Trójai ftp elleni védekezés

sftp és winscp-kombó? ott kódolva van a pass a fájlban.

IMHO ez egy kíváló alkalom, hogy a usereket migráld egy titkosított protokollra, amivel ez is megoldódik.

--
The Net is indeed vast and infinite...
http://gablog.eu

WinSCP semmivel nem jobb (legfeljebb annyival, hogy kevésbé ismert, security by obscurity). Ha trójai van a gépen, az be tud épülni a WinSCP-be is, és módosítgatni a fájlokat, amíg a felhasználó be van jelentkezve, vagy keyloggerrel lelopni a jelszót.

Gyak. ha trójai van a gépen, az bármit tud csinálni, amit a felhasználó, tehát amit a fejlesztő át tud írni, azt a trójai is. Ha webszerverről van szó, az lehet megoldás, hogy a fejlesztők csak vmi fejlesztői branchbe tudnak írni, és a vezető ellenőrzés után, biztonságos környezetben másolja át az éles szerverre.

most gondolkodunk azon hogy csak a .hu engedjük ezzel az a baj hogy akkor kizárjuk az olyan hostokat amikhez nincsen domain, a másik pedig hogy a ripe nál megvan melyek a magyar ip-k és csak azokat engedjük :>
igaz ez jópár ezer soros tűzfalszabály lesz :D

Core2Duo T7100, 4G, Ubuntu 9.04, 2.6.28

> bár gondolom kis idő múlva magyar ipcímekről is jönni fognak

Ehhez elég átírni a jelszó lopót, hogy az áldozat gépéről módosítsa az ftp tárhely tartalmát. IP alapján ezt nem lehet detektálni.

> Ki hogy védekezik ellene?

Akárhogy töröm a fejem, se jut eszembe "tökéletes" megoldás; marad az hogy valami engedményt kell tenni.

Hogy hangzik, ha mondjuk a felhasználónevet kellene időről időre megváltoztatni? Ez könnyen automatizálható, annyit bonyolítana a felhasználói oldalon, hogy ftp-zés előtt le kéne futtatni egy szkriptet. Cserébe valószínűsíthető, hogy egy jelszólopó program elavult felhasználónevet lop el.

weboldalon elpostolod ftp usert + pw-t, ha stimmel, akkor adott user csak arrol az ip-rol tud csatlakozni, majd cronbol visszaallitgatod idonkent az ipaccess-t

Változtass jelszót mindenkinél, és add ki, hogy az utolsó karaktert mindig kézzel írják be. Ezt akár úgy is elérheted, hogy az utolsó karakter a helyi idő szerinti óra utolsó számjegye, és cronból állítgatod.

Nalunk pure-ftpd fut, es clamscan futtatunk a feltoltott fajlokra a pure-uploadscript-en keresztul. Ha virust talal bennuk, akkor loggolja, kuld egy levelet, meg atmozgatja a fajlt. Megtalalja az ilyen Javascript dolgokat is.
A logokbol latjuk, hogy kinek az accountja volt, jelszot modositunk rajta, majd mivel a fail2ban monitorozza az pure-ftp logot, ezert akik hasznalnak mindig szepen letiltjak maguktol az elerest a szerver fele. :)

Erre jo megoldas egyreszt a TPM remote attestation, vagy ha kap valamilyen kozpontilag menedzselt, aranylag biztonsagos kornyezetet, ahonnan hozzaferhet a cuccokhoz (pl. vmware ace).

Ha ez nem lehetseges, akkor viszont erdemes one-time passwordoket hasznalni, es minden belepeskor visszajelezni a usernek (pl. emailben), es a lelkere kotni, hogy ha latja, hogy valaki mas is bemaszkal, akkor szoljon.
A titkositott atvitel termeszetesen szep meg jo, de a szoban forgo tamadasi forma ellen nem sokat ved.

--
Fontos feladatot soha ne bizz olyan gepre, amit egyedul is fel tudsz emelni!

Felmegy egy weboldalra, ott authentikál, és kap egy jelszót, amit csak egyszer használhat.
Esetleg még valami spec FTP dolog, amit a Total Commander nem tud, hogy rá legyen kényszerítve az user arra, hogy ne azt használja.

