Onderwerp: Security

Nog een vrij belangrijke (IMHO) is /tmp mounten met noexec, nosuid en nodev. En niet vergeten /var/tmp (met sommige distros) als symlink naar /tmp te maken.

Mocht je /tmp niet op een aparte partitie hebben kun je een bestand aanmaken en die mounten op /tmp.

OpenSSH compilen met "privsep" is ook een goede. Dan draait het ssh process onder naam van de gebruiker die ingelogged is. Eventueel als je ssh ooit lek mocht blijken door een 0day, dan heeft de hacker enkel de rechten van een gebruiker, en niet van root. Want root login disable je natuurlijk. Het kan een extra stap zijn die de hackers moeten zetten.

Het kan een extra stap zijn die de hackers moeten zetten.

er is wat ssh betreft maar een stap nodig tegen hackers (crackers eerder btw) en dat is je klant simpelweg geen ssh aanbieden.

Origineel geplaatst door paulmatthijs


er is wat ssh betreft maar een stap nodig tegen hackers (crackers eerder btw) en dat is je klant simpelweg geen ssh aanbieden.

Dat is de beste methode. Ik bied het wel aan en staat ook standaard bij de pakketten. Wordt op verzoek geactiveerd. Niemand vraagt er eigenlijk naar.

Ik geef mijn klanten wel een shell. Gewoon goed beveiligen en er is niets aan de hand. Zonder shell vind ik een beetje website bouwen en onderhouden erg irritant, sommigen van mijn klanten waarschijnlijk ook. In mijn ogen is het wel een noodzakelijke service.