El sitio que administro ya ha sufrido una infracción importante y otra menor, por lo que estoy analizando detenidamente métodos para mejorar la seguridad. Hemos estado usando FTP...
Todo el mundo parece estar de acuerdo en que se debe sustituir el FTP por motivos de seguridad, y SFTP parece ser el sustituto. Pero nuestro plan de alojamiento compartido proporciona solo una cuenta SFTP y nuestro principal proveedor alternativo solo una.
Me imagino que esto es justo lo que uno obtiene al no poder permitirse un alojamiento mejor que el alojamiento compartido. Pero también porque SFTP está basado en SSH y no hay necesidad de tener muchas personas diferentes jugando con sitios a través de SSH.
P1: ¿Algunos de los principales proveedores de alojamiento ofrecen múltiples cuentas seguras en planes de alojamiento compartido a precios competitivos?
P2: ¿Es correcto que no existe una forma sensata de compartir una cuenta SFTP entre dos o tres personas? En otras palabras, ¿es inevitable que alguien acabe utilizando una conexión FTP totalmente insegura?
P3: ¿Qué hacer? ¡Se aceptan sugerencias!
P4: ¿Me estoy perdiendo algo increíblemente obvio?
No, a pesar de muchos esfuerzos, nunca pudimos determinar la causa de las infracciones. Localicé tantas listas de precauciones a tomar y agujeros que cerrar e hice lo mejor que pude. FTP es uno de los principales que todavía estoy intentando cerrar.
Brevemente: después de la primera infracción, actualizamos a la última versión del CMS que utilizamos (phpFusion) y movimos la mayor parte del sitio a subdominios. (Hay una buena razón, no relevante aquí, para hacer eso). Eso dejó en el dominio base solo un saludo trivial: cambiar la página html que contiene enlaces estáticos a instancias de CMS en los subdominios. La segunda infracción insertó muchos enlaces ocultos en ese archivo. Hasta donde puedo ver, básicamente no había nada que hackear en el dominio base, por lo que el FTP secuestrado parece ser el medio de acceso más probable. Las contraseñas FTP eran razonablemente sólidas, por lo que la fuerza bruta parece poco probable.
Por cierto, el soporte técnico no respondió a nuestros informes de incidentes y el proveedor no proporciona un registro de acceso a FTP, lo que podría confirmar o descartar que alguien haya olfateado las credenciales de FTP.
--
Solo somos dos con acceso raíz al sitio. Somos compañeros de trabajo en un sitio de interés público, por lo que ambos estamos muy motivados para proteger el sitio. Me preocupa que mi colega no sea muy técnico y no tenga mucho para gastar en proteger su PC, por lo que es posible que haya adquirido un registrador de teclas.
Solo somos dos con acceso raíz al sitio. Somos compañeros de trabajo en un sitio de interés público, por lo que ambos estamos muy motivados para proteger el sitio. Me preocupa que mi colega no sea muy técnico y no tenga mucho para gastar en proteger su PC, por lo que compró un registrador de teclas.
Respuesta1
¿Se han determinado primero las causas fundamentales de las infracciones y se determinó que son el resultado de inicios de sesión comprometidos (lo que puede o no ser una indicación de una sesión ftp secuestrada)? Reemplazar ftp con sftp es definitivamente más seguro, pero ¿realmente aborda sus infracciones pasadas (para evitar que sea una víctima repetida de la misma vulnerabilidad, que debería ser la primera prioridad)?
Respuesta2
Los datos FTP (incluidas las credenciales de inicio de sesión) se transmiten en texto sin formato, por lo que son tan inseguros. Definitivamente querrás comenzar a acostumbrarte a usar SFTP, ya que entonces tus datos estarían encriptados.
P1: ¿Algunos de los principales proveedores de alojamiento ofrecen múltiples cuentas seguras en planes de alojamiento compartido a precios competitivos?
R1: Media Temple ofrece una manera de crear múltiples usuarios con acceso a SSH/SFTP en su plan de hosting "compartido" - lo llaman Grid. http://mediatemple.net
P2: ¿Es correcto que no existe una forma sensata de compartir una cuenta SFTP entre dos o tres personas? En otras palabras, ¿es inevitable que alguien acabe utilizando una conexión FTP totalmente insegura?
R2: Esto depende de lo que quieras. Si sólo hay dos o tres de ustedes trabajando juntos, entonces realmente no hay muchas razones por las cuales compartir una cuenta sería un problema. Como nota al margen, dependiendo de con quién esté trabajando y su nivel de confianza con estas personas, realmente desea que la cuenta ssh/sftp que todos comparten NO sea un usuario root/administrativo.
P3: ¿Qué hacer? ¡Se aceptan sugerencias!
R3: Si confías en tus compañeros de trabajo, no hay ninguna razón por la que no puedas compartir una sola cuenta ssh/sftp. Le sugiero que desactive FTP por completo, si puede, o al menos desactive FTP para ese usuario. Dado que su sitio ya ha sido comprometido, asegúrese también de cambiar todas sus contraseñas. Todos ellos: mysql, apache, root y cualquier otro usuario o cuenta.
P4: ¿Me estoy perdiendo algo increíblemente obvio?
R4: Tenga cuidado con las inyecciones de SQL y versiones antiguas de software: apache, phpmyadmin, mysql; mantenga esas cosas actualizadas y use siempre SFTP o SSH para conectarse remotamente a su host. Cambie sus contraseñas con la frecuencia que sea razonable para su estilo de trabajo en todos los sistemas; usuarios de bases de datos, root, cuentas ssh...etc.
Respuesta3
Si tiene un alojamiento compartido, normalmente paga por el espacio web del dominio, por lo que obtendrá una cuenta SSH que le permitirá iniciar sesión en esa carpeta. SFTP simplemente inicia sesión usando esa cuenta, y la restricción sobre cuántas cuentas probablemente sea cuántos nombres de usuario, no cuántas conexiones simultáneas.
Si tiene más de un dominio, probablemente obtendrá más de una cuenta. Si no es así, ¿por qué necesita más de una cuenta? Además, vea la publicación del usuario48838, tiene razón, no se moleste en clavar una tabla en la puerta si tiene una ventana abierta.