Miser sur le fait que l’attaquant ne trouvera pas le login, c’est une mauvaise idée.
En tous cas, si tu considères l'attaque par brute-force possible du mot de passe, ça rajoute des bits d'entropie (va falloir réessayer tous les mots de passes pour tous les logins avant d'en trouver qui matche).
Mais couplé à fail2ban, ça devient compliqué de brute-forcer quoi que ce soit. Ou alors il faut être sacrément organisé (et jouer avec des IPs différentes sur chaque tentative).
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
C'est des tentatives qui ont étaient bloquées au niveau du firewall plutôt que d'openssh
Un firewall détecte 3 tentatives infructueuses consécutives de login ? Si oui, ça a en effet plus de sens de le mettre sur un firewall… encore faut-il en avoir un (et bien configuré pour ça).
fail2ban out-of-the-box est déjà paramétré pour openssh. C'est encore plus facile à installer que de changer le port de SSH :)
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
Oui mais ce que je veux dire c'est que déjà il faut le connaître. Les scripts tentent des login standard uniquement. Par contre celui qui me connait et veut attaquer mon serveur n'aura en effet pas de mal à trouver le login. Reste ensuite la barrière du mot de passe, là, même qqu'un qui me connait aura du mal.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
Bin j'ai eu 34000 ban en quelques mois. C'est pas négligeable je trouve. Vu que le ban arrive après plusieurs tentatives et que donc il n'y a pas de raison que ça s'arrête, c'est au moins 34000 tentatives supplémentaires qui n'ont pas eu lieu.
Non ?
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
Je suis peut-être un admin un poil parano, mais de l’authentification SSH par mot de passe (autrement que sur un réseau local sûr) ça me fait froid dans le dos rien que d’y penser.
Alors tu m'inquiètes, c'est ce que je fais depuis toujours :)
Bon, à ma décharge, voici mes "mitigation" :
- pas de connexion root
- seul mon compte perso est accessible (login original donc)
- fail2ban activé
Donc niveau script merdiques, je suis tranquille, et brute force, ça va être compliqué. Après, je suis particulièrement peu parano j'avoue…
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
Si c'était le cas, les installations standard utiliseraient un port random par exemple, ou t'inciteraient fortement à en changer.
Bon, l'ANSI recommande de changer le port. Par contre ils recommandent surtout de rester sur un port privilégié (< 1024) pour pas se le faire usurper par un autre service "utilisateur".
Au passage ils parlent de risque sur les comptes avec mot de passe faible. Je pense que cette recommandation est faite pour des serveurs où il y a bcp d'utilisateurs non maîtrisés (ce qui n'est pas le cas chez moi où il n'y a qu'un utilisateur : moi).
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
Parce que tu sors des standards. Rien que pour ça c'est un argument pour moi (rester dans les standards est toujours une bonne pratique).
Disons que c'est un réglage supplémentaire à faire à chaque client, c'est le risque (minime c'est vrai) d'utiliser un jour une autre application qui utilise ce même port et c'est reparti pour un réglage de plus, c'est le risque d'oublier quel est le port en question (si t'as pas ton client fétiche sous la main dans lequel tu as fait le réglage, et que tu as vraiment choisi un port random, et pas 2222 comme bcp font)… bref tu sors des standards quoi :)
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
Bin oui. C'est la base d'une attaque ciblée. Seuls les petits scripts simplistes tentent pi/raspberry sur le port 22 et c'est tout, mais si qqu'un veut précisément jouer avec ton serveur, il va commencer par regarder quels ports sont ouverts et avec quels services (c'est trivial et ça prend quelques secondes).
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
C'est une fausse sécurité. Si c'était le cas, les installations standard utiliseraient un port random par exemple, ou t'inciteraient fortement à en changer. Scanner une IP pour y trouver un port SSH prend quelques secondes, c'est une sécurité bien fragile.
