[Ubuntu] Server beveiligen

[Iska]

Hey allemaal,

Ik heb een klein Ubuntu LAMP testservertje. Momenteel is het zo dat http-pagina's alleen beveiligd zijn mbv htaccess/htpasswd. Dit is volgens mij alleen niet echt veilig te noemen!
Ik vroeg mij dus af wat de beste manier is om ervoor te zorgen dat de server alleen benaderd kan worden door bepaalde personen (IP en/of password).. All hulp is welkom

[Boudewijn]

Gebruik SSL en dan heb je icm htaccess een prachtig password based systeem.
Daarna Ip restricties in apache/systeem(iptables)/tcpwrappers/toepassing.

[Iska]

Is het niet overdreven om overal SSL te gebruiken of heeft dat in principe geen nadelige effecten?

[Boudewijn]

Heeft geen nadelige effecten (behalve dat vhosting niet meer gaat op 1 IP), maar nu kan een eavesdropper meteen meeluisteren en je credentials gebruiken. Dan is je beveiliging effectief geelimineerd.

[Kees]

Boudewijn schreef op zondag 20 februari 2011 @ 21:24:
Heeft geen nadelige effecten (behalve dat vhosting niet meer gaat op 1 IP), maar nu kan een eavesdropper meteen meeluisteren en je credentials gebruiken. Dan is je beveiliging effectief geelimineerd.

Gelukkig kun je met een beperkt aantal IP's wel eisen stellen aan de browsers, dus je kunt IE6 verbieden, en dan kun je wel meerdere SSL vhosts hosten op 1 IP. Het is wel zwaarder dan een normale pagina.

Verder zou je nog met bijvoorbeeld client certificaten werken, waarbij de client zich dus mbv een certificaat moet identificeren (naast bijv een wachtwoord). Kun je mbv tcpwrappers/iptables ervoor zorgen dat alleen bepaalde ip's mogen connecten, kun je een (open)vpn draaien, waarbij alleen connecties naar de http over de vpn geacceppteerd worden etc. Maar hoe ver je wil gaan hangt af van hoe paranoia je bent, en een klein beetje van de omstandigheden.

[CAPSLOCK2000]

Probeer zoveel mogelijk SSL te gebruiken. Dat kan niet altijd, maar als het wel kan is het aan te raden.
Verder wil ik je adviseren om niet op 1 type beveiliging te vertrouwen. De ervaring is dat er altijd wel iets mis gaat. Zorg voor meerdere lagen beveiliging.
Dus bijvoorbeeld en https/SSL, en een wachtwoord, en beperkingen op IP-adres.

Als altijd zal je zelf een afweging moeten maken tussen hoe veel het mag kosten en hoe veilig het moet zijn.

[Kees]

CAPSLOCK2000 schreef op maandag 21 februari 2011 @ 18:01:
Probeer zoveel mogelijk SSL te gebruiken. Dat kan niet altijd, maar als het wel kan is het aan te raden.
Verder wil ik je adviseren om niet op 1 type beveiliging te vertrouwen. De ervaring is dat er altijd wel iets mis gaat. Zorg voor meerdere lagen beveiliging.
Dus bijvoorbeeld en https/SSL, en een wachtwoord, en beperkingen op IP-adres.

Als altijd zal je zelf een afweging moeten maken tussen hoe veel het mag kosten en hoe veilig het moet zijn.

De afweging is over het algemeen meer 'hoe gebruikersvriendelijk moet het zijn' tov 'hoe veilig moet het zijn'. Ik kan ook wel een systeem bedenken waarbij je een vpn verbinding opzet, vervolgens met een wachtwoord+key naar de server moet ssh'en, waarbij je pas dan alle services kan tunnelen, en de services alleen op een ssl poort luisteren, maar dan schiet je je doel wel een beetje voorbij.

Verder, wat is niet veilig? Een htaccess + passwd voldoet in de meeste gevallen prima, helemaal als er homeservertje achter staat zonder belangrijke dingen, en als je bang bent gesniffed te worden, zorg je voor een (al dan niet self-signed) ssl certificaat + de allow/deny optie in je httpd config, iptables of een vpn.