[HaBo]

keksinat0r

öhm... joa...

Ich lese andauernd Berichte darüber wie man VNC knacken kann, dass Server mit VNC "entführt" werden, und und und (zb hier: milworm Ich hoffe das verstößt net schon wieder gegen die Regeln... wenn ja: bitte den Link löschen)

Wie dem auch sei...
Ich hab mir dann eRIC mal angeschaut, nur das sieht für mich auch net sicherer aus, im Gegenteil...
Mit eRIC kann man noch viel mehr machen wie mit VNC, dh. wenn das genkackt wird ist es also noch schlimmer...

Jetzt stellt sich mir die Frage:
Welche Soft-/Hardware soll ich zur Kontrolle des Servers nutzen?
Was könnt ihr empfehlen?

Elderan

Hallo,
hmm mit VNC bekommt man doch die Kontrolle über Maus und Tastertur, was geht den dort noch schlimmer? Nur (geknacktes) KVM wäre schlimmer, denn dann könnte man auch noch ins Bios.

Also VNC würde ich niemals direkt so anbieten. Zu gefährlich, desweitern werden die Daten meistens im Klartext übersendet.
Was man aber gut machen kann, ist VNC, welches man aber nur per VPN erreichen kann. So werden die Daten alle schön verschlüsselt übertragen (sollte bei VPN ja eigentlich Standard sein) und nur wenn in im VPN und im VNC eine Lücke ist, kann man den Server übernehmen. Aber IPSec oder OpenVPN sind eigentlich ganz sicher.

keksinat0r

wegen BIOS:
Genau das is meine Befürchtung bei eRIC, damit hat man nämlich echten Vollzugriff


Also du meinst n VPN-Tunnel reicht da vollkommen aus?
Was kannst du zum Aufbau des VPN's empfehlen?

bitmuncher

Wenn du einen Linux-Server verwalten willst (geht aus deiner Anfrage leider nicht hervor), nutze einfach SSH. Es gibt wohl kaum administrative Aufgaben auf einem Linux-Server, die man nicht über SSH machen kann. Wenn man mal ein Programm mit GUI nutzen will/muss, nutzt man halt das X-Forwarding über SSH.

__________________

keksinat0r

oh sorry, hab ich vergessen dazu zuschreiben...

Es handelt sich um einen Debian3.1-Server.

Naja ich bin mit Verschlüsselung jetzt nur vorsichtig,
da ich es in Sachen Sicherheit schonmal übertrieben, und mich aus versehn selbst ausgesperrt habe ^^

naja ich sag aber schonma danke

bitmuncher

Dann wirf mal einen Blick in http://www.debian.org/doc/manuals/se...rvices.de.html

__________________

Elderan

Hallo,
hmm naja ging eigentlich von einem Win Server aus, da VNC bei Linux Servern eher selten der Fall ist (außer evt. von Windows Admins ) , da benutzt man, wie gesagt, SSH. Man kann da ja eigentlich alles per Konsole Regeln.
Des Weiteren sind die meistens Unices-Server ohne graphische Oberfläche aufgesetzt bzw. laufen ohne diese, denn diese verbrauchen unnötig Resourcen und wenn der Server erst einmal eingerichtet ist, schaut man eh nur noch selten auf den Bildschirm (sofern vorhanden)*.


Zu eRIC: Also KVM Systeme brauchen immer zusätzliche Hardware, oder wie soll ein Programm den Screen übertragen, wenn der Rechner neu startet?


* Logs sollte man ja wenns geht auf einen Logging-Server auslagern

keksinat0r

wegen eRIC...
Das is mir schon klar dass man dafür ne extra Steck-Karte brauch...

wegen VNC, es geht darum dass der Server weitervermietet wird,und es desshalb für den Server mehrere Admins gibt,die zum Teil wohl netma wissen was Debian is, geschweigedenn etwas demit anfangen können...

Desswegen will ich dei Administration des Servers so einfach wie möglich gestalten, damit ich nicht wegen jedem kleinen Problem selbst hand anlegen muss...

bitmuncher

Dann pack denen ein Webadmin-Tool ala Webmin auf den Server und beschränke den Zugang dafür auf die IP-Ranges, von denen die Leute connecten.

__________________

keksinat0r

Webadmin-Tool kenn ich kein wirklich gutes,
und selbst schreiben hab ich ehrlich gesagt keine Lust... (würde auch zu lange dauern )

Und IP-ranges...
Wie stellst du dir das vor?

Das sind ganz normale internet-user mit variabler IP, wie soll ich da vernünftige Einschränkungen treffen?

Gnome

Ich habe mir einmal eine Lösung für Probleme in der Art gebastelt. und zwar habe ich einen kleinen extraserver geschrieben, der auf einem beliebigen port lauscht. Dann hat ein Client, den ich auf USB-Stick hatte (java) einen befehl gesendet, der RSA-verschlüsselt war. Der Server hat dieses dann wieder Entschlüsselt und den dienst gestartet (bei mir ging es um SSH) Meine Überlegung war, dass ein Server, der nur eine ganz bestimmte Funktion hat an und für sich keinen schaden anrichten kann, und dann den eigentlich gefährdeten Dienst starten. Wenn ich einen Denkfehler gemacht hab dann klärt mich auf, das ding war sowieso mehr als Übung gedacht.

sheepd

Hab ich wohl schonmal irgendwo anders verlinkt, aber wenn dir nach der ersten Wahl (diesem Webadmin-Tool [würde ich übrigens webmin empfehlen]) noch was anderes vorschwebt, dann nimm NX.
http://www.nomachine.com/
edit:
@Gnome:
Naja, sollte dein Server irgendwelche Bugs (Buffer Overflows o.ä.) aufweisen oder irgendwie von anderen Benutzern veränderbar sein, dann kann man denn unvermeidlichen system()-call auch leicht auf etwas anderes umbiegen.

bitmuncher

Und die sollen die Möglichkeit bekommen den Server zu verwalten? Bist du wahnsinnig? Selbst mit GUI werden die keine Woche brauchen, bis der Server zerschossen ist.

__________________

keksinat0r

Naja ich bin da zuversichtlich, da jeder einen speziellen Bereich hat,
und auch nur innerhalb dieses Bereiches dann die entsprechenden Rechte bekommt

Wenn mir ma gaaaaaaanz langweilich is mach ich mich dann mal dran ein entsprechendes Webinterface zu schreiben, nur is da halt das Problem, dass ich garantiert wieder irgendeine Sicherheitslücke übersehe mit der man bestimmt "ganz tolle Sachen" machen kann

bitmuncher

Und genau deswegen würde ich an deiner Stelle auf ein bewährtes Interface wie Webmin zurückgreifen.

__________________