Ok, tu t'affranchis des scripts kiddies les plus simples, mais sur une vraie attaque, il n'y aura pas de différence.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
Je vais me mettre à collectionner les meilleurs slogans de rue, et celui-ci sera sans aucun doute très bien classé (mis à part la signature "Toto" qui est pas spécialement rigolote je trouve)
Le précédent qui m'a bien fait marrer c'est "tout le monde démission" (la référence est récente, je pense que pas mal de lecteur de LinuxFR.org l'ont vu passer)
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
On entend partout dire qu'on ne peut pas breveter un logiciel en Europe, mais je me suis toujours demandé comment le MP3 a bien été breveté par un institut Allemand. De plus on voit passer des infos par exemple sur le JPEG qui tombe hors royalties (oui, c'est peut-être différent), comme quoi on ne fait pas ce qu'on veut pour reproduire un algo.
Je comprends mieux !
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
Tu as bien compris que ton pb est l'authentification ? Il te faut bien lire et relire https://dev.twitch.tv/docs/authentication/. À la parcourir, je vois quelques pièges notamment les jetons (token) qui expirent, il te faut les renouveler régulièrement.
Je te conseille de faire quelques essais en ligne de commande (ils donnent des exemples en curl) qui te permettront de vérifier que tu as tout bien fait et tout bien compris.
Ensuite seulement traduis en Python.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
Idem j'ai joué à programmer la tortue, je ne me souviens plus trop d'ailleurs. Je vois l'instituteur qui allait sur le "serveur" et nous on jouait pas mal sur les postes TO7 (il me semble). Du souvenir que j'en ai on serait en CE2 pour ma part.
Mais c'est pas du tout ça qui m'a donné envie de faire ce que je suis aujourd'hui. Je n'ai pas touché un ordinateur jusqu'au lycée, où j'avais acheté un AtariST pour faire de la musique (prises MIDI en standard). Et avec l'AtariST il y avait un Basic livré avec…
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
Sur l'idée pourquoi pas. Moi ce que j'ai toujours reproché à Windows c'est d'être opaque en fait.
Où est paramétré ce comportement ? Comment le supprimer/le modifier ?
Si c'est correctement documenté (y compris en allant farfouiller dans la base de registres, ça ne m'a jamais dérangé), pourquoi pas. Si c'est incontournable, c'est vraiment pénible.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
C'est prémaché avec un script qui lance automatiquement le container de manière transparente?
C'est ce que j'ai fait. En tête il y a un Makefile, tout simplement (j'aime les Makefile). De la construction du docker à l'utilisation, c'est juste des commandes make.
C'est quoi qui est plus fort qu'un docker?
En fait j'ai jamais utilisé Docker pour des applications graphiques, je ne sais même pas si c'est possible. Du coup je pensais à la virtualisation.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
Pour un peu le même besoin dans la mienne j'ai créé un docker qui propose la cross compilation ARM de notre produit.
Elle embarque un script qui est capable de cloner le repo git, compiler, et préparer un réprtoire output/ avec tout dedans bien rangé. Utilisable manuellement par les devs ou en CI.
EDIT : j'ai peut-être lu ton post un peu trop rapidement, toi tu parles d'embarquer Eclipse par exemple. Du coup il va te falloir plus qu'un Docker je pense.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
# Dans le J.O. ?
Posté par gUI (Mastodon) . En réponse au lien Comment dit-on en français data science, backdoor, digital..? - france inter. Évalué à 2.
Alors j'ai lu en diagonale, mais je suis étonné que le J.O. décide du vocabulaire maintenant.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Mes serveurs n'intéressent personnes
Posté par gUI (Mastodon) . En réponse au journal Statistiques de tentatives de connexion SSH par des bots. Évalué à 2.
En tous cas, si tu considères l'attaque par brute-force possible du mot de passe, ça rajoute des bits d'entropie (va falloir réessayer tous les mots de passes pour tous les logins avant d'en trouver qui matche).
