Esporre il pannello: che cosa cambia e la strada che cambia meno

Il server sta a casa o in ufficio e vuoi raggiungerlo da fuori. La domanda è legittima, ma la risposta non è "lo faccio o non lo faccio", è "per quale strada".

Che cosa cambia nel momento in cui lo fai

Il pannello non è più un posto raggiungibile solo da chi sta nella tua rete. La pagina di accesso diventa visibile su internet, e le pagine di accesso visibili su internet vengono provate automaticamente. Non è un attacco rivolto a te, è un rumore di fondo continuo che trova un indirizzo appena aperto nel giro di ore. Il punto non è che qualcuno ti prenda di mira, è che il tuo turno arriva da solo.

Tre strade

La prima: non esporlo. Prima entri nella rete, poi usi il pannello come se fossi a casa. Il pannello non è mai visibile da fuori, quindi non c’è nemmeno una pagina di accesso da provare. È la strada che cambia meno e protegge di più.

La seconda: mettergli davanti una porta. Il pannello non parla per primo; uno strato che verifica chi sei accoglie il visitatore, e solo dopo si arriva al pannello. Il pannello continua a non essere la prima cosa con cui parla uno sconosciuto.

La terza: esporlo direttamente. La porta viene inoltrata verso l’esterno e tutto poggia sulle spalle della pagina di accesso e del certificato. Si può fare, ma la tua difesa ora è un solo strato.

Il minimo se lo esponi

Il secondo fattore non è una preferenza. Il lavoro quotidiano non dovrebbe essere fatto come root, perché un account con pieni privilegi dietro una porta aperta verso l’esterno moltiplica due rischi. Il certificato dovrebbe essere reale, e la ragione non è la cifratura in sé: se vedi un avviso a ogni accesso ti abitui a cliccare oltre gli avvisi, e il giorno in cui arriva quello vero, clicchi oltre anche quello.

A che cosa serve limitare i tentativi

Limitare i tentativi falliti non ferma una persona determinata. Quello che fa è più prezioso: taglia il rumore di fondo, così gli eventi rimasti nel registro sono quelli che vale davvero la pena guardare. Un registro che produce di continuo migliaia di righe non viene letto, e un registro non letto non esiste.

Due cose spesso dimenticate

Esporre il pannello espone la console. Chi entra nel pannello entra anche negli schermi delle macchine, cioè nella sessione di ogni macchina virtuale che sta dentro. Che cosa c’è dietro il pannello conta quanto il pannello stesso.

E l’accesso remoto alla shell è una porta separata. Chiuderne una non chiude l’altra; le due si pensano separatamente.

Che cosa fa Atlas

Atlas porta la sessione in un cookie che gli script di pagina non possono leggere, e considera quel cookie valido solo per richieste che arrivano dal proprio sito, così nessun’altra pagina può far lavorare la tua sessione per sé. Gli accessi falliti vengono limitati: oltre un certo numero la richiesta viene rifiutata, e quel rifiuto viene scritto nel registro. La risposta di accesso non distingue un account esistente da uno assente, così chi scandaglia nomi utente da fuori non può costruire un elenco. Nulla di questo rende sicura l’esposizione del pannello; stabilisce su quale terreno stai se scegli di esporlo.