kun root-tilin saa niin helposti käyttöön recovery modella. Annanko uuden salasanan root-tilille vai estänkö sen käytön jotenkin muuten? Mikä olisi paras käytäntö?
Mites sais Ubuntun turvallisemmaksi
EiSudoVaanRoot
45278
0Äänestä
Muut lukivat myös
Odottaa vastausta
Näihin keskusteluihin ei ole vielä vastattu. Ole ensimmäinen.
Vastaukset 45
Vanhimmat
Jos kerta tuota pelkäät niin cryptaa koko kovo. SIllä siitä selviää. Sit kun unohdat sen salanan niin sulla on kasa rautaa ja uuden käyttiksen asennus. Suosittelen 40 merkkiä pitkän random salasanaa.
Pienempikin merkkimäärä riittää. Poliisi takavarikoi muistitikun mutta ei saanut salasanaa. Nörttipoliisit sitten tutkivat tikkua ja kun huomasivat että salauksena on LUKS niin luovuttivat heti. Eivät aavistaneet että salasana oli vain neljä kirjainta. Toisaalta sisältökään ei ollut kovin järisyttävää. Vain taloyhtiön tilinpäätös. Pääasia oli että poliiseille jäi paha mieli kun tikun sisältö jäi arvoitukseksi.
Eli kryptaus on siis se vastaus. Ei siis ole mitään muuta mahdollisuutta saada Ubuntua turvalliseksi. Salasanan pituudeksi mielestäni riittää 15 tai enemmän merkkiä, 40 merkkiä alkaa jo olla foliohattujen touhuja. Mutta silti mun on pakko huomauttaa Ubuntun "haavoitettavuudesta", root-oikeudet vain recovery moden kautta ja ilman salasanaa, vain Steve Jobs voisi selviytyä tästä kutsumalla sitä käyttäjäystävälliseksi ominaisuudeksi. Bugi mikä bugi!
Miksi ripustaa hirmuinen lukko etuoveen kun takaovi on sepposen selällään? Kaikki tiedot on saatavilla mikäli rosvo pääsee koneeseen käsiksi.
Ainoa keino estää urkinta on salata levyn sisältö. Toiset tyytyvät salattuun kotihakemistoon ja toisille riittää vain koko levyn salaus.
Kunnollinen salaus riippuu yksinomaan salasanasta. Salausohjelmien sisäinen rakenne (128-bittinen salaus) vastaa vähintään 25 merkkistä salasanaa. Sitä lyhemmät salasanat heikentävät salausta.
Tuossa on keskusteltu aiheesta: http://mybroadband.co.za/vb/showthread.php/172072-Disabling-sudo-in-Ubuntu-and-derivatives
Mitäänhän tuo ei tietenkään suojaa siinä tapauksessa, että joku pääsee koneeseen käsiksi. Mutta jos se tuo sinulle valheellista turvallisuuden tunnetta, niin siitä vaan.
Recovery mode edellyttää että pääsee koneelle fyysisesti käsiksi. Ja jos koneen saa fyysisesti näppeihinsä niin datankin saa esille.
Pakollinen xkcd: http://xkcd.com/538/
Jos tietokoneeseen pääsee käsiksi paikallisesti, millään salasanoilla ei ole yhtään mitään merkitystä. Kaikista pääsee helposti ohi. Kiintolevyn kryptaus on silloin aina ainoa oikea tapa varmistua.
Aika huvittavaa. Halutaan Ubuntu "turvalliseksi" vaikka maailma pullollaan Windows-koneita jotka vuotavat kuin seulat kaikista kolmannen osapuolen tietoturvaohjelmista huolimatta (tai ehkä sitten niidenkin takia).
Ubuntuun voi asentaa Avast-virustorjunnan, niin saa vähän lisäturvaa.
"Ubuntuun voi asentaa Avast-virustorjunnan, niin saa vähän lisäturvaa."
Lisäturvaa mihin? Linuxissakin Avast kuten muutkin virusohjelmat etsivät ainoastaan Windowsviruksia! Sellaista virustorjuntaohjelmaa ei olekkaan joka olisi tarkoitetti linuxjakelua suojaamaan koska ei ole viruksia joilta suojata, linux virustorjuntaohjelmat ovat tarkoitettu lähinnä palvelinkäyttöön estämään Windowsvirusten leviäminen.
fiksuinta on salata levyn sisältö jota joku jo ehdottikin.
recovery pois tälleen
etsi tiedostosta /etc/default/grub rivi
GRUB_DISABLE_LINUX_RECOVERY="true"'
ja poista # (risuaita) siitä alusta ja tallenna. ei voi enää buutata recoveryyn.
