Quanto è rischioso avere un server personale con ssh aperto su Internet?

La continuazione del titolo sarebbe "pur avendo una conoscenza limitata della sicurezza di Internet".

Di recente ho creato un piccolo server con un computer di fascia bassa che esegue debian con l'obiettivo di usarlo come repository git personale. Ho abilitato ssh e sono rimasto piuttosto sorpreso dalla prontezza con cui ha sofferto di attacchi di forza bruta e simili. Poi ho letto che questo è abbastanza comune e ho appreso le misure di sicurezza di base per scongiurare questi attacchi (molte domande e duplicati su serverfault lo affrontano, vedi ad esempio questo o questo ).

Ma ora mi chiedo se tutto ciò valga la pena. Ho deciso di configurare il mio server principalmente per divertimento: potevo semplicemente fare affidamento su soluzioni di terze parti come quelle offerte da gitbucket.org, bettercodes.org, ecc. Mentre parte del divertimento riguarda l'apprendimento della sicurezza di Internet, non ho abbastanza tempo da dedicare ad esso per diventare un esperto ed essere quasi certo di aver preso le giuste misure di prevenzione.

Al fine di decidere se continuerò a giocare con questo progetto giocattolo, vorrei sapere cosa rischio davvero nel farlo. Ad esempio, in che misura sono minacciati anche gli altri computer collegati alla mia rete? Alcuni di questi computer sono utilizzati da persone con una conoscenza ancora minore della mia con Windows.

Qual è la probabilità che mi metta in guai seri se seguo le linee guida di base come password complessa, accesso root disabilitato per ssh, porta non standard per ssh e possibilmente disabilitando l'accesso con password e usando una delle regole fail2ban, denyhosts o iptables?

Detto in altro modo, ci sono alcuni lupi cattivi di cui dovrei temere o si tratta principalmente di scacciare i kiddies?

IMO SSH è una delle cose più sicure da ascoltare su Internet aperto. Se sei davvero preoccupato, ascoltalo su una porta di fascia alta non standard. Avrei ancora un firewall (a livello di dispositivo) tra la tua casella e Internet reale e utilizzerei solo il port forwarding per SSH, ma questa è una precauzione contro altri servizi. Lo stesso SSH è dannatamente solido.

Io ho avuto la gente ha colpito il mio server casalingo SSH di tanto in tanto (aperto a Time Warner Cable). Non ha mai avuto un impatto reale.

Alcune cose aggiuntive che puoi fare per rendere SSH più sicuro sono prevenire ripetuti tentativi dallo stesso indirizzo IP per una macchina domestica simile

MaxStartups 2:30:10

in / etc / ssh / sshd_config che limiterà il numero di connessioni che possono essere create in una riga prima di accedere correttamente.

La configurazione di un sistema di autenticazione a chiave pubblica con SSH è davvero banale e l'installazione richiede circa 5 minuti .

Se imponi a tutte le connessioni SSH di utilizzarlo, renderà il tuo sistema abbastanza resiliente come puoi sperare senza investire un sacco in infrastruttura di sicurezza. Francamente, è così semplice ed efficace (purché non si disponga di 200 account, quindi diventa disordinato) che non utilizzarlo dovrebbe essere un reato pubblico.

Gestisco anche un server git personale aperto al mondo su SSH e ho anche gli stessi problemi di forza bruta come te, quindi posso simpatizzare con la tua situazione.

TheFiddlerWins ha già affrontato le principali implicazioni di sicurezza di avere SSH aperto su un IP accessibile al pubblico, ma il miglior strumento IMO in risposta ai tentativi di forza bruta è Fail2Ban - software che monitora i file di registro di autenticazione, rileva i tentativi di intrusione e aggiunge le regole del firewall al iptablesfirewall locale della macchina . Puoi configurare sia quanti tentativi prima di un ban sia anche la durata del ban (il mio default è 10 giorni).

Un altro modo per gestirlo è configurare una VPN. Invece di collegarti direttamente alle porte SSH sul tuo server di casa, ti connetti prima alla VPN, quindi esegui tutto il tuo traffico sulla connessione crittografata e sicura.

Il modo ideale per gestirlo è con un firewall che incorpora un endpoint VPN, ma è anche possibile configurare un computer Windows che funga da server VPN.

Ecco un esempio:

http://www.howtogeek.com/135996/

Ora tieni presente che una corretta configurazione di sicurezza implicherebbe un computer pubblico (o semi-pubblico) isolato dalla tua rete interna. Un server Web o qualsiasi computer che ospita servizi disponibili al pubblico dovrebbe trovarsi al di fuori della rete protetta della tua casa o dell'ufficio. Utilizzeresti 2 router per creare una zona sicura, o una DMZ, tra te e Internet.

In questo modo, se il tuo server viene violato, non può essere utilizzato come vettore per attaccare gli altri tuoi computer.

Quindi l'installazione sarebbe simile a questa:

Le risposte sono molto buone, consiglierei solo due cose:

• Considerare l'accesso solo tramite il sistema di autenticazione con chiave
• Usa Denyhosts : vieterà gli host che tentano di accedere al tuo server con un'autenticazione non valida