Mais couplé à fail2ban, ça devient compliqué de brute-forcer quoi que ce soit. Ou alors il faut être sacrément organisé (et jouer avec des IPs différentes sur chaque tentative).
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Port ?
Posté par gUI (Mastodon) . En réponse au journal Statistiques de tentatives de connexion SSH par des bots. Évalué à 3. Dernière modification le 09 mars 2021 à 08:39.
Ah pardon oui. Il y a un côté anti-DDOS dans l'utilisation de fail2ban en effet.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Port ?
Posté par gUI (Mastodon) . En réponse au journal Statistiques de tentatives de connexion SSH par des bots. Évalué à 2. Dernière modification le 09 mars 2021 à 08:32.
Un firewall détecte 3 tentatives infructueuses consécutives de login ? Si oui, ça a en effet plus de sens de le mettre sur un firewall… encore faut-il en avoir un (et bien configuré pour ça).
fail2ban out-of-the-box est déjà paramétré pour openssh. C'est encore plus facile à installer que de changer le port de SSH :)
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Mes serveurs n'intéressent personnes
Posté par gUI (Mastodon) . En réponse au journal Statistiques de tentatives de connexion SSH par des bots. Évalué à 2.
Oui mais ce que je veux dire c'est que déjà il faut le connaître. Les scripts tentent des login standard uniquement. Par contre celui qui me connait et veut attaquer mon serveur n'aura en effet pas de mal à trouver le login. Reste ensuite la barrière du mot de passe, là, même qqu'un qui me connait aura du mal.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Port ?
Posté par gUI (Mastodon) . En réponse au journal Statistiques de tentatives de connexion SSH par des bots. Évalué à 4. Dernière modification le 08 mars 2021 à 19:52.
Bin j'ai eu 34000 ban en quelques mois. C'est pas négligeable je trouve. Vu que le ban arrive après plusieurs tentatives et que donc il n'y a pas de raison que ça s'arrête, c'est au moins 34000 tentatives supplémentaires qui n'ont pas eu lieu.
Non ?
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Mes serveurs n'intéressent personnes
Posté par gUI (Mastodon) . En réponse au journal Statistiques de tentatives de connexion SSH par des bots. Évalué à 3.
Alors tu m'inquiètes, c'est ce que je fais depuis toujours :)
Bon, à ma décharge, voici mes "mitigation" :
- pas de connexion root
- seul mon compte perso est accessible (login original donc)
- fail2ban activé
Donc niveau script merdiques, je suis tranquille, et brute force, ça va être compliqué. Après, je suis particulièrement peu parano j'avoue…
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Mes serveurs n'intéressent personnes
Posté par gUI (Mastodon) . En réponse au journal Statistiques de tentatives de connexion SSH par des bots. Évalué à 4. Dernière modification le 08 mars 2021 à 08:54.
Bon, l'ANSI recommande de changer le port. Par contre ils recommandent surtout de rester sur un port privilégié (< 1024) pour pas se le faire usurper par un autre service "utilisateur".
Au passage ils parlent de risque sur les comptes avec mot de passe faible. Je pense que cette recommandation est faite pour des serveurs où il y a bcp d'utilisateurs non maîtrisés (ce qui n'est pas le cas chez moi où il n'y a qu'un utilisateur : moi).
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Mes serveurs n'intéressent personnes
Posté par gUI (Mastodon) . En réponse au journal Statistiques de tentatives de connexion SSH par des bots. Évalué à 5. Dernière modification le 08 mars 2021 à 08:45.
Parce que tu sors des standards. Rien que pour ça c'est un argument pour moi (rester dans les standards est toujours une bonne pratique).
