безопасность и недостатки наличия открытых портов?

Question

Итак, вот моя моя проблема. Некоторое время назад мой друг хотел получить от меня несколько файлов, поэтому я дал ему свой адрес AFP (Apple File Protocol). Очень похоже на FTP SSH или SMB. Это круто для пользователей Mac, вот и все. Он был очень удивлен, что я переадресовал этот порт, и предупредил меня закрыть все порты, ssh, ftp, afp, smb, torrent ... и т.д. В основном закрыл все порты моего дома. Он сказал, что у меня должен быть открыт только один порт, и это будет для VPN за моим брандмауэром, и тогда я смогу получить доступ ко всем своим протоколам и многим другим. Я понимаю, что это более безопасно. Но это действительно медленно. Я фотограф, и мне, возможно, придется скачивать файлы размером 20-30 ГБ. Без VPN это заняло бы много времени. С VPN это даже дольше.

Итак, действительно ли необходимо закрывать все порты? У меня очень длинные сложные пароли, которые представляют собой сочетание заглавных букв цифр и букв в нижнем регистре, все смешанные, не включая одно словарное слово или аббревиатуры.

Могу ли я открыть свой порт AFP? Каковы шансы / риски DDOS или даже атаки грубой силы?

Answer 1

Проблема с портом, открытым и доступным для Интернета, заключается в том, что на этом порту есть программа, которая прослушивает сообщения. Если поступающие сообщения искажены (по правилам программы, выполняющей прослушивание), то он должен отклонить запрос и закрыть порт. Однако, если программа, выполняющая прослушивание, имеет какие-либо уязвимости, то злоумышленник может создать сообщения, которые вместо отклонения принимаются как действительные, но не выполняют то, что вы хотели.

Например, ваш порт AFP - какие сообщения можно отправлять на него и что они могут делать? Требуется ли имя пользователя и пароль для аутентификации? Если это так, то вы можете быть достаточно безопасны, если все имена пользователей и пароли, которые можно использовать, безопасны. Если для этого не требуется имя пользователя и пароль, или есть простые обходы для гостевого пользователя, или что-то в этом роде, то вы разрешаете использование посторонних в вашей системе и (независимо от ошибок в программах AFP) можете делать все, что позволяет протокол. Знаете ли вы все возможные операции, которые могут быть запрошены через AFP? Действительно все они или только документированные? Все ли они в безопасности? Вы не возражаете, что кто-то может видеть ваши ... личные данные?

Ясно, что если AFP требует аутентификации, и вы уверены, что аутентификация безопасна, независимо от того, что на нее взломали, так что взломать может только тот, кто знает ваши имена пользователей и соответствующие пароли, тогда вы усложнили задачу для предполагаемого злоумышленника чтобы получить это - может быть, если вам повезет, они не будут беспокоить. Но они могут беспокоить. Если вам не нужно постоянно открывать порт, не оставляйте его открытым; Это уменьшает вероятность того, что злонамеренная атака будет успешной. (Самое безопасное программное обеспечение - это программное обеспечение, которое не установлено; следующее самое безопасное программное обеспечение - это программное обеспечение, которое не может быть запущено.)

Answer 2

Если вы можете контролировать, к какому концу вы подключаетесь, возможно, вы сможете работать немного быстрее. Исходящие соединения с вашего Mac на сайт, не требующий VPN, могут быть быстрее, чем входящие соединения через VPN. К сожалению, VPN имеет некоторые накладные расходы, которые могут замедлить передачу. Если вы передаете сжатые файлы, то может быть полезно отключить сжатие на VPN-соединении.