Raspberry Pi Insomnia Community

[Επισκέπτης]

Το σβήσιμο του default user pi, απενεργοποίηση root account και μπλοκάρισμα από ssh, δημιουργία νέου χρήστη ο οποίος χρησιμοποιεί ssh keys μόνο για authentication και firewalling (είτε με iptables είτε και συνδιασμό με fail2ban), είναι βασικά hardening steps που ισχύουν πάνω κάτω σε κάθε *nix λειτουργικό (φυσικά υπάρχουν και άλλα σημεία για hardening). Βασικά δεν είναι μόνο κινέζικα bots που σκανάρουν ranges στο net για αδυναμίες και δοκιμάζουν διάφορα. Ούτε φυσικά μπορείς ποτέ να είσαι σίγουρος ότι μια IP που βλέπεις στα logs είναι όντως αυτό που νομίζεις ότι βλέπεις (και όχι spoofed πχ).

Επί του παρόντος η επικοινωνία για το DNS είναι unencrypted, πράγμα που σημαίνει ότι ο όποιοσδηποτε μπορεί να δει τι περιέχουν τα DNS μηνύματα (πχ ένας πάροχος μπορεί να ξέρει τι "βλέπεις" στο internet). Η τάση (και λόγω privacy) είναι τα πάντα (όπως ας πούμε σε http πάμε σε https) να είναι encrypted και έτσι έχουν ξεκινήσει (εδώ και χρόνια) διάφορα νέα projects για νέα standards και στο DNS. Αυτό που πάει για RFC standard και θα υιοθετηθεί απ' το industry (μακροπρόθεσμα...), είναι το DNS over TLS. Αυτό κάνει το unbound που θα αντικαταστήσει το BIND στα *nix συστήματα.

https://calomel.org/unbound_dns.html

Προσωπικά χρησιμοποιώ ακόμα pihole με dnscrypt.

[sndev]

10 ώρες πριν, costis ni είπε

 

Έχω ανοίξει πόρτα για ssh απέξω και καμμια φορά βλέπω τα auth log με τις προσπάθειες που κάνουν τα bot των κινέζων. Παιδιά, το λογαριασμό pi να τον σβήσετε, το χτυπάνε όλα.

 

αν αναλαξεις το default pass δεν εχεις prob

για την ακριβια είναι malware στο οποιο στο παρελθον εχω μολυνθεί κ εγώ 

αν μολυνθείς σου αλλαζει το default passwd σου βάζει κάποιο miner κ scanarei για αλλά raspberry να εξαπλωθεί , αυτά που βλέπεις είναι από μολυσμένα pi προφανώς έχεις αλλάξει το passwd κ δε μπορούν να συνδεθούν

 

εγω έβαλα το fail2ban https://www.linode.com/docs/security/using-fail2ban-for-security/ για να bannarei ολα αυτά στις 2 λάθος προσπαθιες 

το 1500 banned  που λέει είναι σε 2 μήνες

 

Επεξ/σία 18 Ιουνίου 2019 από sndev

[jim_p]

Μηπως πρεπει να αλλαξω και εγω το default password που εχω στο libreelec?

[sndev]

6 λεπτά πριν, jim_p είπε

Μηπως πρεπει να αλλαξω και εγω το default password που εχω στο libreelec?

απο τη στιγμη που δεν εχεις ανοίξει πορτ για το ssh οχι. Ακομα κ αν την εχεις ανοιξει ομως  αυτο το malware ειναι για user : pi passwd:raspberry , το Libre εχει αλλα user/pass

[Επισκέπτης]

Σαν best practices δεν αφήνουμε πουθένα defaults (accounts/passwords etc etc).

51 λεπτά πριν, sndev είπε

αυτά που βλέπεις είναι από μολυσμένα pi προφανώς έχεις αλλάξει το passwd κ δε μπορούν να συνδεθούν

Βλέπει απο διάφορες IP να χτυπάνε την SSH πόρτα  (που είναι ανοιχτή απο την Internet "πλευρά") χρησιμοποιόντας διάφορα accounts/passwords για να αποκτήσουν πρόσβαση. Γενικά η χρήση SSH με password (χωρίς να περιορίζεις και χρήστες...) δεν είναι ασφαλής....

