groupwise 2014 + подбор паролей

[sovchik]

доброго всем дня.

в моей системе нарисовалась следующая проблема - в groupwise есть блокировка нарушителей: при определенном количестве неправильных попыток ввода пароля в учетку она блокируется на указанное время. Пользователей регулярно блокирует поэтому и они не совсем этим довольны. есть ли возможность блокировать не учетку, а ip нарушителя?
средствами iptables это у меня не особо получилось - при активации contrack на соединения через некоторое время система подвисает (что конечно не вина groupwise).

[skoltogyan]

это стучаться с улицы к GroupWise ?
а по какому протоколу идут попытки ?

[sovchik]

да, "с улицы". закрыть доступ не вариант, начальство активно пользуется этой возможностью.
и pop3 есть, и imap. ip адреса постоянно разные.

[skoltogyan]

а поставить VPN клиенты, что-бы через vpn лазили в почту ?
и/или такой финт:
настройте на доступ по imaps/pop3s и прикрутите ЛЕВЫЙ(самописный) серт .
Это потребует от клиента каждый раз соглашаться с сертом ( типа он cамописный, ты согласен использоать его ?)
С другой стороны отсечет целую сонму автостучалок. которые лезут к вам по IMAP/POP3
Естественно закрыв доступ извне по IMAP/POP3

Если есть деньги, то купите реальный серт.. Всеодно по imaps существенно меньше стучалок..

[URRY]

а GroupWise Mobility Service вообще не рассматривается ? зачем все эти дыры в виде imap и pop не понятно.

[sovchik]

сертификат хорошая идея, надо попробовать. спасибо
imap и pop3 все таки стандартные решения, зачем от них отказываться?

[Иван Левшин aka Ivan L.]

Затем, что Mobility реализует ActiveSync, который:
- лучше (намного лучше) защищен с точки зрения безопасности
- предоставляет бОльший функционал (например, цепляются адресные книги, чего нельзя сделать через POP3/IMAP4)

Ну и любой мобильный клиент работает с ним (настраивается как "Exchange" без указания домена). Да и Outlook - тоже, там только надо указывать тип соединения Exchange ActiveSync (или как-то так, пишу по памяти). И сейчас это не менее стандартное решение, чем POP3/IMAP4.

Блокировка нарушителя в ГВ сделана именно на уровне учетки. Пользователям стоит рекомендовать аккуратнее быть с логинами/паролями.

[skoltogyan]

речь про отказ от POP3/IMAP в пользу POP3S/IMAPS

[URRY]

речь про отказ от POP3/IMAP в пользу POP3S/IMAPS

меняем шило на мыло...

[skoltogyan]

У вас проблема так выглядит:
открыты в мир POP3 и IMAP ( не pop3s и не imaps ), а подавляющая часть перебералок паролей работает как раз по pop3 и imap

если вы перелезите с pop3/imap на pop3s/imaps, то для тех перебиралок вы станите недоступны.


Дело Ваше. Вы спросили, Вам вариант предложили - далее Вам решать.

[Сергей Дубров]

У вас проблема так выглядит:
открыты в мир POP3 и IMAP ( не pop3s и не imaps ), а подавляющая часть перебералок паролей работает как раз по pop3 и imap

если вы перелезите с pop3/imap на pop3s/imaps, то для тех перебиралок вы станите недоступны.

С чего вдруг станут недоступны? По pop3s/imaps прекрасно ломятся целые стада ботов. У меня наружу выставлены pop3s/imaps, сертификаты бесплатные, от let's encrypt. Боты стучатся - только шум стоит. Использую fail2ban, так у меня в рецидивистах (кто банился по подбору пароля несколько раз и, как рецидивист, был повторно забанен надолго) - под десять тысяч на данный момент. И основной вклад дают подбиральщики логинов/паролей по imaps (pop3s, ssh, sasl и др. дают очень небольшой вклад в общий объём забаненных адресов).

[skoltogyan]

"Беплатные сертефикаты" != "Самоподписные"

Согласен с утверждением, что уход от popX/imapX это верное направление.

У коллеги, насколько понял из его поста, нет возможности ( не от него зависит) уйти от pop/imap..

[Иван Левшин aka Ivan L.]

"Бесплатные" и "самоподписанные" технически - одно и то же. "!=" оно только в плане того, что СА числятся/не числятся в публичных списках
Применение сертификатов не панацея ни в каком виде - да, некоторая защита, но не более того. От подбора оно не спасет, нужна проактивная фильтрация "на подступах".

[skoltogyan]

Не всякая перебиралка адекватно реагирует, когда получает самоподписной сертефикат.
это чисто из опыта

[Иван Левшин aka Ivan L.]

Ага...Ну теперь хоть понятно, кого банить надо ))) Надо тебя "вычислять по айпи" и тово