Auf der von mir verwalteten Website gab es bereits einen größeren und einen kleineren Sicherheitsverstoß. Daher suche ich intensiv nach Möglichkeiten zur Verbesserung der Sicherheit. Wir verwenden FTP ...
Alle scheinen sich einig zu sein, dass FTP aus Sicherheitsgründen ersetzt werden muss, und SFTP scheint der Ersatz zu sein. Unser Shared-Hosting-Plan bietet jedoch nur ein SFTP-Konto und unser primärer alternativer Anbieter nur eines.
Ich stelle mir vor, dass das einfach das ist, was man bekommt, wenn man sich nichts Besseres als Shared Hosting leisten kann. Aber auch, weil SFTP SSH-basiert ist und es nicht nötig ist, dass viele verschiedene Leute über SSH an den Websites herumbasteln.
F1: Bieten große Hosting-Anbieter mehrere sichere Konten in Shared-Hosting-Plänen zu wettbewerbsfähigen Preisen an?
F2: Stimmt es, dass es keine sinnvolle Möglichkeit gibt, ein SFTP-Konto für zwei oder drei Personen gemeinsam zu nutzen? Anders ausgedrückt: Ist es unvermeidlich, dass jemand am Ende eine völlig unsichere FTP-Verbindung verwendet?
F3: Was tun? Vorschläge sind willkommen!
F4: Übersehe ich etwas ganz Offensichtliches?
Nein, trotz aller Bemühungen konnten wir die Ursache der Verstöße nie ermitteln. Ich habe so viele Listen mit zu treffenden Vorsichtsmaßnahmen und zu schließenden Lücken wie möglich gefunden und mein Bestes gegeben. FTP ist ein großes Problem, das ich immer noch zu schließen versuche.
Kurz: Nach dem ersten Einbruch haben wir auf die neueste Version des von uns verwendeten CMS (phpFusion) aktualisiert und den Großteil der Site auf Subdomains verschoben. (Es gibt einen guten Grund, der hier nicht relevant ist, das zu tun.) Dadurch blieb in der Basisdomäne nur eine triviale Begrüßung übrig – eine HTML-Umschaltseite mit statischen Links zu CMS-Instanzen in den Subdomains. Der zweite Einbruch hat viele versteckte Links in diese Datei eingefügt. Soweit ich sehen kann, gab es in der Basisdomäne im Grunde nichts zu hacken, daher scheint ein gekaperter FTP-Server der wahrscheinlichste Zugangsweg zu sein. FTP-Passwörter waren einigermaßen robust, daher scheint Brute-Force-Angriff unwahrscheinlich.
Übrigens reagierte der technische Support nicht auf unsere Vorfallberichte und der Anbieter stellt kein FTP-Zugriffsprotokoll zur Verfügung, das den Verdacht bestätigen oder ausschließen könnte, dass jemand die FTP-Anmeldeinformationen abgeschöpft hat.
--
Wir sind nur zu zweit und haben Root-Zugriff auf die Site. Wir arbeiten gemeinsam an einer Site von öffentlichem Interesse und sind daher beide hochmotiviert, die Site zu sichern. Ich mache mir Sorgen, dass mein Kollege nicht sehr technisch versiert ist und nicht viel Geld ausgeben kann, um seinen PC zu schützen. Er hat sich also vielleicht einen Keylogger zugelegt.
Wir sind nur zu zweit und haben Root-Zugriff auf die Site. Wir arbeiten gemeinsam an einer Site von öffentlichem Interesse und sind daher beide hochmotiviert, die Site zu sichern. Ich mache mir Sorgen, weil mein Kollege nicht sehr technisch versiert ist und nicht viel Geld ausgeben kann, um seinen PC zu schützen. Deshalb habe ich mir einen Keylogger besorgt.
