[Sécurité Réseau] Accès illégal au SSH! (Résolu)

digimag · Last edited by digimag on Tue Jan 17, 2006 5:35 pm; edited 1 time in total

Bonjour,

Je suis tout simplement stupefait:

coco-loco · Apprentice Joined: 30 Oct 2005 Posts: 249

A ta place, je changerai tout de suite de mot de passe. Mets quelque chose de compliqué, avec des majuscules, miniscules et des chiffres et lettres mélangés. C'est peut être quelqu'un qui fait tourner un programme pour craquer les mots de passe - si c'est trop simple, ça se déchiffre ne moins de deux.

kernelsensei · Posted: Thu Jan 12, 2006 12:56 pm Post subject:

Mhh, juste par curiosité, ton ancien mot de passe root (car tu l'as changé je pense) avait combien de caracteres ? Et quoi comme ? Tu alternais alpha et num ? Majuscules / Minuscules et caracteres speciaux ?

N'empeche si il a reussi du premier coup, le mot de passe a du etre intercepté d'une maniere ou d'une autre, car sinon on aurait constaté une attaque bruteforce ... (a moins qu'il ait eu du pot et que ton mdp etait le premier de sa liste !)
_________________
$ ruby -e'puts " .:@BFegiklnorst".unpack("x4ax7aaX6ax5aX15ax4aax6aaX7ax2aX5aX8 \
axaX3ax8aX4ax6aX3aX6ax3ax3aX9ax4ax2aX9axaX6ax3aX2ax4ax3aX4aXaX12ax10aaX7a").join'

dapsaille · Advocate Joined: 02 Aug 2004 Posts: 2366 Location: Paris

kernelsensei · Posted: Thu Jan 12, 2006 1:06 pm Post subject:

coco-loco · Apprentice Joined: 30 Oct 2005 Posts: 249

Après réfléction, je suis d'accord, pas de trace de brute force.

Mais si c'est intercepté... serait-il assez bête pour utiliser le même mot de passe pour différents accès (peut-être même le internet-banking?), dans ce cas, il faut réagir vite, sinon...

Talosectos · Guru Joined: 31 Aug 2004 Posts: 329 Location: Bugey-Libre

C'est bizzarre, tu nous dit que tu es de marseille est l'ip est à peu près au même endroit. Ne serait-ce pas une personne que tu connais? Voila ce que donne whois.
_________________
Comité de lutte contre le language sms et les fautes volontaires
Utilisez la fonction recherche !

kernelsensei · Posted: Thu Jan 12, 2006 1:43 pm Post subject:

en effet ... renater c'est pas un reseau de fac en france ? Tu te serais pas connecté de ta fac / ecole / ... ?
_________________
$ ruby -e'puts " .:@BFegiklnorst".unpack("x4ax7aaX6ax5aX15ax4aax6aaX7ax2aX5aX8 \
axaX3ax8aX4ax6aX3aX6ax3ax3aX9ax4ax2aX9axaX6ax3aX2ax4ax3aX4aXaX12ax10aaX7a").join'

Adrien · Posted: Thu Jan 12, 2006 1:56 pm Post subject:

Talosectos · Guru Joined: 31 Aug 2004 Posts: 329 Location: Bugey-Libre

Adrien · Posted: Thu Jan 12, 2006 2:11 pm Post subject:

-KuRGaN- · Posted: Thu Jan 12, 2006 2:50 pm Post subject:

Mais pourquoi encore utilisé des mots de passe pour SSH, je comprend pas. Le système par echange de clès est quand même beaucoup plus sécurisé non?

_droop_ · l33t Joined: 30 May 2004 Posts: 957

Sinon,

Bon, je vais pas repondre spécifiquement à ce threads, je vais essayer de donner quelques conseils pour un ssh accessible par internet :
- désactiver l'accès root (et s'assurer que les mot de passes utilisateurs sont assez compliqués, avec cracklib par exemple : http://www.gentoo.org/doc/fr/security/security-handbook.xml?part=1&chap=7).
- désactiver le protocole 1 (il me semble qu'il y a des problèmes dans son design).
- si possible modifier le port d'ecoute (ça évites nombre de bots).
- option : utiliser un script de détection de force brute (style fail2ban).

Voilà, çà me parait un bon début (si vous en avez d'autres, n'hésitez pas)...

Bonne journée.

digimag · Posted: Thu Jan 12, 2006 3:03 pm Post subject:

Un long soupir.

C'est pour la première fois que j'ai un truc pareil. Les faits:

Mon mot de passe était sous la forme de xxxxXXXX (xxxx sont des lettres minuscules différentes et XXXX sont des chiffres différents). De toute façon, je viens de le changer par un autre beaucoup plus difficile: plus de dix caractères (je dis pas combien ), chiffres, minuscules,majuscules,caractères spéciaux...
Ce même mot de passe était présent sur mon ordinateur personnel (lui aussi déjà changé) auquel je me suis connecté une fois depuis le collège via Putty; à l'époque, je n'avais même pas le serveur dédié en question
Ce mot de pas n'a jamais été communiqué à qui que ce soit
Je me suis connecté avec le mot de passe assez souvent au serveur dédié, depuis pas longtemps j'utilise une clef publique. Cependant, et ça c'est tout un autre problème, le fichier de configuration SSH précise qu'une connection par mot de passe n'est pas permise, or, SSH ignore cela! Je m'en suis aperçu dès que j'ai modifié la configuration, mais je n'ai pas creusé pour savoir pourquoi mes paramètres n'étaient pas pris en compte, je me suis dit que ça sera paranoïque.
Le serveur est mis à jour manuellement chaques 24 heures.
Rien n'a été changé sur le serveur. En tout cas, rien d'éffacé, rien de modifié apparament. J'ai remarqué juste un accès aux fichiers de portage.

