La configurazione giusta per rendere sicuro il server

Per godere della massima libertà di configurazione, la soluzione ottimale è gestire autonomamente un proprio server. Un’alternativa adeguata è fornita dai root server dedicati che sono disponibili presso molti provider, dietro pagamento di un costo mensile, e garantiscono l’accesso all’account di root. Proprio per via di questa autorizzazione il cliente si deve far carico dei passaggi di gestione elementari, come l’installazione, la strutturazione e la gestione del server, come sarebbe il caso in una variante self-hosted. Il provider si occupa solitamente in un simile pacchetto server solo della prima installazione del sistema operativo, se richiesto.

Indipendentemente dalla soluzione di hosting scelta, per la gestione e l’utilizzo di un account di root si dovrebbe procedere in maniera cauta e responsabile. Soprattutto il tema sicurezza gioca in questo caso un ruolo importante: infatti, da una parte un comportamento errato si dimostrerà particolarmente dannoso se si dispone dei permessi di root, dall’altra, in caso di procedura corretta, si può realizzare la base perfetta per un server stabile, sicuro e performante. Ad esempio per rendere sicuro un server dedicato e proteggerlo dagli attacchi esterni, il cambiamento obbligatorio della password è solo una delle tante misure necessarie con le quali è possibile aumentare la sicurezza del server.

Prima ancora di iniziare a prendere i provvedimenti veri e propri per configurare il vostro server in modo sicuro, potete già influenzare il successivo potenziale di sicurezza del vostro progetto web.  Indipendentemente dal fatto che abbiate scelto un sistema Linux o Windows, al momento dell’installazione vale il seguente principio: un server dovrebbe contenere solo quei software necessari per lo svolgimento dei suoi compiti. Questo perché ogni applicazione installata rappresenta un potenziale rischio per la sicurezza e può riflettersi negativamente sulla performance. Per offrire agli hacker il minor numero possibile di punti di attacco, dovreste perciò installare o attivare i componenti di sistema necessari e ricorrere solo a software verificati di terze parti. Subito dopo l’installazione dovreste impostare la password di root (sistemi Linux). Di norma non è definito nessun valore ed è così bloccato anche l’account amministratore fino a quando non inserite una password. Solitamente è il sistema operativo stesso a forzarvi automaticamente dopo l’installazione a creare un account utente comprensivo di password, che fungerà d’ora in avanti da accesso di root. Se il vostro server si trova presso un provider e disponete quindi di un login di root preesistente, dovete cambiare la password. Così vi loggate tramite SSH (da un sistema Linux) o PuTTY (da un sistema Windows) sul vostro server e inserite il seguente comando nel rispettivo terminale:

Successivamente potete definire la vostra password che dovete ancora verificare. Fate attenzione a scegliere una password sufficientemente lunga e di non ricorrere solo a lettere, ma anche a caratteri speciali e numeri. Inoltre si consiglia di salvare la password con un password manager, per averla sempre a disposizione nel caso ve la dimenticaste. Ora cercate di instaurare una connessione con il nuovo login di root. Se funziona come previsto, potete interrompere la connessione SSH utilizzata all’inizio.

Per rendere sicuro il vostro server, si consiglia di bloccare sempre il login SSH diretto per l’account di root, altrimenti un hacker, che è entrato in possesso della password, potrebbe accedere al server da remoto grazie a questo account. Prima di poter intraprendere queste misure, oltre all’utente root, avete bisogno però di almeno un altro account utente che si può collegare con il server per non essere bloccati completamente dal sistema. Se non avete ancora creato un profilo utente corrispondente, realizzatelo con il seguente comando:

In questo modo generate l’account utente utente1 che viene aggiunto al gruppo users (-g). Inoltre questo profilo utente viene assegnato alla cartella home /home/utente1 (-d). Come shell standard il comando prevede la Bash shell (-s /bin/bash). Infine definite una password sicura per questo nuovo login:

Ora testate se il login con l’account utente creato funziona correttamente e proseguite solo in questo caso con il vero proposito, cioè il blocco dell’account root. Per questo vi serve di nuovo il file di configurazione sshd_config che aprite con un editor a vostra scelta.  Cercate la voce “PermitRootLogin yes“ e sostituitela tramite “PermitRootLogin no“. Dopo un riavvio del servizio SSH tramite riga di comando

Tramite la riga AllowGroups potete inoltre stabilire nel file di configurazione quale utente si può connettere al server tramite SSH. Per questo motivo create semplicemente un gruppo (addgroup) e vi aggiungete l’utente desiderato (adduser). Infine sostituite il nome del gruppo scelto nel file sshd_config (ad esempio AllowGroups ssh_utente).

