ASIX/M16/UF2/EX3/6

En aquesta pràctica ens hem limitat a serveis SMTP i SSH; encara que al principi també hem vist que hi havia un de LDAP i també DNS. Aquests dos serveis no els hem analitzat perquè amb SMTP i SSH n'hem tingut prou per a poder treure un informe de vulnerabilitats bastant severes que s'haurien de solucionar.

SMTP

1. Per a evitar atacs que utilitzin la comanda VRFY amb arxius de diccionari, es pot configurar un límit de verificacions fallides per unitat de temps i així poder alentir un atac d'aquest tipus i poder prendre mesures. El problema és que si el receptor existeix, l'atacant ja tindrà la resposta i no compta com a fallit.
2. L'altra opció seria buscar la documentació del nostre servidor de correu i deshabilitar totalment aquesta comanda ja que és susceptible de ser explotada amb finalitats no relacionades amb l'enviament de correu electrònic; encara que ens arrisquem a "trencar" el protocol i que alguns clients tinguin problemes per a comunicar-se amb el nostre servidor.

SSH

SSH és un protocol molt segur a nivell de transport. Tot i això, la baula feble és en l'autenticació dels usuaris mitjançant contrasenyes. Per molt fortes que siguin (complexes, llargues, les canviem cada cert temps, etc.) mai oferiran el nivell de seguretat que brinda l'autenticació amb clau pública-privada. Aquest mètode consisteix en autenticar-se mitjançant un fitxer (la clau privada) que el servidor comprova si està autoritzat per a connectar i si correspon amb l'usuari que vol obrir una sessió SSH (a partir de la clau pública).

És per això que la mitigació passa, al meu parer, per deshabilitar totalment l'autenticació per contrasenya i concedir accessos mitjançant claus privades per a cada usuari. D'aquesta manera també és més senzill tancar l'accés a un usuari si la seva clau privada ha estat compromesa i també s'assegura el servei SSH davant d'atacs d'autenticació per força bruta; ja que és virtualment impossible endevinar una clau privada amb la tecnologia d'avui en dia.

Tot i això, si no hi ha l'opció de deshabilitar l'autenticació mitjançant password, seria bona idea configurar SSH de manera que tanqui la connexió després de X intents fallits utilitzant Fail2Ban o similar.