标签: security

我读到有一个选项可以使用 Gmail 作为您的主要邮件服务器。从某种意义上说，您可以添加 mx 记录等，而不必在自己的服务器上进行。

您认为这是安全方面的推荐设置吗？Gmail 会为您对抗病毒、垃圾邮件和暴力攻击吗？

[更新]

我看到这篇文章受到了一些人的关注。我必须说，在这篇文章之后，我将整个通信系统切换到了谷歌。通信是电子邮件、日历、文档等。我必须说，在我看来，这是我们迈出的最好的一步。

[切换虚拟主机]
我们是一家初创公司，由于配置/价格等原因，我不得不频繁切换虚拟主机和服务器。每次切换我都必须设置所有网站，每次电子邮件地址时，总是丢失另一台服务器上的电子邮件。让您的电子邮件“在云端”。您的电子邮件总是在一个地方，您只需在切换托管服务提供商时设置网站。

[服务器安全]
另一个大问题是安全性。我们不得不转移到一个专用的，具有更大的权力。更大的力量带来了更大的复杂性。我现在必须使用 linux，并构建自己的可靠服务器，对外界有很好的保护。我不得不说我对我们每天收到的攻击数量感到惊讶。作为蛮力黑客，嗅探等。经过几个月的工作，我终于建立了一个有点“安全”的系统。我认为唯一的弱点是电子邮件系统。获得良好的垃圾邮件保护，我不知道还有什么样的风险。现在这已成为过去，因为公司的所有电子邮件都已安全发送并防止垃圾邮件。

[服务器性能]
另一个小好处是电子邮件程序使用的资源。我现在没有在机器上运行任何垃圾邮件保护或防病毒软件，这肯定是一个小好处。

[结论]
最后服务很棒。有很多同步选项，也适用于移动设备。作为一家小公司，这对我们来说很难在我们的主服务器上进行设置，因此让所有这些工作都在云端进行是一件很棒的事情。

我在大学的系统管理部门工作，偶然发现了一些可能很常见但对我来说非常震惊的事情。

所有 public_html 目录和 web 区域都存储在 afs 上，具有 web 服务器的读取权限。由于允许用户在他们的 public_html 中有 php 脚本，这意味着他们可以从 php 中访问彼此的文件（以及主要的 web 文件！）。

这不仅使任何 .htaccess 密码保护完全无用，而且还允许用户读取包含 mysql 数据库密码和类似敏感信息的 php 源文件。或者，如果他们发现其他人拥有 Web 服务器具有写访问权限的目录（例如用于个人日志或保存提交的表单数据），他们可以将文件存储在这些帐户中。

一个简单的例子：

<?
  header("Content-type: text/plain");
  print file_get_contents("/afs/example.com/home/smith/public_html/.htpasswd"); 
?>

这是个常见的问题吗？你通常如何解决它？

更新：

感谢您的投入。不幸的是，似乎没有简单的答案。在这样的大型共享环境中，用户可能不应该有这么多选择。我能想到的最好方法是在所有“public_html”目录的主配置中设置“open_basedir”，运行 suphp 并且只允许干净的 php（没有 cgi 脚本，运行带有反引号的外部命令等）。

像这样改变政策会破坏很多事情，并且很可能让用户拿起他们的干草叉追我们......如果我们决定如何改变设置，我会与我的同事讨论并在此处更新。

我正在尝试使用 Freeradius 设置经过身份验证的 wifi 网络。我已经设法使用自签名证书等使事情正常进行。

问题是 Windows 客户端需要取消选中MSCHAPv2 设置中的“自动使用我的 Windows 登录名和密码[等]”选项。当我使用 Eduroam 连接到我当地的大学时，它会自动要求输入用户名和密码，而不是发送 Windows 登录凭据。系统管理员是如何做到这一点的？它是某种被发回的 RADIUS 属性吗？

我正在运行的其中一台 cPanel 服务器经常遇到电子邮件帐户被盗的问题。我相信这台服务器上的许多用户的密码都很弱。我增加了最低密码安全性，但只有在更改密码时才生效......有没有办法强制所有 cPanel 帐户和 cPanel 电子邮件地址一次性更改密码？这样我就可以强制所有用户生成新的、安全的密码。

更新：我发现每个帐户都有~/etc/domain.name/{passwd,shadow}包含所有电子邮件帐户的 Unix 样式密码和影子文件的文件。但是，如果我手动编辑它们，我仍然可以发送电子邮件:-(

如果我能找到exim用来验证用户身份并在那里修改密码的文件，那将解决我的问题......