Disons que c'est un réglage supplémentaire à faire à chaque client, c'est le risque (minime c'est vrai) d'utiliser un jour une autre application qui utilise ce même port et c'est reparti pour un réglage de plus, c'est le risque d'oublier quel est le port en question (si t'as pas ton client fétiche sous la main dans lequel tu as fait le réglage, et que tu as vraiment choisi un port random, et pas 2222 comme bcp font)… bref tu sors des standards quoi :)
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Mes serveurs n'intéressent personnes
Posté par gUI (Mastodon) . En réponse au journal Statistiques de tentatives de connexion SSH par des bots. Évalué à 3.
Bin oui. C'est la base d'une attaque ciblée. Seuls les petits scripts simplistes tentent pi/raspberry sur le port 22 et c'est tout, mais si qqu'un veut précisément jouer avec ton serveur, il va commencer par regarder quels ports sont ouverts et avec quels services (c'est trivial et ça prend quelques secondes).
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Mes serveurs n'intéressent personnes
Posté par gUI (Mastodon) . En réponse au journal Statistiques de tentatives de connexion SSH par des bots. Évalué à 7.
C'est une fausse sécurité. Si c'était le cas, les installations standard utiliseraient un port random par exemple, ou t'inciteraient fortement à en changer. Scanner une IP pour y trouver un port SSH prend quelques secondes, c'est une sécurité bien fragile.
Ok, tu t'affranchis des scripts kiddies les plus simples, mais sur une vraie attaque, il n'y aura pas de différence.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Mes serveurs n'intéressent personnes
Posté par gUI (Mastodon) . En réponse au journal Statistiques de tentatives de connexion SSH par des bots. Évalué à 10.
Oui, c'est le port standard.
Moi c'est la question inverse que je me pose : pourquoi en changer ?
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Grosse erreur
Posté par gUI (Mastodon) . En réponse au message Firefox : comment mettre en place une police d'entreprise ?. Évalué à 5. Dernière modification le 07 mars 2021 à 13:41.
Je vais me mettre à collectionner les meilleurs slogans de rue, et celui-ci sera sans aucun doute très bien classé (mis à part la signature "Toto" qui est pas spécialement rigolote je trouve)
Le précédent qui m'a bien fait marrer c'est "tout le monde démission" (la référence est récente, je pense que pas mal de lecteur de LinuxFR.org l'ont vu passer)
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: l'été c'était mieux avant
Posté par gUI (Mastodon) . En réponse au journal Joplin for Ever(note). Évalué à 7.
j'ai pas compris cette partie. ton calepin il supporte la dictée quand tu es au volant de la voiture ?
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Port ?
Posté par gUI (Mastodon) . En réponse au journal Statistiques de tentatives de connexion SSH par des bots. Évalué à 4. Dernière modification le 07 mars 2021 à 07:37.
Je pense que fail2ban aide beaucoup. Pour ma part je suis sur un dédié OVH, je suis sur le port 22 standard mais avec fail2ban.
Depuis début février, j'ai le résultat suivant avec le script du journal :
J'ai 5600 lignes, dont l'immense majorité avec une seule occurrence.
Sur cette même période je vois 34000 "Ban" dans les logs de fail2ban.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Breveté aux USA, breveté partout ?
Posté par gUI (Mastodon) . En réponse au journal OCB serait-il toujours protégé par des brevets ?. Évalué à 4.
Merci à tous pour cette conversation.
On entend partout dire qu'on ne peut pas breveter un logiciel en Europe, mais je me suis toujours demandé comment le MP3 a bien été breveté par un institut Allemand. De plus on voit passer des infos par exemple sur le JPEG qui tombe hors royalties (oui, c'est peut-être différent), comme quoi on ne fait pas ce qu'on veut pour reproduire un algo.
Je comprends mieux !
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
# Marche pô...
Posté par gUI (Mastodon) . En réponse au lien Comment faire un unique exécutable pour Linux, Windows et Mac. Évalué à 2.
Quelqu'un a essayé ?
Mon exécutable tourne sous Linux, mais Windows 10 gueule : pas compatible avec la version de Windows actuellement exécutée.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Authentification
Posté par gUI (Mastodon) . En réponse au message [Résolu] Problème avec une API http (en python). Évalué à 2.
