¿Qué tan inseguro es PowerShell Web Access?

Question

¿Qué tan inseguro es PowerShell Web Access?

#1 de Steve (4 votos)
#2 de Thomas Pornin (3 votos)

10

Windows Server 2012 viene con una nueva característica que le permite administrar el servidor a través de la línea de comandos de PowerShell en cualquier navegador moderno, incluidos los teléfonos inteligentes.

Esto suena fresco y aterrador al mismo tiempo.

Estoy evaluando esta opción y me pregunto cuáles son los riesgos?

Esta es mi configuración actual:

Ejecutándose en Server 2012 Core
Servidor independiente sin dominio involucrado.
El sitio se ejecuta bajo SSL (requerido por PowerShell Web Access)
Está protegido por la autenticación de Windows (para agregar otro nivel de seguridad)
La url no es la predeterminada, pero es difícil de adivinar la url profunda.
Hay un solo usuario configurado para usar la función.
maxSessionsAllowedPerUser se establece en uno. Esto significa que incluso si la contraseña del usuario individual fue rastreada, no se permite una segunda sesión para el mismo usuario.
Una vez que el usuario ha terminado con su trabajo, cambia su contraseña. Esto se hace a través de un script en el servidor. La primera mitad de la contraseña es un secreto constante y la segunda mitad la escribe el usuario. De esta manera, la contraseña completa nunca pasa por la línea.
Cada contraseña compleja se usa solo una vez.

Para realizar cualquier trabajo en el servidor, el usuario debe ser administrador.

PoweShell Web Access es un producto 1.0, por lo que puede haber errores.

Teniendo en cuenta todo esto, ¿es recomendable utilizar esto en producción en un servidor expuesto a la Internet pública?

passwords tls windows powershell iis

pregunta Peter Hahndorf 18.10.2012 - 18:26

fuente

2 respuestas

3

Esta es la versión de Microsoft de un servidor SSH (conceptualmente, no exactamente: el equivalente exacto de Unix es Shell In A Box ). No hay nada de miedo allí, siempre y cuando confíes en Microsoft para no dañar la implementación (pero confiar en SSL, por lo tanto en implementaciones existentes de SSL, es una decisión inteligente).

Sin embargo, el poco acerca del uso de un navegador web podría resultar un poco arriesgado, ya que los navegadores web no tienen un buen registro en cuanto a seguridad. Normalmente ejecutan códigos potencialmente maliciosos (Javascript) y, aunque intentan aislar las páginas entre sí, se han producido ataques entre dominios y es probable que sigan ocurriendo. En lugar de inventar nuevas formas de hacer que un infierno viva para sus usuarios (por ejemplo, forzar cambios de contraseña), debería hacer que utilicen un navegador específico para este acceso (por ejemplo, si usan Chrome para su navegación habitual, hágales iniciar una Firefox para el acceso a PowerShell, que se usará solo para eso).

respondido por el Thomas Pornin 18.10.2012 - 22:50

fuente

Lea otras preguntas en las etiquetas passwords tls windows powershell iis

Cómo realizar una evaluación de vulnerabilidad para los servicios de WCF ¿Cómo almacenar las contraseñas de forma segura en mi servidor?

score 4 · Accepted Answer

Al igual que con todos los escenarios, depende de lo que esté protegiendo. En términos generales, no es aconsejable alojar puntos finales administrativos en redes públicas. En otras palabras, cambiar el sitio para que no sea accesible en Internet.

En segundo lugar, algunas personas tienen problemas con los servidores unidos a un dominio en Internet. Si es violado, entonces los atacantes tienen acceso a tu dominio. Si tienes una conexión Powershell abierta, les has dado un gran lugar para lanzar un ataque. Sin embargo, algunas personas no tienen un problema con él, ya que mitigan ciertos riesgos al limitar a lo que el servidor puede acceder internamente, tener un controlador de dominio de solo lectura es lo único con lo que el servidor puede hablar por AD y bloquear todos puertos pero 443.

Tercero, a algunas personas no les gusta la autenticación de Windows en Internet, por la misma razón que la segunda.

El problema con Powershell al permitir solo un usuario es que solo se limita a Powershell. Un atacante podría encontrar otro lugar para iniciar sesión. O podrían simplemente interrumpir la conexión del usuario actual antes de que el script tenga la oportunidad de ejecutarse. Etc.

No estoy seguro de que ser un producto v1 sea un riesgo de seguridad en sí mismo. Microsoft realiza una gran cantidad de esfuerzo para asegurarse de que un nuevo producto esté seguro antes del lanzamiento. Sin embargo, como no ha pasado por toda la gama de pruebas realizadas por evaluadores de seguridad externos, siempre existe la posibilidad de que existan vulnerabilidades de seguridad.