Ha érdeklődhetek, akkor milyen környezet? Hostingod van, vagy belső céges fejlesztői dolog?

Lehet, hogy nem segít a trójaiak ellen, de mintha egy másik topicban arról lett volna szó, hogy tiszta gépről, sőt linuxról bejelentkezve is járt pórul fejlesztő, így a lopás helye nem a gép, hanem valahol a neten fogták el a plaintextben utazgató jelszót. Így viszont már megoldás lenne a biztonságos kapcsolat.
Másik dolog pedig, hogy a TC kb. a világ legnépszerűbb fájlkezelője, ami winscpről nem mondható el, így utóbbihoz gondolom nem is készült trójai...

Egyszerű. Nem kell rendszergazdaként nyomulni, nem kell trójait telepíteni. Nagyjából ennyi.

Esetleg az user weboldaláról bizt. másolat egy szeparált mappába (tudom, ez meredek lehet). Ha user módosít, akkor kap egy linket mailben, ahol autentikálja magát. Ha jó, adat feltölt a backup mappába. Ha nem történik meg x időn belül, vagy hibás, akkor a módosítás sem történik meg.

Nalam (ket ceg hosting szolgaltatasat adminolom) is tobb esetben elofordult jelszolopas. Egyelore eddig inkabb kulfoldi ip-rol tortent modositas. Gyors megoldaskent pure-ftpd mysql azonositasat kicsit atirtam, es alatettem egy ip-to-country adatbazist, a fiokokra meg kulon allithato, az orszag, vagy akar ip cim is, igy talan mar nehezebb lett a trojaiak dolga, de sajnos ez nem szazas vedelem.

Az egyik helyen mar allunk at scp-re, ott inkabb csak par fejleszto fer hozza a honlapok mindegyikehez. De pl. a masik helyen sok kiosztott ftp acc van, mivel az ugyfeleknek az a szimpatikus, azt tudjak kezelni. De ki kell talalni valami megoldast, mert az utobbi idoben igen aggaszto mereteket olt a honlapok modositasa, es nem egy site kerult mar fel a rosszindulatu honlapok listajara emiatt.

a megoldás : net2ftp :)
faszán webről lehet feltöltögetni a dolgokat ugyanúgy ..., nálam a felhasználók megértették, hogy ez így nyerő :)

Nalunk svn-be pakoljak a php/html/css kodot, majd onnan export a megfelelo helyre. ftp van a webhelyen, de csak a gallery kepek feltoltesere.

--
A vegtelen ciklus is vegeter egyszer, csak kelloen eros hardver kell hozza!

VPN +1 biztonsagi reteg (de nyilvan annak a jelszavat is lehet lopni, ellenben kivulrol nem lehet csak ugy ftpzni).
Masik megoldas ha a fejlesztok verziokezelo rendszerbe commitolnak, es a webszerveren pedig ki lehet checkoutolni. Igy meg ha valaki csunyat is ir a kodban, gyorsan visszaallithato.

Úgy látom, itt többek nem értik miről is van szó.
Jelen probléma ellen a titkosított protokoll egyáltalán nem véd.
A baj az, hogy egy trójai települ a gépre, és ellopja a tárolt jelszavakat a gépről.
Akár keyloggert is futtathat, így az sem védelem, hogy nem engeded az FTP kliensnek tárolni a jelszót.
Ha már ott a trójai a gépen, akkor a VPN is hiába, mert annak is ellophatja a jelszavát/kulcsát.
Az egyetlen megoldás az, hogy meg legen akadályozva a trójai gépre kerülése.
Mégegyszer mondom, hogy se SSH, se VPN, se semmi nem véd ez ellen a támadás ellen, mivel ott a gépen a trójai, és az bármit megtehet.
Elszomorító, hogy vannak olyan "szakemberek", akik fel sem fogják a probléma mibenlétét - mert ha valaki azt mondja, hogy használjunk FTP helyett ssh-t, az egyszerűen nem fogta fel a probléma mibenlétét, még így, 235323443342. elmagyarázás után se. Pedig ez k.rvára nem egy bonyolult dolog.