GoldenLine
Zaloguj się
Andrzej Borucki

Andrzej Borucki programista

Temat: Jaki bezpieczny Linux?

Jaką dystrybucję można by polecić jeśli chodzi o bezpieczeństwo? Chodzi mi o tak skonfigurowanego Linuxa aby nie trzeba było zagłębiać się w temat zabezpieczeń, by był odpowiednio ustawiony firewall, może AppArmor.
Link do wypowiedziLink
Stanisław P.

Stanisław P. Software designer

Temat: Jaki bezpieczny Linux?

Andrzej Borucki:
Jaką dystrybucję można by polecić jeśli chodzi o bezpieczeństwo?

http://qubes-os.org/Home.html
Chodzi mi o tak skonfigurowanego Linuxa aby nie trzeba było zagłębiać się w temat zabezpieczeń, by był odpowiednio ustawiony firewall, może AppArmor.

W zasadzie żaden nie spełnia warunków imho. Niby rhel jest ograniczony przez selinux, ale kończy się to tym, że większość programów ma instrukcję zaczynającą się od 'setenforce 0'. W oryginalnej konfiguracji o ile dobrze pamiętam nie da się nawet automatycznie odpalić OOo do otwarcia ściągniętego w FF pliku.

Więc zostaje do wyboru - bezpieczeństwo, albo wygoda.
Link do wypowiedziLink
Michał Ł.

Michał Ł. Doświadczenie jest
czymś, co zdobywasz
wtedy, gdy
przesta...

Temat: Jaki bezpieczny Linux?

Nie ma takiego systemu, który spełniałby twoje wymagania; jak ktoś będzie chciał i miał powód to włamie się wszystkiego.

Ja kieruje się trzema rzeczami, które IMHO chronią przed 95% syfu:

- instaluje tylko to czego potrzebuje
- system aktualizuję na bieżąco
- mam dobre hasło

Michał
Link do wypowiedziLink
Andrzej Borucki

Andrzej Borucki programista

Temat: Jaki bezpieczny Linux?

Stanisław P.:
http://qubes-os.org/Home.html

Z tego co czytam jest to "To build security on the “Security by Isolation” principle" “Xen distribution”. Bezpieczeństwo przez wirtualizację. Czy w ten sposób nie będzie izolowany dowolny Linux postawiony np. na VirtualBox?
W zasadzie żaden nie spełnia warunków imho. Niby rhel jest ograniczony przez selinux, ale kończy się to tym, że

Nie działałem z SELinuxem, dopiero zaczynam rozgryzać AppArmor który jest łatwiejszy do skonfigurowania.
A Fedora?Andrzej Borucki edytował(a) ten post dnia 27.04.11 o godzinie 10:57
Link do wypowiedziLink

konto usunięte

Temat: Jaki bezpieczny Linux?

Andrzej Borucki:
Jaką dystrybucję można by polecić jeśli chodzi o bezpieczeństwo? Chodzi mi o tak skonfigurowanego Linuxa aby nie trzeba było zagłębiać się w temat zabezpieczeń, by był odpowiednio ustawiony firewall, może AppArmor.

A przed czym chcesz się bronić? Pytasz o bezpieczną dystrybucję, ale bezpieczną pod jakim względem, albo w porównaniu do czego?

Jeżeli wybierasz system Linux zamiast Windows, to już zyskujesz skok o lata świetlne w dziedzinie bezpieczeństwa. Do tego instalujesz tylko ten soft, którego potrzebujesz i tylko z oficjalnych repozytoriów (dla bezpieczeństwa, ale będąc świadomym, że wersja z oficjalnego repo może być nieco starsza, niż ta z repo zewnętrznego - ewentualnie budujesz sam). W takim wypadku możesz używać jakiegoś SELinuksa czy AppArmora - nie sprawią problemu. Do tego konfiguracja firewalla na usługi z których korzystasz i gotowe... nie do ruszenia. Jaka dystrybucja? Bez znaczenia.

Jeżeli bezpieczna dystrybucja ma chronić także przed kradzieżą fizyczną, to nie zapomnij o postawieniu systemu na szyfrowanym LVM lub chocby zaszyfrować katalog domowy.

