Sunucu bağlantı güvenliği: kimlik bilgileri, ana bilgisayar anahtarları ve IP adresimiz

Bir sunucu eklemek, WP Safer'a içeri girmenin bir yolunu emanet etmek demektir. Bu makale WP Safer'ın neyi sakladığını, bir taklitçiyle değil sizin sunucunuzla konuştuğundan nasıl emin olduğunu, hangi adresten bağlandığını ve her girişte neyin kaydedildiğini anlatır.

Ajanla: gelen erişim hiç yok

• Ajan yalnızca WP Safer'a giden HTTPS istekleri yapar. Sunucunuzda hiçbir port açılmaz ve WP Safer sunucunuza hiç giriş yapmaz.
• Her sunucunun kendi erişim jetonu vardır. WP Safer bunun yalnızca özetini saklar; jetonun kendisi yalnızca root'un okuyabildiği /etc/wpsafer-agent/agent.conf dosyasındadır ve süreç listesinde hiç görünmez.
• Kurulum kodu 30 dakika geçerlidir ve bir kez kullanılır.
• Ajan yalnızca sabit bir komut listesini yerine getirir (ayarları tazelemek, güncellemek, kendini kaldırmak, oluşturduğunuz bir yedek işini çalıştırmak). Panele yazılan hiçbir şey kabuk komutu olarak çalıştırılmaz.
• Veritabanı giriş bilgileri sunucuda kalır: ajan onları oradaki bir dosyadan okur ve WP Safer'a hiç gönderilmez.
• Jeton sızmış olabilirse Ayarlar sekmesindeki Jetonu iptal et, ajanı bir sonraki raporunda reddeder.

Ajansız: kimlik bilgisi kasası

SSH, SFTP ve FTPS için WP Safer'ın bir giriş yolunu saklaması gerekir. Bunu şöyle saklar:

• Parolalar ve özel anahtarlar şifrelenir: yazılmadan önce XChaCha20-Poly1305 ile, veritabanının dışında tutulan bir anahtarla. Şifrelenen her değer kendi sunucusuna bağlıdır; başka bir sunucunun kaydına kopyalanıp orada açılamaz.
• Bir daha gösterilmezler: girdikten sonra ne panelde ne e-postalarda ne de günlüklerde. Hata mesajları saklanmadan önce gizli olan her şeyden temizlenir.
• SSH anahtarıyla WP Safer her sunucu için ayrı bir anahtar çifti oluşturur. Özel anahtar WP Safer'dan hiç çıkmaz; siz yalnızca genel anahtarla uğraşırsınız. authorized_keys dosyasına eklenen satır wpsafer-server-<id> ile biter; hangi satırın bize ait olduğunu her zaman görebilirsiniz.
• Veritabanı parolaları (SSH üzerinden mysqldump için) mysqldump'a geçici bir dosyayla ulaşır; diğer kullanıcıların görebileceği komut satırına asla yazılmaz.
• Bir sunucuyu kaldırdığınızda kayıtlı kimlik bilgileri hemen silinir ve WP Safer o sunucuya bir daha hiç bağlanmaz.

Erişimi istediğiniz zaman kendiniz geri almak için satırımızı authorized_keys dosyasından silin ya da sunucuda kullanıcının parolasını değiştirin.

Ana bilgisayar anahtarları ve sertifikalar: taklitçiyle konuşmak yok

İlk başarılı bağlantı testi sunucunun kimliğini kaydeder: SSH ve SFTP için Sunucunun ana bilgisayar anahtarı, FTPS için TLS sertifikası. Bundan sonra sunucu farklı bir kimlik sunarsa WP Safer parolayı ya da anahtarı göndermeden önce durur ve sunucu sayfası Sunucunun SSH ana bilgisayar anahtarı değişti (ya da Sunucunun TLS sertifikası değişti) uyarısını gösterir.

Sunucu yeniden kurulduysa ya da taşındıysa bu beklenen bir durumdur. Sunucuyu siz değiştirmediyseniz biri bağlantıyı dinliyor olabilir: devam etmeden önce barındırma sağlayıcınızla görüşün. Neden değiştiğini biliyorsanız Sunucuyu ben değiştirdim — kayıtlı parmak izini unut'a basın; bir sonraki bağlantı testi yeni kimliği kaydeder. Sunucu adresini ya da portunu değiştirmek de kayıtlı parmak izini unutturur.

FTPS burada SFTP kadar güçlü değil

SFTP ve SSH'de ana bilgisayar anahtarı, parolanızı taşıyan bağlantının ta kendisinde kontrol edilir. FTPS buna izin vermez: WP Safer sertifikayı girişten hemen önce ayrı bir kontrolle okur ve karşılaştırır, ama ardından parolayı taşıyan bağlantı sertifikayı kendisi doğrulamaz. Değişmiş bir sertifika yine yakalanır; ancak yalnızca o tek girişi hedefleyen bir saldırgan fark edilmeyebilir. Barındırma sağlayıcınız SFTP sunuyorsa onu tercih edin. Düz FTP reddedilir; port 990'daki örtük FTPS de.

WP Safer'ın bağlandığı adres

Her SSH, SFTP, FTPS ve doğrudan veritabanı bağlantısı 188.245.5.241 adresinden gelir. Sunucunuzda bir güvenlik duvarı SSH ya da FTP'yi kısıtlıyorsa girdiğiniz portta o adresten gelen bağlantılara izin verin (örneğin SSH ve SFTP için 22, FTPS için 21, doğrudan veritabanı bağlantısı için 3306). Ajan böyle bir kural gerektirmez.

WP Safer özel, yerel ya da ayrılmış adreslere bağlanmayı da reddeder; böylece bir sunucu kaydı bizim iç ağımızdaki makinelere ulaşmak için kullanılamaz.

Erişim geçmişi

Ayarlar sekmesindeki Erişim geçmişi, son 90 gün içinde WP Safer'ın kayıtlı kimlik bilgileriyle sunucuya her girişini listeler: ne zaman, neden (Bağlantı testi, Yedek, Veritabanı dökümü), sonuç ve ne kadar sürdüğü. Erişilebilirlik kontrolleri yalnızca sonuç değiştiğinde görünür. Açıklayamadığınız bir giriş görürseniz sunucuyu kaldırın ya da sunucuda erişimimizi geri alın.

İlgili makaleler

• Linux sunucu ekleme: ajan, SSH ya da SFTP/FTPS
• Sunucu ajanını kurma, güncelleme ve kaldırma