จะปลอดภัยกว่าถ้าใช้คุก chroot, คุก shell หรือชุดค่าผสม?


9

เพื่อนของฉันมีเน็ตบุ๊กเอเซอร์ที่ใช้ xandros และกำลังมองหาการดูแลระบบระยะไกลและความช่วยเหลือจากฉันขณะที่เธอเดินทางรอบโลก
ฉันได้ตั้งค่าบัญชีบนเน็ตบุ๊กของเธอเพื่อให้ฉันเข้าสู่ ssh และตั้งค่าสคริปต์เพื่อย้อนกลับ - ssh-tunnel จากเน็ตบุ๊กของเธอไปยังเซิร์ฟเวอร์ของฉัน - สิ่งนี้ช่วยให้ฉันได้รับปัญหาเกี่ยวกับไฟร์วอลล์ ฯลฯ ที่หอพักและโรงแรมต่างๆ เมื่อเธอเข้าสู่เซิร์ฟเวอร์ของฉันแล้วฉันสามารถไปยังเน็ตบุ๊กของเธอได้

ฉันมีสคริปต์ทุบตีที่ทำงานเป็นเปลือกของเธอเมื่อเธอ ssh'es ลงในเซิร์ฟเวอร์ของฉันซึ่งเพิ่งจะให้เธอเรียงลำดับ 'โปรดรอ' หน้าจอและตัวเลือกเดียวคือออกจากสคริปต์และได้รับ booted จากเซิร์ฟเวอร์

ผู้ใช้ที่ฉันสร้างให้เธอบนเซิร์ฟเวอร์ของฉันมีสิทธิ์น้อย แต่มีข้อผูกมัดว่าจะมีช่องโหว่บางอย่างซึ่งหมายความว่าเธอจะเข้าถึงเซิร์ฟเวอร์ของฉันได้

ฉันกำลังพิจารณาว่าจะใช้คุก chroot ด้วยเช่นกันดังนั้นหากเธอหลบหนีเธอจะสามารถเข้าถึงโฮมไดเร็กตอรี่ของเธอเท่านั้น
นี่เป็นความคิดที่ดีและมีเคล็ดลับความปลอดภัยอื่น ๆ ที่ฉันอาจพลาดในการรักษาความปลอดภัยเซิร์ฟเวอร์ของฉันในขณะที่ยังอนุญาตให้ฉันเข้าถึงเน็ตบุ๊กของเธอจากระยะไกลได้หรือไม่?

เพื่อความกระจ่างแจ้งฉันไม่คิดว่าเธอจะพยายามหลบหนีออกจากคุกหรือ chroot แต่ฉันอยากจะรู้ว่าฉันจะป้องกันได้อย่างไรในกรณีนี้

อัปเดต:
และคุณมีคำแนะนำอื่น ๆ เกี่ยวกับวิธีที่ฉันจะเข้าถึงเน็ตบุ๊กหรือเลเยอร์อื่น ๆ ที่ฉันสามารถทำระหว่างผู้ใช้กับฮาร์ดแวร์ของฉันได้หรือไม่?

คำตอบ:


3

คุณได้พิจารณาการตั้งค่า VNC หรือแอปควบคุมระยะไกลอื่นบนพอร์ตที่โดยปกติแล้วจะไม่ถูกกรองโดยไฟร์วอลล์หรือไม่

ตัวอย่างการกำหนดค่าของสิ่งนี้จะมี VNC (หรือแอพที่คล้ายกันอื่น ๆ ) โหลดไว้ในโน้ตบุ๊ก จากนั้นให้สคริปต์ด้านโน๊ตบุ๊คของคุณทำงานเพื่อติดต่อกับเซิร์ฟเวอร์ของคุณบนพอร์ตเฉพาะที่จะไม่ถูกกรองโดยไฟร์วอลล์เพื่อสร้างเส้นทางการส่งคืนของคุณไปยังระบบ 443 น่าจะเป็นพอร์ตที่ดีที่สุดที่จะใช้สำหรับเรื่องนี้ แต่คนอื่นก็เหมาะ จากระบบของคุณคุณเพียงแค่เชื่อมต่อกับ VNC โดยตรงหรือทำซ้ำพอร์ตบนเซิร์ฟเวอร์ของคุณไปยังหมายเลขพอร์ตอื่นและเพียงเชื่อมต่อกับอินเทอร์เฟซบนพอร์ตท้องถิ่นและการเปลี่ยนเส้นทางพอร์ตจะจัดการพาคุณไปยังระบบอื่น ๆ

