Zum Hauptinhalt springen

Anmeldung

Die Oberfläche und die gesamte API sind nur nach einer Anmeldung erreichbar. Anmelden können sich ausschließlich Administratoren: Linux-Benutzer, die Mitglied der Gruppe bunkerbox-admin sind. Benutzer mit der Rolle „Benutzer“ kommen nie in die Oberfläche; sie greifen nur auf die Freigaben zu, die ihnen freigegeben wurden.

Passwort​

Es gilt das Linux-Passwort des Administrators. Bunkerbox prüft es gegen /etc/shadow (gesperrte und abgelaufene Konten werden abgelehnt). Ein falsches Passwort und ein Konto ohne Administratorrechte ergeben dieselbe Meldung, damit sich Benutzernamen nicht ausprobieren lassen.

Sitzung​

  • Nach der Anmeldung gilt eine Sitzung, die nach 30 Minuten ohne Aktivität und spätestens nach 12 Stunden endet. Beide Werte sind unter Einstellungen → Sitzungen einstellbar.
  • Abmelden im Benutzermenü oben rechts beendet die Sitzung sofort.
  • Wird einem Administrator das Passwort geändert, die Rolle entzogen oder das Konto deaktiviert, enden alle seine Sitzungen.
  • Laufende Sitzungen prüfen etwa einmal pro Minute, ob das Konto noch in der Gruppe bunkerbox-admin ist und weder gesperrt noch abgelaufen ist. So enden Sitzungen auch dann, wenn ein Konto außerhalb der Oberfläche geändert wurde (z. B. usermod -L oder gpasswd -d).

Schutz gegen Angriffe​

  • Nach 5 Fehlversuchen von einer Adresse innerhalb von 15 Minuten ist die Anmeldung von dieser Adresse für 15 Minuten gesperrt. Jeder Versuch zählt sofort, auch wenn viele gleichzeitig ankommen.
  • Für einen Benutzernamen gibt es keine Sperre, damit niemand Administratoren absichtlich aussperren kann. Ab 10 Fehlversuchen (von beliebigen Adressen) innerhalb von 15 Minuten wird jeder weitere Versuch für diesen Namen verzögert, von 1 Sekunde an jeweils verdoppelt bis höchstens 30 Sekunden.
  • Höchstens 4 Passwortprüfungen laufen gleichzeitig; weitere werden mit „zu viele Anmeldeversuche“ abgewiesen.
  • Auch für unbekannte, gesperrte oder abgelaufene Konten wird eine Passwortprüfung gleichen Aufwands durchgeführt, damit sich an der Antwortzeit nicht ablesen lässt, welche Benutzernamen existieren.
  • Die Adresse für die Sperre ist die tatsächliche Gegenstelle der Verbindung. X-Forwarded-For und X-Forwarded-Proto werden nur von einem Reverse-Proxy übernommen, der in BUNKERBOX_TRUSTED_PROXIES eingetragen ist (siehe Installation).
  • Anfragen an die Anmeldung dürfen höchstens 8 KiB groß sein, alle anderen JSON-Anfragen höchstens 1 MiB.
  • Ändernde Anfragen werden nur angenommen, wenn sie von der Oberfläche selbst stammen (Prüfung von Origin bzw. Sec-Fetch-Site).
  • Das Sitzungs-Cookie ist HttpOnly und SameSite=Strict, hinter HTTPS zusätzlich Secure.

Mock-Modus​

Im Mock-Modus (Entwicklung, BUNKERBOX_MOCK=1) gilt der Zugang admin / admin.