staging.inyokaproject.org

bongobong schrieb:

Was sollte man denn nun als nächstes in Punkto Sicherheit machen, nachdem SSH abgesichert ist?

Ich würde in der sshd_config noch "PasswordAuthentication no" setzen, wenn Du Dich bereits mit Deinem Schlüssel anmelden konntest.

Gruss

Dirk

hab ich ergänzt, für heißt eigentlich "UsePAM" bzw. ist das nicht das selbe wie "PasswordAuthentication" ?

bongobong schrieb:

hab ich ergänzt, für heißt eigentlich "UsePAM" bzw. ist das nicht das selbe wie "PasswordAuthentication" ?

PAM steht für Pluggable Authentication Modules.

Gruss

Dirk

OK, noch eine Frage, wie stehst du zu dem CMS Joomla!, steht ja dominant im Wiki wie unsicher das sein soll, bzw. alle CMS-Systeme? Ich werde es wohl trotzdem nutzen^^

Lux schrieb:

Gerade für die lohnt sich das nicht, weil sich die Botnetze über die ganze Welt erstrecken und ebenfalls Nodes in Deutschland betreiben.

Hm, entweder reden wir aneinander vorbei oder ich verstehe die Logik nicht. Wieso sollte es schlechter sein, wenn von 1000 Zugriffen nur 20 durchkommen statt alle 1000? Gerade bei Brute Force Angriffen zählt doch die Masse

burli schrieb:

Hm, entweder reden wir aneinander vorbei oder ich verstehe die Logik nicht. Wieso sollte es schlechter sein, wenn von 1000 Zugriffen nur 20 durchkommen statt alle 1000? Gerade bei Brute Force Angriffen zählt doch die Masse

Ganz einfach. Du erzeugst damit falsche Sicherheit.

Jemand, der Dich hacken will, schafft es auch. Ich betreibe root-Server schon seit einigen Jahren und habe solche Verschleierungstaktiken nie gebraucht.

Gruss

Dirk

Gut, dh das, was ich weiter oben schonmal aufgezählt habe, würde für den SSH Port ausreichen?

So, da habe ich schonmal viel gelernt. Zusammenfassend bin ich der Meinung, dass die Abschaltung des Root und die Verwendung von KeyFiles eine ausreichende Sicherheit bieten. Zusätzliche Maßnahmen wie fail2ban und Denyhosts können eher schaden als nutzen.

burli schrieb:

Gut, dh das, was ich weiter oben schonmal aufgezählt habe, würde für den SSH Port ausreichen?

Bei mir reicht das aus.

Gruss

Dirk

Gut. FTP braucht man dank SSH eigentlich nicht, der SQL Server hört nur auf Localhost, Email ist ein anderes Thema.

Bleibt der Webserver. Was ist zu beachten? Welche Maßnahmen könnte man hier treffen (AppArmor, chroot...)? PHP kommt bei mir nicht zum Einsatz sondern Mono und ASP.NET MVC. Das die Anwendung selbst sicher sein muss ist selbstverständlich.