Imitar completamente la posibilidad de que mi cuenta de alojamiento web sea hackeada

4

Acabo de mudarme de proveedores de alojamiento web y quiero un comienzo nuevo y seguro. Hasta cierto punto, no me importa lo que tengo que hacer, simplemente estoy harto de que mi cuenta haya sido pirateada o infectada. ¡Me preguntaba cómo estar lo más seguro posible!

Mi contraseña maestra es muy segura y puedo recordarla sin escribirla, pero por varias razones necesito mantener un registro de otras contraseñas seguras relacionadas con la cuenta que no puedo recordar. Los tengo cifrados con AES de 256 bits y la clave para descifrarlos es un archivo en mi dispositivo de memoria que siempre llevo conmigo.

También voy a usar SFTP y SSL en uno de mis dominios. ¿Es esto lo suficientemente seguro?

Estaba pensando en instalar Ubuntu en una máquina virtual o incluso en una computadora vieja. ¿Es esto una exageración, o incluso inútil?

    
pregunta Andy 27.01.2013 - 21:49
fuente

3 respuestas

5

La seguridad de su servidor web dependerá completamente de la habilidad y el compromiso de los administradores del sistema, tanto para el sistema operativo como para el software del servidor web. Realmente no importa si el administrador del sistema es usted o alguien más; lo que importa es que la configuración está bajo control y las actualizaciones de seguridad se aplican rápidamente.

Fuera de la experiencia personal, recomendaría como sistema operativo una de las distribuciones principales de Linux, por ejemplo. Debian , Fedora o Ubuntu : no importa mucho, siempre y cuando verifique regularmente las actualizaciones y las aplique (por" regularmente "me refiero a" a diario "). Los * sistemas BSD también son alternativas valiosas ( FreeBSD , NetBSD , OpenBSD ) pero generalmente tienen menos apoyo de los servicios de alojamiento y requieren un poco más de conocimiento profundo de lo que está ocurriendo en las entrañas del sistema operativo (sin embargo, su estructura interna, algo más simple y más tradicional, hace que la adquisición de tal conocimiento sea un poco más fácil que en el caso de Linux). La base de usuarios relativamente pequeña de los sistemas * BSD también los hace objetivos menos probables para los atacantes, que es "Seguridad a través de la incompetencia del atacante", que es incluso menos confiable que "Seguridad a través de la oscuridad", pero aún funciona en la práctica.

Si usted es no el administrador del sistema del servidor web, como sugiere en otro comentario, confíe en los administradores de sistemas reales para hacer su trabajo correctamente. Este es uno de estos casos en los que usted tiende a obtener lo que paga. Suerte desempeñará un papel importante en este asunto: cuando se utiliza el alojamiento compartido, está aislado nominalmente de otros clientes del mismo sistema, pero en la práctica, el aislamiento perfecto no es un hecho. Afortunadamente, la mayoría de las personas son honestas, como tiende a demostrar la existencia continua de la civilización.

Para sus contraseñas de acceso, lo más importante es que solo use máquinas "limpias". La contraseña más larga o el mejor "archivo clave" en una memoria USB no lo salvará si lo escribe o inserta en un sistema de escritorio comprometido. Mantener un sistema de escritorio "limpio" funciona en la misma línea que mantener un servidor "limpio": desconfíe de lo que instala, verifique las actualizaciones de seguridad. Usted tiene tiene algunas posibilidades adicionales con los sistemas de escritorio; por ejemplo, puede arrancar un sistema "seguro" de una memoria USB (o un disco duro externo USB), sin tocar el disco duro interno. De esa manera, podría mantener una separación de roles: el sistema operativo en el disco interno es para actividades "riesgosas" (juegos basados en Windows, navegación web ...) mientras que el sistema de arranque USB se reservaría para la administración del servidor web.

SSL y SFTP son tecnologías seguras, pero solo actúan como túneles. Protegen los datos en tránsito entre dos puntos (por ejemplo, un navegador web en la máquina de algún usuario y el servidor web) pero no hacen nada con respecto a la seguridad de ambos puntos finales. SSL y SFTP no salvarán tu skin; es más, un caso de no usarlos crearía agujeros adicionales con los que lidiar.

Descargo de responsabilidad: he presentado opiniones bastante subjetivas sobre los méritos comparativos de los sistemas operativos. Sin embargo, considero que tengo suficiente experiencia y un ego lo suficientemente inflado como para tener derecho a hacer tales afirmaciones. La experiencia de otras personas puede diferir; He oído que hay algunos administradores de sistemas de Windows que están contentos con su seguridad. Sin embargo, la suposición principal es consensual: conoce tu sistema . No tendrás mucha seguridad mientras los sistemas operativos y el software sigan siendo "mágicos" en tus ojos. El conocimiento disipa la magia.

    
respondido por el Thomas Pornin 27.01.2013 - 22:38
fuente
1

Algunos comentarios y sugerencias:

  1. ¿Por qué no usar un administrador de contraseñas adecuado como KeePass ?
  2. SFTP (como en SSH File Transfer Protocol ) es bueno y seguro para transferir archivos desde y hacia el host web. .
  3. SSL / TLS proporciona (algo) de seguridad a los visitantes de su sitio web (pero nada para mejorar la seguridad del servidor web).
  4. No ha mencionado qué servidor web va a usar (Apache?), y solo ha insinuado sobre el sistema operativo (Ubuntu Server?). Debe tomar medidas para asegurar tanto el servidor web como el OS . Es muy difícil hacer cualquiera de los dos correctamente: considere el alojamiento web con un equipo de buena reputación donde ya se habrá realizado parte del trabajo de seguridad.
  5. No olvide las precauciones habituales: asegúrese de que sus máquinas personales estén libres de malware y solo use dispositivos de confianza para interactuar con su servidor web.
respondido por el scuzzy-delta 27.01.2013 - 22:03
fuente
1

Se han sugerido algunas cosas realmente buenas anteriormente, por lo que me gustaría agregar algunas más.

  1. El uso de algunas de las funciones que se incluyen con Linux con seguridad mejorada (se-linux) ponerte en una buena luz

  2. Decida si desea darles acceso SSH a sus usuarios, y si lo hace, asegúrese de configurar una fuerte chroot jail para que los usen, de modo que no se arriesgue a saltar a directorios o ejecutar comandos que no deben.

  3. Minimice la cantidad de paquetes de terceros que instala en su servidor web. Desactive los repositorios de terceros para que no los instale accidentalmente.

  4. Lea este artículo de Cyberciti.biz

respondido por el Josh Terrill 29.01.2013 - 15:25
fuente

Lea otras preguntas en las etiquetas