann sollte wissen welche Dienste laufen und welche Ports die brauchen. Wer eigene Dienste installiert und die Ports frei gibt beschäftigt sich mit der Firewall. Wer das macht und Ssh key nutzen kann der sollte genug Erfahrung haben um zu wissen wie wichtig das ist.

Leider gibt es so schrecklich viele Server auf port 22 ohne Schutz wie so ein Baby allein in der Wildnis
Nur das aus den Servern keine Chance besteht zu Mogli zu werden

Sry, dass ich jetzt direkt werde, aber bei solchen Beiträgen bekomme ich immer dass kalte Kotzen. Hier wird darüber geredet, dass ein SSH-Key den Server schützen würde. Dass die meisten IoT-Geräte, die hier ja als Beispiel aufgeführt werden, ein Standardpasswort verwenden oder von schwerwiegenden Bugs wie dem Heartbleed betroffen sind und deshalb leicht zu knacken sind, das wird wieder einmal nicht erwähnt. Ebenso wenig, wie hier erwähnt wird, dass die meisten Server wegen veralteter Software oder Sicherheitslücken geknackt werden.

Denn wenn wir uns das Ganze einmal anschauen, sollte jedem schnell klar werden, dass ein fehlerfreier (Theorie, also ohne Sicherheitslücken) SSH-Zugang bei nur minimalen Sicherheitsvorkehrungen kaum zu knacken ist. Als Erstes sollte man sich dazu anschauen, was solche Bots versuchen. Meistens werden nur Standard Logins wie root, admin, administrator, ... und Passwörter aus sogenannten Wörterbüchern versucht. Diese enthalten in der Regel nahezu alle Standardpasswörter und die am häufigsten verwendeten Passwörter. Wer also ein ungewöhnliches Passwort hat, der ist schon einmal nicht ungeschützt. Bei einem acht-stelligem Passwort bestehend aus Zahlen und Buchstaben (also 36 hoch sind bis zu 2,25 Trillionen Versuche notwendig.Zwar wäre das, wenn den Angreifer den Hash kennen würde, mit der heutigen Rechenleistung in weniger als einer Minute knackbar. Da er diesen in den meisten Fällen jedoch nicht kennt, müsste der Angreifer also bis zu 2,25 Trillionen Login Versuche an eurem Server unternehmen. Dadurch würde es wieder mehrere Jahre dauern oder euren Server ansonsten Lahmlegen und selbst Wald und Wiesen Admins aufhorchen lassen. Bei einem Passwort nach aktuellem Sicherheitsverständnis, also zwölf Zeichen, bestehend aus Zahlen, Buchstaben und Sonderzeichen (72 hoch 12), wären schon bis zu 19 Sextillionen Versuche notwendig. Selbst bei bekanntem Hash würde aktuelle Cluster viele Jahrzehnte für das Knacken brauchen.

Natürlich ist es immer besser die besten Sicherheitsvorkehrungen zu nutzen. Alleine weil Keys ja nicht nur vor Brute-Force Attacken, sondern auch vor Man-in-the-Middel-Angriffen schützen.

Deshalb meine Empfehlung (insbesondere an unerfahrenen): Bemüht euch nicht nur um die Standards, denn diese lassen sich leicht absichern. Aber wer von euch hat sich ausgiebig mit seinem Web- und Mailserver beschäftigt? Wer weiß was ein Reverse-Proxy ist und wie er ihn aktiviert ... damit er sich sicher sein kann, dass dieser nicht aktiviert ist? Übrigens eine häufig genutzte Angriffsfläche um DDoS zu verstärken. Wie lange braucht Ihr um Update einzuspielen? ....

Gut geschrieben.
Glaube mehr muss man nicht hinzufügen

@f3dora:
Wenn ich Software wir Wordpress oder Joomla vermeiden soll kann ich den Server auch gleich heruntergefahren lassen

Ein Server ist nunmal dazu da Dienste anzubieten. Und Dienste anbieten ist immer gefährlich.
Wenn ich selbst geschriebene oder unbekannte Software nehme so sind da drin hunderte Sicherheitslücken dir nur noch keiner gefunden hat weil sie keiner sucht.
Nehme ich bekannte Software so werden da die Sicherheitslücken zumindest geschlossen.

Woran erkennt man einen hack abgesehen von log files und traffic?

Gibt es bezüglich diesen Themas gute Lektüre oder so? Würde mich gern da etwas mehr einlesen.

Quote from f3dora

Die beste lösung ist natürlich einfach docker container zum hosten der website zu benutzen, leider ist das für anfänger sehr kompliziert.

Ääähm nein - Docker ist so ziemlich alles, aber kein Sicherheitsfeature.
Bei Lücken in genutzten Kernelfunktionen ist es ganz egal ob mit oder ohne Docker...

Docker birgt im Gegenteil sogar die Gefahr, dass die darin laufende Software nicht vernünftig geupdated wird: aus einer Agentur weiß ich, dass Kunden gerne mal Docker-Container inkl. Webserver anfordern um die neue Webseite mit wenig Aufwand online gehen zu lassen. Als ob sich einer der eigenen Sysadmins einem Docker-Container einer Webagentur annimt...