Bezpieczne hasło to podstawa, chyba nie trzeba o tym wspominać?
Link do wypowiedziLink

konto usunięte

Temat: Jaki bezpieczny Linux?

Andrzej Borucki:
Jaką dystrybucję można by polecić jeśli chodzi o bezpieczeństwo? Chodzi mi o tak skonfigurowanego Linuxa aby nie trzeba było zagłębiać się w temat zabezpieczeń, by był odpowiednio ustawiony firewall, może AppArmor.

Odpowiednio ustawiony tzn jak? Tak, że działają wymagane przez Ciebie usługi czy może te których ja potrzebuję?
Pod serwery www prekonfigurowane distro z wstępnym zabezpieczeniem to np. EnGarde Linux. Ogólnie dla serwerów często widziałem rekomendacje dla Trustix.

Dla desktopów nie-ubuntu. To z racji uproszczeń, które kolidują z podstawami specyfiki Linuxa - sztandarowy przykład to oczywiście sudo for all.

Osobiście zaś - Debian i wolę poświęcić czas na skonfigurowanie wszystkiego według własnej potrzeby i dokładnie wiedzieć co jest na serwerze, jak skonfigurowane i gdzie pochowane niż skorzystać z czegoś co jest prekonfigurowane, przygotowane "uniwersalnie", analizować co ten wynalazek właściwie robi, poprawianie tego pod swoje potrzeby.
Link do wypowiedziLink
Andrzej Borucki

Andrzej Borucki programista

Temat: Jaki bezpieczny Linux?

Michał Smereczyński:
Bezpieczne hasło to podstawa, chyba nie trzeba o tym wspominać?

Jeśli chodzi o hasło to czy atak brute force typu miliony sprawdzań jest możliwy? Czy też plik z zaszyfrowanymi hasłami jest niedostępny bo trzeba by mieć uprawnienia roota aby go odczytać.
Myślę że Linux jest bezpieczny, wystarczy instalować tylko z oficjalnych repozytoriów.
Link do wypowiedziLink
Andrzej Borucki

Andrzej Borucki programista

Temat: Jaki bezpieczny Linux?

Arkadiusz Z.:
Dla desktopów nie-ubuntu. To z racji uproszczeń, które kolidują z podstawami specyfiki Linuxa - sztandarowy przykład to oczywiście sudo for all.

Czy rozwiązanie Ubuntu nie jest dobre dla systemów zainstalowanych na domowych komputerach? Bez uprawnienia roota wielu rzeczy nie można by zainstalować, alternatywą byłoby specjalne logowanie się na roota a w Ubuntu mamy sudo gzie należy podać hasło gdy chcemy wykonać jakąś poważniejszą operację a potem mamy spowrotem małe prawa.
Link do wypowiedziLink

konto usunięte

Temat: Jaki bezpieczny Linux?

Andrzej Borucki:
Jaką dystrybucję można by polecić jeśli chodzi o bezpieczeństwo? Chodzi mi o tak skonfigurowanego Linuxa aby nie trzeba było zagłębiać się w temat zabezpieczeń, by był odpowiednio ustawiony firewall, może AppArmor.

Nie ma dystrybucji, ktora domyslnie jest idealnie zabezpieczona.
Najblizszym kandydatem jest Red Hat Enterprise, ew. CentOS. RHEL ma te zalete, ze tuz po instalacji firewall nie wpuszcza zadnego ruchu, natomiast Twoja maszyna moze sie wydostac w swiat. To pomaga, jesli robisz instalacje z systemem wpietym do sieci, lub wrecz z sieci (np. via Kickstart).

Tak Ubuntu jak i RHEL/CentOS mozna instalowac uzywajac plikow Kickstart, w ktorych mozesz zasadniczo skonfigurowac co Ci sie tylko podoba w sekcji "%post".

Kwestia dalszego bezpieczenstwa to juz powod do swietej wojny ;)
Ubuntu, jako ze bazuje na repo Debian Sid, jest bardziej "na czasie" ale nie koniecznie bardziej bezpieczne niz np. Red Hat, gdzie w repo leza momentami potwornie stare wersje oprogramowania, ale za to [prawie] idealnie polatane i przetestowane.

