Bamboo Cloud agent的用户帐户安全性值得怀疑

Question

使用Bamboo云代理时，在Windows上，您被指示让Bamboo Windows用户使用默认的已知密码： Atlassian1 。

它清楚地表明应该将此用户配置为拒绝远程登录。

但是，它仍然是一个具有相当权限的活跃Windows用户。 Bamboo的服务器（云）与已知端口中的机器进行交互 - 26224.通过此通道，它发送所有构建命令，从远程代理获取构建状态等。

什么阻止黑客扫描互联网，找到打开端口26224的主机并开始与Bamboo代理商交谈？ 代理如何确定它与合法的Bamboo CI服务器通信？

我要求的是为了完全确信没有可能的攻击向量。

Answer 1

Bamboo的安全文档说明：

在为Bamboo启用远程代理时，请注意以下安全隐患：

• 服务器和代理之间没有传递数据加密 - 这包括以下数据：

  • 版本控制存储库的登录凭据

  • 构建日志

  • 构建工件

• 不对代理或服务器进行身份验证 - 这可能导致对您的系统进行未经授权的操作，例如：

  • 未经授权的各方安装新的远程代理 - 版本控制存储库登录凭据可能被盗。

  • 伪装成Bamboo服务器的未授权方 - 未经授权的服务器可以将恶意代码传递给代理运行。

  • 有关更多信息，请参阅代理验证

我们强烈建议您不要在可从公共或不受信任的网络访问的任何Bamboo实例上启用远程代理安装 。 创建远程代理是默认情况下禁用和启用远程代理支持。

对于面向公众的代理，Atlassian 强烈建议使用SSL来保护它们。 请参阅保护包含此注释的远程代理 ：

此页面适用于远程代理而非弹性代理。 弹性代理由Bamboo服务器自动保护，无需其他步骤。

更多关于Elastic Piece，他们关于Elastic Bamboo Security的文档指出：

位于EC2和Bamboo服务器之间的代理之间发送的所有流量都通过SSL加密隧道进行隧道传输。 隧道将从Bamboo Server启动到EC2实例，这意味着您不需要允许任何到服务器的入站连接。 您需要允许隧道端口上来自服务器的出站流量，但默认端口号为26224.在EC2实例上，只需要为入站流量打开隧道端口。