Het paneel naar buiten openzetten: wat er verandert, en de weg die het minst verandert

De server staat thuis of op kantoor en je wilt hem van buitenaf bereiken. De vraag is redelijk, maar het antwoord is niet "wel of niet", het is "langs welke weg".

Wat er verandert op het moment dat je het doet

Het paneel is niet langer een plek die alleen mensen op jouw netwerk kunnen bereiken. De inlogpagina wordt zichtbaar op internet, en op internet zichtbare inlogpagina's worden automatisch geprobeerd. Dit is geen op jou gerichte aanval, het is een voortdurend achtergrondgeluid dat een nieuw geopend adres binnen uren vindt. Het gaat er niet om dat iemand jou uitkiest, het gaat erom dat jouw beurt vanzelf komt.

Drie wegen

De eerste: niet openzetten. Je gaat eerst het netwerk op en gebruikt het paneel daarna alsof je thuis bent. Het paneel is van buiten nooit zichtbaar, dus er is ook geen inlogpagina om te proberen. Dit is de weg die het minst verandert en het meest beschermt.

De tweede: er een deur voor zetten. Het paneel spreekt niet als eerste; een laag die controleert wie je bent ontvangt de bezoeker, en pas daarna wordt het paneel bereikt. Het paneel is nog steeds niet het eerste waar een onbekende mee praat.

De derde: rechtstreeks openzetten. De poort wordt naar buiten doorgestuurd en alles rust op de schouders van de inlogpagina en het certificaat. Het kan, maar je verdediging is nu één enkele laag.

Het minimum als je het openzet

Een tweede factor is geen voorkeur. Dagelijks werk hoort niet als root te gebeuren, want een volledig bevoegd account achter een naar buiten geopende deur vermenigvuldigt twee risico's. Het certificaat hoort echt te zijn, en de reden is niet de versleuteling zelf: zie je bij elke aanmelding een waarschuwing, dan raak je gewend aan het wegklikken van waarschuwingen, en op de dag dat de echte komt klik je die ook weg.

Waar pogingsbegrenzing voor is

Mislukte pogingen begrenzen houdt een vastberaden persoon niet tegen. Wat het wel doet is waardevoller: het snijdt het achtergrondgeluid weg, zodat de gebeurtenissen die in het logboek overblijven de gebeurtenissen zijn die echt de moeite waard zijn. Een logboek dat voortdurend duizenden regels produceert wordt niet gelezen, en een logboek dat niet gelezen wordt bestaat niet.

Twee dingen die vaak vergeten worden

Het paneel openzetten zet ook de console open. Wie in het paneel komt, komt op de schermen van de machines, dus in de sessie van elke virtuele machine daarbinnen. Wat achter het paneel zit telt net zo zwaar als het paneel zelf.

En externe shell-toegang is een aparte deur. De ene sluiten sluit de andere niet; ze worden apart bedacht.

Wat Atlas doet

Atlas draagt de sessie in een cookie dat paginascripts niet kunnen lezen, en beschouwt dat cookie alleen als geldig bij verzoeken die van de eigen site komen, zodat geen andere pagina jouw sessie voor zich kan laten werken. Mislukte aanmeldingen worden begrensd: voorbij een bepaald aantal wordt het verzoek geweigerd, en die weigering wordt in het auditlogboek geschreven. Het aanmeldantwoord onderscheidt een bestaand account niet van een ontbrekend, zodat iemand die van buitenaf gebruikersnamen aftast geen lijst kan opbouwen. Dit alles maakt het openzetten van het paneel niet veilig; het bepaalt op welke grond je staat als je ervoor kiest.