Firma w USA, która hostuje mój blog została przed paroma dniami zaatakowana przez hackerów (sniffing FTP passwords, cpanel attack) i sytuacja raczej się nie poprawia. Wczoraj stracilem dostęp do mojego panelu adminstracyjnego, i cała sytuacja jest trochą dziwna. Dodatkowo, ze względu na jedną sprawę administracyjną i brak reakcji ze strony firmy nie mogę po prostu przenieść domeny na inny host. Na razie sam blog funkcjonuje bez zarzutu, mam też dostęp FTP do serwera.
Na wypadek, gdyby strona nagle zniknąła z sieci zapiszcie proszę adres http://www.fast-results.com/ to jest mój stary serwer na którym będę w takim przypadku zamieszczał informacje jak znaleźć mnie dalej. Tak, czy inaczej mam już zrobiony kompletny backup softu i oczywiście robie regularny backup database, tak więc w worst case stracę możliwość używania domeny, troche czasu i pozycjonowanie w Googlach, ale to nie jest dla mnie takie ważne. Chodzi o to, abyśmy nie tracili ze sobą kontaktu.
Update: W międzyczasie zarejestrowałem domene http://alexba.eu nad którą mam pełną kontrolę. W tej chwili jest ona przekierowana na ten blog, w wypadku komplikacji mogę ją w ciągu 24 godzin przekierować na jakiś mirror.
Polecam tox.pl – tanio i profesjonalnie :)
Fanatyk
Dziękuję za wskazówkę. Na razie jeszcze wszystko działa, znalazłem nawet w internecie metode, jak dostać się do mojego cpanel.
Jeśli nie wydarzy się jakaś duża katastrofa, to wszystko będzie OK
Napisałem powyższy post bo chcę, aby każdy zainteresowany miał alternatywny sposób znalezienia tego blogu „just in case”
Pozdrawiam
Alex
PS: Zawsze hostowałem moje strony u Amerykanów, nigdy nie było problemu. Tę firme testuję po raz pierwszy i chyba trzeba będzie się z nią pożegnać
Zapisałem adres – jak coś by się zdarzyło, to przecież każdy czytający tego bloga może u siebie wrzucić info, że jesteś gdzie indziej :)
Ja osobiście korzystam z webd.pl – tanio i przyjemni admini :) A u Amerykanów to chyba najpopularniejszy jest DreamHost.com (albo jakoś tak :D)
Życzę szybkiego powrotu to „zdrowia” ;)
Eu – co za lanserka :>
To czysto praktyczne powody :-)
Czytam wyrywkowo tego bloga od niedawna. Widzę, że upłynęło już nieco wody od chwili pojawienia się powyższego posta, niemniej jednak temat bezpieczeństwa serwisów www jest aktualny.
Alex, piszesz o metodach jakich użyto do przejęcia haseł (sniffing) oraz agresji na panel zarządzania (cpanel attack). Przechwycenie haseł poprzez sniffing można utrudnić (podkreślam: utrudnić, nie uniemożliwić) poprzez używanie połączeń szyfrowanych (SSL, TLS) z serwerem. Ważne tu jest aby klient FTP (jak i serwer) umożliwiał nawiązanie takiego połączenia. Odnośnie ataku na panel zarządzania – przyjąć należy, że mechanizmy działania cpanel nie są znane wyłącznie wąskiemu gronu jego twórców, dlatego też osoby chcące zaszkodzić użytkownikowi mają ułatwione zadanie. Wiele firm udostępnia okres testowy serwera, co można wykorzystać w takich sytuacjach – agresor chcąc zaszkodzić maszynie (oraz klientom) często zakłada sobie konto hostingowe.
Żeby chronić się przed takim przypadkiem jak Twój, dobrze jest wybrać operatora którego serwery mają:
– autorski panel obsługi,
– każdy z Klientów ma własną sesję serwera (niemożliwa jest ingerencja w pliki innych użytkowników),
– system obsługujący serwery z rodziny BSD (np.: FreeBSD) lub Linux (np.: Debian, PLD),
– doświadczoną kadrę administratorów (czynnik ludzki jest najbardziej znaczący).
Poruszyłem temat dostępności mechanizmów działania cpanel. Podobny wątek należy również przypisać dla serwisów www. Mamy tu CMS (systemy zarządzania treścią) jak mambo, phpnuke czy wordpress. Kod tego oprogramowania jest ogólnie dostępny, znane są błędy porzednich wersji oprogramowania. Dlatego też używając takiego oprogramowania bardzo zalecane jest aby uaktualniać używaną wersję tak często jak to możliwe. Oczywiście najlepszym rozwiązaniem było by tu napisanie serwisu www samemu, ale do tego potrzeba umiejętności i przedewszystkim czasu.
Mam nadzieję, że mój punkt postrzegania tematu bezpieczeństwa pozwoli na uniknięcie niektórych problemów jak również pomoże w podejmowaniu decyzji odnośnie prowadzenia własnego serwisu www.
Wojciech
Dziękuję za interesujące i szerokie rozwinięcie tematu, myślę, że może się to przydać nie tylko mnie.
Serwis alexba.eu znajduje się na maszynie firmy hostingowej, która dotąd robiła dość profesjonalne wrażenie, dopiero w listopadzie coś im się stało :-)
Niestety są problemy z odzyskaniem kontroli nad domeną alexba.eu, inaczej bylibyśmy już dawno u kogoś innego. Mam juz w gotowosci domenę alexba.eu znajdującą się na naprawdę profesjonalnym serwerze. Ze względu na wiele linków prowadzących tutaj nie chcę porzucać alexba.eu bez absolutnej konieczności a dotąd nie miałem absolutnie czasu zastanowić się bliżej nad innymi rozwiązaniami.
Tutaj tak czy inaczej przydałoby mi się kompleksowe wsparcie kompetentnej i godnej zaufania osoby, no ale to już inny temat.
Pozdrawiam
Alex