rocketworm schrieb:
Ein Starkes Passwort ist kein Sicheres Passwort. Admin123! ist ein starkes Passwort, aber nicht sicher und taucht in nahezu jedem Wörterbuch auf.
Das ist Wortklauberei. Du magst Admin123! als stark, aber nicht sicher bezeichnen, ich halte es weder für stark noch sicher, weil stark und sicher synonym verwendet werden.
Wie dem auch sei. Du kannst natürlich keinen ssh mit geändertem Port und "sicherem" Passwort mit ssh mit Standard-Port und "unsicherem" Passwort vergleichen. Wenn überhaupt, führt der geänderte Port dazu, dass der Laie sich denkt, dass er dann ja ein einfacheres Passwort nehmen kann, "wenn eh keiner den Port findet". Aber das sind Mutmaßungen. Grundvorraussetzung für den Betrieb von ssh - egal auf welchem Port - ist ein adäquates Passwort.
Das Passwort -
wenn man denn ssh überhaupt mit Passwort-Login nutzt - muss also so oder so stark/sicher/unerratbar sein, egal ob auf Standard-Port oder nicht. Der Großteil der ssh-Attacken ist nur auf Bauern mit 08/15 Passwort oder einer Abwandlung dessen aus. Selbst wenn da einer 24/7/365 Dauerfeuer - durch fail2ban limitiert - startet, sind 260.000 Versuche bei einem langen und "sicheren" Passwort nicht mal ein Tropfen auf den heißen Stein. Die 99,9%, die man sich durch den geänderten Port vom Hals hält, kommen durch ein anständiges Passwort oder gar einen key-geschützten ssh eh nicht durch. Diejenigen, die das können und auch explizit wollen, haben den geänderten ssh-Port binnen kürzester Zeit gescannt.
Es gibt aber durchaus noch einen weiteren Aspekt warum ein geänderter Port nicht wirklich zur Sicherheit beiträgt, sondern sogar das Gegenteil der Fall sein kann. Ports <1024 sind System-Ports, die nur von root bzw. mit root-Rechten geöffnet werden dürfen. 2222 darf im Prinzip jeder öffnen. Wenn nu ein Angreifer einen beliebigen sonstigen Dienst auf dem Server unter seine Kontrolle bringt, kann er einen eigenen Dienst auf 2222 laufen lassen, um den ssh zu faken und alle Passwörter abzugreifen - egal wie super sicher sie sind.
Um sich vor der schieren Flut an 08/15-Bots, die einem gut gesicherten System wie gesagt nur längere Logfiles bescheren, zu schützen, würde ich dann eher Port-Knocking nutzen, um den ssh-Port zu kaschieren.
Diese Diskussion könnten wir nu aber noch ewig weiterführen, ohne den jeweils anderen von der eigenen Meinung zu überzeugen - is ja auch nicht schlimm. Jeder muss damit umgehen wie er es für richtig hält, sollte sich aber darüber im Klaren sein, dass Security by Obscurity - der geänderte Port - kein sicheres Passwort/keys ersetzen kann. Du und ich wissen das, aber der Laie neigt dazu, zuviel Sicherheit als lästig zu empfinden. Und wenn man schon ständig einen anderen Port eintippen muss, kann man sich ja wenigstens ein simples Passwort "gönnen", gell? Ich habe solche Leute im Bekanntenkreis, das kommt also nicht von ungefähr...
Ich schließe mich aber grundsätzlich der Meinung von
@andy_m4 an was das Administrieren eines Mietservers im www angeht. Wenn man sich das KnowHow dazu aus einem Forum, bei Youtube oder sonstigen Tutorials ziehen muss, bekomme ich Bauchschmerzen. Genau das sind dann nämlich die Server, die von $hackergroupxy gekapert und in deren Botnetz aufgenommen werden....
