Bonjour à tous.
Il y avait un long moment que je n’avais pas posté ici et c’est une bien triste affaire qui m’amène. J’heberge chez moi un petit serveur qui me rend bien des services. Il tourne sous Debian 8 bien entendu et je fais régulièrement les mises à jour proposées.
J’ai mis en place plusieurs sécurités pour éviter les ennuis de la part de malandrins mal intentionnés, en particulier un pare-feu très restrictif, fail2ban pour éviter les multiples essais de connexion, et un VPN pour accéder à la majorité des autres ressources.
J’ai un rapport hebdomadaire de suivi de mes logs envoyé par mail via gmail.
Hier matin, première chose bizarre, mon rapport hebdomaire n’est pas envoyé car google le considère comme du spam. Hier soir, j’essaye de me connecter en SSH depuis chez moi au serveur (dans la boucle locale donc) et je reçois le fameux message m’avertissant que le fingerprint du serveur à changé et que je risque d’être victime d’une attaque man-in-the-middle. Par sécurité j’ai préféré arrêter le serveur dans un premier temps afin d’identifier la faille et de la corriger si possible.
Étant donné que je me connectais depuis mon réseau local, j’ai pensé que mon routeur était peut-être compromis. Je l’ai restauré avec le dernier firmware du constructeur récupéré depuis un réseau sans-fil au cas où sans changement.
Du coup je ne comprends pas si c’est un faux positif, auquel cas, j’aimerai comprendre pourquoi le fingerprint a changé (il me semble que je n’ai pas mis openSSH à jour depuis ma dernière connexion). Et si il y a vraiment eu prise de contrôle de la machine, comment s’en assurer et éviter au maximum les dommages.
Et surtout, comment une attaque de type man-in-the-middle peut-elle être possible sur la boucle locale alors qu’il n’y a que le routeur entre moi et le serveur ?
Merci d’avance pour vos conseils éclairés.