Aplicaciones Moviles Gratis, Seguridad, Tecnologia, Android, Apple: #SSH

Securizando openssh MODE PARANOICO 2ª parte (rizando el rizo con Latch)

Con el fin de completar nuestro pasado artículo,<a href="http://www.hackplayers.com/2014/01/securizando-openssh-mode-paranoico.html">securizando openssh MODE PARANOICO</a>
 en el que vimos como securizar el servicio SSH en nuestro servidor, en 
esta entrada vamos a ver cómo aplicar otra capa de seguridad a nuestra 
particular "cebolla"; para eso echamos mano de una recién nacida aplicación  de Eleven Paths de la cual ya <a href="http://www.hackplayers.com/2013/12/latch-una-aplicacion-para-dominarlas.html">hablamos en nuestro blog</a>. 
 
 
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgzAX4cjPPpYVfvSgZzZDeQcjZFF9IAt5BHFOBohawnHpf0o_BefidNJ7cEVWkNUJemhlh4MhGj4nKOp1Qq9jNPxpRTH6LQl-62AKLhrPo7gxVtIrMM1kyJOOSCHA6yaxIUXlg0aDxqPeDw/s1600/sssh+latch.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="226" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgzAX4cjPPpYVfvSgZzZDeQcjZFF9IAt5BHFOBohawnHpf0o_BefidNJ7cEVWkNUJemhlh4MhGj4nKOp1Qq9jNPxpRTH6LQl-62AKLhrPo7gxVtIrMM1kyJOOSCHA6yaxIUXlg0aDxqPeDw/s1600/sssh+latch.png" width="400" /></a></div>
 
 
Latch es un servicio ofrecido por la empresa de seguridad española Eleven Paths, el cual actúa a modo de "pestillo" de nuestras identidades digitales. 
 
Esto
 nos permite que, por ejemplo, en el caso que alguien obtenga nuestro 
nombre de usuario y contraseña de algún servicio digital, poder evitar 
que esa persona se haga pasar por nosotros simplemente "cerrando el 
pestillo" desde nuestra cuenta de Latch. 
 
También
 podemos hacer que cuando no estemos usando una cuenta, su acceso esté deshabilitado, y solo se active cuando nosotros deseemos utilizarla. 
 
Para más información: 
 
<a href="https://latch.elevenpaths.com/index.html">WEB OFICIAL DE LATCH</a> 
 
<div>
 </div>
Tras este breve copy&paste vamos al turrón. 
<a href="https://www.blogger.com/null" name="more"></a><div>
  
Lo
 que vamos a hacer, simplificando al máximo la explicación, es mediante 
nuestro móvil apagar y encender el servicio, de manera que tendremos un 
control absoluto sobre cuando se puede acceder al servicio, reforzando 
mucho mas la seguridad y sin tener que tener acceso físico al servidor. 
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjxEgxH5hcx9k2V4a0uWjLoQnF6GaXTINga8K8rXAmxpcYx_-K5N9ihCv2N0Rz-aPWouN05HIRCed2uehGpVOrg65x9xpbnMnP-hRRaXCDpSC2FO0bvT5shzEVlF9TXwst2AwFRFuanfS4/s1600/bombilla2.png" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="90" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjxEgxH5hcx9k2V4a0uWjLoQnF6GaXTINga8K8rXAmxpcYx_-K5N9ihCv2N0Rz-aPWouN05HIRCed2uehGpVOrg65x9xpbnMnP-hRRaXCDpSC2FO0bvT5shzEVlF9TXwst2AwFRFuanfS4/s1600/bombilla2.png" width="640" /></a></div>
En
 serio que suena mas complicado de lo que es ...sinceramente me he 
quedado con las patas vueltas al ver lo fácil que resulta 
implementarlo... 
  
<h3>

Crear la aplicación en el server de Latch</h3>
</div>
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj8vewZt-R0rUHmOX1T4x1zxzg0WQ-mgZM2rDbQ0vv_XgBK9c-oC1Q7qdkEx0zscnAfN0l3puaE1-0WBQd0Au4hM_q97BIbvnE9ppI9klgW7VUWi2lMHBVDnlCPCKK0GtQs9FlzGEjr24Q/s1600/Captura+de+pantalla+de+2014-01-18+21:53:30.png" style="clear: right; float: right; margin-bottom: 1em; margin-left: 1em;"> </a></div>
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj8vewZt-R0rUHmOX1T4x1zxzg0WQ-mgZM2rDbQ0vv_XgBK9c-oC1Q7qdkEx0zscnAfN0l3puaE1-0WBQd0Au4hM_q97BIbvnE9ppI9klgW7VUWi2lMHBVDnlCPCKK0GtQs9FlzGEjr24Q/s1600/Captura+de+pantalla+de+2014-01-18+21:53:30.png" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="192" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj8vewZt-R0rUHmOX1T4x1zxzg0WQ-mgZM2rDbQ0vv_XgBK9c-oC1Q7qdkEx0zscnAfN0l3puaE1-0WBQd0Au4hM_q97BIbvnE9ppI9klgW7VUWi2lMHBVDnlCPCKK0GtQs9FlzGEjr24Q/s1600/Captura+de+pantalla+de+2014-01-18+21:53:30.png" width="320" /></a></div>
<div>
Lo primero que necesitamos es tener un número de identificación de aplicación (APPLICATION ID) y lo segundo una clave secreta (secret).  
Para ello deberemos registrarnos en <a href="https://latch.elevenpaths.com/">latch.elevenpaths.com/ developers area</a>. Tras cumplimentar el registro y loggearnos entraremos en 'my applications' y crearemos una nueva. 
 
