Skip to content

ssh_scan – Sicherheits- und Konfigurationsscanner für SSH Einstellungen

Mit SSH Audit hatte ich bereits vor einiger Zeit ein Tool im Programm, welches SSH auf Einstellungen und Konfiguration testet (Artikel).

Mozilla hat mit ssh_scan ein ähnliches Tool im Portfolio. Das Tool bezieht sich auf die eigenen SSH Guidelines und prüft hinterlegte Ciphers, MACs, und Kex Algorithmen.

Laut eigener Aussage zählt zu den Vorteilen des Tools die einfache Installation ohne allzu viele Abhängigkeiten. Das Programm ist portabel, lässt sich mit eigenen Regeln konfigurieren und wirft am Ende einen Report im JSON Format aus.

Zunächst muss ssh_scan aber erst einmal den Weg auf die Festplatte finden.

Installation unter Ubuntu 16.04 LTS

Für die Installation steht neben einem ssh_scan gem Paket auch ein Docker Container zur Verfügung.

sudo apt-get install ruby gem
sudo gem install ssh_scan

oder via Docker

docker pull mozilla/ssh_scan
docker run -it mozilla/ssh_scan /app/bin/ssh_scan -t example.com

oder froM Source

git clone https://github.com/mozilla/ssh_scan.git
cd ssh_scan

gem install bundler
bundle install

./bin/ssh_scan

SSH Scan im Einsatz

Die SSH-Prüf-Anwendung ist denkbar einfach zu bedienen, es lassen sich einzelne Host scannen, ganze Ranges oder weitere Parameter angeben.

Eine IP scannen

ssh_scan -t ip-addresse

Mehrere IPs scannen

ssh_scan -t ip-addresse1,ip-addresse2,ip-addresse3

ssh_scan

Adressen aus einer Datei scannen

ssh_scan -f ip-addressen.txt

IP Adressen mit bestimmten Port scannen

ssh_scan -t ip-addresse -p 666

Eigene Policy verwenden

ssh_scan -P intermediate -t ip-addresse

In den Standardeinstellungen wird die Mozilla Modern Policy als Prüfvorlage verwendet. Es lässt sich aber mit der oben erwähnten Option P auch auf Intermediate oder andere Richtlinien prüfen.

Hier als Beispiel die Intermediate Richtlinie:


cat intermediate

# Host keys the client accepts - order here is honored by OpenSSH
HostKeyAlgorithms ssh-ed25519-cert-v01@openssh.com,ssh-rsa-cert-v01@openssh.com,ssh-ed25519,ssh-rsa,ecdsa-sha2-nistp256-cert-v01@openssh.com,ecdsa-sha2-nistp521-cert-v01@openssh.com,ecdsa-sha2-nistp384-cert-v01@openssh.com,ecdsa-sha2-nistp521,ecdsa-sha2-nistp384,ecdsa-sha2-nistp256

Alle SSH_scan Befehle lassen sich über die Hilfe einsehen

ssh_scan -h

 

Fazit

Mozilla bietet mit ssh_scan eine praktische Methode um SSH Einstellungen zu prüfen und zu härten. Dank eigener Policies und vieler weiterer Optionen, wie Reports würde ich das Tool vorziehen, alleine weil das eingangs erwähnte SSH-Audit seit 2016 nicht mehr aktualisiert wurde.

Allerdings empfinde ich die Masse an Paketen, welche mit ruby gem auf dem System landen nicht unerheblich, da ist ein einfaches Python Script schon handlicher. 
Zusätzlich setzt ssh_scan wohl weiterhin auf NIST Kurven wie ecdh-sha2-nistp521,ecdh-sha2-nistp384 und ecdh-sha2-nistp256 welchen ich eher kritisch gegenüber stehe.

Schlussendlich sollte bei solchen Tests immer das Ergebnis genau hinterfragt werden. Das Prüfen von SSH Konfigurationen vereinfachen beide Programme dennoch merklich.

 

ssh_scan

Installation PostgreSQL 10 Beta unter Ubuntu

Seit kurzem ist die erste Beta von PostgreSQL 10 verfügbar.

Das Major Release bringt Neuerungen wie logische Replikation oder führt ein Quorum bei Replikation ein.

Außerdem wurde an der Performance gearbeitet und die mit der Version 9.6 eingeführtem paralleler Queries (Artikel) weiter verbessert.

Weitere geplante Neuerungen können diesem Blog Eintrag entnommen werden

postgres

Im 4. Quartal 2017 ist die Fertigstellung des Datenbanksystems in Version 10 geplant.

Installation PostgreSQL 10 Beta unter Ubuntu 16.04. LTS

Um die Wartezeit etwas zu verkürzen kann die aktuelle Beta bereits via Repository installiert und getestet werden.

wget -O - http://apt.postgresql.org/pub/repos/apt/ACCC4CF8.asc | sudo apt-key add -

sudo sh -c 'echo "deb http://apt.postgresql.org/pub/repos/apt/ xenial-pgdg main 10" >> /etc/apt/sources.list.d/postgresql-testing.list'

sudo apt-get update
sudo apt-get install postgresql-10
sudo apt-get install postgresql-client-10

GIMP mit Plug-ins nutzen - G'MIC 2.0 und Instagram Filter installieren

Das finale Bildbearbeitungsprogramm GIMP 2.10 lässt weiter auf sich warten. Allerdings kann die bestehende Version 2.8.22 mit schicken Plug-ins erweitert werden.
Eines der bekanntesten Sammlungen dürfte das Bildbearbeitungs-Framework G'MIC (GREYC's Magic Image Converter) sein, welches nun in Version 2.0 erschienen ist und als Plug-in in Programme wie GIMP oder Krita eingebunden werden kann.

