Alex, Paul en Michael moeten SSH wachtwoord wijzigen
Veel websites worden nog altijd gehackt via SSH brute force aanvallen, waarbij de aanvallers dankzij zwakke wachtwoorden weten binnen te komen. Onderzoekers van Sophos plaatsten verschillen honeypots om te zien welke combinaties de aanvallers op systemen loslaten. Naast een aantal voor de hand liggen gebruikersnamen en wachtwoorden, zoals root, admin, guest en gebruikersnaam, vond men ook de namen van Alex, Paul, Richard en Michael terug in het overzicht. Dit verraste de onderzoekers, maar is volgens hen teken dat aanvallers ook aanvallen met veel voorkomende namen gebruiken.
bij deze. :-)
niet verder dan een foutmelding van mijn hosts.allow.
Zouden toch Alex of Paul proberen of de chinese variant
daarvan ?
Huh, wat doet mijn root password op dit lijstje?
Huh...tijd om te wisselen is aangebroke he?
Huh, wat doet mijn root password op dit lijstje?
Huh...tijd om te wisselen is aangebroke he?
Maak van de laatste 6 een 7 en je hebt weer een nieuw
wachtwoord. :)
Huh, wat doet mijn root password op dit lijstje?
Huh...tijd om te wisselen is aangebroke he?
Maak van de laatste 6 een 7 en je hebt weer een nieuw
wachtwoord. :)
Bedankt voor de tip!
installeer fail2ban, scheelt aardig wat brute force successen.
krijgt, en als het niet uit China, de USA, India, Korea, Rusland, Brazilie of
soortgelijk land komt , de mail doorsturen naar de juiste abuse afdeling.
werkstation binnen komen, geen key, geen user/pass prompt!
DenyHosts draait overigens puur voor mijn eigen vermaak...
Peace, Michael.
veiligheid weer te verkondigen. Ze hebben bruteforce
aanvallen onderzocht op bekende honeypots. Maar dat soort
aanvallen zijn per definitie machinewerk en hebben alleen
wat met bewuste keuze in authenticatiegegevens te maken
zodra aangetoond kan worden dat de gebruikers een bewuste
keuze voor een bruteforce tool en configuratie heeft
gekozen. Maar dat blijkt uit niets. Terwijl populariteit en
beschikbaarheid van die bruteforce tools nu juist een van de
eerste drempels is om zo massaal te kunnen en gaan
bruteforcen. Ik moet op de honeypots nog de eerste massaal
gebruikte tool voorbij zien komen waarbij de gebruikers
onderlinge bewustwording hebben over de meest verstandige
pogingen.
"kensentme" ;)
Wat een flauwe marketingwaarheid probeert deze verdiener aan
veiligheid weer te verkondigen. Ze hebben bruteforce
aanvallen onderzocht op bekende honeypots. Maar dat soort
aanvallen zijn per definitie machinewerk en hebben alleen
wat met bewuste keuze in authenticatiegegevens te maken
zodra aangetoond kan worden dat de gebruikers een bewuste
keuze voor een bruteforce tool en configuratie heeft
gekozen. Maar dat blijkt uit niets. Terwijl populariteit en
beschikbaarheid van die bruteforce tools nu juist een van de
eerste drempels is om zo massaal te kunnen en gaan
bruteforcen. Ik moet op de honeypots nog de eerste massaal
gebruikte tool voorbij zien komen waarbij de gebruikers
onderlinge bewustwording hebben over de meest verstandige
pogingen.
proberen uit te leggen?
Enkel via RSA authentication mag ik op mijn FreeBSD
werkstation binnen komen, geen key, geen user/pass prompt!
DenyHosts draait overigens puur voor mijn eigen vermaak...
Peace, Michael.
SSH v1 (RSA) is niet meer zo secure, schakel om naar DSA.
Meer info op de cmdline: man ssh
SSH v1 (RSA) is niet meer zo secure, schakel om naar DSA.
Meer info op de cmdline: man ssh
mijn echtgenote gebruik, wat is daar dan mis mee? Niemand weet dat
toch? Ja, enkele vrienden en familieleden, maar die moeten dan eerst ook
nog eens raden van WIE ik een naam of zo gebruik.
Er is al meer in het verleden - ook hier - gemeld dat "moeilijke"
wachtwoorden gemiddeld makkelijker gekraakt worden dan
wachtwoorden die ik persoonlijk makkelijk te onthouden vind.
Ja natuurlijk moet je niet 'test', "root", "admin" en zo gebruiken, maar de
naam van je hond of poes is echt niet bij buitenstaanders bekend hoor. En
dan kun je er ook nog een speciaal teken als % of zo aan toevoegen, en/of
een getal, dan is de beveiliging net zo goed als elke willekeurige
combinatie van letters en cijfers.
Even nadenken helpt heel veel hoor. Kijk maar eens naar je bankpas.
Skimmers? Camera's? Nou, dan tik je toch zes cijfers in plaats van vier?
Eerst je pincode en dan twee willekeurige cijfers er achter. Werkt geheid
en wie het opneemt, blijft in verwarring, want vooral de laatste twee cijfers
worden gezien. Zeker als je de pincode zo kiest dat een paar cijfers
verborgen onder je hand ingetikt worden, zoals de twee rechterrijen.
Ik doe het al jaren zo en het werkt altijd. Mijn pincode stelen is in ieder
geval moeilijker geworden.
honeypots simpelweg registreren welke gebruikersnaam/wachtwoord
combinaties worden gebruikt bij brute-force. Het artikel vermeldt niets over
het succes dat deze combinaties behalen. Men kan ervan uitgaan dat door
de enorme hoeveelheid online systemen, ergens wel eens, bijvoorbeeld
tijdens de installatie van apparatuur, eenvoudige login-credentials worden
gebruikt om het process te vereenvoudige en te versnellen. Helaas wordt
dan weleens vergeten, deze wachtwoorden te wijzigen alvorens men
uiteindelijk echt online gaat, waardoor brute-force zonder veel moeite,
scoort.
Als de kans op succes vervolgens 0,0001% op 10 miljoen online-
systemen is, praten we over 1000 systemen. Mogelijk ligt het echte cijfer
lager.. of hoger! ..maar dat wordt niet besproken in dit artikel. Sophos zou
hierom zelf massaal moeten gaan brute-forcen om te kijken hoe vaak het
raak is en dan komen met een betere, interessantere conclusie.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.