[jim_p]

27 λεπτά πριν, sndev είπε

απο τη στιγμη που δεν εχεις ανοίξει πορτ για το ssh οχι. Ακομα κ αν την εχεις ανοιξει ομως  αυτο το malware ειναι για user : pi passwd:raspberry , το Libre εχει αλλα user/pass

Μπαινω με ssh στο libreelec, αλλα μονο τοπικα. Στο ρουτερ εχω ανοιξει την αναλογη πορτα και την εχω κανει forward στο pc που εκτελει χρεη σερβερ.

[mechpanos]

42 λεπτά πριν, jim_p είπε

Μηπως πρεπει να αλλαξω και εγω το default password που εχω στο libreelec?

χθες! Οι καλές πρακτικές καλό είναι να εφαρμόζονται, και ας είναι άχρηστες...ποτέ δεν ξες...

[jim_p]

Επειδη το libreelec δεν ειναι καν πληρες λειτουργικο και τα οσα εχει πανω του ειναι ισα ισα για να τρεχει το λειτουργικο ενα kodi και τιποτα παραπανω, θεωρω οτι ειναι και πολυ μικροτερος "στοχος" για malware κλπ. Καποτε μετεφερα σε αυτο και πηγα να τρεξω ενα standalone εκτελεσιμο για arm και δεν ετρεχε ουτε αυτο!

[mechpanos]

22 λεπτά πριν, jim_p είπε

Επειδη το libreelec δεν ειναι καν πληρες λειτουργικο και τα οσα εχει πανω του ειναι ισα ισα για να τρεχει το λειτουργικο ενα kodi και τιποτα παραπανω, θεωρω οτι ειναι και πολυ μικροτερος "στοχος" για malware κλπ. Καποτε μετεφερα σε αυτο και πηγα να τρεξω ενα standalone εκτελεσιμο για arm και δεν ετρεχε ουτε αυτο! 

Το ότι δεν έτρεχε δεν σημαίνει τίποτα, μπορεί να ήταν compiled για άλλο arm. Πληρέστατο είναι σαν λειτουργικό, απλά είναι απαλλαγμένο από όσα δεν χρειάζονται για την απλή εκτέλεση ενός kodi, σε σχέση με το raspbian.

[jim_p]

Δεν παιζει να εκανα τετοιο λαθος και να ηταν για αλλη "εκδοση" της arm. Οριστε και η αποδειξη

# file ncdu
ncdu: ELF 32-bit LSB executable, ARM, EABI5 version 1 (SYSV), statically linked, stripped
# chmod +x ncdu
# ./ncdu
Illegal instruction

Arm v6 ειναι το zero

 

Και αλλα πραγματα που εχει δεν ειναι τα κανονικα, πχ το wget δεν ειναι το κανονικο, αλλα το wget του busybox, και ειναι και αυτο πετσοκομενο.

# which wget
/usr/bin/wget
# file /usr/bin/wget
/usr/bin/wget: symbolic link to busybox

---edit
Ο αυτιστικος rte του φορουμ πηδηξε 2 code tags που ειχα μετα απο εκει που λεω οτι το pi zero ειναι arm v6 και δεν εβγαλε ουτε το κειμενο που ειχα αναμεσα σε αυτα. Δεν θα χανω το χρονο μου να διορθωνω το ποστ μου επειδη ο rte ειναι προβληματικος.
Απλα να αναφερω οτι και σε αλλο binary του συστηματος, το file βγαζει τα ιδια με το ncdu.

Επεξ/σία 18 Ιουνίου 2019 από jim_p

[mechpanos]

8 λεπτά πριν, jim_p είπε

Δεν παιζει να εκανα τετοιο λαθος και να ηταν για αλλη "εκδοση" της arm. Οριστε και η αποδειξη

# file ncdu
ncdu: ELF 32-bit LSB executable, ARM, EABI5 version 1 (SYSV), statically linked, stripped
# chmod +x ncdu
# ./ncdu
Illegal instruction

Arm v6 ειναι το zero

Και αλλα πραγματα που εχει δεν ειναι τα κανονικα, πχ το wget δεν ειναι το κανονικο, αλλα το wget του busybox, και ειναι και αυτο πετσοκομενο.

