Marylandin yliopiston tutkijat jättivät neljä heikoilla salasanoilla suojattua Linux-tietokonetta 24 vuorokaudeksi verkkoon.
Koneisiin yritettiin tunkeutua 270 000 kertaa eli kerran joka 39. sekunti. Hyökkääjät onnistuivat tunkeutumaan järjestelmiin heikkojen salasanojen turvin 825 kertaa.
http://www.digitoday.fi/page.php?page_id=14&news_id=20073583
Koneisiin yritettiin tunkeutua 270 000 kertaa eli kerran joka 39. sekunti. Hyökkääjät onnistuivat tunkeutumaan järjestelmiin heikkojen salasanojen turvin 825 kertaa.
http://www.digitoday.fi/page.php?page_id=14&news_id=20073583
Vastaukset 13
Vanhimmat
Kannattaa säätää esimerkiksi ssh niin, että vain tietyllä käyttäjätunnuksella pääsee sisään. Silloin hyökkääjän pitää tietää sekä tunnus että salasana. Lopuksi valitaan käyttöön jokin muu kuin ssh:n oletusportti. Kaikkea tämmöistä kannatta kehitellä..
Jos ssh:lle tai muille etäkirjautumissysteemeille ei ole tarvetta niin syytä on tarkistaa ettei ne ole epähuomiossa unohtuneen päälle.
Joskus pidin ssh:ta auki kotikoneella ja kyllä niitä yrityksiä riitti brute forcettaa salasanoja.
Laittaa joku määrä, mitä pystyy arvaamaan, ennenkuin lukittuisi esim 5 minuutiksi? 10 väärää yritystä, menis lukkoon 5 minuutiksi, mutta ei ilmoittaisi siitä mitään. Antaisi ohjelman vain arvailla, ja mikäli ohjelma ei osaa pitää tätä ko. taukoa, niin vaikka arvaisi salasanan oikeinkin, niin ohjelma vastaisi vain, että salasana väärin? Ja tauko alkaisi viimeisestä yrityksestä, siis jos menee lukkoon ja ohjelma arvailee ja arvailee, niin lukko ei mene koskaan päältä.
Tai sitten ei yli kymmentä yritystä minuutissa tms. tai menee lukkoon joksikin aikaa.
Entä tämä? Olisi samanlainen teksti, mikä on kuvamuodossa, ja täynnä kaikkea härpäkettä, että ohjelma ei voi tietää mitä siinä lukee. Ja tämä kuva vaihtuisi joka kerta kun arvataan salasana väärin?
Näillä eväillä voisi tuo brute force attemptit olla aika historiaa, vai? Sinänsä kyllä paljoa en tajua näistä tietotekniikka jutuista..
Ainakin kirjautumisyritysten määrää voi säädellä.
Tämä siis tarkoittaa sitä että salasana ei ole tarkoitettu suojaamaan pelkästään niiltä henkilöiltä jotka voivat fyysisesti koskea koneeseen, vaan myös suojaamaan verkon kautta tulevia uhkia vastaan, vai?
Omaa konettani ei käytä kukaan muu täällä meillä, siksi en ole salasanaa käyttänyt....No en ainakaan aina.
"vaan myös suojaamaan verkon kautta tulevia uhkia vastaan, vai?"
Juuri näin
No se nyt on itsestään selvää, että heikot salasanat on tietoturvariski on kyseessä sitten mikä käyttis hyvänsä. Esimerkiksi ssh-palvelimen kautta tehtävät tunkeutumisyritykset on huomattavan helppoja, jos käyttäjien salasanoina on jotakin suoraan sanakirjasta löytyviä sanoja, etenkin jos ne on englanninkielen sanoja. Sillon on mahdollista käyttää ns. brute force tekniikkaa, eli yritetään sanalistojen avulla kunnes joku salsana kelpaa.
Tunkeutumisyritykset voi tehdä huomattavasti vaikeammaksi sotkemalla salasanoihin sekaisin numeroita ja kirjaimia, sekä isoja ja pieniä kirjaimia. Salasanan pitäisi olla myös riittävän pitkä. Ongelmana tietenkin on se, että salasanat pitäs myös itse muistaa. Yksi mahdollisuus on keksiä jokin sana, joka ei oikeasti tarkota yhtään mitään mutta on helppo muistaa. Sana voi olla vaikka joku omituinen yhdyssana, joka ei oikeasti tarkota mitään. Sanan keksittyään voi sitten vaihtaa vaikka a:t 4:ksi, i:t 1:ksi, e:t 3:ksi jne. Tuollaista on jo paljon vaikeampi keksiä.
