openssh dienst an/ausschalten ???

[lineman]

ich wollte nur mal fragen, ob es eine möglichkeit gibt z.B. über Webmin ssh auszuschalten... und natürlich bei bedarf auch wieder anzuschalten. mit ensim geht sowas ja, wie ich meine gesehen zu haben.

http://www1.schlund.de/sc_popups/sc_ens ... ation.html

ich hab mir das ssh modul in webmin mal angeschaut, aber nichts dergleichen gefunden.

naja, es wäre doch ein wesentlicher sicherheitsgewinn, wenn man den dienst nur anschaltet, wenn man ihn braucht...

weiss da jemand was? gibt es vielleicht andere möglichkeiten das zu tun?

[[ djthesound ]]

Hallo,

prüfe bitte wirklich was du tust, bevor du per SSH nichtmehr auf deinen Rootie kommst! Aber du kannst per Webmin (unter "Laufende Prozesse") den SSH-Daemon stoppen und bei Bedarf wieder einschalten, oder denke ich da falsch...

Gruss
DJtheSOUND

[lineman]

:) Ja das ist mir schon klar, dass man da sehr vorsichtig sein muss :)

Aber ist es letztlich nicht sicherer den webminport (nicht 10000) auf zu haben mit nem 16stelligen rootpasswort mit sonderzeichen und zahlen, als dass man den sshport offen hat?

oder ist die überlegung eher falsch... und webmin stellt für sich wenn es ständig läuft eher ein sicherheitsrisiko dar als der offene ssh port?

[[tom]]

naja, es wäre doch ein wesentlicher sicherheitsgewinn, wenn man den dienst nur anschaltet, wenn man ihn braucht...

Wenn du damit webmin meinst: JA ;-)

Aber ist es letztlich nicht sicherer den webminport (nicht 10000) auf zu haben mit nem 16stelligen rootpasswort mit sonderzeichen und zahlen, als dass man den sshport offen hat?

Und warum nimmst du für das root Passwort nicht auch 16 Stellen? Oder läßt du die nach Standard DES anstatt MD5 hashen? Und zweitens: direktes root login verbieten.

[TOM]

[lineman]

ja, wohl war... webmin schalte ich eigentlich auch nur an wenn ichs mal brauche... dann war diese überlegung wohl falsch... naja...

ähh.... mein rootpasswort ist natürlich das gleiche, wie das für webmin... also auch 16 zeichen lang... aber das führt die ganze sache natürlich irgendwie ins schwachsinnige... auuser der überlegung, dass sich halt keiner so einfach shellzugriff verschaffen kann, z.B. über irgendein Sicherheitsloch oder exploit... oder? denn wenn die shell net da is isse net da... oder ist webmin einfach zu knacken? denn da gibts ja eben nur diesen einen login.... und alle anderen shelluser sind aussen vor... hmm...

ich komme nur darauf, weil vor einer längeren zeit mein server mal gecracked wurde... ist nix weiter passiert, da ich immer am rechner sitze und sowas sofort mitbekomme... ausser natürlich nachts... aber 6-8 stunden später sehe ich es ja dann... und da hat jemand irgendwie shellzugriff erlangt... wenn ich das in den logs richtig verstanden habe, die ich sogar noch sichern konnte, über ein postfix postfach web10p6 und hat damit einen neuen user anlegen können, der dann rootzugriff hatte... ich weiss aber nicht wie das dazu kommen konnte.

tja, weil ich das mit dem direkten root login und su oder sudo irgendwie bisher nicht wirklich gerafft habe... leider... aber nu ich denke das wird wohl die deutlich bessere alternative sein... oder?

[[tom]]

ähh.... mein rootpasswort ist natürlich das gleiche, wie das für webmin... also auch 16 zeichen lang... aber das führt die ganze sache natürlich irgendwie ins schwachsinnige...

Sicher, das das 16 Zeichen hat? Wenn du ein

Code: Select all

cat /etc/shadow | grep "^root" | cut -d ":" -f 2

eingibst, fängt der Hash dann mit $1$ an? Wenn nicht, hast du Standard DES enabled. Dann hat dein Passwort nur 8 Zeichen. Kannst das selber testen: Einfach beim Login nur die ersten 8 Zeichen eingeben.

[TOM]

[lineman]

also, ich komme nur rein, wenn ich alles eingebe... die ersten 8 zeichen reichen defintiv nicht ;)

der hash fängt mit $1$ an...

aber was ist mit dieser annahme?

Code: Select all

ausser der überlegung, dass sich halt keiner so einfach shellzugriff verschaffen kann, z.B. über irgendein Sicherheitsloch oder exploit... oder? denn wenn die shell net da is isse net da... oder ist webmin einfach zu knacken? denn da gibts ja eben nur diesen einen login.... und alle anderen shelluser oder linuxuser sind aussen vor... hmm...