Una vez cumplimentada la información salvaremos los cambios... 
 
En este paso obtenemos el APPLICATION ID y EL SECRET que necesitaremos mas tarde... 
  
<h3>

Emparejando nuestra cuenta</h3>
  
Ahora
 hay que emparejar nuestra cuenta de usuario de SSH con nuestra 
aplicación en LATCH. Para ello nos serviremos del script escrito por 
Alejandro Ramos de <a href="http://www.securitybydefault.com/2013/12/configurar-latch-para-proteger-un.html">SecurityByDefault</a>.</div>
<div>
Primero
 y para ser ordenados nos colocaremos en el directorio HOME y crearemos 
una carpeta llamada LATCH y copiaremos el código del script en reg.sh,
 pondremos nuestro APLICATION ID y SECRET donde corresponda 
(sustituyendo las XXXXX) y guardaremos, para terminar dando permisos de 
ejecución al script.</div>
<div>
 </div>
<div>
cd /home</div>
<div>
mkdir LATCH</div>
<div>
nano reg.sh</div>
<div>
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjL6DKTkgAEdVOEDcnin91T7Jk7RoFZfmDdXiEf9sSOfrfM6R0bDQy6_AzuQICgzFcCYUFnkP5YSXaLxD3NOj8zSwfQO4QAWmtXWlPa5MZBycAlT1cPz6paRNhRcFXxn6T7UXlYVXZeNnU/s1600/Captura+de+pantalla+de+2014-01-18+22:30:50.png" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="377" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjL6DKTkgAEdVOEDcnin91T7Jk7RoFZfmDdXiEf9sSOfrfM6R0bDQy6_AzuQICgzFcCYUFnkP5YSXaLxD3NOj8zSwfQO4QAWmtXWlPa5MZBycAlT1cPz6paRNhRcFXxn6T7UXlYVXZeNnU/s1600/Captura+de+pantalla+de+2014-01-18+22:30:50.png" width="640" /></a>Podemos encontrar el código <a href="http://pastebin.com/RWHWNeTy">aquí.</a></div>
<div>
<div>
Ahora nos bajaremos el cliente de Latch en la versión que corresponda  a nuestro terminal: 
 
<a href="https://play.google.com/store/apps/details?id=com.elevenpaths.android.latch">-ANDROID PHONE</a>                         
<a href="https://itunes.apple.com/us/app/latch-by-elevenpaths/id744999016">-APPLE PHONE</a>                           
<a href="http://www.windowsphone.com/es-es/store/app/latch/6054cd65-d9ce-49a5-9202-e2be77bdcd03"> -WINDOWS PHONE</a> 
 
Tras instalarla y configurarla añadiremos un nuevo servicio, para esto solo
 tendremos que darle al botón de "Add Service", y posteriormente al de 
"Generate a pairing code", tras lo cual nos dará un código de 
emparejamiento. 
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiXy4HGMLYZ7HqKPbjo7H6O90i_7cPbY5EJAK9b51d8Mf5KdgRq_SKGZuAOwhvMme415brcZrnhe-XDrzyFBnxxuTW4j7CZpI58NjzCy4HNtQyJui5S2Da56ySkioQEA88EKslynvqetGg/s1600/Latch_app_pairing_token.png" style="clear: right; float: right; margin-bottom: 1em; margin-left: 1em;"> </a></div>
 
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiXy4HGMLYZ7HqKPbjo7H6O90i_7cPbY5EJAK9b51d8Mf5KdgRq_SKGZuAOwhvMme415brcZrnhe-XDrzyFBnxxuTW4j7CZpI58NjzCy4HNtQyJui5S2Da56ySkioQEA88EKslynvqetGg/s1600/Latch_app_pairing_token.png" style="clear: right; float: right; margin-bottom: 1em; margin-left: 1em;"><img border="0" height="183" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiXy4HGMLYZ7HqKPbjo7H6O90i_7cPbY5EJAK9b51d8Mf5KdgRq_SKGZuAOwhvMme415brcZrnhe-XDrzyFBnxxuTW4j7CZpI58NjzCy4HNtQyJui5S2Da56ySkioQEA88EKslynvqetGg/s1600/Latch_app_pairing_token.png" width="320" /></a>Ejecutaremos: 
 ./reg.sh <codigo de emparejamiento> 
 
y si todo ha ido bien recibiremos un bonito DONE, lo que querrá decir que se habrán guardado  los pares usuario:token en /home/LATCH/latch.accounts. 
 
Podremos pasar al siguiente paso. 
  
<h3>

Configurando el servicio ssh</h3>
<div>
  
Una
 vez emparejado el asunto, lo que deberemos hacer es que nuestro demonio
 sshd se comporte como nosotros esperamos... es decir, cuando el cliente
 se conecte comprobará si el servicio está desbloqueado en Latch o por 
el contrario bloqueado, para ésto volveremos a utilizar el script que 
nos ofrece DEXAFREE al cual añadiremos una línea, puesto 
que si lo utilizamos como está y bloqueamos el servicio y lo 
desbloqueamos después, este no vuelve a levantarse teniendo que hacerlo a
 mano...  
 