Tunkeutumista voi tehdä vaikeammaksi myös estämällä esimerkiksi roottina kirjautumisen ssh:n kautta. Se kannattaa muutenkin ehdottomasti tehdä. Kun tunkeutuja joutuu arvailemaan käyttäjätunnusta, niin koneelle pääseminen on vaikeampaa. Lisäksi kannattaa sulkea kaikki salaamatomat palvelut, kuten telnet, koska joku voi kuunnella verkkoliikennettä ja esim telnetiä käytettäessä salsanat kulkee betissä salaamattomana.
Pitää nyt kuitenkin huomautta, että pelkät heikkot käyttäjien salasanat itsessään ei mahdollista koneelle tunkeutumista, vaan koneella pitää myös olla ajossa jotakin palveluita joiden kautta koneelle voi tunkeutua, eli esimerkiksi ssh-palvelin. Se mitä täälläkin on monesti tolkutettu on se, että jos jotain verkkopalveluja ei tarvitse, niitä ei kannata pitää turhaan ajossa. Kun koneella ei ole ajossa mitään palvelkuita, ei sinne myöskään pääse.
Niin pari juttua vielä millä voi yrittää kiusata tunkeutujia. Yksi on siirtää esim ssh-palvelin epästandardiin porttiin. Se tosin ei käytännössä pysäytä sellasta joka haluaa koneelle tulla.
Hiukan tehokkaampi tunkeutujan kiusaamiskeino on laittaa kone vahtimaan kirjautumisyrityksiä ja blokkaamaan tilapäisesti ne ip-osotteet, joista yritetään turhan tiheään kirjautumista väärällä salasanalla tai käyttäjätunnuksella. Tuo ainakin hidastaa bruteforce-hyökkäyksiä. Tuohon on useita työkaluja, yksinkertasin lienee fail2ban, jonka voi asentaa esim debianissa näin:
# apt-get install fail2ban
Koneelle jo päässeitä tunkeutujia voi sitten kiusata vaikka selinux:lla, mut se on toinen juttu.
"Sana voi olla vaikka joku omituinen yhdyssana, joka ei oikeasti tarkota mitään. Sanan keksittyään voi sitten vaihtaa vaikka a:t 4:ksi, i:t 1:ksi, e:t 3:ksi jne. Tuollaista on jo paljon vaikeampi keksiä."
olet aivan oikeassa. mutta suomessakun ollaan niin ainakin ite käytän ihan puhasta savvoo viäntäen salasannoo numeroella hööstettynä ni eepä tiijjä ulukomuan poijjaat naputella oekeeta sannoo.. :D
tai sitten jotain tämän kaltaista on hyvä ajatella:
Llanfairpwllgwyngyllgogerychwyrndrobwllllantysiliogogogoch
http://fi.wikipedia.org/wiki/Llanfairpwllgwyngyllgogerychwyrndrobwllllantysiliogogogoch
tuota nyt ei varmaan ole kellään millään "listalla" ;)
sanoja:
- rehellinenraastuvanoikeus666
- oikeutettulinnapyttytuomio666
- avarakatseinensosiaalihuolto666
- selvapsykopaatinluonne666
- alkoholistityosiirtola666
- lusiapitkaakakkua666
jne.
Rikolliset tuskin veikkaavat tällaisia. Ja siksi toisekseen: jotta salasanoista olisi hyötyä, pitää olla mahdollisuus kirjautua systeemiin, sillä eihän nillä muutoin mitään tee, vaikka ne tietäisikin. Kaikki sellaiset palvelut siis pois, jotka antavat mahdollisuuden kirjautumiseen.
Herää kysymys näin Linuxia tuntematta, miten Linuxille saatavilla olevat suojaohjelmat auttavat tässä asiassa?
Varsin monet Linuxin hyvin tuntevat katsovat ne tarpeetomiksi, joskin muutamat heistäkin niitä kuitenkin käyttävät.
Kysymys on heikon salasanan murtamisesta, eikä jonkun windowsmaailmasta tutun "intternjetsecurityn" puuttumisesta.
Heikko salasana murtuu käyttöjärjestelmästä ja intternjetsecuritystä riippumatta.
Mikään pakko ei ole käyttää heikkoa salasanaa tai edes sen takana olevaa palvelua.
Ylläolevassa viestissä on juurikin mainittu pari "linuxin suojaohjelmaa" joilla suojataan salasanaa käyttävät palvelut.
paljon auttaa jo sekin että disabloi rootin kirjautumisen ssh:lla.
tällöin murtautujan pitää arvata sekä käyttäjätunnus että salasana oikein. ja tietenkin molemmat samalla kertaa.
Tuossa on hauskaa että winkkarin voi jättää vahvoilla salasanoilla korkattavaksi ja niin myös käy.