GMIC-GTK-GIMP

G'MIC 2.0 Plug-in in GIMP installieren

Im Prinzip genügt es das Plug-in als ZIP Datei herunterzuladen, entweder als GTK oder QT Paket. Eure Entscheidung.
Nach dem Entpacken sollten die Dateien in den Plug-in Ordner geschoben werden.

Unter Linux ist es dieser Pfad (Strg + H)

$HOME/.gimp-2.8/plug-ins/

Folgende Paketabhängigkeiten sollten ebenfalls installiert sein libfftw, libfftw_threads, libpng, zlib.

Unter Windows ist der Pfad hier zu finden. Alternativ würde es auch einen Installer geben. 

C:\Users\username\.gimp-2.8\plug-ins

Nach einer Installation stehen eine Vielzahl von Filtern und Effekten unter dem Menüeintrag "Filter" zur Verfügung. In der neuesten Version unter anderem mit Smart Coloring, Retro Fade oder Color Lookup Tables. Changelog

Download


Instagram Effekte für GIMP - Filter installieren

Schon etwas älter (2013), aber nicht weniger praktisch ist die Instagram Filter Sammlung für GIMP.

Bekannte Effekt Nachbildungen der Instagram Plattform wie 1977, Amaro, Apollo, Brannan, Earlybird, Gotham, Hefe, Hudson, Inkwell, Kelvin, Lo-fi, Mayfair, Nashville, Poprocket, Rise, Sierra, Sutro, Toaster, Valencia, Walden, Willow und X-Pro II sind in dieser Python Skripte Sammlung enthalten.

GIMP-Instagram-Filter

Die Installation erfolgt auf ähnliche Weise wie das G'MIC 2.0 Tool.

Lediglich die ZIP Datei herunterladen und in das Plug-in Verzeichnis entpacken

Unter Linux befindet sich der Ordner, wie eingangs erwähnt, hier

$HOME/.gimp-2.8/plug-ins/

Unter Windows ist der Pfad hier zu finden. Alternativ würde es auch einen Installer geben. 

C:\Users\username\.gimp-2.8\plug-ins

Die Effekte sind nach der Installation unter dem Menüpunkt "Filter/Instagram" zu finden.

 

Download

Kleiner Tipp am Rande, wer die Bildbearbeitung am PC durchführt, der findet mit Ramme auch einen freien Instagram Client, welcher sowohl Linux, als auch Windows Systeme unterstützt.

FileZilla - FTP-Client Master-Passwort aktivieren

Die File-Transfer-Software FileZilla hat mit der letzten Version 3.26.x eine langersehnte Funktion integriert.

Ein Master-Passwort, welches die verwendeten Passwörter verschlüsselt auf der Festplatte ablegt.

filezilla-changelog

FileZilla Master-Passwort setzen

Die Funktion ist etwas in den Einstellungen versteckt.

Unter "Einstellungen-->Oberfläche" kann das Master-Passwort gesetzt werden.

Filezilla-Masterpasswort-setzen

Bisher wurden Passwörter mit Base64 Encoding unter Windows in "C:\Users\Benutzer\AppData\Roaming\FileZilla\sitemanager.xml" gespeichert und konnten ausgelesen werden. Dies hat sich nun geändert, die neue Funktion kann direkt in dieser Datei kontrolliert werden.

Der Client ist sowohl für Linux, als auch für Windows oder MacOS verfügbar.

FileZilla

Wichtiges Update für Kodi (17.3) und LibreELEC (8.0.3) sofort einspielen

Durch die Samba Server Lücke, welche im Zuge von WannaCry auch auf Linux Systemen entdeckt wurde (Artikel), ist es zwingend nötig eure Mediensystem auf einen aktuellen Stand zu bringen. Besonders, da bereits ein Exploit im Umlauf ist, sollte alles auf Vordermann gebracht werden.

 

Update LibreELEC

LibreELEC wurde zwar ohne den wohl benötigen Drucker Support kompiliert, hat aber dennoch das Update (Krypton) v8.0.3 MR bereits integriert.

libre-ellec-update

Ein Update lässt sich entweder direkt via Oberfläche installieren oder ihr kopiert die aktuelle Version in den Update Ordner im Dateisystem (/storage/.update).

Nach einem Reboot erkennt das System automatisch die geänderte Version und installiert diese.

 

Download LibreELEC

Update Kodi

Die aktuelle Kodi Version findet ihr hier. In Libre ELEC ist diese bereits integriert

Download LibreELEC

Update OpenELEC

Für OpenELEC steht momentan kein Update zur Verfügung. Das System wird noch mit Samba 4.6.3 betrieben, es ist also Vorsicht geboten.