Para ello copiaremos el script de <a href="http://www.dexa-dev.com/securizando-un-vps-con-latch-ii-configurando-el-acceso/">aquí</a> y lo modificaremos con nano añadiendo la línea que se ve en la imagen. 
  
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhtCK0ZkZ9hWf4vYgJ7s7qOtg5WITTwDEqidj1D9fXJmSUUAMefI0CDS6wk2uDK1TXmiAwBrWhekJlN_w63yGvAvWk6CwQI77ArEVcD68-goTfdJ0VKWL9pfcG1YRwD7zeVaDS-kuUQKpY/s1600/Captura+de+pantalla+de+2014-01-19+00:01:06.png" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="354" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhtCK0ZkZ9hWf4vYgJ7s7qOtg5WITTwDEqidj1D9fXJmSUUAMefI0CDS6wk2uDK1TXmiAwBrWhekJlN_w63yGvAvWk6CwQI77ArEVcD68-goTfdJ0VKWL9pfcG1YRwD7zeVaDS-kuUQKpY/s1600/Captura+de+pantalla+de+2014-01-19+00:01:06.png" width="640" /></a></div>
</div>
Ahora como en la primera parte sustituiremos el APPLICATIONID Y el SECRET por los nuestros, guardaremos el archivo con el nombre stat.sh y le daremos permisos de ejecución. 
 
Para
 que se compruebe el estado de Latch cada vez que el usuario inicie 
sesión por SSH tendremos que hacer que se ejecute stat.sh. Para ello hay
 que modificar el archivo .bashrc  del usuario por defecto  y añadir la siguiente línea: 
 
cd /root 
nano  ./bashrc</div>
</div>
<div>
y al final del archivo añadir la línea: </div>
<div>
 </div>
<div>
/home/LATCH/./stat.sh 
 
Ya solo quedaría reiniciar la máquina y habríamos terminado. 
 
Viendo todo el proceso ¿¿no se os ocurren más formas y cosas para utilizar Latch con solo un par de cambios en los scripts??</div>
<div>
 </div>
<div>
<a href="http://www.hackplayers.com/2014/01/securizando-openssh-mode-paranoico-2.html" target="_blank">Fuente </a></div>

Con el fin de completar nuestro pasado artículo, securizando openssh MODE PARANOICO en el que vimos como securizar el servicio SSH en nues...

Securizando openssh MODE PARANOICO

El
 objetivo de esta entrada es securizar SSH, no obstante varias de las 
técnicas que vamos a ver se pueden utilizar para ayudarnos a securizar 
cualquier otro servicio. 
 
SSH (Secure SHell, en español: intérprete de órdenes segura) es el nombre de un <a href="http://es.wikipedia.org/wiki/Protocolo_%28inform%C3%A1tica%29">protocolo</a> y del <a href="http://es.wikipedia.org/wiki/Programa_%28computaci%C3%B3n%29">programa</a> que lo implementa, y sirve para <a href="http://es.wikipedia.org/wiki/Administraci%C3%B3n_remota">acceder a máquinas remotas</a> a través de una red. Permite manejar por completo la <a href="http://es.wikipedia.org/wiki/Computadora">computadora</a> mediante un <a href="http://es.wikipedia.org/wiki/Int%C3%A9rprete_de_comandos">intérprete de comandos</a>, y también puede redirigir el tráfico de <a href="http://es.wikipedia.org/wiki/X_Window_System">X</a> para poder ejecutar programas gráficos si tenemos un <a href="http://es.wikipedia.org/wiki/X_Window_System">Servidor X</a> (en sistemas <a href="http://es.wikipedia.org/wiki/Unix">Unix</a> y <a href="http://es.wikipedia.org/wiki/Windows">Windows</a>) corriendo. 
 
 
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhGoyovOslVS-9ePfGCJ4Td5WYphhp4QiqTa9ec994HwjAiIRwMeECu1odHefYiNCnBXIsgggbhRL4gkjT-x2kEvQkYWCUwmi4qhOjr6OJDBipW1faRnqU_4Ks-7K4brSOI_0b6wj1WVDii/s1600/sssh.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="226" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhGoyovOslVS-9ePfGCJ4Td5WYphhp4QiqTa9ec994HwjAiIRwMeECu1odHefYiNCnBXIsgggbhRL4gkjT-x2kEvQkYWCUwmi4qhOjr6OJDBipW1faRnqU_4Ks-7K4brSOI_0b6wj1WVDii/s1600/sssh.png" width="400" /></a></div>
 
 
Además
 de la conexión a otros dispositivos, SSH nos permite copiar datos de 
forma segura (tanto archivos sueltos como simular sesiones FTP 
cifradas), gestionar claves RSA para no escribir claves al conectar a 
los dispositivos y pasar los datos de cualquier otra aplicación por un 
canal seguro tunelizado mediante SSH. 
 
En dos palabras: control absoluto.
 Ni que decir tiene las ventajas y los problemas que podemos solucionar 
teniendo el servicio activado en nuestro servidor... Pero, ¿estamos realmente tranquilos? ¿habremos puesto una contraseña suficientemente segura?... desde luego que no nos salva ni "el PIrri" de que nos den un par de achuchones si alguien ve el puerto 22 abierto .. en busca de tesoros... 
 
