VPS veiligheid
Ik huur een VPS. Mijn VPS draait op een server waar nog veel meer VPS'en van andere mensen op draaien. Nu vraag ik me af of het technisch mogelijk is dat de eigenaar van een andere VPS (op dezelfde server) kan rondsnuffelen op mijn VPS? Is zoiets technisch mogelijk? Of zit dat allemaal dichtgetimmerd?
Wel is het vaak zo dat er op een VPS nog een achterdeurtje is om via de masterserver als root in te inloggen. Zoals op SolusVM, waar een aparte login is om via de console (of een eigen SSH-sessie) in te kunnen loggen. Zo omzeil je jouw SSH-login. Handig als je bijv. jouw IP buiten hebt gesloten bij een white-list.
Ah oké, thanks Aar. Ik ben de enige (met uitzondering misschien het personeel van het webhosting bedrijf) die toegang heeft tot de VPS. Ik las zojuist iets over een sticky bit waarmee je de rechten van directories kunt aanpassen zodat alleen de eigenaar of root (en geen enkele andere gebruiker) deze directories kunnen deleten of renamen. Maar eigenlijk is dat in mijn geval dus helemaal niet noodzakelijk?
Dit is niet nodig inderdaad, gezien zoals Aar al vermeld had er tussen de VPS'sen op de Master server geen connectie mogelijk is, de VPS omgevingen draaien in een soort van Cloud :)... daar valt het wel mee te vergelijken denk ik :)
Maar ik neem aan dat jouw "webhosting klanten" geen ssh toegang hebben?
Nee, mijn klanten hebben geen FTP toegang en ook geen ssh toegang. Alleen ik kan er bij (en wellicht het bedrijf waar ik de VPS huur), maar verder niemand.
Dan zou ik mij nergens druk over maken :)
Oké, gelukkig... thanks :-)
Gewijzigd op 28/02/2013 20:27:53 door Aad B
Het enige waar ik nog ïets van root bij zie staan is de user "operator", maar daar staat wel achter "/sbin/nologin" dus ik denk dat die niet rechtstreeks kan inloggen of iets dergelijks.
operator kan dus niet inloggen. De enige mogelijkheid voor de provider is dan de lage runlevel en console operations. Men kan er dan in zonder inloggen om noodreparaties te doen. Deze functionaliteit komt van unix systemen waarbovenop elke machine vroeger altijd een beeldscherm stond. Dat is nu verwerkt in de vps tooling. In een lagere runlevel is bijvoorbeeld geen netwerkverkeer mogelijk, zijn disken niet meteen gemount etc. Google maar eens op runlevels.
Ah oke, thanks voor de uitleg. Ik ben in ieder geval blij dat ik geen extra voorzorgsmaatregelen hoef te nemen tegen andere users.
Ik heb een Windhoos VPS dus ik kan niet echt met linux helpen, maar ik weet wel dat het wel degelijk mogelijk is om achter het root wachtwoord te komen. Ik adviseer je om een zo lang en gek mogelijk wachtwoord te kiezen. Zoals ik eens deed, het wachtwoorsd was de naam van mijn project. Succes er mee
Ik heb mijn VPS dusdanig ingesteld dat als er een bruteforce aanval plaatsvindt, dat de betreffende user dan een uur lang geblokkeerd wordt. Niemand kan dan meer met die username inloggen. Daarbij wordt ook na een x aantal pogingen het ip-adres voor een dag geblokkeerd. Doen ze na de 1e mislukte pogingen nog een paar pogingen... BOEM ip-adres voor 2 weken geblokkeerd. En ik kan je vertellen dat mijn wachtwoord niet zoiets simpels is als "tilburg".
Koen Hollander op 28/02/2013 20:55:24:
In principe onzin, alleen met goed brute force programma (veel processorkracht is niet nodig) kan je misschien het root wachtwoord kraken. Er is geen mogelijkheid om het uit te lezen, ook in windhoos niet. Het wordt in beide systemen niet plain opgeslagen (alhoewel ik in micro$oft niet zoveel vertrouwen heb.wel degelijk mogelijk is om achter het root wachtwoord te komen.
Gewijzigd op 28/02/2013 21:23:38 door Aad B
Maar ook voor het root wachtwoord geldt bij mij dat na een paar pogingen het wachtwoord voor een uur wordt geblocked. Ip-adres wordt al na een paar pogingen voor een dag geblockt en na nog een paar pogingen voor 2 weken. Kansloze onderneming denk ik zo.
@Ozzie: Ook op de SSH port?
Als ik tzt wat meer tijd heb dan ga ik ook een firewall installeren. Nu heb ik nog geen sites lives staan en lijkt mij de beveiliging afdoende.
Ozzie PHP op 28/02/2013 21:34:10:
Als ik tzt wat meer tijd heb dan ga ik ook een firewall installeren.
Niet mee wachten. Een goede firewall houdt al veel ellende buiten de deur. Ik heb ooit, lang geleden, een linux servertje gedraaid zonder firewall en op een gegeven moment kon die zijn eigen netwerk(kaarten) niet meer vinden. Gehacked dus en totaal onbereikbaar.
Thanks voor de tip, maar ik sta op een shared host en die zeggen zelf ook al het e.e.a. tegen beveiliging te doen. Volgens hun heb ik niet eens een firewall nodig. Maar ik wil dat wel doen als extra beveiliging. Mijn websites zelf zijn compleet onbereikbaar (alleen mijn ip-adres wordt doorgelaten) omdat ik nog aan het ontwikkelen ben, dus daar kan ook niks mee gebeuren.
Ozzie PHP op 28/02/2013 21:45:06:
(alleen mijn ip-adres wordt doorgelaten)
Hoe moet ik dat zien?
Alleen een ip-adres doet niks. Daar zit altijd wel een port bij. En aangezien er meer dan 65000 ports zijn lijkt mij een firewall toch een goede keus.