标签: security

这可能是一个菜鸟问题，但我如何确定某人给我的公共 SSH 密钥是否有密码？

我们有一种情况，我没有为用户生成 SSH 密钥，但我想确保我放在服务器上的每个 SSH 密钥都有一个密码，但我觉得密码只是私钥的一部分。

谢谢！

谁能举一个真实的例子来说明 SELinux 在哪里拯救了他们的安全培根？（如果您愿意，也可以使用 AppArmour）。如果不是您自己的，请指点具有可靠经验的人？

不是实验室测试，不是白皮书，不是最佳实践，不是 CERT 建议，而是一个真实的例子，比如 audit2why 显示真正的黑客尝试停止了？

（如果您没有示例，请在评论中保留评论而不是答案。）

谢谢！

在这里搜索之前的问题后，普遍的共识似乎是，如果我拥有的一个实例被分配了一个私有 IP 10.208.34.55，那么只有我拥有的其他实例才能在该地址访问它。看：

如何加密两个 Amazon EC2 实例之间的流量？

那是对的吗？因此，我可以将我的所有实例视为在 LAN 上，并对来自 10.XXX.XXX.XXX 的任何机器进行身份验证和信任，因为我确定我拥有它？

我只是想确定一下。我发现亚马逊似乎更感兴趣的是对云及其 3 个字符的缩写充满诗意，而不是实际提供清晰的技术文档。

我最近在http://archives.neohapsis.com/archives/openbsd/2005-03/2878.html 上发现了一个反对在 Linux 中禁用 root 用户登录的论点

我认为，如果每个人都使用公钥身份验证，则不会有丢失 root 密码的风险。

通过 ssh 禁用 root 登录总是更好吗？

我希望输入的每个命令都转到日志服务器。已经配置了将所有日志发送到日志服务器的 syslog-ng。

我对任何和所有方法都感兴趣。我希望对流氓用户和安全性进行一些讨论，但第一个主要目标是简单地记录会话。所有会话都通过 ssh，但也应记录控制台连接命令。我希望任何 shell 都能发生这种情况，但主要的 shell 是 bash。（同样，我知道流氓用户可以创建自己的外壳......）

是否可以强制特定用户使用公钥登录，同时允许其他用户使用密码登录？由于公钥身份验证（使用密码）比仅密码身份验证更强大，我们希望要求 sudoers 使用公钥登录。但是，强制普通用户这样做不太方便。在 中sshd_config，我没有看到任何与策略相关的配置。

在对我们网络上的性能问题进行故障排除时，我traceroute在各种网站上运行。以下网站将反复无法完成traceroute：

• 雅虎网
• 亚马逊网站
• 易趣网

问题

• 这些站点是否保护他们的网络以至于traceroute无法完成？
• 我认为这是基于这些网站的网络，与我们的网络性能问题无关。这是一个安全的假设吗？

ebay.com 的跟踪路由示例

$ traceroute ebay.com
traceroute: Warning: ebay.com has multiple addresses; using 66.135.205.13
traceroute to ebay.com (66.135.205.13), 64 hops max, 52 byte packets
 1  10.10.100.1 (10.10.100.1)  56.518 ms  2.390 ms  2.082 ms
 2  mo-69-34-118-1.sta.embarqhsd.net (69.34.118.1)  9.943 ms  10.007 ms  10.177 ms
 3  mo-69-68-209-249.dyn.embarqhsd.net (69.68.209.249)  10.976 ms  21.159 ms  10.015 ms
 4  ge-6-20.car1.stlouis1.level3.net (4.53.160.13)  26.562 ms  26.278 ms  25.818 ms
 5  ae-11-11.car2.stlouis1.level3.net (4.69.132.186)  26.393 ms  26.519 ms  79.884 …

我想知道 iLO 是否足够安全以挂在 WAN 上，我找了一些文章但找不到任何文章？

你们如何保护 iLO？你把它放在防火墙后面吗？

您会使用可以使用 iLO 从 WAN 访问的防火墙吗？

我们正在评估使用 msdeploy Web 部署代理服务自动部署到我们的生产服务器。

我们无法发现的一件事是潜在的安全影响。

一方面，我们的 Web 服务器当然是安全的（在防火墙和负载平衡器后面），因此只允许来自外部的 http(s) 流量。

然而，Web 部署代理与 IIS 集成运行（唯一面向外部的东西），因为它可以通过 http(s) 访问。因此，我们担心可能有可能通过托管在该 IIS 上的网站访问代理 - 从而获得对我们所有网站的读写访问权限。

msdeploy 在生产环境中使用的安全性如何？

更新：生产网络服务器正在运行 IIS7。

我在一些关于 pfSense 的论坛上读到过，说虚拟化 pfSense 很危险。之所以这么说，是因为攻击者可以使用 pfsense 作为对管理程序进行攻击的跳板，然后使用它来访问其他虚拟机并最终使所有内容脱机。

这对我来说听起来很疯狂，但这个想法是否有一点现实意义？在虚拟服务器中运行路由器是个坏主意吗？