Onderwerp: Cpanel ssh toegang, is het wat?

Beste WHT'ers,

Ik heb zelf een server met cpanel, bij het aanmaken van een account kan je dus een gebruiker ssh (shell) toegang geven tot de server, deze toegang kan je jailed instellen, zodat de gebruiker niet overal bij kan.

Ik vroeg me af of er mensen waren die shell toegang bij hun webhosting verkopen of los ervan.. en wat zijn jullie ervaringen ermee ? En is het wel zo secure ? En waarom zou je het gebruiken ?

Bedankt alvast voor de reactie's,

Hostdoos

Met cPanel is het wel veilig wel zou ik van te voren even voor de zekerheid /scripts/compilers off runnen.

Ik ben zelf geen voorstander van klanten SSH access geven. Het is een feit dat een klant die kwaad wil veel gemakkelijker in kan breken op je systeem via local access (al een ssh account hebben) dan via remote.

Ten tweede, waarom zou een klant SSH nodig hebben. De enige reden die ik kan bedenken is om background tasks te runnen zoals een IRCd en/of eggdrops.

Die zou ik niet op men server willen hebben.

Samengevat: Ook al claimt een software pakket nog zo veilig te zijn, SSH access geeft een extra potentieel gevaar en heeft naar mijn inziens niet veel meerwaarde.

Natuurlijk is SSH access wel nodig bij Dedicated Unmanaged machines etc maar daar gaat het nu niet om lijkt me.

Ik weet wel dat cPanel heel veel gedaan heeft om hosters met cPanel hun klanten secure "Secure Shell" aanbieden. Ik weet wel dat ik op mijn Plesk-servers en DirectAdmin-servers niet overweeg om klanten SSH-access te bieden.

In het verleden enkele problemen gehad met ssh.
User had één of andere DOSbot geinstalleerd.

Verder bestaat er ook een gevaar voor rootkits en dergelijke.
(zeker in PLESK)

1 gouden regel: vertrouw niet te veel op de 'goede' bedoelingen van een klant...

Bij ons krijgt ook niemand ssh toegang (meer). Sinds wij draaien met control panels is het ook eigenlijk niet nodig. 99,9% van wat de klant wil (en mag) kan via het control panel.
Voordien hadden we alleen maar last van "ijskastjes" die maar bleven draaien en idd zelfs een rootkit ;(

Origineel geplaatst door robinvand
waarom zou een klant SSH nodig hebben. De enige reden die ik kan bedenken is om background tasks te runnen zoals een IRCd en/of eggdrops.

Ik wil nog enkel een hosting met SSH access... redenen:
- creëren van backups tar/gzip (meer controle dan met cPanel backup)
- snel kopiëren en verplaatsen van folders e.d. tussen hostings
- rechtstreeks downloaden van een pakket naar de server met wget omdat je anders het eerst lokaal moet downen, unzippen en dan uploaden
- omdat je een mirror wil draaien, rsync nodig hebt en ook graag je folders chmod.

Bedankt voor de reactie's

Rootkits, ircd en eggdrops zijn de grote'stje gevaren, daar hebben jullie gelijk in, maar in cpanel zit een knopje waarmee je je server kan controleren op die troep (kheb het zelf nog niet nodig gehad of gebruikt) dus ik weet ook niet hoe up-to-date hij is en of hoe goed het werkt :s.

Voor de rest zou je gewoon een hoger bedrag/extra kosten vragen voor het gebruiken van ssh toegang. zodat je de "wizz-kiddie's" buiten houd omdat ze dat niet met hun zak centjes kunnen betalen

Ik ga nog eens verder zelf testen,

Hostdoos

Wij geven onze gebruikers ook geen shell toegang vanwege de veiligheid. Wat mij trouwens opvalt is dat ook veel hosters hun /tmp map niet hebben beveiligd waardoor je in de /tmp map ook rootkits kunt installeren.

elementaire bescherming ... /tmp mounten met met noexec

Standaard to do op nieuwe linux server:

cd /dev
dd if=/dev/zero of=tmpMnt bs=1024 count=250000
mke2fs /dev/tmpMnt
cd /
cp -R /tmp /tmp_backup
mount -o loop,noexec,nosuid,rw /dev/tmpMnt /tmp
chmod 0777 /tmp
cp -R /tmp_backup/* /tmp/
rm -Rf /tmp_backup

Laten mounten bij reboots:

pico -w /etc/fstab

/dev/tmpMnt /tmp ext2 loop,noexec,nosuid,rw 0 0

op het einde van de file toevoegen.

Voila execute permissies weg Kans op rootkits nog kleiner

@smurf
Dat bedoelde ik inderdaad. Maar veel webhosters hebben dit niet gedaan.

Daarom dat ik het erbij zet.

Sommigen weten niet waaraan te beginnen als je gewoon zegt /tmp beveiligen. Daarom dat ik het er snel bij gezet heb .

Hoe meer safere servers hoe beter voor ons allen (DDOS aanvallen worden vaak vanuit een open /tmp gelaunched.)

@hostdoos: op dit moment zijn wij in ieder geval op de hoogte van tenminste een vulnerability in Cpanel dozen en zodra je SSH toegang geeft tenminste 5 verschillende exploits.

In Plesk is het nog VEEL ERGER !

Allen geven root toegang. Ik blijf erop hameren dat een standaard control panel NOOIT voldoende zekerheid biedt, kun je een server niet managen, laat het dan doen door iemand die het wel kan.

Liever geen SSH toegang geven tenzij je weet waarom een gebruiker het wil, plus dat je er zeker van moet zijn dat zelfs 0 hour exploits voldoende worden beschermt tegen uitbuiting.

Directadmin is overigens het meest veilige control panel, maar zelf met SSH toegang kunnen we 2 exploits gebruiken om root te verkrijgen.

dan heb ik het niet eens over onveilige PERL or PHP scripts...

Je bent gewaarschuwd....

@Beyonder

Hardstikke bedankt voor opmerking, dan is voor mij ook de conclusie getrokken, geen ssh toegang voor klanten

En ik ga bugtraq maar eens volgen.

Bedankt