Toujours ! D'où les forums comme celui-ci :)
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Authentification
Posté par gUI (Mastodon) . En réponse au message [Résolu] Problème avec une API http (en python). Évalué à 1.
C'était pourtant pas très dur :)
J'ai cliqué sur ton lien 'API', puis dans Step 1 : 'authentication guide'.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
# Authentification
Posté par gUI (Mastodon) . En réponse au message [Résolu] Problème avec une API http (en python). Évalué à 4. Dernière modification le 05 mars 2021 à 07:58.
Tu as bien compris que ton pb est l'authentification ? Il te faut bien lire et relire https://dev.twitch.tv/docs/authentication/. À la parcourir, je vois quelques pièges notamment les jetons (token) qui expirent, il te faut les renouveler régulièrement.
Je te conseille de faire quelques essais en ligne de commande (ils donnent des exemples en
curl) qui te permettront de vérifier que tu as tout bien fait et tout bien compris.Ensuite seulement traduis en Python.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Souvenirs
Posté par gUI (Mastodon) . En réponse au lien Le plan Informatique Pour Tous de 1985, combien de vocation ?. Évalué à 4. Dernière modification le 04 mars 2021 à 10:45.
Idem j'ai joué à programmer la tortue, je ne me souviens plus trop d'ailleurs. Je vois l'instituteur qui allait sur le "serveur" et nous on jouait pas mal sur les postes TO7 (il me semble). Du souvenir que j'en ai on serait en CE2 pour ma part.
Mais c'est pas du tout ça qui m'a donné envie de faire ce que je suis aujourd'hui. Je n'ai pas touché un ordinateur jusqu'au lycée, où j'avais acheté un AtariST pour faire de la musique (prises MIDI en standard). Et avec l'AtariST il y avait un Basic livré avec…
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: On a une page d'aide sur ce sujet
Posté par gUI (Mastodon) . En réponse au message Ecrire un programme nommé Multitâche . Évalué à 2.
De plus il manque le "c urgent" en capitales, sinon ça se voit pas.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Whaou
Posté par gUI (Mastodon) . En réponse au journal [Windaube 10] M$, alias Windaube Store. Évalué à 6.
Sur l'idée pourquoi pas. Moi ce que j'ai toujours reproché à Windows c'est d'être opaque en fait.
Où est paramétré ce comportement ? Comment le supprimer/le modifier ?
Si c'est correctement documenté (y compris en allant farfouiller dans la base de registres, ça ne m'a jamais dérangé), pourquoi pas. Si c'est incontournable, c'est vraiment pénible.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Docker ?
Posté par gUI (Mastodon) . En réponse au message Comment synchroniser environnement de développement entre machines ?. Évalué à 2. Dernière modification le 02 mars 2021 à 19:24.
C'est ce que j'ai fait. En tête il y a un Makefile, tout simplement (j'aime les Makefile). De la construction du docker à l'utilisation, c'est juste des commandes
make.En fait j'ai jamais utilisé Docker pour des applications graphiques, je ne sais même pas si c'est possible. Du coup je pensais à la virtualisation.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
# Docker ?
Posté par gUI (Mastodon) . En réponse au message Comment synchroniser environnement de développement entre machines ?. Évalué à 2. Dernière modification le 02 mars 2021 à 15:27.
Pour un peu le même besoin dans la mienne j'ai créé un docker qui propose la cross compilation ARM de notre produit.
Elle embarque un script qui est capable de cloner le repo git, compiler, et préparer un réprtoire
output/avec tout dedans bien rangé. Utilisable manuellement par les devs ou en CI.EDIT : j'ai peut-être lu ton post un peu trop rapidement, toi tu parles d'embarquer Eclipse par exemple. Du coup il va te falloir plus qu'un Docker je pense.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.