Pues si no concilias bien el sueño pensando en tu ssh... sigue leyendo te ayudamos a configurarlo a nivel PARANOIDE... 
 
Para ello utilizaremos el fichero de configuración de ssh, el programa fail2ban (para bannear indeseados), y la técnica portknocking .. 
<a href="https://www.blogger.com/null" name="more"></a> 
Las siguientes medidas las podemos implementar juntas o por separado según nuestro nivel de "paranoia"..  
  
 
<h3>

1. Configurar adecuadamente ssh</h3>
/etc/ssh/sshd_config<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhVy_LJdmWE3XMhSTDiMfBFjzjT72u_g1REBvO88EVXKjmnVJ1DHvlfT3gFHv_pxXlXu7t6g0lsYuS3WVb7J6UaApw4ROLMPo8mGqIexe5NLlowfY1nCmxpHlq6Ip4Ex-9wQz-FmoU08bM/s1600/Captura+de+pantalla+de+2014-01-15+21%253A03%253A16.png"><img align="BOTTOM" border="0" height="553" name="gráficos1" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhVy_LJdmWE3XMhSTDiMfBFjzjT72u_g1REBvO88EVXKjmnVJ1DHvlfT3gFHv_pxXlXu7t6g0lsYuS3WVb7J6UaApw4ROLMPo8mGqIexe5NLlowfY1nCmxpHlq6Ip4Ex-9wQz-FmoU08bM/s1600/Captura+de+pantalla+de+2014-01-15+21%253A03%253A16.png" width="591" /></a> 
 
Dentro de este archivo tenemos varias opciones para securizar nuestro ssh por ejemplo: 
<h4>
a) Ofuscación del puerto ssh (altamente aconsejable): </h4>
Normalmente
 el servicio lo tenemos por defecto en el puerto 22 esto lo podremos 
cambiar a nuestro criterio en el archivo de configuración de openssh . 
Sustituiremos el numero 22 por el que optemos por ejemplo 1247 port 1243 
<h4>
 b) Restringir el acceso Root </h4>
Por
 ejemplo si no necesitamos en nuestro acceso remoto permisos de root, lo
 mas lógico es NO permitir acceso al mismo desde ssh. PermitRootLogin no   
<h4>
c) Restringir protocolos </h4>
Le diremos a ssh que sólo se utilizará Protocol 2, ya que Protocol 1 es considerado un tanto inseguro.  
 
protocol 2  
<h4>
d) Limitar usuarios</h4>
Los
 ingresos de SSH pueden ser limitados a ciertos usuarios que necesitan 
acceso remoto. Agrega usuarios separados por espacio en 
/etc/ssh/sshd_config.  
 
Por ejemplo: AllowUsers ana jose manu   
otro ejemplo: AllowUser pedro@217.158.45.*   
<h4>
e) Limitar el número de reintentos </h4>
Por
 medio de la variable “MaxAuthTries”, podemos indicar el número de veces
 que nos podemos equivocar al introducir el nombre de usuario o la 
contraseña. Una vez superado el número que hayamos indicado, la conexión
 se perderá y habrá que empezar de nuevo el proceso de conexión. Con 
esto evitaremos ataques de persistencia de la conexión.  
 
Si queremos poner un máximo de 3 intentos, habría que indicarlo de la siguiente manera: MaxAuthTries 3   
<h4>
f) Limitar el número de pantallas de login</h4>
Limitar
 el número de ventanas de logueo simultáneas que podemos tener activas 
desde una misma IP, para de esta forma evitar ataques divididos. Si queremos limitar a una única pantalla de logueo por IP, habría que hacerlo de la siguiente manera: MaxStartups 1 
<h4>
 g) Configurar el LogOut por tiempo de inactividad</h4>
Es recomendable configurar esta directiva para evitar sesiones SSH desatendidas. ClientAliveInterval 300 
<h4>
h) Deshabilitar la autenticación basada en Host</h4>
Para deshabilitar este método de autenticación, modificamos o agregamos lo siguiente en sshd_config. HostbasedAuthentication no 
<h4>
i) Utilizar autenticación mediante llaves públicas/privadas (SSH Public-Key / Private-Key Authentication) </h4>
<h4>
</h4>
Entrar con usuario y password está bien, pero podemos tener mas seguridad usando un par de claves pública y privada. 
 
