haerten/23.08.20266 min
CAA und DNSSEC: zwei DNS-Einträge gegen fremde Zertifikate
Ein Zertifikat beweist Kontrolle über die Domain. Genau deshalb ist DNS der eigentliche Angriffspunkt.
mittel#Verschlüsselung#Härtung
$grep -rl "Härtung" beitraege/
#Härtung
23 Beiträge mit diesem Schlagwort.
firewall/19.08.20262 min
IPv6 filtern: die Hälfte, die fast alle vergessen
Der Portscan sagt „alles zu“. Er hat nur die falsche Adressfamilie geprüft.
hoch#Firewall#Netzwerk
haerten/19.08.20262 min
SPF, DKIM, DMARC: die Domain, die jeder fälschen kann
Man muss keinen Mailserver betreiben, um eine Mail-Richtlinie zu brauchen. Es reicht, eine Domain zu haben.
hoch#Härtung#Netzwerk
haerten/19.08.20262 min
Die Webanwendung härten, ohne den Quelltext zu kennen
Man muss eine Anwendung nicht geschrieben haben, um zu verhindern, dass sie zum Einfallstor wird.
mittel#Härtung#Zugriff
firewall/18.08.20263 min
Die Datenbank gehört nicht ins Netz, auch nicht kurz
Es braucht keinen Angriff. Es braucht eine Standardkonfiguration, die auf allen Adressen hört.
kritisch#Firewall#Netzwerk
vorfall/18.08.20262 min
Ransomware zielt zuerst auf die Sicherung
Die Frage ist nicht, ob eine Sicherung existiert. Die Frage ist, ob der Angreifer sie löschen konnte.
kritisch#Notfall#Wiederherstellung
haerten/18.08.20262 min
Geheimnisse gehören nicht ins Repo und was tun, wenn sie drin sind
Ein Token, das einmal öffentlich war, ist verbrannt. Auch wenn der Commit weg ist.
kritisch#Härtung#Zugriff
advisories/18.08.20263 min
Verwaltungsoberflächen im Internet: das offene Scheunentor
Nicht der Webserver wird übernommen, sondern das Panel daneben. Es hat mehr Rechte und weniger Aufmerksamkeit.
kritisch#Bewertung#Härtung
haerten/18.08.20263 min
Container ohne root und warum „im Container“ nicht „abgeschottet“ heißt
root im Container ist root auf dem Host, sobald eine Kleinigkeit schiefgeht. Der Unterschied ist eine Zeile.
hoch#Container#Härtung
vorfall/18.08.20263 min
Neu aufsetzen statt säubern und wie das ohne Datenverlust geht
Man kann eine Maschine putzen. Man kann ihr danach nur nicht mehr glauben.
hoch#Notfall#Wiederherstellung
haerten/18.08.20262 min
Rechte, die nur so weit reichen wie nötig
Die Frage nach einem Einbruch ist nie „wie kam er rein“, sondern „wie weit kam er danach“.
hoch#Härtung#Zugriff
firewall/18.08.20263 min
WireGuard statt offener Ports: was nicht erreichbar ist, wird nicht angegriffen
Ein Port, der nur auf ein Schlüsselpaar antwortet, taucht in keinem Scan auf. Das ist der ganze Trick.
hoch#Netzwerk#Zugriff
haerten/18.08.20262 min
Zweiter Faktor, der wirklich trägt: Hardware-Schlüssel statt SMS
Ein Einmalcode lässt sich weiterreichen. Ein an die Domain gebundener Schlüssel nicht.
hoch#Zugriff#Härtung
haerten/18.08.20263 min
Dienste einsperren: mit systemd, ohne Zusatzsoftware
Der Dienst braucht drei Verzeichnisse und einen Port. Standardmäßig sieht er das gesamte System.
mittel#Härtung#Betrieb
ssh/18.08.20263 min
SSH-Zertifikate: Schlüssel, die von selbst ablaufen
authorized_keys auf zwanzig Maschinen ist keine Zugriffsverwaltung, sondern eine Kopieraufgabe.
mittel#SSH#Zugriff
ssh/18.08.20262 min
Post-Quantum bei SSH: heute mitgeschnitten, später entschlüsselt
Der Angriff läuft heute: aufzeichnen und aufheben. Entschlüsselt wird, wenn die Technik so weit ist.
niedrig#SSH#Verschlüsselung
ssh/16.08.20263 min
Passwort-Login abschalten: der Schritt mit der größten Wirkung
Eine Zeile in der sshd_config beendet die häufigste Übernahmeart komplett. Der Weg dahin hat vier Schritte und einen Rettungsanker.
kritisch#SSH#Zugriff
updates/13.08.20263 min
Automatische Sicherheitsupdates einrichten
Fast jede übernommene Maschine fiel über eine Lücke, für die es seit Wochen einen Patch gab. Das Risikofenster schließt man automatisch, nicht durch Vorsätze.
kritisch#Updates#Härtung
ssh/10.08.20263 min
SSH-Schlüssel verwalten, wenn es mehr als einer wird
Der erste Schlüssel ist einfach. Der zwölfte, verteilt auf sechs Maschinen und drei Personen, ist das eigentliche Thema.
hoch#SSH#Zugriff
firewall/07.08.20262 min
Eingehend dichtmachen: nur was hören muss, hört
Ein Dienst, der auf 127.0.0.1 hört, braucht keine Firewallregel. Er ist von außen nicht da.
hoch#Firewall#Netzwerk
firewall/30.07.20262 min
Docker umgeht deine Firewall und was dagegen hilft
Die Firewall sagt zu, der Portscan sagt offen. Beide haben recht, sie reden über verschiedene Ketten.
hoch#Firewall#Container
ssh/30.06.20262 min
Sprungserver: eine Tür statt zwanzig
Ab der fünften Maschine mit offenem SSH-Port lohnt sich die Frage, ob es nicht eine sein könnte.
mittel#SSH#Zugriff
ssh/18.06.20262 min
Fail2ban: Lärmschutz, kein Schutzwall
Nützlich für ruhige Protokolle. Der eigentliche Schutz ist eine Zeile weiter oben passiert.
niedrig#SSH#Betrieb