在我的一些需要在 LAN 外部访问的生产系统上，我有时会在边缘添加防火墙限制，以仅允许来自特定源 IP 地址或块的 RDP 上的流量。当然，IP 需要是静态的（或者我需要在它发生变化时更新它），但我的问题是，作为防止攻击者访问该系统的一种手段，这有多可靠？在 RDP（最常见）的情况下，仍然存在用户名/密码身份验证，但是依赖这些基于 IP 的防火墙限制是一个坏主意吗？

我最初的想法是 IP 欺骗在拒绝服务中更有用，当您并不真正关心数据包返回到发起者时，但在获得更高的访问权限方面，攻击者真的那么容易吗？欺骗他的 IP并以某种方式将数据包路由回他的真实地址？

我有一个安全顾问告诉我，出于安全原因，我们不能使用通配符 SSL 证书。需要明确的是，我更喜欢使用单证书或多域证书 (SAN)。但是，我们需要服务器 (plesk) 来处理 100 个子域。

根据我的研究，人们网站不使用通配符的主要原因是以下似乎来自威瑞信：

• 安全性：如果一台服务器或子域被攻陷，则所有子域都可能被攻陷。
• 管理：如果需要撤销通配符证书，所有子域都需要一个新的证书。
• 兼容性：通配符证书可能无法与
  较旧的服务器-客户端配置无缝协作。
• 保护：VeriSign 通配符 SSL 证书不受 NetSure 延长保修的保护。

由于私钥、证书和子域都将存在于同一台服务器上……替换就像替换这个证书并影响相同数量的用户一样简单。因此还有另一个不使用通配符证书的原因吗？

我想在 unix 机器上更改我的密码。我做了一个普通的“passwd”并输入了我的旧密码和新密码。

然后机器返回给我，并显示以下消息：

BAD PASSWORD: is too similar to the old one

这让我开始思考......这是否意味着机器在某处有我的明文密码？不然应该不能比较新旧密码吧？或者是否有一个哈希函数，可以实现这一点？

随着nginx我可以指定Access-Control-Allow-Origin使用像一个通配符*.mydomain.com？

它看起来像：

add_header Access-Control-Allow-Origin *.mydomain.com;

谢谢。

任何人都可以解释（或知道来源）提供有关limits.conf 中项目的详细信息吗？手册页没有提供太多细节。

例如它说：

rtprio 
maximum realtime priority allowed for non-privileged processes (Linux 2.6.12 and higher) 

priority 
the priority to run user process with (negative values boost process priority) 

这些有什么不同？他们可以采取什么价值观？他们默认是什么？

有些项目是显而易见的，但我在哪里可以找到更好的解释（默认值、范围、它们的实际含义等）：

data 
maximum data size (KB) 

fsize 
maximum filesize (KB) 

memlock 
maximum locked-in-memory address space (KB) 

cpu 
maximum CPU time (minutes) 

nice 
maximum nice priority allowed to raise to (Linux 2.6.12 and higher) values: [-20,19] 

超过 CPU 时会发生什么？进程被杀死？只有一个进程或整个用户被禁止使用 CPU？这是一个会话还是每分钟的最长时间？

我试图找到答案，但我能找到的只是一个几乎没有提供任何细节的手册页。

Citrix Netscaler 有一个有趣的属性，它将信息嵌入到发送到主机的 TCP 数据包中。此属性以这样一种方式回传给 Netscaler，Netscaler 可以使用它来确定这必须采用哪个虚拟服务器、主机和路由。

向主机回显专有信息的能力具有有趣的应用。

• Citrix Netscaler 如何实现这一点（它在哪里填充位），以及数据包中的哪些其他位置 Netscaler（或类似设备）理论上可以填充数据？

• 哪些设备会（或不会）允许此自定义数据原封不动地通过？