Отключаем прямой доступ к терминалу на арендованном сервере

15 ИЮНЯ 2022

------------------------------------------------------------------------

Наш телеграм-канал: t.me/@mailsgun_online

Youtube: youtube.com/@mailsgun_online

------------------------------------------------------------------------

Tutorial

Catslinger

вчера в 14:45

+3

Что помешает «недобросовестному хостеру» сделать дамп системы и ковырять в своё удовольствие? А вот владелец гарантированно лишается последнего шанса если SSH упадёт.
- pureacetone
  
  вчера в 14:47
  
  –1
  
  Шифрование упомянуто в статье, как основной способ защиты. Сама же заметка посвящена ликвидации доступа к терминалу.
  - struvv
    
    вчера в 14:49
    
    +1
    
    Так дамп ram позволяет достать ключи, не?
    - pureacetone
      
      вчера в 14:52
      
      –1
      
      Абсолютной защиты не бывает, но ее наличие увеличивает шанс на выживаемость. Это сопоставимо с бронежелетом, который часто закрывает около 60% торса, не предусматривая попадание в слабые места, а также сбоку, в ноги, руки и голову.
    - codecity
      
      вчера в 15:16
      
      0
      
      Вы пробовали поковыряться хотя бы 200 Мб RAM? Это кажется что 200 Мб копейки, на самом деле это размер 200 средних книг, т.е. целый книжный шкаф. Выискивать там информацию — то еще удовольствие. Особенно когда ключи хранятся в памяти подсоленные — понять где подсоленный ключ, где соль — это не так просто.
      - amarao
        
        вчера в 15:49
        
        +6
        
        Разумеется, байты надо вручную читать, после распечатки на принтере. Ни один хаккер не догадается вбить в гугль ssh keys from memory dump и найти вот это: https://github.com/DiabloHorn/pageant_xkeys
        
        Я уверен, что таких проектов килограммами можно найти.
amarao

вчера в 15:47

+2

И всё равно терминал вы не отключаете. Остаётся grub, остаётся консоль линукса (sysrq).

Учитесь.
linux:
console=ttyS0,115200 i8042.nokbd

grub:
GRUB_TERMINAL=serial
GRUB_DISABLE_RECOVERY=true

systemd:

systemd:
name: getty@tty1.service
enabled: false
state: stopped
masked: true

(Переключает консоль на последовательный порт).
- mayorovp
  
  вчера в 16:12
  
  +2
  
  И опять-таки, недобросовестный хостер найдёт способ в последовательный порт «воткнуться».
- pureacetone
  
  вчера в 16:29
  
  –2
  
  Отключение или изменение вывода консоли системы не влияет на безопасность, связанную с авторизацией на машине. Теме авторизации как раз посвящена эта статья.
  Параметры grub также не являются критичными в плане утечки информации, а ваше переключение на последовательный порт, как уже отмечено, не является решением вами же обозначенной уязвимости.
m0xf

вчера в 17:22

0

Что даёт доступ к терминалу, если злоумышленнику неизвестен пароль?
- pureacetone
  
  вчера в 17:24
  
  –2
  
  В первую очередь, возможность брутфорса пароля. Конечно, в современных реалиях брутфорс серверного пароля навряд ли увенчается успехом, но спится так всё же спокойнее 🙂
  
  Помимо всего описанного, нянкэт вместо эмулятора терминала — это всё же своего рода юмор.
ViperRU

вчера в 19:13

+1

Помоему рубить сук на котором сидишь. То же самое, что брать в аренду сервер, без ipkvm.
А в такой конфигурации не сработает сочетание на реальной клавиатуре Alt + SysRq + K для запуска консоли с login.
Yoskaldyr

вчера в 23:39

0

Статья настолько бессмысленная насколько и беспощадная 🙁
ivankudryavtsev

сегодня в 04:11

0

Здравствуйте, а как запустить VM с зашифрованным диском без терминала. Там же надо ввести ключ расшифровки? С отключением tty я еще понимаю, но на этапе загрузки терминал нужен же, если какие-то ну уж очень хитрые способы активации luks не использовать?

Или вы используете шифрованный $HOME?

Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.

Source: habr1

Ну и напоследок напоминаю вам о нашем новом проекте vkserfing bot.