Creando nuestra clave publica (en nuestra máquina cliente)   
ssh-keygen -t rsa 
  Al
 ejecutar este comando nos pide una clave. Le asignamos una y luego 
deberemos colocar en esa máquina remota la clave RSA pública que 
acabamos de generar ( /.ssh/id_rsa.pub ) en el directorio /.ssh/authorized_keys de el servidor ssh. Habilitamos autenticación por clave (en el servidor) Ahora
 es momento de volver a configurar /etc/ssh/sshd_config para habilitar 
la autenticación con las claves anteriormente añadidas 
/.ssh/authorized_keys del servidor ssh. En /etc/ssh/sshd_config : PubkeyAuthentication yes AuthorizedKeysFile .ssh/authorized_keys 
<h3>
2. Instalar Fail2Ban </h3>
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjCZRlDWpuzVY1QzXrwZzQ5ChnWM74tZVekF95EwfMURwrhmb5W4yvSDEkQTAXC_8zHIiGyw7sppkriEr48CxQAbxA3Ss-JF4NH6T1g7C78F5rgNKntrcXRx6FyCjb9rgOOFDr2cEdrrqU/s1600/bombilla.png"><img align="BOTTOM" border="0" height="89" name="gráficos2" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjCZRlDWpuzVY1QzXrwZzQ5ChnWM74tZVekF95EwfMURwrhmb5W4yvSDEkQTAXC_8zHIiGyw7sppkriEr48CxQAbxA3Ss-JF4NH6T1g7C78F5rgNKntrcXRx6FyCjb9rgOOFDr2cEdrrqU/s1600/bombilla.png" width="640" /></a> 
Fail2Ban es una aplicación que analiza continuamente los ficheros
de log y bloquea las direcciones de Internet que hayan originado
varias tentativas fallidas de acceso con una contraseña inválida. 
 
 
Fail2Ban es extremadamente eficaz en la prevención de ataques
de fuerza bruta y ataques de negación de servicio (DoS). 
 
Además nos puede avisar de los intentos de "acceso" a
nuestro correo. 
 
Para instalarlo:  
 
root@server:~# aptitude install fail2ban whois 
 
La documentación de fail2ban aconseja que toda la
configuración se realice en archivos con la extensión .local.
Estos pueden ser creados copiando el archivo de la configuración
original, con la extensión .conf: 
 
root@server:~# cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local 
 
En una primera etapa, definimos cuáles son las direcciones que no
estarán sujetas a restricciones (la dirección local y la red
local), por cuánto tiempo estarán bloqueadas las direcciones de
donde provengan las amenazas (1800 segundos (30 minutos) y después
de cuántas tentativas (3 tentativas permitidas). Esta configuración
debe realizarse en el archivo /etc/fail2ban/jail.local: 
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhc7YnJNKJecq2lnp-4Cf4uudivYmPefICb6KxdmTy-JcdxGanwNbUyK7hBPzOFxT_JSVNSLVfgbuHkp2iglhvemRL2ABU8tt7SsQYjSNes5YfT4StihZN1G8zappRHW7TJa13txBjGXFs/s1600/fail1.png"><img align="BOTTOM" border="0" height="212" name="gráficos3" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhc7YnJNKJecq2lnp-4Cf4uudivYmPefICb6KxdmTy-JcdxGanwNbUyK7hBPzOFxT_JSVNSLVfgbuHkp2iglhvemRL2ABU8tt7SsQYjSNes5YfT4StihZN1G8zappRHW7TJa13txBjGXFs/s1600/fail1.png" width="640" /></a> 
 
 También se define la dirección e-mail que recibirá las
alertas en  /etc/fail2ban/jail.local: 
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEh6vommYXQwTmf-oSLJF746OQ7hQe2Bi0-6o6IQrtNM_YtNRLHfyLEzZCO2hVbL_6OOqGThYL_D6HJgGjnHFmXT7LIneXI4k5KG8UZPt0QpJgaePoxldzUu_e-Nyv5Eb-re_SXzj5wNZQA/s1600/jail2.png"><img align="BOTTOM" border="0" height="168" name="gráficos4" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEh6vommYXQwTmf-oSLJF746OQ7hQe2Bi0-6o6IQrtNM_YtNRLHfyLEzZCO2hVbL_6OOqGThYL_D6HJgGjnHFmXT7LIneXI4k5KG8UZPt0QpJgaePoxldzUu_e-Nyv5Eb-re_SXzj5wNZQA/s1600/jail2.png" width="640" /></a> 
 
Luego, debe configurarse la acción a realizar cuando se detecta
un posible ataque. En este caso, la dirección IP del atacante es
bloqueada y u e-mail es enviado al administrador del sistema. 
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEg7lpQTp4xnC1X1vY6yWW0EMfaSZIwwLYSR-RRTgodOWfclmOFkIjBvo9bpnhe6p5O_1QnbBmwfeuFxPbJSyUiMQLq9TIE-ZM8WF5ZA3g6I0qULA0bEu5RK7SAL5eHd6Ls7xBxtbt6u49Q/s1600/jail3.png"><img align="BOTTOM" border="0" height="377" name="gráficos5" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEg7lpQTp4xnC1X1vY6yWW0EMfaSZIwwLYSR-RRTgodOWfclmOFkIjBvo9bpnhe6p5O_1QnbBmwfeuFxPbJSyUiMQLq9TIE-ZM8WF5ZA3g6I0qULA0bEu5RK7SAL5eHd6Ls7xBxtbt6u49Q/s1600/jail3.png" width="640" /></a> 
 
Por último, se definen los parámetros del servicio que se
pretende proteger.  
 
