Das Panel nach außen öffnen: was sich ändert und der Weg, der am wenigsten ändert

Der Server steht zu Hause oder im Büro, und du willst von außen darauf zugreifen. Die Frage ist berechtigt, aber die Antwort lautet nicht "soll ich oder nicht", sondern "auf welchem Weg".

Was sich in dem Moment ändert

Das Panel ist nicht länger ein Ort, den nur Leute in deinem Netz erreichen. Die Anmeldeseite wird im Internet sichtbar, und im Internet sichtbare Anmeldeseiten werden automatisch durchprobiert. Das ist kein auf dich gerichteter Angriff, es ist ein ständig laufendes Hintergrundrauschen, das eine neu geöffnete Adresse binnen Stunden findet. Es geht nicht darum, dass dich jemand ins Visier nimmt, sondern darum, dass du von selbst an die Reihe kommst.

Drei Wege

Erstens: gar nicht öffnen. Du verbindest dich erst mit dem Netz und benutzt das Panel dann, als wärst du zu Hause. Das Panel ist von außen nie sichtbar, also gibt es auch keine Anmeldeseite zum Durchprobieren. Das ist der Weg, der am wenigsten ändert und am meisten schützt.

Zweitens: eine Tür davorsetzen. Das Panel spricht nicht zuerst; eine Schicht, die prüft, wer du bist, empfängt den Besucher, und erst danach wird das Panel erreicht. Das Panel ist weiterhin nicht das Erste, mit dem ein Fremder spricht.

Drittens: direkt öffnen. Der Port wird nach außen weitergeleitet, und alles ruht auf den Schultern der Anmeldeseite und des Zertifikats. Machbar, aber deine Verteidigung ist jetzt eine einzige Schicht.

Das Minimum, wenn du öffnest

Ein zweiter Faktor ist keine Vorliebe. Die tägliche Arbeit sollte nicht als root laufen, denn ein voll berechtigtes Konto hinter einer nach außen geöffneten Tür multipliziert zwei Risiken. Das Zertifikat sollte echt sein, und der Grund ist nicht die Verschlüsselung selbst: siehst du bei jeder Anmeldung eine Warnung, gewöhnst du dir an, Warnungen wegzuklicken, und an dem Tag, an dem die echte Warnung kommt, klickst du auch die weg.

Wozu eine Versuchsbegrenzung dient

Fehlversuche zu begrenzen hält einen Entschlossenen nicht auf. Was sie leistet, ist wertvoller: sie schneidet das Hintergrundrauschen weg, sodass die im Protokoll verbleibenden Ereignisse die sind, die man wirklich ansehen sollte. Ein Protokoll, das ständig Tausende Zeilen erzeugt, wird nicht gelesen, und ein ungelesenes Protokoll existiert nicht.

Zwei oft vergessene Dinge

Das Panel zu öffnen öffnet auch die Konsole. Wer ins Panel kommt, kommt auf die Bildschirme der Maschinen, also in die Sitzung jeder virtuellen Maschine darin. Was hinter dem Panel liegt, zählt genauso viel wie das Panel selbst.

Und der entfernte Shell-Zugang ist eine eigene Tür. Die eine zu schließen schließt die andere nicht; beide werden getrennt betrachtet.

Was Atlas tut

Atlas trägt die Sitzung in einem Cookie, das Seitenskripte nicht lesen können, und lässt das Cookie nur bei Anfragen von der eigenen Seite gelten, sodass keine andere Seite deine Sitzung für sich arbeiten lassen kann. Fehlanmeldungen werden begrenzt: ab einer bestimmten Zahl wird die Anfrage abgewiesen, und diese Abweisung wird in den Prüfeintrag geschrieben. Die Anmeldeantwort unterscheidet ein vorhandenes Konto nicht von einem fehlenden, sodass jemand, der von außen Benutzernamen abtastet, keine Liste aufbauen kann. All das macht das Öffnen des Panels nicht sicher; es bestimmt, auf welchem Boden du stehst, wenn du dich fürs Öffnen entscheidest.