Polski hosting - jest raczej fatalnie

Sprawdzanie zabezpieczeń w serwerach to spacer tuż nad przepaścią. Nigdy nie wiadomo, czy któryś z administratorów nie zauważy naszych testów i nie uzna, że należy dogłębnie przebadać maszynę znajdującą się po drugiej stronie kabla. Nigdy nie wiadomo, czy pracujący na jego usługach Snort nie podniesie alarmu, że dzieją się jakieś okropieństwa. I choć to mało prawdopodobne, zawsze istnieje możliwość, że zdecyduje się on na wysłanie do mojego dostawcy internetowego e-maila z prośbą o wyjaśnienia. Słowem: ryzyko duże, a efekty badań mogą być mizerne.

Mimo wszystko postanowiłem spróbować przetestować polskie serwery. Starałem działać się w sposób zupełnie nieinwazyjny, choć nie zawsze było to możliwe. Testowałem, czy prawdą jest, iż szewc bez butów chodzi. Zacząłem od bardzo prostych zabaw w pingowanie serwera, przez badanie zwracanych nagłówków, aż do testów SSH. Miałem zamiar pobawić się jeszcze hmapem, ale wyniki testów mnie przeraziły. Dlaczego? Tylko popatrzcie...

Ping, ping - jest tam kto?

Pierwszy test z pozoru był bardzo prosty: w linii poleceń (Start | Wszystkie programy | Akcesoria | Wiersz polecenia) wpisywałem ping nazwaserwera.pl. Chciałem w ten sposób sprawdzić, czy i w jakim czasie serwer odpowiada na pingi. Czas służył mi głównie jako materiał porównawczy, za bardzo się nim nie przejmowałem. Ciekaw natomiast byłem, jak jest z poprawnością konfiguracji firewalla w firmach hostingowych.

Warto bowiem wiedzieć, że maszyny włączone do Internetu i pracujące w trybie 24/7/365 powinny akceptować większość pakietów ICMP - i odpowiadać na nie. Jeśli tego nie robią, świadczy to o tym, iż osoba konfigurująca firewall była zdecydowanie nadgorliwa. ICMP bowiem - jak wskazuje sama nazwa (Internet Control Message Protocol) - pozwala na szybkie diagnozowanie problemów występujących w sieci oraz dogadanie się hostów w kwestii ewentualnej dalszej interakcji. Jego zupełne odfiltrowanie może prowadzić do bardzo nieoczekiwanych efektów w rodzaju braku dostępności witryny WWW czy problemów z wysyłaniem e-maili od strony użytkowników.

Dlatego zanim w radosnym szale eksperymentów zdecydujemy się na wycięcie w IPTables całego ruchu ICMP, pomyślmy, czy nie warto byłoby odpowiedzieć choćby na pakiety typu destination-unreachable, time-exceeded, source-quench, parameter-problem i echo-reply.

Administratorzy trzech serwerów z naszej listy wpadli w radosny szał filtrowania wszystkiego... Nie świadczy to o nich najlepiej.