Para esto, se edita la sección JAILS del
archivo /etc/fail2ban/jail.local: 
 
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgW8P4l13P-w2sYzDxeImzIoL6woigFq35AmU2zeclfAbG-7N8BsqWf5JCEeOSfub0bLF3dqqoaXGcQwUKhTBWPh8Jz41ld6nx2RY1qSxLW-rHikd-WSsKnguMH7g0OIVJTO2trP7B7y9g/s1600/jail4.png"><img align="BOTTOM" border="0" height="284" name="gráficos6" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgW8P4l13P-w2sYzDxeImzIoL6woigFq35AmU2zeclfAbG-7N8BsqWf5JCEeOSfub0bLF3dqqoaXGcQwUKhTBWPh8Jz41ld6nx2RY1qSxLW-rHikd-WSsKnguMH7g0OIVJTO2trP7B7y9g/s1600/jail4.png" width="640" /></a> 
<a href="https://www.blogger.com/blogger.g?blogID=9133539773684103848">
</a>
<a href="https://www.blogger.com/blogger.g?blogID=9133539773684103848">
</a>Una vez configurado e instalado hacemos un restart y ya lo tenemos
en marcha: 
 


 
/etc/init.d/file2band restart 
<a href="https://www.blogger.com/blogger.g?blogID=9133539773684103848">
</a>
 
<h3>
3. Port Knocking ssh</h3>
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjh08GB7YjfUTftCjCjkmiED7MvcrLlqJd22w-xoNRyo5xiRMpCuUP9JCvPZjhgRMatvV49Bcw2x-83jRRqU_y5QAr4xpAuR2qM5XT6b0YzX6l8dF-jQPJKGp99d7yQIm8L-M1-r9IGUDM/s1600/bombilla2.png" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="90" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjh08GB7YjfUTftCjCjkmiED7MvcrLlqJd22w-xoNRyo5xiRMpCuUP9JCvPZjhgRMatvV49Bcw2x-83jRRqU_y5QAr4xpAuR2qM5XT6b0YzX6l8dF-jQPJKGp99d7yQIm8L-M1-r9IGUDM/s1600/bombilla2.png" width="640" /></a></div>
Llegamos al final del viaje y con esto acabaremos de securizar nuestro servicio preferido... 
 
 
Explicáremos brevemente en que consiste el port knocking ¡¡wikipedia!! 
 
El golpeo de puertos (del <a href="http://es.wikipedia.org/wiki/Idioma_ingl%C3%A9s" title="Idioma inglés">inglés</a> port knocking) es un mecanismo para abrir puertos externamente en un <a class="mw-redirect" href="http://es.wikipedia.org/wiki/Firewall" title="Firewall">firewall</a>
 mediante una secuencia preestablecida de intentos de conexión a puertos
 que se encuentran cerrados. Una vez que el firewall recibe una 
secuencia de conexión correcta, sus reglas son modificadas para permitir
 al <a href="http://es.wikipedia.org/wiki/Host" title="Host">host</a> que realizó los intentos conectarse a un puerto específico. 
 
La herramienta que vamos a utilizar es Knockd , una herramienta similar para windows seria knock knock. 
 
Tras su instilación deberemos configurar el arranque del demonio knockd ;esto lo haremos facilmente en /etc/knockd.conf  
 
START_KNOCKD=1 
 
El siguiente paso será definir la interfaz de red que vamos a utilizar... 
 
# command line options  
<div>
 KNOCKD_OPTS="-i eth0"</div>
 
Luego, tenemos que personalizar el fichero /etc/knockd.conf para especificar qué secuencia de puertos queremos y qué hacer cuando ésta llegue. En el “<a href="http://linux.die.net/man/1/knockd">man knockd</a>” encontramos interesantes ejemplos de uso, pero podemos centrarnos en el más típico que es el que instala Debian por defecto: 
<div>
 </div>
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEinkemA4sewkR6WK_gj92U42E-ew8u1vocKlxwrUZ72FVmc4rb5929d789DdppUI6NRFeMQ2ypnK-qjrE92OuFpSm_xBkjgwRPiYz0A73RMlHjcaeY48blKYO3o59IYam819Ibuoh-0u0Y/s1600/Captura+de+pantalla+de+2014-01-18+10:49:38.png" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="136" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEinkemA4sewkR6WK_gj92U42E-ew8u1vocKlxwrUZ72FVmc4rb5929d789DdppUI6NRFeMQ2ypnK-qjrE92OuFpSm_xBkjgwRPiYz0A73RMlHjcaeY48blKYO3o59IYam819Ibuoh-0u0Y/s1600/Captura+de+pantalla+de+2014-01-18+10:49:38.png" width="640" /></a></div>
<div>
 </div>
<div>
No
 hay que olvidar que lo que pretendemos es abrir un puerto de nuestro 
firewall, tras una secuencia de golpeo, y para abrir un puerto el 
requisito indispensable es que primero ha de estar cerrado, con lo que 
esto nos lleva a partir de que el puerto 22 ha de estar cerrado en 
nuestro firewall  por ejemplo la siguiente que solo permite conexiones 
salientes desde nuestra maquina y cierra todos los puertos de entrada...</div>
<div>
 </div>
<div>
iptables -P INPUT DROP 
iptables -A INPUT -i lo -s 127.0.0.1 -j ACCEPT 
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT 
 