หวังว่านี่จะช่วยได้


ขอบคุณสำหรับคำแนะนำ ฉันไม่คิดว่าเพราะฉันไม่ได้เห็นไคลเอนต์ vnc จำนวนมากใน linux ที่ทำให้การเชื่อมต่อย้อนกลับชัดเจนใน Linux คุณรู้หรือไม่?
Andy

วิธีหนึ่งที่คุณสามารถทำได้คือใช้โปรแกรม TCP / IP ที่สามารถสร้างพอร์ตได้ทางเดียว การทำสิ่งนี้โดยอัตโนมัติด้วยการเชื่อมต่อแบบ telnet จากเชลล์สคริปต์จะทำได้ดีมาก การใช้งาน telnet ส่วนใหญ่อนุญาตให้คุณระบุพอร์ตที่คุณพยายามเชื่อมต่อ
Axxmasterr

2

คุก chroot จะช่วย แต่ด้วยการหาช่องโหว่ที่ทำให้ใครบางคนกลายเป็นกระสุนพวกเขาจะยังสามารถเห็นตารางกระบวนการและเช่นนั้นและเรียกใช้โปรแกรมการหาประโยชน์เพิ่มเติม หากคุณต้องการจริงๆจะก้าวร้าวเกี่ยวกับการแยกผู้ใช้ภายนอกมันเป็นชนิดของการใช้ปืนครกบนมด แต่คุณสามารถตั้งค่าเซิร์ฟเวอร์ส่วนตัวเสมือนจริงสำหรับกลไกทั้งอุโมงค์ SSH จากนั้นสิ่งที่เลวร้ายที่สุดที่พวกเขาสามารถทำได้คือการทิ้ง VPS ให้พ้นขีดความสามารถที่จะแยกออกจากอันเดียวซึ่งเป็นแถบที่ค่อนข้างสูง


ฉันชอบความคิด แต่ใช่ไอน้ำเพื่อวอลนัท :) อีกครั้งถ้าฉันเรียกใช้บางสิ่งบางอย่างเล็ก ๆ เหมือนลูกสุนัข - ลินุกซ์เทอร์มินัลเพียงอย่างเดียวเพราะเซิร์ฟเวอร์มันจะไม่ใหญ่เท่าไอน้ำ
Andy

2

ฉันเป็นแฟนของการป้องกันที่ดีในกลยุทธ์เชิงลึกเมื่อมันมาถึงการรักษาความปลอดภัยระบบคอมพิวเตอร์ดังนั้นฉันขอแนะนำให้คุณใช้บัญชีสิทธิ์ต่ำในระบบไฟล์ chrooted และแม้จะไม่มีการรับประกันเพียงแค่ดูที่ iPhone มันทำทั้งสองอย่างนี้และมันก็ไม่ได้ช่วยอะไร


2

อีกวิธีหนึ่งในการทำให้สัตว์ตัวนี้ที่ฉันกำลังคิดคือการขุดอุโมงค์เซสชั่นการจราจรภายในอุโมงค์ SSH เพื่อเป็นทางเลือกแทนการใช้ VNC ตอนนี้คุณอยู่ที่นั่นด้วยการตั้งค่าปัจจุบันของคุณแล้ว

ตั้งค่าความสามารถ X บนพอร์ตเฉพาะภายในเครื่องจากนั้นส่งต่อพอร์ตนั้นไปยังตัวคุณเองผ่านอุโมงค์และทำซ้ำไปยังพอร์ตที่อยู่ด้านข้างของคุณเพื่อให้คุณสามารถเชื่อมต่อกับเซสชันบนพอร์ตท้องถิ่นบนเซิร์ฟเวอร์ของคุณ

อีกสิ่งหนึ่งที่ฉันพบซึ่งมีประโยชน์อย่างยิ่งสำหรับสิ่งนี้คือ DNS แบบไดนามิก สิ่งนี้จะช่วยให้คุณสามารถตั้งค่า FQDN ที่แก้ไขได้ซึ่งคุณสามารถสอบถามได้ทุกเมื่อที่ต้องการ DyDns ทำงานเป็นบริการที่มีน้ำหนักเบาบนระบบที่คุณติดตั้งไว้และจะอัปเดตระเบียนทุกครั้งที่มีการเปลี่ยนแปลงข้อมูลที่อยู่ IP

โดยการใช้ไซต์ของเรา หมายความว่าคุณได้อ่านและทำความเข้าใจนโยบายคุกกี้และนโยบายความเป็นส่วนตัวของเราแล้ว
Licensed under cc by-sa 3.0 with attribution required.