I ostatnie, SELinux i AppArmor. Moja opinia od lat jest ta sama - to sa gadzety dajace falszywe poczucie bezpieczenstwa i nie majace uzasadnienia, poza przypadkami gdzie jest wymagana absolutna kontrola nad kazdym aspektem dzialania systemu. Duzo lepiej sprawdzaja sie oczywiste rzeczy typu:

- przeniesienie SSH na port inny niz TCP/22,
- wylaczenie w SSH autentykacji z uzyciem hasla,
- wylaczenie konta roota i kontrola "co kto moze", jako root, via /etc/sudoers,
- wymuszanie zlozonych hasel i ich zmiany,
- instalacja jedynie niezbednego minimum oprogramowania,
- wylaczenie i odinstalowanie zbednych uslug,
- blokowanie calego ruchu przychodzacego, poza wiadomymi uslugami
- trzymanie danych, jesli sa az tak krytyczne, na szyfrowanym woluminie

Zdecydowana wiekszosc atakow obecnie to automaty szukajace konkretnych rzeczy na konkretnych portach. Glownym sposobem sa wciaz i nadal brute-force na SSH i "exploity" na popularne aplikacje webowe (phpMyAdmin, Drupal etc.). Pozbycie sie lub zabezpieczenie tych elementow we wlasnym systemie eliminuje 99.(9)% atakow.
Link do wypowiedziLink

konto usunięte

Temat: Jaki bezpieczny Linux?

Andrzej Borucki:
Arkadiusz Z.:
Dla desktopów nie-ubuntu. To z racji uproszczeń, które kolidują z podstawami specyfiki Linuxa - sztandarowy przykład to oczywiście sudo for all.

Czy rozwiązanie Ubuntu nie jest dobre dla systemów zainstalowanych na domowych komputerach? Bez uprawnienia roota wielu rzeczy nie można by zainstalować, alternatywą byłoby specjalne logowanie się na roota a w Ubuntu mamy sudo gzie należy podać hasło gdy chcemy wykonać jakąś poważniejszą operację a potem mamy spowrotem małe prawa.

Przecież ja nie neguję całkowicie idei sudo bo sam z niej korzystam, w niektórych środowiskach jestem tylko całkowicie przeciwny formie w jakiej sudo dostarcza domyślnie Ubuntu.
Zajrzyj do /etc/sudoers i zobaczysz:

# User privilege specification
root ALL=(ALL) ALL

Skoro Ubu przychodzi z taką konfiguracją z urzędu to nie jest to bezpieczne, a o bezpiecznym Linuksie przecież rozmawiamy. Jeśli wszyscy mają roota bo mogą wykonać sudo su ze swoim hasłem to wszyscy mogą cały system wykoleić.

@Łukasz

Uzupełnijmy jeszcze Twoją listę o:

- chrootowanie potencjalnie niebezpiecznych usług
- backup + backup + backup i do kompletu testowanie backupu. Bo nic z backupu jak nie ma pewności, że kopie są zdrowe.
- backup na inny nośnik, maszynę.
- jeśli mamy FTP to jail userów w jednym folderze
- troska o chmody do plików
- oddzielenie partycji na pewno /home i innych istotnych dla danego systemu od /. W razie ewentualnego zejścia systemu reszta partycji będzie odzyskiwalna.
- regularne aktualizacje, dla systemów produkcyjnych z repo stable, w razie wyraźnej potrzeby z backportów. Unikałbym testing albo experimental.
- logowanie pracy usług i monitorowanie logów.

IMO długo moglibyśmy jeszcze tak się rozpisywać :).Arkadiusz Z. edytował(a) ten post dnia 27.04.11 o godzinie 11:41
Link do wypowiedziLink
Stanisław P.

Stanisław P. Software designer

Temat: Jaki bezpieczny Linux?

