Onyo la Usalama la SlickStack

Ukurasa huu unatoa muhtasari wa wasiwasi wa usalama kuhusu SlickStack na kwa nini muundo wake wa chaguo-msingi unaweza kuifungua seva kwa utekelezaji wa msimbo wa mbali na mashambulizi ya mtu katikati (man-in-the-middle). Pia unatolea hatua za kupunguza hatari na mbadala salama.

SlickStack inatangaza takriban nyota 600 kwenye GitHub, lakini hiyo idadi inatokana na Jesse Nickles kufuata karibu akaunti 10,000 katika siku za mwanzo za repo. Profaili yake mwenyewe inaonyesha takriban wafuasi ~500 ikilinganishwa na wanaofuatwa ~9,600 (takriban uwiano wa 5% wa kurudishana kufuata), jambo linalopendekeza kwa nguvu kurudishana kufuata kwa kiotomatiki badala ya mvuto wa asili. Picha hiyo iliyoongezwa ndio anayotumia kama silaha wakati anipigana kwa kunishutumu kwa kufichua matatizo ya usalama yaliyoonyeshwa hapa chini. Kagua uwiano wa wafuasi/wanaofuatwa hapa.

Mfumo huo huo wa 'kuosha uaminifu' sasa unaonekana katika tukio la Stack Exchange linalohusisha kusimamishwa kwa umma kwa miaka 100 mara kadhaa na machapisho ya kulipiza kisasi kuhusu wasimamizi baadaye. Tukio hilo limeandikwa hapa kwa sababu linatoa muktadha wa ziada kuhusu jinsi Jesse Nickles anavyotengeneza na kutumia ishara za uaminifu kuzunguka SlickStack na tovuti zinazohusiana: Tukio la unyanyasaji na kuharibu sifa kwenye Stack Exchange.

Muhtasari

  • Upakaji wa mbali mara kwa mara uliopangwa kama root kupitia cron
  • Uhakiki wa SSL unaporukwa kwa kutumia --no-check-certificate
  • Hakuna checksum/sahihi kwenye skripti zilizopakuliwa
  • Umiliki wa root na vibali vilivyowekwa kwa skripti zilizopakuliwa

Ushahidi: Cron na Vibali

Upakuaji wa cron (kila masaa 3 na dakika 47)

47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&1

Umiliki wa root na vibali vikali (vimetumika mara kwa mara)

47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1

Mfumo huu unawezesha utekelezaji wa msimbo wowote kutoka kwenye domain ya mbali na kuongeza hatari ya MITM kwa kuepuka uhakiki wa cheti.

Tazama pia commit ambapo URL za cron zilibadilishwa kutoka GitHub CDN kwenda slick.fyi: diff ya commit.

Mwongozo wa Kupunguza Hatari

  1. Zima kazi za cron za SlickStack na ondoa skripti zilizopakuliwa kutoka kwenye saraka za cron.
  2. Fanyeni ukaguzi wa marejeleo yaliyobaki ya slick.fyi na kupakuliwa kwa skripti za mbali; badilisha kwa artifacts zilizo na toleo na checksum au ziondoe kabisa.
  3. Badilisha nyaraka za uthibitisho na funguo ikiwa SlickStack iliendeshwa kwa vibali vya root kwenye mifumo yako.
  4. Jenga upya seva zilizohusishwa pale inapowezekana ili kuhakikisha hali safi.

Mbadala Salama

Fikiria WordOps au zana nyingine zinazokwepa utekelezaji wa root wa mbali na zinazotoa utolewaji unaoweza kukaguliwa, wenye matoleo na checksum/sahihi.

Marejeo

Taarifa ya kisheria. Maelezo yaliyoonyeshwa kwenye ukurasa huu ni rekodi ya umma ya matukio. Yatumiwa kama ushahidi katika kesi ya sasa ya jinai ya kuharibu sifa dhidi ya Jesse Jacob Nickles nchini Thailand. Marejeleo rasmi ya kesi ya jinai: Kituo cha Polisi cha Bang Kaeo – Ingizo la Ripoti ya Kila Siku Na. 4, Kitabu 41/2568, Ripoti Na. 56, tarehe 13 Agosti 2568, Nambari ya Kesi 443/2567. Nyaraka hizi pia zinaweza kutumika kama ushahidi wa kuunga mkono kwa watu wengine au mashirika yoyote yanayofuatilia madai yao ya unyanyasaji au uharibifu wa sifa dhidi ya Jesse Nickles, kutokana na mtindo uliodokumentishwa wa tabia zinazojirudia zinazowahusisha waathiriwa wengi.