Ftp-hackaanval blijkt ware plaag

Of schrijf ik nu iets geks? Ja

Ik vind wel dat ISP's en hostingproviders wat hun service moeten uitbreiden met info over veiliger besturingssystemen en directe downloadlinks hiervoor.

Een livecd/usb stick met de uploadsoftware erbij is natuurlijk ook mooi. Misschien moet je van meermalen gehackte accounts op den duur ook wel verwachten dat ze alleen maar via een 'veilige' computer uploaden.

Als je echt wat tegen cyberciminaliteit wilt doen, promoot je veilige OS-en.

opzich vind ik dat er wel wat in zit. Een erg veilige manier voor het bewerken van dit soort dingen

Volgens mij is die verantwoordelijkheid op zijn minst gedeeld met de OS-fabrikant!

Je krijgt van mij het eerste plusje, (na vijf minnetjes, minnetjes interesseren mij geen bal), omdat je hier een goed punt hebt.

Het klopt helemaal.
1. ftp is een onveilig en archaïsch protocol voor bestandsoverdracht, van voor de security issues uit het Internet tijdperk;
2. Er is maar één platform waarvan overduidelijk is dat een meerderheid van de installaties is besmet (een meerderheid van de gebruikers is in dit geval te goeder trouw en niet op de hoogte van de besmetting).
3. Waarom is het toch de schuld van Microsoft? Microsoft heeft zich laten leiden door marketing overwegingen met betrekken tot het inrichten van allerlei features, waarvan later blijkt dat die features levensgevaarlijke security issues opleveren.

Gebruikers van Microsoft Windows zijn bijna veroordeeld tot het gebruik van het onveilige ftp voor bestandsoverdracht en Microsoft doet helemaal niets om de gebruikers te helpen om vanuit de voor de gebruiker bekende omgeving. Ja, hij kan voor veel geld een onzin pakketje kopen dat voor de helft doet wat ie nodig heeft.

Het is de harde werkelijkheid en helemaal niets anders.

Toch gaat Mac OSX op 24 maart als eerste gehacked worden tijdens de Pwn2Own hacking challenge, zijn de voorspellingen.

De conclusie is dan dat men virussen en spyware schrijft voor het meest gebruikte OS (en dat is XP).

Ja maar.... FileZilla moet toch ook het ongecodeerde wachtwoord sturen naar de FTP server? Dus is het opgeslagen met 'reversible' encryption. En als FileZilla het kan decrypten, kan malware dat ook. Tenzij je een opstart-wachtwoord op FileZilla zet en dat gebruikt wordt voor decryptie van de wachtwoorden. Maar zou de malware dan niet gewoon wachten totdat het wachtwoord alsnog over de lijn gaat naar de server toe? Daarom werkt ook zo'n IP block niet, dan wordt gewoon de malware herschreven en uitgerust met een FTP client die het vanaf de computer van de klant zelf gaat doen. Nee, zolang malware op je pc draait, maakt het niet uit wat andere programma's doen aan encryptie en beveiliging. Hooguit maken ze het ietsje lastiger voor de malware, maar nooit onmogelijk.

FTP of SFTP maakt geen verschil. De paswoorden worden achterhaald doordat windows-pc's geïnfecteerd zijn met o.a. keyloggers.

Mee eens, maar unencrypted wachtwoorden van ik liever voor de server af, zeg maar bij de provider ongeveer ter hoogte van de router.
Iets lastiger te maken, veel meer resultaat.

Het probleem is, dat iedere oplossing die geen gebruik maakt van windows, meteen afgeschoten wordt. Het wordt zelfs niet overwogen.

Laat ze gewoon doormodderen. Zo lang ik er geen last van heb vind ik het allemaal prima.

Contradictio in terminis: oud nieuws?? Het artikel is relevant: het speelt immers nu. Ja, de discussie over de veiligheid van FTP is al oud en zal nog wel even voortduren.

En die voorkomt dat je een keylogger op je pc krijgt die je paswoord kaapt??

Kan deze spammer niet gebant worden!?

Nog nooit gehoord van keyloggers zeker? Moet je toch de reacties van de andere mensen hier eens lezen.

Zo heb ik mijn FTP-wachtwoorden nooit opgeslagen en moet ze bij elke FTP-sessie invoeren in het dialoogvenster van mijn FTP-programma.

Dit word erg lastig op het moment dat je veel verschillende lange sterke paswoorden wilt gebruiken.

Een systeem waarbij je gebruik maakt van public key mechanisme die versleuteld opgeslagen staan op een veilig systeem kun je een veel hogere veiligheid bereiken.

