תעודת אבטחה לשרת עם ((Apache על מערכת Windows+ התקנה.

[yossiz]

@clickone אמר בתעודת אבטחה לשרת עם nginx על מערכת Windows+ התקנה.:

אפשר לעשות על כל סאב דומיין בנפרד. (זה מה שאני עושה בשרתים שלי)

נסית wildcard? יש סיבה לא להשתמש?

[שמואל4]

@yossiz אני לא יודע. אני לא מבין בזה כל כך.
מה בעיקרון אני צריך לעשות כדי לקבל אישור?... התחלתי לפי מה שאמרת...
אגב, @clickone ברגע שיש אישור זה מאושר לכל הזמן לכל הסאב דומיינים?

בא נאמר ככה, אם אני אגדיר הכל טוב מייד אני יקבל אישור אבטחה או שזה לוקח זמן?

[clickone]

@yossiz
לא ניסיתי
כי אני משתמש בIIS על השרת ווינדוס
ושם הכל אוטומטי כולל החידוש (ממשק די דומה למה ש @shmuel0990 העלה כאן)
סוג של התקן ושכח....

אגב גם certbot פשוט מקים תעודה בנפרד לכל סאב דומיין (לפחות בשרתי לינוקס שאני ניסיתי)

@shmuel0990 לא. אא"כ תלך על מה ש @yossiz הציע.
אחרת, כל סאב דומיין צריך להיות בנפרד. (בשנייה שנדע איך עושים את זה על הראשון כל השאר כבר ירוץ)

ד"א, לגבי מה שכתבתי שזה מסוכן, אל תשכח שיש מספיק רובוטים שסורקים את הרשת ורק מחפשים פירצות.
אין סיבה שהם לא ימצאו את הIP שלך, ובריצה על הלינקים ימצאו כניסה לphpmyadmin ואז תתחיל החגיגה

[שמואל4]

@clickone איך יכנסו לphpmyadmin עם הroot מבוטל וכניסה ללא סיסמה מבוטלת?
אדרבא... החכימיני.
אם באמת עדיין בעיה אני יבטל את phpmyadmin ורק לlocalhost יאפשר.

[clickone]

@shmuel0990
הם יריצו שמות משתמשים רנדומלים / לפי מילון וסיסמאות......
וגם אם בסופו של דבר לא יצליחו אז הם בינתיים יעסיקו לך את השרת.
וכמובן יש את שאר השיטות כמו הנדסה חברתית וכו....
תכלס אני כעת משלם על שטות שמישהו לא שם לב שירדה לו הגנה, ותקפו את השרת שלו.
הנזק שם היה 38 אלף שח שהוא לצערי לא מוכן לשלם כי זה היה פריצה ואני משלם את זה
אז למה לך להיכנס לזה...
לפחות את הMYSQL הייתי משאיר על פורט לא סטנדרטי אא"כ אתה ממש חייב

[שמואל4]

@clickone צודק. עקרונית אני חושב עדיף בכלל לנטרל את הphpmyadmin לרשת החיצונית לפי מה שאתה אומר...

מה הכוונה פורט לא סטנדרטי? לשנות אותו ממה שהיה בתמונה שהעליתי?

[clickone]

@shmuel0990 אמר בתעודת אבטחה לשרת עם nginx על מערכת Windows+ התקנה.:

מה הכוונה פורט לא סטנדרטי? לשנות אותו ממה שהיה בתמונה שהעליתי?

מה שהיה בתחילת הדרך.
שנכנסים לדומיין לפי הפורט.
בלי רברס פרוקסי.
או לפחות אל תשים את הלינק שלו בריש גלי

פורט לא סטנדרטי = אם הסטנדרט של mysql הוא 3306, אז מקובל להשתמש בפורט מעל 20 אלף או יותר, כדי שהסורקי פורטים לא יגיעו לשם, או שיקח להם יותר זמן להגיע לשם.
זה ממש חתול ועכבר, כמה שאני משחק עם הפורטים כל הזמן, אני עוד רואה אותם משתוללים.

בנוסף, כלים כמו fail2ban וכו ממש חשובים בעניין הזה

[שמואל4]

@clickone אוייש...
זה לא להאמין.
אבל אני לא מבין, לmyQSL בכלל לא פתוח פורט לאינטרנט החיצוני.
תכלס... תוכנות וזה...
עשיתי לביינתים ככה: ביטלתי גישה חיצונית לphpmyadmin
ואם אני ישנה את הפורט לפורט של אלף מספרים זה ישנה משהוא ? אני יצטרך להגדיר על מידי דברים מחדש?

אבל אני חושב שזה לא פרקטי לעשות אתר שכל דרך הכניסה איליו הוא דרך פורט...
לגבי שאר הדברים אני מבין, אבל אתר רגיל שאמור להיות לשימוש הקהל... למה לא?

[שמואל4]

@yossiz אוקי. למעשה בסוף השתמשתי עם https://www.sslforfree.com/
שנותנים בחינם תוך כמה דקות תעודה כמובן כמו ש @clickone אמר התבקשתי להכניס איזה קובץ שהם נותנים לי לתוך איזה מיקום שהם ביקשו.
אבל, החיסרון שזה ל3 חודשים ואני (כפי הנראה) צריך לחדש זאת ידנית. אלא אם כן אשמח לפיתרון אחר.