loppua ei suositella, ellet tee jotain erikoista ja sen täytyy siinä tapauksessa olla tosi erikoista, koska muussa tapauksessa tietäisit kyllä miten tämä tehdään(jätän tarkoituksella pois komennot):
1. tuhoa kaikki pääkäyttäjät (en kerro miten tämä tehdään)
sitten restarttia systeemille ja biosin kimppuun:
estät bootin kaikkialta muualta, paitsi kovalevyltä.
laitat biosiin muutoksille salasanan joka on niin vaikea ettet itsekään sitä muista. vaikka jotain 4000 merkkiä pitkä.
tietenkään tämä ei estä muita fyysisiä "hyökkäyksiä", mutta tehokkaasti se estää säätäjien sähläämiset. ylläpito tosin vaikeutuu ihan hemmetisti.
eli jos haluat "THAT'S IT"-systeemin, niin joku järjettömän tehokas salaus kovalevylle ja nuo muutokset lisäksi, niin alat olla jo pitkällä siinä että systeemi todellakin on jatkossa sitä mitä se on ja muutoksia on turha odotella tai yritellä.
oletan kuitenkin, että halusit vain recoverymoden pois päältä.
tästä päästäänkin siihen ongelmaan, joka näissä distroissa on. ohjelmistojen asentaminen on todella tuskallista, ilman systemwide root oikeuksia. :(
Olen asentanut lähes kaikki kolmannen osapuolen softat ilman root oikeuksia.
Tarkistin asian ja Ubuntun sudoers tiedostosta löytyy rivi
%sudo ALL=(ALL) ALL
Elikkä sudo-ryhmään kuuluvilla on kaikki rootin oikeudet.
Mikä ahdistaa?
se että ilman sudo oikeutta ei voi asentaa ohjelmia ilman järjettömiä kikkailuja /home:n.
kyllä minä tiedän mitä tiedostossa oletuksena on.
no asennnapa ubuntuusi vaikkapa gimp ja gcc ja kaikki sen tarvitsemat riippuvuudet pelkkään /home/username ilman sudottelua(root oikeutta) :)
eli luo käyttäjä, jolla ei ole minkäänlaisia oikeuksia millään komennolla muualle kuin /home/username/ ja asenna nuo.
niin siis toki nuo saa käyttäjälle asennettua, mutta ei mitenkään helposti. ja todellakin tarkoitin, että ohjelmisto asennetaan siis vain tälle yhdelle käyttäjälle käyttäjän itsensä toimesta ilman ulkopuolisen sudottelijan apua ja siten, ettei se ole riippuvainen itse järjestelmän kirjastoista. jostain syystä se jäi pois tuosta ensimmäisestä viestistäni, joten yritän sitä nyt tällä selkeyttää.eli tarkoitan jotain sellaista, että todellakin "tapan" kaikki sudo-oikeudet ja kaikki muutkin käyttäjät ja recoverymodet ym.(ks. yllä) ja laitan systeemin rullaamaan niillä eväillä mitä siinä on, joihin systeemin ainoa käyttäjä ei pysty mitenkään koskemaan millään tavalla vaan on lukittuna /home hakemistoonsa ilman oikeutta asennella sen ulkopuolelle yhtään mitään. odottelen helppoa ratkaisuasi mielenkiinnolla, koska itse en tiedä tähän mitään helppoa ratkaisua.
Siis että käyttäjän pitäisi voida tehdä ylläpitotoimia olematta ylläpitäjä?
Mutta se on jäänyt ymmärtämättä miksi on erikseen ylläpitäjät ja käyttäjät. Oikeastaan voisitkin aloittaa asian tutkimisen ja pohtimisen joulupukkia odotellessa.
ei, vaan pystyä asentamaan ohjelmistoja /home/käyttäjä/ ilman että järjestelmään tai sen kirjastoihin itseensä kosketaan mitenkään. nuo riippuvuudet kun tuppaavat menemään järjestelmä hakemistoihin ja samoin ne ohjelmat. niiden asentaminen vain yhdelle käyttäjälle on todella työlästä jos tällä käyttäjällä ei ole root oikeuksia.
jeps. kerrohan sitten miksi tuo ohjelmistojen asennus on mahdollista ilman ylläpito-oikeuksia /home/user jos sen tekee manuaalisesti ja helvetin vaikeasti?
enempää en tuhlaa aikaani sinuun, koska et näytä edes tajuavan mistä on kyse.
