Dann stellt sich jetzt doch die Frage, soll man ein Good Practice einführen, welches ein login per Kennwort generell nicht zulässt. Bei den Security Scans, die vom it-center durchgeführt werden, ist ja auch eine deutliche Tendenz nach unten erkennbar gewesen, was den durchschnittlichen Wert anging. Technisch machbar ist das ja, man muss nur seine Benutzer erziehen, das nicht über Kennwort zu machen und eventuell Hilfestellung beim Erstellen der Keys zu geben. Und es muss ja nicht bis übermorgen passieren. Da wäre dann auch eine Richtlinie des ITC hilfreich. Ihr habt ja auch erfolgreich damit angefangen, das mit der Portsperrung jenseits von 1024 anzugehen. Und ich glaube, dass mittlerweile da alle gut mit leben können. Das Szenario "ich bin Gastwissenschaftler mit einem festen Arbeitsplatz anderswo und möchte ssh in die RWTH machen und habe gerade nicht den Cisco VPN Client installiert kann aber einen key per usb importieren" könnte gegen VPN sprechen. Diese Good Practice liesse sich ja auch auf weitere Ports/Dienste erweitern. Ich bin ja auch manchmal etwas träge, was Sicherheit angeht, wenn ein Assistent oder Professor ankommt und sagt, ich brauche das jetzt. Da helfen dann Richtlinien von wegen, wir machen das jetzt so. Corona zeigt ja gerade, dass das von oben durchaus vorgegeben werden kann und die meisten das dann auch befolgen. Viele Grüße Frank Knoben On 17.04.20 12:54, Jan Niehusmann wrote:
On Fri, Apr 17, 2020 at 12:47:38PM +0200, Jens Hektor wrote:
Am 17.04.20 um 12:45 schrieb Markus Witt:
Habt ihr Zahlen, wie viele der freigeschalteten Systeme überhaupt ein SSH-Login per Passwort zulassen? Ich nicht. Falls jemand seine eigenen Rechner scannen möchte: https://coolaj86.com/articles/testing-if-ssh-allows-passwords/
Das ssh-Kommando habe ich mir angeschaut uns ausprobiert, das sieht vernünftig aus. Den node.js-Kram habe ich mir nicht angeschaut.
Grüße, Jan _______________________________________________ rwth-security mailing list -- rwth-security@lists.rwth-aachen.de To unsubscribe send an email to rwth-security-leave@lists.rwth-aachen.de