Come sempre, quando procedete dettagliatamente per rendere sicuro l’accesso SSH al vostro server, dovreste tenere a tutti i costi sotto controllo tutte le attività remote. In questo modo potete constatare se avete configurato correttamente il servizio SSH del vostro server. Allo stesso tempo, grazie ad un buon monitoring delle connessioni stabilite, venite avvisati tempestivamente di accessi indesiderati e siete in grado di adottare le relative contromisure. Per questo basta un semplice script shell che invia automaticamente un’e-mail di notifica al vostro indirizzo ad ogni login da remoto andato a buon fine sul vostro server.

Potete creare da soli facilmente uno script di questo tipo (qui: /opt/shell-login.sh), che deve solo contenere il seguente codice:

Infine è necessario aggiungere la seguente riga nel file /etc/profile:

Con questa voce vi assicurate che lo script venga eseguito e che in questo caso si reagisca a un login andato a buon fine con l’invio di un’e-mail di notifica all’indirizzo desiderato. La premessa è che venga assegnato allo script il permesso 755, cosa che ottenete con il seguente comando:

Nessun software è generalmente immune dalle falle di sicurezza citate nel paragrafo precedente. Tuttavia è necessario che questi errori di programmazione sfruttabili dai cyber criminali, vengano prima scoperti e solo allora i malintenzionati potranno iniziare un attacco. Solitamente però con la pubblicazione degli update si risolvono in breve tempo le falle di cui si è venuti a conoscenza nel frattempo. Se vi informate costantemente sugli aggiornamenti del sistema operativo e i programmi installati, procurandovi subito i nuovi update, vi assicurate così la migliore protezione per il vostro server. Quasi tutti i sistemi dei server consentono inoltre di scaricare e installare gli aggiornamenti importanti per la sicurezza anche automaticamente in background.

Se, ad esempio, volete rendere sicuro un server Windows tramite update automatici, avete la possibilità nella sezione “Windows Update” di stabilire delle linee guida concrete per il processo di aggiornamento. In questo modo configurate quando e con quale frequenza si devono ricercare gli update, se gli aggiornamenti trovati devono essere subito installati e quando infine il sistema deve essere riavviato. Per i sistemi Linux esistono script specifici come apt-listchanges o apticron che vi informano giornalmente sui nuovi pacchetti software disponibili e li scaricano. Infine altri script come unattended-upgrades si fanno carico dell’installazione automatica.

Essenzialmente gli hacker che vogliono accedere al vostro server, e quindi alle applicazioni in funzione, hanno diverse opzioni per farlo. Uno dei metodi di attacco più facili e utilizzati maggiormente è il così chiamato metodo forza bruta. Con questa tecnica l’hacker cerca di ottenere le password con l’aiuto di un tool che prova diverse possibilità di login una dietro l’altra. Quindi più siete stati scrupolosi nella scelta delle vostre password, più è improbabile che questo metodo abbia successo. Specialmente se offrite un servizio a cui è possibile registrarsi tramite login, dovete però partire dal presupposto che non tutti gli utenti procedono in modo altrettanto scrupoloso e cauto, come sarebbe necessario. Per una protezione contro attacchi simili per fortuna non serve nessun software complesso e costoso: visto che ogni tentativo di login viene registrato dal vostro server, risposto e salvato nei file di log, possono essere di aiuto dei semplici tool di analisi. Fail2ban (sistemi Linux/POSIX) o RdpGuard (Windows) verificano i file di log rilevanti, riconoscono i comportamenti insoliti e bloccano l’indirizzo IP di utenti sospetti. Così potete impostare in modo personalizzato dopo quanti tentativi errati entra in azione il blocco o per quanto tempo deve durare.

Con le proposte di configurazione consigliate aumentate considerevolmente la sicurezza del vostro server. Le diverse impostazioni per il processo di login e la limitazione dell’account di root conferiscono al vostro server uno standard di sicurezza molto elevato, insieme ad aggiornamenti frequenti, monitoring tool e a un software per la sicurezza obbligatorio. Tuttavia, anche la migliore configurazione e una gestione scrupolosa non garantiscono una protezione al cento per cento del server.   Gli errori dei programmi, i malfunzionamenti dell’hardware o propri sbagli portano facilmente, nel peggiore dei casi, alla perdita di dati. Un altro pilastro fondamentale del vostro sistema di sicurezza dovrebbe perciò essere un’adeguata strategia di backup che vi consenta di ripristinare i file corrispondenti, qualora si verifichi un caso simile. Ai tool efficaci che vi supportano non solo al momento della creazione, ma anche durante il ripristino della copia di backup, non manca proprio niente: un’applicazione gratuita che deve essere nominata a questo punto è il programma di sincronizzazione rsync che prende il nome dall’omonimo protocollo ed è disponibile in diverse varianti per quasi tutte le piattaforme comuni (macOS, Windows, Linux). Questo tool mantiene la copia dei vostri dati del server aggiornati, apportando tutte le modifiche fatte all’originale in tempo reale. Oltre a un backup generale del server, anche la messa in sicurezza del/dei database rientra infine tra i passaggi obbligatori.