Überprüfen, dass GeoIP-Datenbanken von GeoIP kommen

Ich hoffe, den Download und die Installation der freien GeoIP-Datenbanken zu automatisieren und ich möchte wissen, ob zusätzliche Verifizierungsoptionen verfügbar sind, da MD5 anfälliger für Pre-Image-Angriffe wird.Überprüfen, dass GeoIP-Datenbanken von GeoIP kommen

Zusätzlich werden die MD5-Summen auf demselben Server gespeichert, was bedeutet, dass jeder Angreifer, der in diesen Server einbricht, in der Lage ist, potentiell bösartige Datenbanken hochzuladen und ohne Client zu bedienen.

GPG ist ein übliches Verifizierungstool, und es wäre für die meisten Linux-Benutzer trivial einzurichten, da ihre Paketmanager diese Art der Verifizierung bereits durchführen.

Quelle

2017-08-02 Lee

Wie groß ist das Risiko, dass jemand in den GeoIP-Server eindringt und die CSV-Datenbank in falsche Informationen umwandelt? Warum sollte man das tun? –

Erstens sollte man Sicherheit nicht ignorieren, weil "es ist nur eine Textdatei" oder "mein Dienst ist nicht wichtig". Zweitens gibt es nicht nur CSV-Dateien; Es gibt auch BIN-Dateien (in welchem Format auch immer). Und es treten ständig Fehler im Code auf, was passiert, wenn ein Angreifer einen Fehler in Ihrem Parsing-Code ausnutzt. Drittens könnte ein Angreifer die Datei einfach dazu bringen, Ressourcen und Dateispeicherplätze zu blockieren. Schließlich Automatisierung der Download GeoIP-Datenbanken bedeutet, dass die Zeit zwischen einem Hack auftritt und es auf einem Server endet reduziert wird; und die Zeit bis zum Aufprall wird ebenfalls reduziert und behoben. – Lee

maxmind.com unterstützt TLS SSL HTTPS auf seinen Download-Links (fügen Sie einfach die 's' selbst hinzu), also achten Sie darauf, dass Ihre Zertifikate korrekt und Bibliotheken auf dem neuesten Stand sind und Sie sollten so sicher wie möglich sein.

Selbst wenn man annimmt, dass ihr Webserver entführt wird, hat es wirklich keinen Sinn, sich über MD5 gegen SHA gegen GPG zu ärgern, da Sie keine vernünftige Zusicherung oder ein Konzept der Breite und Breite des Angriffs haben. Es könnte auch ein Insider-Job sein, der von der Firma selbst bewusst begangen wird. maxmind macht sowieso keine Fitness-Garantien gegen menschliche oder automatisierte Fehler, also nehmen Sie es unter Beratung.

Für einen kostenlosen Service (kostenlose Datenbank, freie Bandbreite, große wöchentliche Updates) können Sie nicht genau gehen, um für Luft-Gap Fort Knox Rate Sicherheit betteln. TLS ist bereits besser als Sie benötigen.

Sie können gerne eine eigene Plausibilitätsprüfung einer neu heruntergeladenen Datenbank mit der zuvor heruntergeladenen Datenbank durchführen, um sicherzustellen, dass Änderungen oder Korrekturen von nomineller Bedeutung sind. Besser noch, Sie können ihr GeoIP Update-Programm verwenden oder Patches direkt herunterladen. Auf diese Weise laden Sie zunächst nur nominell unbedeutende Updates herunter und können diese vor dem Zusammenführen in die Datenbank selbst überprüfen. Und Sie sparen Bandbreite für alle.

Quelle

2017-10-20 09:38:42 raccoon

Überprüfen, dass GeoIP-Datenbanken von GeoIP kommen

Antwort

Verwandte Themen