niin siis haen sellaista mahdollisuutta, ettei ylläpitäjää edes ole koko järjestelmässä, vaan pelkkä käyttäjä jolla jo oletuksena on oikeus ajaa ohjelmia omasta kotihakemistostaan ja niitä jopa sinne asennella, mutta todella vaikeasti vain.
no otetaan nyt sitten vielä rautalankamallimpi samaan vauhtiin vaikka en edes oleta että tajuaisit.
jos minulla on täysin tyhjä sudoers tiedosto. silloin kenelläkään ei ole oikeutta muutella järjestelmän tiedostoja tai asetuksia, mutta tavallisena käyttäjänä pystyn kuitenkin manuaalisesti asentamaan ohjelmistoja riippuvuuksineen home-osiolle. kuitenkaan mitään helppoa tapaa tähän ei ole olemassa ja se on se ongelma. tajusitko?
niin siis tällä ei ole mitään tekemistä ylläpidon kanssa. vaan ohjelman asentamisesta ~/bin ja kirjastojen asentamisesta ~/lib jne..
niin siis tällä ei ole mitään tekemistä ylläpidon kanssa. vaan ohjelman asentamisesta ~/bin ja kirjastojen asentamisesta ~/lib jne..
Ohjelmistojen asentaminen on ylläpitotoimi. Kysyt nyt kuinka käyttäjä voisi tehdä ylläpitotoimia olematta ylläpitäjä. Ubuntussa useimmat tarvituista ohjelmista ovat jo käyttöjärjestelmässä joten tietysti niiden muuttaminen tarvitsee pääkäyttäjän oikeudet.
Sehän olisikin tyhmää jos jokainen käyttäjä asentaisi kaiken itse. Helpompaa kun ylläpitäjä asentaa kerran ja ohjelma on sitten kaikilla. Säästää valtavasti aikaa ja vaivaa.
Vai haetko tässä sitä, että jollekin käyttäjälle pitäisi saada joku oma versio jostain ohjelmasta? Vai haluatko, että järjestelmässä olevat ohjelmat ei näy kaikille käyttäjille?
Ohjelmien asennus on ylläpitotoimi. Tehdään muutoksia järjestelmään, että sillä voidaan tehdä asioita X.
haen sitä, että itse systeemi taustalla on kokonaan omissa oloissaan ilman ylläpitäjää ja on olemassa vain yksi käyttäjä, jolla on oikeus asentaa ohjelmistoja omaan kotihakemistoonsa. meillä on tässä muutama prototyyppi hommasta ja ne pelittää jo jollain tapaa, mutta tuollaisen luulisi olevan jo ihan valmiiksikin.
käyttäjän itse asentama sovellus omaan kotihakemistoon EI TODELLAKAAN ole ylläpitotoimi ja edelleen sen pystyy tekemään, mutta ei helposti.
http://mercurial.selenic.com/wiki/UnixInstall
kato tuosta vaikka yksi esimerkki kotihakemistoon asentamisesta.
jos kotihakemistoon ohjelman asentaminen olisi ylläpitotoimi, niin siinä tapauksessa ubuntu vuotaa ja pahasti, koska chmod a x somebinary on sallittu ihan peruskäyttäjällekin ;)
nokun siihen järjestelmään EI TEHDÄ! muutoksia :) ne kaikki muutokset tehdään ~/bin ja ~/lib jne. eli käyttäjän kotihakemistoon. se ei todellakaan ole ylläpitotoimi :)
äääöööäääööö, niin siis tuosta linkistä lähinnä tuo install-home juttu antaa vähän sitä suuntaa..
Kyllä kotikansioon asentaminen on mahdollista, ei siinä mitään uutta ole. Tarkoitin sitä, että ohjelmiston asentaminen on yleisesti ylläpitotoimi.
Edelleenkin tämä kuullostaa siltä, että tehdään jotain pahasti väärin jos halutaan GIMP ja GCC kotikansioon Ubuntussa. Nehän on osa Ubuntua, ihan sitä järjestelmää itseään. Eli se systeemi taustalla omissa oloissaan ja ne on valmiiksi suojattu sörkkimiseltä.
Miksi siis halutaan asentaa eri paikkaan? Eikö se ole vain hyvä juttu, että on vakio paikka niin toimii sitten muiden ohjelmien kanssa hyvin yhteen? Ne kun odottaa löytävänsä sen ohjelman sieltä missä se normaalisti on.
Et nyt tunnu hahmoittavan sitä, että ne ohjelmat ovat sitä systeemiä.
Mutta jos koneella on vain yksi käyttäjä niin miksi hitossa se ei saisi tietä
..tietää root oikeuksia?
