שרת אישי על המחשב שלי

[davidnead]

@yossiz אמר בשרת אישי על המחשב שלי:

ה של כמה שעות.
יתרון נוסף של שירות זה: זה נותן לך אפשרות לחשוף כתובת HTTPS בלי הנפקת תעודה.
יש גם דאשבורד יפה שמראה את כל הבקשות הנכנסות

וואו תותח אתה. לא חשבתי שאני הראשון עם הבעיה, אך לא חשבתי שיש פתרון מוצלח כל כך. וכל הכבוד על הפוסט השני - חסכתי לי לחפור שם כי לא היה נעים לי לשאול.

אבל תפתור לי בבקשה את השאלה הכי חשובה - איך זה עובד? מה זה עושה יותר טוב ממה שיכולתי לעשות לבד?

[davidnead]

גוגל נותן לי את המסך האדום:
"לאחרונה זוהה פישינג באתר ‪f228-31-210-190-92.ngrok.io‬ על-ידי הגלישה הבטוחה של Google. אתרי פישינג מתחזים לאתרים אחרים כדי להונות אותך."
האם צריך לחשוש לזה? אולי זה סתם אומר שמתישהו מישהו השתמש באותה כתובת?

[nigun]

@yossiz אמר בשרת אישי על המחשב שלי:

@davidnead
https://ngrok.com

הבאתי פעם משהו בקוד פתוח
אני צריך לחפש את זה, אולי אתה זוכר?

[yossiz]

@davidnead אמר בשרת אישי על המחשב שלי:

איך זה עובד?

זה רעיון די פשוט, התוכנה פותחת חיבור לשרתי ngrok והם מעבירים דרך החיבור כל תעוברה שמתקבלת. התוכנה מעבירה את התעבורה כצורתה לפורט שרצית לחשוף.

מה זה עושה יותר טוב ממה שיכולתי לעשות לבד?

בעקרון אם היה לך פקודה קטנה שחושפת פורט פנימי דרך פתיחת פורט חיצוני בראוטר, אז זה די דומה.
יש אבל כמה יתרונות לשירות הזה:

• לרוב האנשים אין "פקודה קטנה" שעושה את זה אלא צריך ללכת לממשק של הראוטר לעשות את זה.
• רצוי שהפורט יישאר פתוח רק במשך הזמן שצריך ולא יותר אז תזכור להוסיף את זה ל"פקודה הקטנה" שלך.
• להרבה אנשים אין IP קבוע. (יש DNS דינאמי אבל זה שוב עוד דבר שצריך קינפוג).
• להרבה אנשים אין בכלל אפשרות לקבל חיבורים נכנסים כי הם יושבים מאחורי NAT שאין להם שליטה עליו, או זה מנוע להם מסיבות אבטחה.
• עם NGROK מקבלים "בחינם" תעודת TLS.
• NGROK נותנים לך דאשבורד יפה עם תצוגה של כל התעבורה שנכנסה עם אפשרות להריץ בקשה שוב (replay) ועוד

[yossiz]

@davidnead אמר בשרת אישי על המחשב שלי:

אולי זה סתם אומר שמתישהו מישהו השתמש באותה כתובת?

לכאורה. לדעתי אפשר להתעלם מזה

[yossiz]

@nigun אמר בשרת אישי על המחשב שלי:

הבאתי פעם משהו בקוד פתוח
אני צריך לחפש את זה, אולי אתה זוכר?

לא זוכר. ניסיתי כמה ולא מצאתי אף אחד שנוח כמו ngrok.

[nigun]

@yossiz
הנה מצאתי
https://github.com/inlets/inlets-archived

[davidnead]

@yossiz אמר בשרת אישי על המחשב שלי:

@davidnead אמר בשרת אישי על המחשב שלי:

איך זה עובד?

זה רעיון די פשוט, התוכנה פותחת חיבור לשרתי ngrok והם מעבירים דרך החיבור כל תעוברה שמתקבלת. התוכנה מעבירה את התעבורה כצורתה לפורט שרצית לחשוף.

מה זה עושה יותר טוב ממה שיכולתי לעשות לבד?

בעקרון אם היה לך פקודה קטנה שחושפת פורט פנימי דרך פתיחת פורט חיצוני בראוטר, אז זה די דומה.
יש אבל כמה יתרונות לשירות הזה:

• לרוב האנשים אין "פקודה קטנה" שעושה את זה אלא צריך ללכת לממשק של הראוטר לעשות את זה.
• רצוי שהפורט יישאר פתוח רק במשך הזמן שצריך ולא יותר אז תזכור להוסיף את זה ל"פקודה הקטנה" שלך.
• להרבה אנשים אין IP קבוע. (יש DNS דינאמי אבל זה שוב עוד דבר שצריך קינפוג).
• להרבה אנשים אין בכלל אפשרות לקבל חיבורים נכנסים כי הם יושבים מאחורי NAT שאין להם שליטה עליו, או זה מנוע להם מסיבות אבטחה.
• עם NGROK מקבלים "בחינם" תעודת TLS.
• NGROK נותנים לך דאשבורד יפה עם תצוגה של כל התעבורה שנכנסה עם אפשרות להריץ בקשה שוב (replay) ועוד

אם כן אני מבין מדבריך שאם נוח לי ללכת כל פעם לראוטר (את שאר החסרונות אין לי) - מבחינת אבטחה זה אותו דבר? זה לא נחשב פירצה גדולה (במיוחד שהשרתים שאני שם להאזין הם מוצרי פיתוח בשלבים כלשהם ובטח לא פסגת האבטחה)

[yossiz]

@davidnead
א)
@yossiz אמר בשרת אישי על המחשב שלי:

רצוי שהפורט יישאר פתוח רק במשך הזמן שצריך ולא יותר

ב) יש יתרון קטן ב-NGROK שהדומיין לא ניתן לניחוש מראש ולא יופיע ב-shodan למשל.

ג) אפשר להוסיף בקרת גישה בסיסית ב-NGROK.
עיין https://ngrok.com/docs#http-auth
או להגביל גישה ל-IP מסויימים:
https://ngrok.com/docs#whitelist

בקיצור, NGROK כל כך טוב שאני לא רואה שום סיבה שלא תעדיף להשתמש בה...

[davidnead]

@yossiz זה באמת כלי נפלא. וכבר השתמשתי. ועם התוספת של היוזר והסיסמה אז בכלל.
נראה שהם שמו בעדיפות גדולה את פשטות השימוש - והצליחו בגדול.