Coup de guele

Non...

Ah enfin!!! Je me suis rappellé... Je suis un âne

Roooh... Autant de stress pour rien.

Mais oui, j'étais au collège, je me suis connecté au serveur pour mettre à jour portage... Mais oui...

Et moi qui part à la recherche du pirate qui s'appelle Digimag...

Ah, toutes mes excuses! Et moi je m'imaginais déjà des services secrets frannçais éspionner je ne sais qui et je ne sais pourquoi! Et moi qui allait porter plainte contre X se trouvant derrière 194.199.224.99... Et moi qui allait mettre un mot de passe dans Grub du serveur à distance et crypter le contenu des disques durs, ayant perdu toute confiance en soi et en tout autre humain...

Bon, je m'en arrête là. Juste avant de mettre (Résolu), que conseilerez-vous pour plus de sécurité? J'ai lu pas mal des guides sur le SSH mais cela était, franchement, assez compliqué... Clef publique, clef privée, tunnel, et toutes ces choses là que je n'ai pas compris. Je vais y revenir, je comprendrai, il faut juste que je réflechisse, mais en attendant, suis-je assez protégé? Je vous en prie, faites tous vos tests imaginables sur 213.251.165.178, je pense que le serveur tiendra bon. En tout cas j'étais fier d'avoir réussi à mettre un par-feu (iptables) avec des régles qui empêchent le DOS.

Bref, merci! Au moins, j'ai appris à quel réseau mon collège appartenait!

_droop_ · l33t Joined: 30 May 2004 Posts: 957

Ouf

Comme je le disais au dessus, ne te connectes jamais directement en root sur une machine, après on met du temps à trouver qui l'a fait (surtout qand il y a plusieurs administrateurs).

Sinon, regarde un peu ce que j'ai mis au dessus, je suis sûr que des âmes charitables vont venir completer celà...

digimag · Posted: Thu Jan 12, 2006 3:11 pm Post subject:

-KuRGaN- · Posted: Thu Jan 12, 2006 3:13 pm Post subject:

Pub=on
J'ai fait un petit tuto pour SSH avec les deux types de configurations (clefs et mot de passe), si ça interresse quelq'un !!
Pub=off

:lol:

Enlight · Posted: Thu Jan 12, 2006 4:26 pm Post subject:

boozo · Advocate Joined: 01 Jul 2004 Posts: 3193

bulki · Posted: Thu Jan 12, 2006 8:47 pm Post subject:

Je vois une ou l'autre solution à ça:

- en tout cas pas du brute force

(pas besoin d'être ingénieur pour dire ça)
- Open-ssh avec trojan ?
- Tu as subit une attaque par man in the middle ? (par downgrade par exemple, si le serveur accepte aussi le sshv1,5)
- Tu avais un soft qui présentait une faille de sécurité ? (Comme Squid, ou autre) et le type aurait modifié ton login.sh dans le but d'avoir ton pass à postériori.
- Tu t'es connecté sur ta machine en faisant du tunneling et tu t'en rappelles plus ?

Bon, dans le cas où tu as un soft qui donne un des privilèges root, il va peut-être falloir remettre ton système à jour, changer le mdp ne servirai à rien :S... essaie d'utiliser des chrootkits (qui recherches des rootkits éventuels sur ta bécane). Si tu en trouves un, tu peux tout réinstaller le système, parce que c'est quasiment impossible de l'irradier totalement...

bonne chance

+

kernelsensei · Posted: Thu Jan 12, 2006 9:11 pm Post subject:

@bulki : Il s'est connecté de l'école pour mettre sa gentoo a jour, il s'en est souvenu ! (voir quelques posts au dessus !)
_________________
$ ruby -e'puts " .:@BFegiklnorst".unpack("x4ax7aaX6ax5aX15ax4aax6aaX7ax2aX5aX8 \
axaX3ax8aX4ax6aX3aX6ax3ax3aX9ax4ax2aX9axaX6ax3aX2ax4ax3aX4aXaX12ax10aaX7a").join'

bulki · Posted: Thu Jan 12, 2006 9:28 pm Post subject:

nuts · Veteran Joined: 10 Jan 2004 Posts: 1630

c'est pas prudent de laisser ssh avec un acces root direct. malgré que ssh soit secure, on sait jamais.
_________________
nuts
PC: AMD Phenom 2 bi-core 555 + Asus M4A77T/USB3 + 2Go de RAM + wifi Ralink RT61 + Radeon HD 3450 - Disque dur 500Go.
SGI Octane ip30 R10000

digimag · Posted: Sun Jan 15, 2006 1:32 pm Post subject:

Ça y est, tout parametré, ça roule! Il me semble que j'ai tout bien configuré... contre les ataques (DOS nottament). Si ça vous tente, vous pouvez me tester à ce numéro de téléphone: 213.251.165.178 :lol:

P.S. Juste un truc... SSH ne veut pas m'écouter quand je lui dis de ne pas accepter les conenctions par mot de passe (par contre pour le reste de la config, ça marche parfaitement)...

kernelsensei · Posted: Sun Jan 15, 2006 2:03 pm Post subject:

Tu aurais pas UsePAM yes par hasard ?
_________________
$ ruby -e'puts " .:@BFegiklnorst".unpack("x4ax7aaX6ax5aX15ax4aax6aaX7ax2aX5aX8 \
axaX3ax8aX4ax6aX3aX6ax3ax3aX9ax4ax2aX9axaX6ax3aX2ax4ax3aX4aXaX12ax10aaX7a").join'