Tras configurar el /etc/knockd.conf a nuestro gusto, arrancamos el knockd con /etc/init.d/knockd start</div>
<div>
 </div>
<div>
Ya esta listo nuestro "PORTERO",
 ahora sólo necesitamos alguien o algo que le diga la contraseña para 
que nos deje pasar, lo que haremos es crearnos un script para hacer este
 proceso fácil en la maquina cliente... con la herramienta nmap podemos 
hacer la llamada de puertos fácilmente:</div>
<div>
 </div>
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhB1FxQyhV9PVs3QfpsA6hcXKgSVpBN9K4imHcAHemWj4POxaHKo7-VDj5DgnGN7rXx31-RPwgaeNdxrZjkTIblod6wLQutRlrFaPnVPFmdmRF1z6wDJls4cisBFfGAJle6KtwEO8fwDg4/s1600/Captura+de+pantalla+de+2014-01-18+11:01:39.png" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="164" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhB1FxQyhV9PVs3QfpsA6hcXKgSVpBN9K4imHcAHemWj4POxaHKo7-VDj5DgnGN7rXx31-RPwgaeNdxrZjkTIblod6wLQutRlrFaPnVPFmdmRF1z6wDJls4cisBFfGAJle6KtwEO8fwDg4/s1600/Captura+de+pantalla+de+2014-01-18+11:01:39.png" width="640" /></a></div>
  
Para probar tan solo nos hace falta llamar a la puerta: 
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj-e7ZlDjN-rZP-aCdDygNoMPVP52tsg6mKsbHED0yFi-y4YkBRjNVY94AWrB4Sv3GaUYatWRpVAlmYIw5_buNUrkk8YDvBvgGvuTyg5Zja0lopobSi5hGT9Ltxz-9ezQy53XyJ-3uvXuQ/s1600/Captura+de+pantalla+de+2014-01-18+11:28:18.png" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="304" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj-e7ZlDjN-rZP-aCdDygNoMPVP52tsg6mKsbHED0yFi-y4YkBRjNVY94AWrB4Sv3GaUYatWRpVAlmYIw5_buNUrkk8YDvBvgGvuTyg5Zja0lopobSi5hGT9Ltxz-9ezQy53XyJ-3uvXuQ/s1600/Captura+de+pantalla+de+2014-01-18+11:28:18.png" width="640" /></a></div>
 
Con
 esto Knockd nos abrirá la puerta a ssh, tras hacer lo que tengamos que 
hacer la cerraremos con nuestra secuencia de cierre... 
 
Knock 192.168.100.2 9000 8000 7000 
  
<h3>
Conclusión</h3>
<div style="text-align: justify;">
Hemos
 conseguido securizar nuestro servicio SSH de tal forma que, para que 
alguien entre, necesitaría saber primero el puerto por el que estamos 
dando el servicio ssh, luego debería saber cual es nuestra secuencia de 
golpeo de puertos, saber el password de un usuario con permisos para 
utilizar ssh en remoto, saber su contraseña, y no podrá usar ssh con 
permisos de root.....una misión solo apta para "hackers muy 
aguerridos..."....</div>
<div>
 </div>

El objetivo de esta entrada es securizar SSH, no obstante varias de las técnicas que vamos a ver se pueden utilizar para ayudarnos a secur...

Cómo acceder a un terminal SSH desde el navegador web

<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjQWfwveait6NfgV4fGk0MYlyPupuYQ8lsMLXWZKk1X3JEGkeg4ELe1IjBHBUaxFkDe6C2iteBMJIqpZKJdV1NvKtOf7QnS01Hwkc1e7lhFnbZYpHbzXM_t2It5tZ8jWnpYiSNtuAahN3gm/s1600/Shellinabox2.jpg" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="160" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjQWfwveait6NfgV4fGk0MYlyPupuYQ8lsMLXWZKk1X3JEGkeg4ELe1IjBHBUaxFkDe6C2iteBMJIqpZKJdV1NvKtOf7QnS01Hwkc1e7lhFnbZYpHbzXM_t2It5tZ8jWnpYiSNtuAahN3gm/s200/Shellinabox2.jpg" width="200" /></a></div>
<div style="text-align: justify;">
Normalmente
 en las empresas los firewalls perimetrales sólo permiten el tráfico 
HTTP(s) hacia Internet. Hoy vamos a ver otra herramienta para poder 
evadir esta restricción y poder ejecutar un terminal SSH a través del navegador: <a href="http://code.google.com/p/shellinabox/" target="_blank">Shell In A Box</a> (o ShellInABox). ShellInABox
 es un emulador de terminal web basado en ajax para cualquier navegador 
que soporte Javascript y CSS sin necesidad de disponer de ningún plugin 
adicional. Existen
 otros emuladores para navegador mediante complementos como NaCl o 
FireSSH, si bien necesitarás acceso al exterior por el puerto 22/TCP.  
Con ShellInABox accederás directamente al puerto 443/TCP de HTTPS. Ahora
 bien, ¿por qué no cambiar el puerto del demonio SSH del 22/TCP al 
443/TCP y dejarnos de tanta historia? Pues principalmente porque no 
tendrás necesidad de utilizar otro cliente como Putty y porque muchos 
firewalls con inspección de paquetes detectarían el intercambio de 
claves al menos que lo ofuscemos con ossh y Potty. </div>
<div style="text-align: justify;">
 </div>
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiCD7uGLVTrltBTJlK5OKn7Px-6z1r5rYssjSJ-H977cZ_aW_zkGXl4iPn3M8OXOrsWaj_3Ty0DLRr5fQFOE4woEbGNi4gbcTGTxEssU73Ap-lZQPXiKGA5HvxkN0R6VtaXeSsOLXha-5wU/s1600/ssh01.jpg" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="261" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiCD7uGLVTrltBTJlK5OKn7Px-6z1r5rYssjSJ-H977cZ_aW_zkGXl4iPn3M8OXOrsWaj_3Ty0DLRr5fQFOE4woEbGNi4gbcTGTxEssU73Ap-lZQPXiKGA5HvxkN0R6VtaXeSsOLXha-5wU/s400/ssh01.jpg" width="400" /></a></div>
<div style="text-align: justify;">
 <a href="http://www.blogger.com/null" name="more"></a>Al
 instalar certificados SSL/TTL, ShellInABox cifrará todas las 
comunicaciones cliente-servidor y también hará más difícil la labor de 
detección de los firewalls/NIDS más "inteligentes". En esta entrada vamos a probar a instalar ShellInABox en un máquina virtual con Kali Linux:</div>
 