Antwort1
Wurden die Grundursachen der Sicherheitsverletzungen zuerst ermittelt und festgestellt, dass sie das Ergebnis kompromittierter Anmeldungen sind (was ein Hinweis auf eine entführte FTP-Sitzung sein kann, aber nicht muss)? Das Ersetzen von FTP durch SFTP ist definitiv sicherer, aber werden damit tatsächlich Ihre früheren Sicherheitsverletzungen behoben (um zu verhindern, dass Sie erneut Opfer derselben Sicherheitslücke werden – was oberste Priorität haben sollte)?
Antwort2
FTP-Daten (einschließlich Anmeldeinformationen) werden im Klartext übertragen, weshalb sie so unsicher sind. Sie sollten sich unbedingt an die Verwendung von SFTP gewöhnen, da Ihre Daten dann verschlüsselt sind.
F1: Bieten große Hosting-Anbieter mehrere sichere Konten in Shared-Hosting-Plänen zu wettbewerbsfähigen Preisen an?
A1: Media Temple bietet in seinem „Shared“-Hosting-Plan eine Möglichkeit, mehrere Benutzer mit Zugriff auf SSH/SFTP zu erstellen – sie nennen es das Grid. http://mediatemple.net
F2: Stimmt es, dass es keine sinnvolle Möglichkeit gibt, ein SFTP-Konto für zwei oder drei Personen gemeinsam zu nutzen? Anders ausgedrückt: Ist es unvermeidlich, dass jemand am Ende eine völlig unsichere FTP-Verbindung verwendet?
A2: Das hängt davon ab, was Sie möchten. Wenn Sie nur zu zweit oder zu dritt zusammenarbeiten, gibt es eigentlich keinen Grund, warum die gemeinsame Nutzung eines Kontos ein Problem darstellen sollte. Nebenbei bemerkt: Je nachdem, mit wem Sie zusammenarbeiten und wie groß Ihr Vertrauensniveau zu diesen Leuten ist, sollten Sie bei dem SSH/SFTP-Konto, das Sie alle gemeinsam nutzen, KEIN Root-/Administratorkonto verwenden.
F3: Was tun? Vorschläge sind willkommen!
A3: Wenn Sie Ihren Mitarbeitern vertrauen, gibt es keinen Grund, warum Sie nicht ein einzelnes SSH/SFTP-Konto gemeinsam nutzen könnten. Ich schlage vor, dass Sie FTP vollständig deaktivieren, wenn Sie können, oder zumindest FTP für diesen Benutzer deaktivieren. Da Ihre Site bereits kompromittiert wurde, stellen Sie außerdem sicher, dass alle Ihre Passwörter geändert sind. Alle: MySQL, Apache, Root und alle anderen Benutzer oder Konten.
F4: Übersehe ich etwas ganz Offensichtliches?
A4: Achten Sie auf SQL-Injections und alte Softwareversionen: Apache, phpmyadmin, mysql – halten Sie diese Dinge auf dem neuesten Stand und verwenden Sie immer SFTP oder SSH für die Remote-Verbindung zu Ihrem Host. Ändern Sie Ihre Passwörter so oft, wie es für Ihren Arbeitsstil sinnvoll ist, für alle Systeme; Datenbankbenutzer, Root, SSH-Konten usw.
Antwort3
Wenn Sie Shared Hosting nutzen, zahlen Sie normalerweise für den Webspace der Domain, sodass Sie ein SSH-Konto erhalten, mit dem Sie sich bei diesem einen Ordner anmelden können. SFTP meldet sich nur mit diesem Konto an, und die Beschränkung der Anzahl der Konten betrifft höchstwahrscheinlich die Anzahl der Benutzernamen – nicht die Anzahl der gleichzeitigen Verbindungen.
Wenn Sie mehr als eine Domain haben, werden Sie wahrscheinlich auch mehr als ein Konto haben. Wenn nicht, warum brauchen Sie dann mehr als ein Konto? Lesen Sie auch den Beitrag von user48838. Er hat Recht. Machen Sie sich nicht die Mühe, ein Brett vor die Tür zu nageln, wenn Sie ein offenes Fenster haben.