Arkadiusz Z.:
Zajrzyj do /etc/sudoers i zobaczysz:

# User privilege specification
root ALL=(ALL) ALL

Skoro Ubu przychodzi z taką konfiguracją z urzędu to nie jest to bezpieczne, a o bezpiecznym Linuksie przecież rozmawiamy. Jeśli wszyscy mają roota bo mogą wykonać sudo su ze swoim hasłem to wszyscy mogą cały system wykoleić.
Nie do końca. Ta reguła mówi, że root może wykonać cokolwiek przez sudo jako dowolny użytkownik. Gdzieś niżej powinna być taka regułka (albo podobna - nie siedzę przy ubuntu teraz):

%admin ALL=(root) ALL

która daje prawo do roota wszystkim w grupie admin.

By default w grupie admin jest tylko użytkownik który system zainstalował.
Andrzej B.:
Z tego co czytam jest to "To build security on the “Security by Isolation” principle" “Xen distribution”. Bezpieczeństwo przez wirtualizację. Czy w ten sposób nie będzie izolowany dowolny Linux postawiony np. na VirtualBox?
Sam system tak - będzie. Różnica w Qubes to to, że oddzielne programy integrują się w tym samym desktopie pomimo że działają w innych VM-ach. Tego virtualbox sam z siebie nie zapewni.Stanisław P. edytował(a) ten post dnia 27.04.11 o godzinie 15:13
Link do wypowiedziLink

konto usunięte

Temat: Jaki bezpieczny Linux?

Stanisław P.:
Nie do końca. Ta reguła mówi, że root może wykonać cokolwiek przez sudo jako dowolny urzytkownik. Gdzieś niżej powinna być taka regółka (albo podobna - nie siedzę przy ubuntu teraz):

%admin ALL=(root) ALL

która daje prawo do roota wszystkim w grupie admin.

By default w grupie admin jest tylko urzytkownik który system zainstalował.

Tru tru:

# User privilege specification
root ALL=(ALL) ALL

# Members of the admin group may gain root privileges
%admin ALL=(ALL) ALL

Nie mam Ubu pod ręką więc nie sprawdzę czy przypadkiem nie przypina wszystkich userów do grupy admin.

P.S. Użytkownik i regułka ;)
Link do wypowiedziLink
Andrzej Borucki

Andrzej Borucki programista

Temat: Jaki bezpieczny Linux?

Łukasz S.:
- przeniesienie SSH na port inny niz TCP/22,
- wylaczenie w SSH autentykacji z uzyciem hasla,
konkretnych rzeczy na konkretnych portach. Glownym sposobem sa wciaz i nadal brute-force na SSH i "exploity" na popularne

SSH jest zaszyfrowany, mogą odbywać się na niego ataki?
Link do wypowiedziLink
Stanisław P.

Stanisław P. Software designer

Temat: Jaki bezpieczny Linux?

Arkadiusz Z.:
Nie mam Ubu pod ręką więc nie sprawdzę czy przypadkiem nie przypina wszystkich userów do grupy admin.

Nie. Trzeba zaznaczyć userowi: `System -> Administration -> Users and groups -> Advanced settings -> User privileges -> Administer the System` żeby był dodany do grupy admin.
Andrzej B.:
SSH jest zaszyfrowany, mogą odbywać się na niego ataki?
Tak - możesz sobie na http://www.securityfocus.com/bid poszukać (openssh / openssh). Obchodzenie zabezpieczenia raczej nijak się ma do tego czy protokół jest szyfrowany, czy nie.
Link do wypowiedziLink

konto usunięte

Temat: Jaki bezpieczny Linux?

Stanisław P.:
Arkadiusz Z.:
Nie mam Ubu pod ręką więc nie sprawdzę czy przypadkiem nie przypina wszystkich userów do grupy admin.

Nie. Trzeba zaznaczyć userowi: `System -> Administration -> Users and groups -> Advanced settings -> User privileges -> Administer the System` żeby był dodany do grupy admin.
Dokładnie, system adminem jest pierwszy utworzony user podczas instalacji, reszta już nie.
Link do wypowiedziLink
Rafał W.

Rafał W. hmmm

Temat: Jaki bezpieczny Linux?

taki system to opensuse i ogolnie suse - zamkniety na swiat od postawienia
Link do wypowiedziLink
Andrzej Borucki

Andrzej Borucki programista

Temat: Jaki bezpieczny Linux?

