Panel-Anmeldung: ein Passwort allein ist keine Verteidigung

Man setzt ein Passwort auf das Panel und glaubt, damit sei die Sache erledigt. Doch ein Passwort ist eine einzige Verteidigungslinie, und seine Stärke lässt sich nicht überprüfen: sie lässt sich nur annehmen.

Drei Dinge verändern das Ergebnis wirklich.

Erstens: eine Versuchsgrenze

Die Stärke eines Passworts bedeutet nur dann etwas, wenn das Raten teuer ist. Bei unbegrenzten Versuchen wird jedes Passwort zu einer Frage der Zeit; der einzige Unterschied ist, wie lange es dauert.

Eine Versuchsgrenze macht das Passwort nicht stärker. Sie macht das Raten teuer. Das sind zwei verschiedene Dinge, und das zweite liegt in deiner Hand.

Zweitens: wo die Sitzung liegt

Nach der Anmeldung trägt dich nicht das Passwort, sondern die Sitzung. Die eigentliche Frage lautet also: wo liegt diese Sitzung, und wer kommt an sie heran?

Die Sitzung sollte im Browser an einem Ort liegen, den Skripte nicht lesen können, und so markiert sein, dass eine Seite auf einer anderen Website keine Anfragen in deinem Namen senden kann. Sonst kann ein offen gelassener Tab mit deiner Befugnis handeln.

Drittens: ein zweiter Schritt

Das ist die einzige Maßnahme, die ein durchgesickertes Passwort nicht überleben lässt. Ein Passwort kann gestohlen, erraten werden oder aus einem Leck auf einer anderen Website stammen. Ein zweiter Schritt verhindert nichts davon, er sorgt nur dafür, dass es allein nicht genügt.

Schalte ihn für Konten ein, die etwas ändern können. Für Konten, die nur schauen, ist es Geschmackssache.

Die Annahme, die am meisten kostet: "ich bin im lokalen Netz"

Dieser Satz ist auf der Sicherheitsseite der meistwiederholte und der falscheste.

Zähl auf, was in deinem lokalen Netz ist: die Funkverbindung, die du deinen Gästen gegeben hast, ein seit Jahren nicht aktualisiertes smartes Gerät, der Rechner der Kinder, und jede virtuelle Maschine, die du auf deinem eigenen Server betreibst.

Die letzte wird am häufigsten übersehen. Betreibst du aus dem Internet heruntergeladene Software in einer virtuellen Maschine, ist diese Maschine in deinem lokalen Netz und kann die Anmeldeseite des Panels erreichen.

"Ich habe es nicht nach außen geöffnet" heißt also nicht "niemand kann es versuchen". Es heißt nur "nicht jeder im Internet kann es versuchen". Der Unterschied liegt darin, wer nah genug dran ist, um es zu versuchen.

Was zu tun ist, der Reihe nach

Öffne das Panel nicht direkt ins Internet. Brauchst du Fernzugriff, leg eine Schicht dazwischen.

Stell sicher, dass es eine Versuchsgrenze gibt. Ohne sie ist Passwortraten aus dem lokalen Netz kostenlos.

Setze für Konten, die etwas ändern können, einen zweiten Schritt.

Hör auf, die tägliche Arbeit mit dem höchstberechtigten Konto zu erledigen. Dazu gibt es in diesem Wiki einen eigenen Artikel, und er gilt als Fortsetzung dieses hier: selbst wenn die Anmeldung geschützt ist, ist es eine gesonderte Frage, wie viel die anmeldende Person ändern kann.

Was Atlas tut

Das Anmeldetor von Atlas hat einen Versuchszähler, und dieser Zähler wird je Quelladresse geführt. Gibt es innerhalb eines Fensters von fünf Minuten zehn falsche Versuche, wird diese Adresse für fünfzehn Minuten gesperrt.

Warum es das gibt, steht im Kommentar des Codes selbst und ist genau das Thema dieses Artikels: Proxmox hat bereits seine eigene Verzögerung, doch es muss auch am Tor des Agenten gestoppt werden, sonst ist Passwortraten aus dem lokalen Netz kostenlos.

Auf der Sitzungsseite werden zwei Markierungen zusammen genutzt. Die Sitzungskennung liegt im Browser in einer Form, die Skripte nicht lesen können, und ist so markiert, dass sie nicht mit Anfragen von einer anderen Website mitgesendet wird. Eine Seite in einem anderen, offen gelassenen Tab kann deinen Browser also nicht dazu bringen, deine Sitzung zu benutzen.

Eine ehrliche Grenze: nichts davon macht dein Passwort stärker. Es macht das Raten teuer und nimmt die Sitzung aus der Kategorie des Stehlbaren heraus. Das Passwort selbst bleibt deine Wahl, und ob du den zweiten Schritt einschaltest, ebenso.