¡Envia tu foto al Fotomaton!
Ayer, hablando con el venerable Ruyk acerca de técnicas de seguridad para SSH salió a la luz una práctica de seguridad que no conocía, el Port-knocking.
Para situarnos en esta técnica debemos pensar en la necesidad de un control remoto, un acceso desde fuera de nuestro equipo que a veces podemos requerir para corregir algún suceso inesperado, activar o desactivar aplicaciones, descargar algún archivo o cientos de acciones diferentes.
Para ello, lo más común y simple es abrir el acceso desde un determinado puerto a nuestro equipo y protegerlo con un password, siempre teniendo en cuenta como se debe elegir una contraseña.
Asumiendo que tengamos una contraseña "dificil" de romper, al día se descubren miles de vulnerabilidades, denegaciones de servicio, escaladas de privilegio y tantos otros problemas que podrían dejar a nuestro equipo unos segundos fatídicos para la seguridad de nuestros datos.
Aquí es donde entra la técnica del Port-Knocking. Con ella tenemos un firewall establecido de manera que nadie (ni nosotros mismos!) pueda acceder al sistema. En el ejemplo posterior, vemos como un supuesto atacante (88.35.21.31) intenta acceder por varios puertos (21, 23 y 22) sin éxito alguno.
Totalmente inútil sería esta táctica si no hubiera una manera de que nosotros podamos entrar:
El Port-knocking se basa en realizar varios intentos de conexión consecutivos (y previamente establecidos) a ciertos puertos para «avisar» al sistema de que realmente somos nosotros.
Asi pues, en el ejemplo que muestro tenemos configurado el knockd (demonio encargado del port-knocking) para que al recibir los intentos de conexión en el puerto 2199 y 9123, se abra el firewall para nuestra IP en el puerto 22. ¿Brillante, verdad? Una sencilla forma de proteger nuestro sistema y hacer prácticamente imposible de ingresar.
Finalmente también podría hacerse posible otra combinación para volver a cerrar el acceso o alargar la combinación de puertos (a 5 intentos de conexión por ejemplo). Tener en cuenta que, en el remoto caso de que un usuario consiguiera adivinar la combinación de puertos aún tendría que enfrentarse a una contraseña.
En linuca comentan más sobre como implementar el port knocking en un sistema linux.
8 Comentarios
Definitivamente, Manz tiene el Don de la Explicación.
Las veces que he tratado de explicar eso a la gente que no tiene mucha idea, he visto humo salir de sus cabezas xD
Salvo por lo de venerable, que sigo pensando que me hace viejo, genialmente explicado
Interesante la cosa esta , toda seguridad es poca
Lo cierto es que si habia oido hablar del port-knocking, pero nunca me habia preocupado mucho por ella. En general me preocupo poco por la seguridad, y se que debería cambiarlo, pero da una pereza...
Muy interesante, y ya vere si me pongo a ello aun cuando sea solo como experimento.
¿Cómo sería la traducción? "Llamar a los puertos? jeje, creo que por algo lo dejaron en inglés...
Muy interesante
¿Pero ese programa existe para ser descargado?. A veces tengo la sensación de que me miran... Es broma, sólo por hacer una gracia :)
Lo que siempe digo, nunca te acostarás sin saber una cosa más...
Los que somos un poco zotes en estos temas agradecemos un montón estos posts.
Existen varias implementaciones como knockd (entornos Linux/Unix), doorman, winportknocking (Windows) o Coarse Knocking.
Interesante articulo sin duda, habrá que aplicarlo.
en Internet.
Envia tu fotografía al fotomatón de Emezeta. Puedes enviar varias y saldrás en la portada de Emezeta.
Suscripción gratuita
Sigue los artículos de Emezeta blog.
Me llamo José Román, aka Manz. Soy estudiante
de ingeniería informática en la ULL y vivo en Santa
Cruz de Tenerife. Emezeta blog es mi rincón de la red, en él escribo artículos acerca de
tecnología, curiosidades, informática y todo ello sin olvidar el humor.
Si quieres saber más sobre mi, haz clic en ¿Quién es Manz?. Si lo deseas, también puedes ver mi CV o enviarme un mensaje para contactar conmigo.
Si te interesa el contenido de Emezeta blog, puedes suscribirte en Bloglines, Google o cualquier otro sindicador de contenidos.
Puedes recibir los artículos directamente en tu e-mail si lo deseas:
Si quieres dejar un comentario acerca del artículo, pulsa aquí. Mediante este formulario enviarás un e-mail privado al autor del blog (tu mensaje no será publicado en este sitio). Asegurate de escribir tu e-mail para poder responderte:
¡OJO! Me encanta recibir emails pero no me da tiempo de contestarlos todos. ¡Paciencia! Aunque tarde, siempre los contesto.
JuanHola a todos! Yo uso la función Auto-Tag del Winamp y me va de maravilla, solo ...
ManzOscar, hecho....
OscarHola Manz, si te queda alguno, ¿podrias enviarmelo? :P Muchas gracias de antemano...
ManzSophie, envíado ;)...
Marche RadiujuA partir de ahora me fijaré en las fechas de caducidad!!...
¿Quieres anunciar un producto? Sé analizado en Emezeta blog mediante la red Zync. Emezeta blog tiene más de 650.000 páginas vistas al mes.
Muestra fotos o webcam.
Tus fotos en la portada de una revista:
Si te gusta este sitio, puedes colocar un enlace a Emezeta blog en tu página web o blog, pegando el siguiente código:
Alojado en MediaTemple.
10 consultas efectuadas / Página generada en 0.061 segundos
Programado íntegramente por José Román (Manz) en XHTML y CSS estándar.
Sindicado bajo Feed RSS. Contenido bajo licencia Creative Commons
Estadísticas de visitas · Términos y condiciones · Contacto · Publicidad · Preguntas frecuentes (FAQ)