עוד דבר, בנושא אבטחה.
@clickone חוות דעתך.
המצב הנתון: phpmyadmin מנותרל חיצונית.
בכניסה לכתוב הIP של השרת שהשרת מכובה- אין כלום.
שהשרת פועל - מופנים עם הפניה לכתובת פנימית עם דף הוראות קצר.
הmyQSL נשאר על הפורט הבחרת מחדל שלו יש בעיה?
מבינת פורטים ברואטר יש רק 2. מ80 הראשי ל80 של המחשב. ו433 של הראשי ל433 של המחשב.
עוד דבר. שרת קבצים. עשיתי רסיבר פרוקסי לסאב דומיין מסויים לתקיה מסויימת במחשב בידיעה שכל קובץ ששם יש לו גישה לכולם.
לכולם יש חיבור HTTPS חוץ מלדף הראשי שהוא בצעם רסיבר פרוקסי לתוך תיקיה מסויימת שיש בה רק קובץ html עם טקסט.
כל נסיון כניסה לדומיין מכל דרך, כתובת הIP, דומיינים ברשימת A המפנים לIP, הכל- נזרק מייד לכתובת הנ''ל של הפורטל קישורים שזה כאמור דף ריק.

האם אני מאובטח מספיק??

[שמואל4]

@yossiz @clickone עידכון! אימתתי את הדומיין כולו וזה נתן לי אישור אבטחה לכל הדומיין. בצורה כזו:

*.mydomain.com

אמנם זה חייב אותי להכניס רשומות txt לאימות אבל אחרי זה זה נתן לי אישור אבטחה אחד.
כעת, בעיקרון אני חייב כל 3 חודש לחדש אבל רק אישור אחד.

דרך אגב, למה האתרים הללו לא נותנים אישורי אבטחה להרבה זמן? אם כבר בחינם תתנו תוקף!

[clickone]

זה בכוונה ל3 חודשים.
נראה לי עוד שכבת אבטחה

יגעת ומצאת תאמין!

לגבי פורט ברירת מחדל הייתי משנה את זה

[שמואל4]

@clickone אמר בתעודת אבטחה לשרת עם nginx על מערכת Windows+ התקנה.:

לגבי פורט ברירת מחדל הייתי משנה את זה

אני לא מבין באמת איך אפשר להגיע לזה אם אין פורט במודם פתוח.
וחוץ מזה, שינית את הפורט וכל המערכת לא עבדה כי הוא לא הצליח להתחבר לmyQSL.
אולי צריך לשנות משהוא בקובץ config של כל תיקיית php שעובדת עם הmyQSL?

[שמואל4]

@clickone אמר בתעודת אבטחה לשרת עם nginx על מערכת Windows+ התקנה.:

זה בכוונה ל3 חודשים.
נראה לי עוד שכבת אבטחה

אבל הרי אם אני קונה אישור אבטחה אני יכול לקנות להרבה זמן.
או שאולי אבטחה מבחינת הבעלות של הדומיין?
האמת, בכללי אם יש את זה למה בכלל יש צורך בקניית אישור אבטחה?

[clickone]

@shmuel0990
יש אישורי אבטחה שמגיעים עם ביטוח במקרה נזק, ולכן הם עולים כסף.
בכל מקרה, אכן הפרוייקט החינמי הוא החריג.
לא אלו שמוכרים בתשלום.
סוף כל סוף יש לזה שהם מנפיקים אישורי אבטחה עלויות - אחזקת שרתים, אימות ועוד....

[שמואל4]

@clickone מעניין... מה הרווח.. לא נראה לי שיש אנשים שמתנדבים לכאלה דברים.
יכול להיות שזה סוג של אפשרות שליטה?
תכנית למנפיק של אישור האבטחה יש גישה לדברים מסויימים באתר שלא אמור להיות לו?

[yossiz]

@shmuel0990 אמר בתעודת אבטחה לשרת עם nginx על מערכת Windows+ התקנה.:

מעניין... מה הרווח.. לא נראה לי שיש אנשים שמתנדבים לכאלה דברים.

תתפלא אבל יש. זה ארגון ידוע (EFF) שעושה את זה מסיבות אידיאלגיות, כדי להקשות על משטרים (קרי NSA) מלרגל על אזרחיהם. יש להם מספיק מוניטין שלא צריך לדאוג ממניעים נסתרים.

[שמואל4]

@clickone @yossiz יתכן שספקי סינון (נטפרי ואתרוג שמעתי לפחות) אם נכנסים מהם זה כותב שהאתר לא מאובטח.
האם זה משהוא אצלי או שאני צריך לפנות לספקי הסינון לסדר את זה. ?

[clickone]

@shmuel0990 ייתכן שהתעודה לא חוקית ב100 אחוז, או שהיא ממקור לא הכי מוכר

[clickone]

כעת בנטפרי אני לא רואה שגיאה באישור אבטחה שלך (אתמול היה)

[שמואל4]

@clickone אבל מה זה קשור לסינון? זה רק באינטרנט מסונן.
אגב, שלחתי פניה לנטפרי וטענו שזה טופל.
מישהוא עם נטפרי יכול לבדוק?