Siksi kun järjestelmästä tulisi kankea ja monimutkainen jos siihen tehdään keinotekoisia esteitä. Kaikki on mahdollista mutta miksi? Mitä sillä yritetään saavuttaa? Katsos kun ohjelmistojen paikka ei ole missään kotikansiossa.
Se on edelleenkin epäselvää mitä sillä kotikansiooon asentamisella halutaan saavuttaa. Vaikka käyttäisi yhden käyttäjän tilassa, eli pääkäyttäjänä niin silloinkin se olisi aika kummallista asennella ohjelmia /root kansioon.
Niille ohjelmille on ihan standardit paikat, on polussa automaattisesti ja oikeudet säädetty valmiiksi. Ylläpitäjä tarvitsee olla järjestelmässä. Aina pitää olla yksi jolla on oikeus muuttaa mitä vaan. Tässä nyt kuullostaa siltä, että haluat jotenkin rajoittaa enemmän tai sitten vähemmän tavallisia käyttäjätilejä. Se on epäselvää, että kumpaa haluat ja miksi.
voi vittu. sanotaan nyt sitten vaikka, että SPARK ja SPORK ovat ne ohjelmat mitkä pitää asentaa. järjestelmässä ei ole root oikeuksia omaavaa käyttäjää ollenkaan! lisäksi järjestelmään ei ole asennettu mitään ohjelmistoja etukäteen ja mm. gimp jne. eivät ole asennettuna eikä koskaan tulekaan asennetuksi systemwidena ja eivät siis ole osa lopullista systeemiä.
"Mutta jos koneella on vain yksi käyttäjä niin miksi hitossa se ei saisi tietä"
siksi, koska sen käyttäjän ei tarvitse sitä tietää, eikä siitä näinollen kannata tehdä edes mahdollista tässä tapauksessa.
"Ne kun odottaa löytävänsä sen ohjelman sieltä missä se normaalisti on."
juu, niitä kutsutaan riippuvuuksiksi ja ne asennettavat ohjelmat voivat odottaa niiden riippuvuuksien löytyvän myös ~/jostain. se ei ole mikään ongelma. ongelma on edelleen se, että se asentaminen on tuskallisen hankalaa.
" Eikö se ole vain hyvä juttu, että on vakio paikka niin toimii sitten muiden ohjelmien kanssa hyvin yhteen? "
kotitietokoneessa, jota käyttää 1 tai 2, niin on ihan hyvä.
sitä on kotikäyttäjän vaikea toki hahmotttaa mitä milläkin yritetään saavuttaa.
No yritä edes hahmottaa joku hyöty tuolle. Itse en näe yrittäjänä ja tietojärjestelmiä ylläpitävänä näe yrityskäytössä mitään hyötyä tuolle. Enkä kyllä kotikäytössäkään. Yrityskäytössä juuri halutaan, että loppukäyttäjät eivät itse asentele mitään outoa vaan vakioidaan samoihin versioihin.
Hyöty: Jos netistä ladatun epämääräisen ohjelman voisi asentaa itselleen tavallisena käyttäjänä, niin ohjelmia voisi huoletta kokeilla luomalla väliaikaisen käyttäjätilin ja asentamalla ohjelman sillä.
"Normaalisti käytetään ihan käyttöjärjestelmän toimintoja eikä kikkailla kolmannen osapuolen kilkkeitä."
http://keskustelu.suomi24.fi/node/10161886
ehkä sinun on vaikea hahmottaa, mutta se on jo muutenkin mahdollista niin se voisi olla myös tarvittaessa helppoa. toki jotkut toimistontätien työasemat on hyvä vakioida, mutta maailmassa on aika paljon monenlaista muutakin. lisäksi tuosta ei siinäkään tapauksessa ole mitään suurempaa haittaa paitsi profiiilin joutuu uusimaan, koska käyttäjähän sotkee vain oman profiilinsa vai vuotaako systeemi?
tarvittaessahan tuon manuaalisenkin asennuksen pystyy estämään niiltä toimistonkin tädeiltä.
tuo on yksi lukuisista hyödyistä ja itse järjestelmä säilyi koskemattomana.
Mutta oma kotihakemiston on vaarassa. Miksi chroot tai virtuaalikone ei kelpaa?
no kerropa kuinka kliksuttelen vaihtoehtosi chroot helposti? virtuaalikone ei todellakaan kelpaa.
ääööö ja lisäksi chroot on rajoittunut ja jopa epävarma tuollaiseen.
ääööö ja lisäksi chroot on rajoittunut ja jopa epävarma tuollaiseen.
Voi hyvänen aika, miten paljon ongelmia tuottaakaan ubuntun salaus - kymmenittäin viestejä, eikä sittenkään valmista!