root@kali:~# apt-get install openssl shellinabox 
 
Por
 defecto, el servidor web shellinboxd escuchará en el puerto 4200/TCP. 
Para modificarlo simplemente lo cambiaremos en el fichero de 
configuración: 
 
root@kali:~# vi /etc/default/shellinabox 
<pre style="background-color: #eeeeee; border: 1px dashed #999999; color: black; font-family: Andale Mono, Lucida Console, Monaco, fixed, monospace; font-size: 12px; line-height: 14px; overflow: auto; padding: 5px; width: 100%;"><code># Should shellinaboxd start automatically
SHELLINABOX_DAEMON_START=1

# TCP port that shellinboxd's webserver listens on
SHELLINABOX_PORT=443

# Parameters that are managed by the system and usually should not need
# changing:
# SHELLINABOX_DATADIR=/var/lib/shellinabox
# SHELLINABOX_USER=shellinabox
# SHELLINABOX_GROUP=shellinabox

# Any optional arguments (e.g. extra service definitions).  Make sure
# that that argument is quoted.
#
#   Beeps are disabled because of reports of the VLC plugin crashing
#   Firefox on Linux/x86_64.
SHELLINABOX_ARGS="--no-beep"</code></pre>
 
Durante
 la instalación, si no encuentra un certificado adecuado, shellinaboxd 
intenta crear uno nuevo autofirmado (certificate.pem) mediante openssl. 
En ese caso el certificado creado se ubica en /var/lib/shellinabox. Si 
por lo que sea no se ha creado correctamente podéis <a href="http://www.hackplayers.com/2012/10/como-crear-un-certificado-ssl-auto-firmado.html" target="_blank">crearlo vosotros mismos</a>. 
 
Para empezar a utilizarlo, simplemente iniciaremos los servicios: 
 
root@kali:~# service ssh start 
[ ok ] Starting OpenBSD Secure Shell server: sshd. 
 
root@kali:~# service shellinabox start 
root@kali:~# service shellinabox status 
Shell In A Box Daemon is running 
 
Y comprobamos el acceso a través de nuestro navegador: 
 
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgA6aPPREUjOiToKYSO3ttCcTRxDvKz2TMTvjEdAkRldQY2aY00SDjSz6W6zVr3Iik1utABuAY_m3K5xoH6NbrYKL5HeCLZ1z4AD2i6RTsND93tt8FNDJYBkLi2ZIKI7iFypyTdPVlBj52l/s1600/shellinabox_1.png" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="380" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgA6aPPREUjOiToKYSO3ttCcTRxDvKz2TMTvjEdAkRldQY2aY00SDjSz6W6zVr3Iik1utABuAY_m3K5xoH6NbrYKL5HeCLZ1z4AD2i6RTsND93tt8FNDJYBkLi2ZIKI7iFypyTdPVlBj52l/s400/shellinabox_1.png" width="400" /></a></div>
  
Fuentes y referencias: 
- <a href="http://code.google.com/p/shellinabox/" target="_blank">shellinabox - Web based AJAX terminal emulator</a>  - <a href="http://xmodulo.com/2013/09/access-ssh-terminal-web-browser-linux.html" target="_blank">How to access ssh terminal in web browser on Linux</a> - <a href="http://www.tecmint.com/shell-in-a-box-a-web-based-ssh-terminal-to-access-remote-linux-servers/" target="_blank">Shell In A Box – A Web-Based SSH Terminal to Access Remote Linux Servers </a> - <a href="http://www.hackplayers.com/2013/09/tunel-tcp-traves-de-http-mediante-tunna.html" target="_blank">Crea un tunel TCP a través de HTTP mediante Tunna</a> - <a href="http://www.hackplayers.com/2013/09/evadir-un-portal-cautivo-mediante-un.html" target="_blank">Evadir un portal cautivo mediante un túnel DNS</a> - <a href="http://blog.desdelinux.net/como-crear-un-tunel-ssh-entre-un-servidor-linux-y-un-cliente-windows/" target="_blank">Cómo crear un túnel SSH entre un servidor Linux y un cliente Windows</a>

Cómo acceder a un terminal SSH desde el navegador web

Normalmente en las empresas los firewalls perimetrales sólo permiten el tráfico HTTP(s) hacia Internet. Hoy vamos a ver otra herramient...