Komme nicht weiter

[Hartmut]

OpenSSH

Hallo noch einmal,

hat jemand Erfahrungen mit OpenSSH?
Es geht dabei um folgendes:

OpenSSH ist eine FREIE Version der SSH Protokoll Suite von Netzwerk-Tools, auf die sich eine steigende Anzahl von Leuten im Internet verlassen. Vielen Benutzern von telnet, rlogin, ftp und ähnlichen Programmen ist noch nicht aufgefallen, dass ihr Passwort dabei unverschlüsselt über das Internet übertragen wird. So ist es jedoch! OpenSSH verschlüsselt die Passwörter und die gesamte Verbindung um Mithören (Eavesdropping), das "Entführen von Verbindungen" (Connection Hijacking) und ähnliche Netzwerkangriffe zu unterbinden. Zusätzlich bietet OpenSSH eine Unzahl sicherer "tunneling" Möglichkeiten, genauso wie eine Unmenge von Authenfikationsmöglichkeiten.

http://www.openssh.com/de/

Gruß, Hartmut

[hand]

Du verstrickst Dich bereits zu Beginn in zu sehr technische Details. Ich würde Vorschlagen Du machst fürs erste ein Grobkonzept, aus welchem die Zielsetzung klar hervorgeht und die wesentlichen Anforderungen angeführt sind.

Zum umfassenden Thema Sicherheit. In Punkto technische Mechanismen zur Erreichung einer zufriedenstellenden Sicherheit sehe ich keine Probleme. Diese technischen Einrichtungen (Hard- Sotware) müssen aber massiv auch durch "organisatorische" Vorkehrungen ergänzt werden.

Nebenbei ist auch der Standort eines solchen Servers nicht unbedeutend. Raum mit eingeschränktem Zutritt (Zutrittskontrolle?). Man muß sich darüber im Klaren sein, daß nahezu 3/4 aller Angriffe auf einen Server von innen und nicht von außen kommen. Zu definieren sind eindeutige Verantwortlichkeiten und Eskalationsmechanismen. Technisch ist das System durch periodisch durchzuführende Penetrationstests auf Schwachstellen zu prüfen - von außen, als auch von innen.

Nachdem Securityscanner gerade bei individualentwickelten Applikationen nicht unbedingt in der Lage sind Schwachstellen aufzudecken, empfehle ich Dir Leute mit entsprechnender Erfahrung die Applikation manuell auf Schwachstellen untersuchen zu lassen.

Ergänzt kann das technische Securitypaket noch durch ein Intrusion Detection System werden.

Das alles klingt sehr kompliziert und aufwendig, ist es aber wenn es gut organisiert ist und vernünftige Betriebsmittel eingesetzt werden kein großer Aufwand. Jeder, der ein Netzwerk betreibt, wird zum Ziel von Angreifern - und zwar nicht nur theoretisch, sondern auch tatsächlich. Die Frage ist nur, wie man mit dieser Situation umgeht (-> Organisation, Eskalation).

Ein weiteres Stichwort: Securitypolicy, wer darf was, wann und wie, widernfalls ... Weitergabe von Passworten ... Vertrauensstellungen ... all das sind organisatorische Themen.

Wem nützt die beste SSH, wenn Passworte einfach weitergegeben werden? Was nützt eine goldene Firewall, wenn sie umgangen werden kann, beispielsweise durch eine unheimlich wichtige Modemverbindung, die ein Kollege unbedingt aktiviert haben muß, ins interne Netz? Und weil er Direktors Liebling ist darf er das auch noch .... oder schlimmer muß er unbedingt haben, sonst ....

Also mein Tipp -> start small, think big:
o Zielsetzungen ausformulieren
o Grobkonzept mit Definition der Anforderungen
o Kosten- Nutzen-Darstellung
o Termine

Damit Du nicht am Ende einen Hochsicherheitstrakt realisiert hast ohne Content.

Ach ja wenn alles dann fertig und ansich abgesichert ist, kannst Du ja das System durch Deine Schüler testen lassen. 1.ooo Euro für den der es schafft. Dadurch werden alle implementierten Security-Mechanismen getestet, inklusive Intrusion Detection.

Eine gute Security jetzt ist besser als perfekte Security nie.

Ein falsches Sicherheitsgefühl ist schlechter, als ein richtiges Gefühl der Unsicherheit.

Systemsicherheit ist eine Schlacht, die täglich neu gewonnen wird.