Re: [bofhers] Similares/Opiniones GateOne
- From: Iván E. <donosor00@xxxxxxxxx>
- To: bofhers@xxxxxxxxxxxxx,"Eduardo M. Guirao" <santeador@xxxxxxxxx>
- Date: Fri, 17 Oct 2014 20:05:04 +0200
Y, ¿por qué intentáis reinventar la rueda?
Port knocking + ssd en puerto muy elevado (p. e. 60222)+ clave publica
/privada de 2048 bits - acceso por password
Cualquier terminal accesible por web es susceptible de, mínimo, fuerza bruta
con sus efectos laterales (consumo de ancho de banda, peligro de DOS, etc)
El 17 de octubre de 2014 13:05:59 CEST, "Eduardo M. Guirao"
<santeador@xxxxxxxxx> escribió:
>Pues me he peleado un poco con GateOne (no estoy nada familiarizado con
>la
>creación de paquetes de instalación) y me da varios errores que tengo
>que
>estudiar...
>
>Mientras tanto he instalado shellinabox y hecho un 'ProxyPassReverse'
>de
>localhost:4200 a una url https, sin necesidad de abrir el puerto en
>UFW.
>Creo que es justo lo que necesitaba, porque hasta permite las
>combinaciones
>de teclas (ctrl+) y el historial de comandos con el cursor.
>
>Cuando accedes a la url, te pide usuario y login para el sistema
>mediante
>la propia ventana, no en un pop-up. Tan fácil que asusta. ¿Sería
>vulnerable
>a un posible ataque de fuerza bruta, teniendo que adivinar el usuario y
>la
>contraseña? O el agujero de seguridad serían Apache2+SSL y el propio
>shellinabox?
>
>El 17 de octubre de 2014, 12:06, Vdo <vdo.pure@xxxxxxxxx> escribió:
>
>> Yo lo he usado, crea certificados y usa https por defecto.
>>
>> No lo pondría a correr en el mismo host si tiene información
>sensible, aun
>> que use un virtual env.
>> O a malas metelo en un container docker y accede a él por otro
>puerto.
>>
>> También he visto que crea sockets del agente ssh en tmp, asi que el
>admin
>> podria llegar a 'robar' la sesión, hay que tenerlo en cuenta:
>> http://www.clockwork.net/blog/2012/09/28/602/ssh_agent_hijacking
>>
>> 2014-10-17 11:18 GMT+02:00 Alvaro Godoy <ich.allwars@xxxxxxxxx>:
>>
>>> Buenos días
>>>
>>> No lo conocía, pero he probado la demo que va en una pagina no
>segura y
>>> con el wireshark me sacaba todo lo que había en la pantalla, así que
>si lo
>>> vas a usar, pon HTTPS.
>>>
>>> Saludos
>>>
>>> El 17 de octubre de 2014, 10:46, Eduardo M. Guirao
><santeador@xxxxxxxxx>
>>> escribió:
>>>
>>> ¡Buenas!
>>>>
>>>> ¿Alguien ha probado GateOne? https://github.com/liftoff/GateOne/
>>>>
>>>> Me gustaría instalar un cliente ssh en el LAMP de casa, para
>acceder
>>>> desde cualquier sitio al estilo http://dominio.noip/ssh y poder
>hacer
>>>> un ssh a localhost. No creo que sea muy seguro, pero... ¿Es
>posible?
>>>>
>>>> Gracias BOFHmanos.
>>>>
>>>
>>>
>>
>>
>> --
>> vdo1138
>>
--
Enviado desde mi teléfono con K-9 Mail.
Other related posts:
