Аккуратнее с ssh

Устрица, а логины без пароля признак ЯХВБР.

$IPT -A INPUT -p tcp --syn --dport 22 -m recent --name pidary --set
$IPT -A INPUT -p tcp --syn --dport 22 -m recent --name pidary --update --seconds 300 --hitcount 6 -j LOG --log-level info --log-prefix "SSH SCAN blocked: "
$IPT -A INPUT -p tcp --syn --dport 22 -m recent --name pidary --update --seconds 300 --hitcount 6 -j DROP

Это распространенное явление. Имеет смысл прикрыть от негодяев свой 22 правилами iptables.

чтоли первый раз? да всегда так было.

> Так что придумываем пароли позаковыристей :-)

никогда не понимал, в чем смысл поднимать ssh с аутентификацией по паролю, когда есть ключи :-?

// wbr

фигня, вот я это обнаружил только через три недели после того, как случайно открыл ssh наружу. кстати, никто так и не угадал моего пользователя

повесь sshd на другой порт повыше и не парься.

> чтоли первый раз? да всегда так было.

Со мной - первый. И, главное, всего через несколько часов после http://www.opennet.ru/opennews/art.shtml?num=15874

они постоянно так делают. дебианобаг тут непричем

Увы, от пустого пароля это не спасёт. И имхо это вообще защита весьма условная. Зато на нестандартном порту обычно никто ничего не сканирует.

> $IPT -A INPUT -p tcp --syn --dport 22 -m recent --name pidary --update --seconds 300 --hitcount 6 -j LOG --log-level info --log-prefix "SSH SCAN blocked: "

Некрасиво и плохо, и вообще может заблокировать легитимных пользователей. Лучше уж denyhosts осилить.

>Некрасиво и плохо, и вообще может заблокировать легитимных пользователей. Лучше уж denyhosts осилить.

вот как раз denyhosts практически гарантированно заблокирует легитимных пользователей. =)

http://www.lissyara.su/?id=1472

Много плюсов! Аутентификация строго по ключам + совсем для параноиков можно перевесить демона на другой порт.

+ ещё можно юзать knockd :)

> никогда не понимал, в чем смысл поднимать ssh с аутентификацией по паролю, когда есть ключи :-?

Вот тебе про ключи: http://metasploit.com/users/hdm/tools/debian-openssl/

Буквально вчера поставил blocksshd. Хотя вначале рекомендовали sshguard, но он у меня, увы, не взлетел...

> Увы, от пустого пароля это не спасёт. И имхо это вообще защита весьма условная. Зато на нестандартном порту обычно никто ничего не сканирует.

За пустой пароль оторву йайцы, все знают это :)

>> никогда не понимал, в чем смысл поднимать ssh с аутентификацией по паролю, когда есть ключи :-?

> Вот тебе про ключи: http://metasploit.com/users/hdm/tools/debian-openssl/

и? причём тут sshd и RSA ключи :-?

// wbr

А я выбираю из /etc/services порт, в который никакой ксапеп в здравом уме не будет долбить, и вешаю на него sshd.

юзерам с пустыми паролями можно запретить доступ по ссш (PermitEmptyPasswords no)

>и? причём тут sshd и RSA ключи :-?

Косяк связан с генерацией и DSA и RSA ключей

> Косяк связан с генерацией и DSA и RSA ключей

таки проблемы по ссылке - это сугубо дебиановские проблемы. они что-то пропатчили на свой стиах и риск тем самым сломав openssl. дураки. потом очухались - нашли и пофиксили. молодцы.

какое это имеет отношение к sshd на моей FC и аутентификации по ключам :-? да и пусть хотя бы и на дебиане того периода времени, когда уже есть ключи.

// wbr

> Зато на нестандартном порту обычно никто ничего не сканирует.

4.2, буквально на днях кто-то тут говорил что обнаружил робота долбящегося ему во все порты и пытающегося на любом открытом порту установить ssh-соединение.

а ещё в линуксе PermitRootLogin yes by default..

ключевое слово - обычно

К тому же, как раз таких на файрволле отлавливать проще.