Een mogelijke oplossing zou kunnen zijn dat een klant een lijstje met IP-adressen verstrekt aan de ISP/hoster. Alleen verbindingen vanaf die IP-adressen kunnen dan inloggen om de website bij te werken.
Uiteraard helpt dit alleen tegen de brute-force methode en niet wanneer je windows-pc gekaapt is en er een IP-tunnel gebruikt wordt en/of men gebruikt de gekaapte pc als proxy-server.

Maar het enige wat altijd veilig werkt is een OS wat gestart wordt van een read-only medium en wat alleen voor een beperkte taak gebruikt wordt.

Brute forcing gebeurt ook op SSH en niet zo'n klein beetje ook. De meeste providers geven om die reden ook geen SSH toegang.

Ssh bied op zijn minst veiligheid voor het paswoord over het netwerk waarmee je al vast een onveilige schakel uitschakelt. Alleen dat maakt het al de moeite waard om over te schakelen na ssh/sftp.

Daarnaast kun je via een ids (intrusion detection system) er voor zorgen dat brutefurce attacks gestopt worden.

Dat SSH veilig zou zijn is dan ook een sprookje of je moet met keys werken.

Dat is veel te sterk gesteld.

De zwakte van ssh is inderdaad dat het nog steeds gebruik kan maken van klassieke paswoorden. Het zorgt echter wel voor versleuteling over het netwerk waardoor het zonder meer veiliger is dan ftp.

Brute forcing gebeurt ook op SSH en niet zo'n klein beetje ook

Klopt. Je krijgt honderden pogingen vanaf verschillende adressen. Je kunt niet uitsluiten dat dat, ook als je sterke wachtwoorden gebruikt een keer raak is.

Je moet ssh servers die een verbinding naar buiten hebben dus op een goede manier configureren en om van die vervelende logmeldingen af te komen een paar regels aan de firewall toevoegen:

1. PermitRootLogin no
2. PasswordAuthentication no
3. Uittesten.

Je moet natuurlijk een key-paar bij de hand hebben en de public key aan .ssh/authorized_keys toevoegen.

Simpel script tegen brute force ssh-attacks.


#!/bin/sh
#
# Variabelen en interfaces

IPTABLES="/sbin/iptables"
ext="eth0"
int="eth1"

# Beperk de toegang tot de externe interface (ext)
#
lijst="D A"
for i in $lijst ; do
$IPTABLES -${i} INPUT -i ${int} -p tcp --dport 22 -j ACCEPT ;

$IPTABLES -${i} INPUT -i ${ext} -p tcp --dport 22 -m recent --update --seconds 600 --hitcount 7 --name SSH -j DROP ;
$IPTABLES -${i} INPUT -i ${ext} -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH -j ACCEPT ;

$IPTABLES -${i} OUTPUT -p tcp --sport 22 -j ACCEPT ;
done


Na een paar mislukte login pogingen laat de server het packet gewoon vallen en kan de aanvaller een tijdje wachten.

Welk protocol er ook wordt gebruikt, als iemand beschikt over wachtwoorden kan je via ieder protocol inloggen.

1) Opdat de paswoorden bij ftp leesbaar over het netwerk gaan waardoor ze overal gelezen kunnen worden.

2) Omdat ssh de optie bied om over te schakelen na een public/private key mechanisme wat een nog hogere beveiligingsniveau bied.

Maar uiteindelijk falen al deze mechanisme als de client pc's vol spyware staan. Dan is het immers altijd mogelijk om aan de inlog credentials te komen.

Mij bekruipt het idee dat er toch wel meer aan de hand is dan 'spyware bij de klanten' ,helemaal als het om honderden klanten gaat. Mensen die websitebeheer doen, zijn niet de allerdomste computergebruikers, en zullen echt wel een bepaalde graad van bescherming tegen malware hebben. Volgens mij verdoezelen de hosters dat er bijvoorbeeld ergens een switch oid is gesniffed, waardoor deze wachtwoorden zijn onderschept. Dat zal namelijk niet de eerste keer zijn.

En ja, dan kom je weer uit op de vraag: waarom zo'n onveilig protocol blijven gebruiken?

Welk protocol er ook wordt gebruikt, als iemand beschikt over wachtwoorden kan je via ieder protocol inloggen.

ssh maakt om die reden gebruik van het ssh-key mechanisme, de bovenstaande bewering is dus voor ssh niet waar. ssh is namelijk echt een goed protocol.

Als je ssh-keys op de goede manier gebruikt, dan heb je de volgende situatie:
1. Je genereert een key-pair;
2. Je geeft de key een eigennaam, lastig voor crackers;
3. Je geeft de key een passphrase met een sterk wachtwoord;
4. Je configureert de server op uitsluitend key login;
5. Je laat de server afkappen na een paar mislukte logins.

Dit is veel te moeilijk voor de meeste crackers, die hebben in de tussentijd in een handomdraai duizenden ftp-accounts te pakken genomen.