Secure your SSH server against brute-force attacks with Fail2ban

The problem: SSH can be brute-forced I usually leave an SSH server on a dedicated port on every server I administer and, as you may recall, I even linked two well-written guides to properly configure and harden SSH services. Now, Internet is a notoriously bad place: scanners and exploiters have always been there, but brute-forcers … Continue reading Secure your SSH server against brute-force attacks with Fail2ban

Fun with Python powered telnetd honeypot

Reason: hardening, serendipity and curiosity As you already know, in the past weeks I hardened all of my boxes: while doing it, I flushed all iptables/ipfw rules, changed the default policy to DROP and take it from there to enable every rule as soon as I need it. Whilst Ubuntu uses ufw as a fronted … Continue reading Fun with Python powered telnetd honeypot

Hardening services: let’s review our config files

It’s hardening Sunday here: I reviewed the config files of my main daemons (nginx, openvpn, tinc, sshd) with the help of two resources that I want to share with you, fellow readers. First of all, a guide dedicated exclusively to hardening ssh: from using public key authentication only (I strictly encourage it!) to the selection … Continue reading Hardening services: let’s review our config files

Ruby e OSX: problemi coi certificati SSL durante l’installazione delle gem

Nella nuova versione dell’installer di RubyGems è presente un check di sicurezza sul certificato SSL del sito da cui si scaricano le gem che si stanno per installare. Questo può comportare un errore durante l’installazione di una qualsiasi gem: ERROR: Could not find a valid gem ‘rails’ (= 3.2.14), here is why: Unable to download data … Continue reading Ruby e OSX: problemi coi certificati SSL durante l’installazione delle gem

HTTPS e le applicazioni di terze parti: attenzione!

“È sufficiente usare HTTPS per essere sicuri: protegge la comunicazione cifrando il traffico e usando certificati validati da CA riconosciute”. SBAGLIATO. Spesso si sente pronunciare questa frase, ma non è del tutto vero: ho recentemente letto con molta attenzione un paper presentato alla conferenza CCS 2012, una conferenza dedicata alla Computer Security. Il paper ha un … Continue reading HTTPS e le applicazioni di terze parti: attenzione!

WordPress plugin: Chap Secure Login

Ho recentemente installato Chap Secure Login, un plugin molto utile per WordPress che risolve un problema da non sottovalutare: l’autenticazione su un canale non cifrato quale HTTP (è buona norma usare HTTPS quando si effettua uno scambio di informazioni riservate, quali password, numeri di carta di credito, etc. per evitare che eventuali eavesdropper possano carpire … Continue reading WordPress plugin: Chap Secure Login

Facebook e la navigazione HTTPS da abilitare

Mi sono accorto che Facebook offre un’opzione molto utile e assolutamente da abilitare. Infatti, sotto Account > Impostazioni Account > Protezione dell’Account troviamo un’opzione per abilitare la navigazione HTTPS quando possibile.   Io l’ho abilitata subito, per proteggermi da sniffer indiscreti durante la mia navigazione su Facebook, e consiglio di abilitarla anche a voi. Personalmente, … Continue reading Facebook e la navigazione HTTPS da abilitare

Apache: come nascondere il banner contenente la versione, il packaging, etc. [ServerTokens]

Ispirato dalla filosofia “security by obscurity” [sicurezza tramite segretezza], ho sempre avuto l’abitudine di limitare le informazioni rivelate dai server Apache che amministro. Solitamente (= di default), Apache rivela le seguenti informazioni: Versione, major build [1, 2] Packaging [Ubuntu, Fedora, etc.] Eventuali moduli installati [mod_security, mod_python, etc.] Versione estesa [2.0.47] Un po’ troppe per i … Continue reading Apache: come nascondere il banner contenente la versione, il packaging, etc. [ServerTokens]

Ubuntu: Apache2 con certificati self-signed e senza password all’avvio

Recentemente mi è capitato di dover installare apache [in particolare, apache2] su una macchina Ubuntu. In particolare, mi è stato chiesto di installare la versione con ssl, ovvero che implementa il protocollo cifrato https. Apache2+ssl richiede l’utilizzo di un certificato firmato da un’autorità [es. Thawte, Verisign, etc.]. Se non vogliamo pagare una CA per ottenere … Continue reading Ubuntu: Apache2 con certificati self-signed e senza password all’avvio