W CentOS jest SELinux, ale nie wiem czy wzmacnia bezpieczeństwo jeżeli tylko jest, czy trzeba go specjalnie użyć.
Link do wypowiedziLink

konto usunięte

Temat: Jaki bezpieczny Linux?

Andrzej Borucki:
W CentOS jest SELinux, ale nie wiem czy wzmacnia bezpieczeństwo jeżeli tylko jest, czy trzeba go specjalnie użyć.

Domyslna w RHEL i CentOS jest polityka "enforcing + targeted", czyli wymuszana jest domyslna polisa SELinux dla uslug, ktore takowa maja zdefiniowana. Jesli dobrze pamietam jest to wiekszosc uslug sieciowych, ktore sa w glownym repo dystrybucji (apache, vsftpd, named itp.). Powiedzmy, ze w takiej konfiguracji z SELinux jeszcze da sie zyc.

Jak chcesz zobaczyc jak upierdliwe i pozbawione sensu praktycznego na dluzsza mete jest to narzedzie ustaw "SELINUXTYPE=strict" w /etc/sysconfig/selinux.
Link do wypowiedziLink
Rafał W.

Rafał W. hmmm

Temat: Jaki bezpieczny Linux?

Po co sie tak zabezpieczac?
Czy sony sie nie zabezpieczylo ze swoim PSN?
Mysle ze im cos bardziej bezpieczne tym bardziej interesujace dla ewentualnego wroga.
A jak ktos sie chce wlamac to i tak to zrobi bez wzgledu na to jakie bezpieczne srodowisko stworzylismy.Rafał W. edytował(a) ten post dnia 28.04.11 o godzinie 09:24
Link do wypowiedziLink
Konrad Gaworek

Konrad Gaworek System Administrator

Temat: Jaki bezpieczny Linux?

Temat wątku jest dość ogólny, generalnie przypomina mi to pytania w stylu: "Czy warto zainstalować Linuxa", albo "Jak wygodne są automaty do robienia kawy?"

Jak tu już poprzednicy pisali - wiele zależy od polityki dystrybucji, a najwięcej zależy od samego admina. Linux ma wiele narzędzi, które pozwalają zabezpieczyć system, ale z drugiej też strony nic nie jest pozbawione błędów programistycznych i w tym świecie...

OpenBSD chwali się, że do tej pory jedynie 1 bug krytyczny w ich instalacji defaultowej się przedostał - oni mają focus na security. (takie info, trochę offtopic :) )

A poza tym myślę, że system "nie do shackowania" nie istnieje. No, chyba, że wypniemy kabel z sieci i przed serwerownią armię zbawienia postawimy :)

Wiadomo, zależy od konkretnej sytuacji, ale...przynajmniej przy klastrach www/baz danych - który serwer stoi dziś bezpośrednio w necie wystawiony na ataki ludków? Najczęściej schowane jest wszystko za jakimś loadbalancerem. Myślę, że kwestię bezpieczeństwa podnoszą też zastosowania niestandardowe - jak np. zastosowanie loadbalancera nie jednego z najpopularniejszych, tylko np. sprzętowego, niekoniecznie znanego(np. nasz hoster używa Foundry). To samo tyczy się usług - wszyscy mają apache, bind-a, a można czasem z powodzeniem zastąpić je jakimiś mniej popularnymi(roxen,lighthttpd,powerdns itp. , itd.). Większość robali skanuje dostępność bugów najpopularniejszych demonów.

Jeszcze na koniec: jak byśmy nie zabezpieczyli naszego systemu, jeśli ktoś w phpie, czy innym języku zrobi bubla, to i tak ciężko się przed tym obronić(SELinux ma tu swoje mechanizmy, istnieje mod_security od apacha, a i snort potrafi różne zastrzyki wykrywać...ale mówiąc szczerze, ja mam ograniczone zaufanie również do tych mechanizmów). Tutaj możemy poprzez chrootowanie, czy separowanie usługi w oddzielnym boxie zmniejszyć skutki danego ataku.

pozdrawiam
Link do wypowiedziLink
« Wróć do tematów
Odpowiedz

Podobne tematy


Następna dyskusja:

PROGRAMISTA C/LINUX




Wyślij zaproszenie do
Anuluj