# which wget
/usr/bin/wget
# file /usr/bin/wget
/usr/bin/wget: symbolic link to busybox

---edit
Ο αυτιστικος rte του φορουμ πηδηξε 2 code tags που ειχα μετα απο εκει που λεω οτι το pi zero ειναι arm v6 και δεν εβγαλε ουτε το κειμενο που ειχα αναμεσα σε αυτα. Δεν θα χανω το χρονο μου να διορθωνω το ποστ μου επειδη ο rte ειναι προβληματικος.
Απλα να αναφερω οτι και σε αλλο binary του συστηματος, το file βγαζει τα ιδια με το ncdu.

οκ! κάτι παραπάνω θα ξερεις! Εγώ για να αποφύγω όλη την μανούρα να του φέρω στα μέτρα μου το πήδηξα και πήγα κατευθεία σε raspbian, έτσι κι αλλιώς!

[costis ni]

2 ώρες πριν, sndev είπε

αν αναλαξεις το default pass δεν εχεις prob

για την ακριβια είναι malware στο οποιο στο παρελθον εχω μολυνθεί κ εγώ 

αν μολυνθείς σου αλλαζει το default passwd σου βάζει κάποιο miner κ scanarei για αλλά raspberry να εξαπλωθεί , αυτά που βλέπεις είναι από μολυσμένα pi προφανώς έχεις αλλάξει το passwd κ δε μπορούν να συνδεθούν

εγω έβαλα το fail2ban https://www.linode.com/docs/security/using-fail2ban-for-security/ για να bannarei ολα αυτά στις 2 λάθος προσπαθιες 

το 1500 banned  που λέει είναι σε 2 μήνες

Δεν έχω ούτε είχα πρόβλημα malware ή οτιδήποτε άλλο. Απλά το έχω έτσι για να βλέπω τι παίζει απο bot, scanners κλπ. Επίσης αν πρόσεξες τη φωτο θα δεις οτι ο user pi δεν υπαρχει. Κόβουμε την είσοδο με password έτσι στο/etc/ssh/sshd.config

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

Πάντως ούτε fail2ban είναι απαραίτητο κατ εμε. Το πιο απλό που μπορεί να κάνει ο καθένας είναι να αλλάξει την πόρτα του ssh στο

/etc/ssh/sshd.config

Port 3422
#AddressFamily any
#ListenAddress 0.0.0.0
#ListenAddress ::

και βεβαία να αλλάξει και τη ρύθμιση στο ρουτερ για να περνάει την πόρτα που έχουμε.

[haris013]

παιδιά γιατί κάνετε expose την ssh port? VPN και local login, δεν αξίζει να έχετε ανοικτή πόρτα. Επίσης πέρα από αλλαγή default accounts/passwords να πω οτι πρέπει να αλλάξετε την default ssh port και μέσω fw/ iptables να μπλοκάρετε το port scanning

[costis ni]

5 ώρες πριν, haris013 είπε

να μπλοκάρετε το port scanning

5 ώρες πριν, haris013 είπε

παιδιά γιατί κάνετε expose την ssh port? VPN και local login, δεν αξίζει να έχετε ανοικτή πόρτα. Επίσης πέρα από αλλαγή default accounts/passwords να πω οτι πρέπει να αλλάξετε την default ssh port και μέσω fw/ iptables να μπλοκάρετε το port scanning

Δεν ξερω οι άλλοι, εγώ το κάνω για πλάκα. Δες κι απο πάνω που έγραψα πως αλλάζει η πόρτα.

fw/ iptables να μπλοκάρετε το port scanning? Πώς το κάνεις αυτο;

[haris013]

1 ώρα πριν, costis ni είπε

Δεν ξερω οι άλλοι, εγώ το κάνω για πλάκα. Δες κι απο πάνω που έγραψα πως αλλάζει η πόρτα.

fw/ iptables να μπλοκάρετε το port scanning? Πώς το κάνεις αυτο;

Υπάρχουν πολλοί τρόποι να το κάνεις, εγώ φτιάχνω ένα script που μπλόκαρω private addresses από wan, icmp προτοκολα με time limit για προστασία από Smurf attacks, και επιθέσεις port scanning για 24 ώρες τουλάχιστον, θα σας στείλω το script κάποια στιγμή που θα είμαι σε pc να πάρετε μια ιδέα.