Защита gitlab и gitolite от подбора паролей и ключей

[shai_hulud]

— вытащить исходный код проприетарного приложения хранящегося в git.

Не хочу разочаровывать, но редкое приложение будет ценнее взламываемой машины. На машине могут быть ценные данные (пароли, кредитки), а исходники для обычного взломщика ничего не стоят.

[piromanlynx]

На этой машине нет ничего кроме git репозитория, там больше вытаскивать просто нечего.

[ShadowPrince]

Может теперь они прекратят попытки?

[piromanlynx]

на данный момент ssh подбирать перестали, а вот basic-автоизацию на web подбирают несмотря на то что получают в 99% случаев «сервис временно недоступен». Возможно их брутфорсер не понимает статуса 503…

В любом случае угрозы они уже не представляют. Ломанут basic — будут еще долго подбирать вход в приложение, пока там подбирают — поменяем логин и пароль на basic-авторизации. И так по кругу. Надоест менять — автоматизирую сия процесс :-)

[tagir_valeev]

Если б все администраторы так внимательно следили за своими системами, хацкерам пришлось бы туго :-)

[Lockal]

Вы уверены, что был действительно брутфорс, а не прогон украденных трояном закрытых ключей с машин горе-разработчиков? И что эти же ключи прогоняли через все более-менее популярные хостинги git-проектов, а остановка произошла от того, что просто закончились ключи.

[piromanlynx]

Вполне возможно!

[whitequark]

А еще на Debian два года была дырища в openssl, которая позволяла именно что подбирать ключи. Их всего-то сотню-другую тысяч перебрать нужно было (количество pid * разные длины и типы).

[zepps]

Fail2Ban, не?

[major]

Почему не bruteblock, зачем свой велосипед изобретать?

[slayerhabr]

для закрытых репозиториев имхо проще использовать ssh транспорт
ну а если требуется web доступ, то https или vpn спасают, смысла городить огород не вижу

[piromanlynx]

Так git и работает по ssh. об этом первая часть статьи. https и так есть, только чем он может защитить от брутфорса? Вставить в каждый браузер каждого разрабочика «правильный» клиенский сертификат и проверять по сертификату — просто нереально в моей ситуации.