Mulla on boltsi hukassa sen suhteen, mihin Ubuntun tietoturva loppupeleissä perustuu. Jos ajan Ubuntulla -- sovitaan vaikka, että uusin LTS -- kaiken sudona ympäri nettiä, siis kaikenmaailman ohjelmat (tarballit, debit, elfit jne.), joita vain käsiini löydän mitä hämärimmistäkin netin kolkista, niin voivatko ne saastuttaa konettani?
Nythän se ei auta ketään mattimeikäläistä, jos ainoa turva on, että ohjelmaa käynnistäessä kysytään adminin salasanaa, jolloin pitäisi tajuta, että ohjelma saa rootin oikeudet. Tuo meikäläismattihan nimittäin sudottelee ja antaa tuon salasanan joka tapauksessa.
Siis toki ymmärrän tuon salasanaturvan siinä mielessä, että jos en käynnistä esim. audion- tai videonkatseluohjelmia sudona -- ja miksi käynnistäisinkään -- niin ei sieltä kaiketi privilege escalationia tulisi vaikka mediatiedostoissa olisi minkälaisia koiruuksia. Sen sijaan kyse onkin nyt ohjelman asentamisesta, johon lähes aina tarvitsee sudon. Luultavasti haitakkeen tehnyt toivoo aina, että käyttäjä on kyllin hölmö ajaakseen ohjelman rootin oikeuksilla.
Windowsissahan on UAC, mutta totuus on, että Joe Sixpack suhauttelee adminina ympäri nettiä ja ajettavat binääritiedostotkin käynnistetään painamalla OK tai Salli UAC:in kysyessä pääkäyttäjälupia. Windowsiin voi myös luoda rajoitetun tilin, mutta hyvin harva luo niitä (ja vaikka loisikin, niin joka tapauksessa tuo haittaohjelma kyselee pääkäyttäjän oikeuksia, jolloin käyttäjä saattaa tilin vaihtaa ja ajaa binäärin adminina, tosin jos käyttäjä on älynnyt luoda rajoitetun tilin, niin todennäköisesti osaa varoa perinteisiä haitakkeita, joita levitetään ajettavien binääritiedostojen muodossa).
Nythän se ei auta ketään mattimeikäläistä, jos ainoa turva on, että ohjelmaa käynnistäessä kysytään adminin salasanaa, jolloin pitäisi tajuta, että ohjelma saa rootin oikeudet. Tuo meikäläismattihan nimittäin sudottelee ja antaa tuon salasanan joka tapauksessa.
Siis toki ymmärrän tuon salasanaturvan siinä mielessä, että jos en käynnistä esim. audion- tai videonkatseluohjelmia sudona -- ja miksi käynnistäisinkään -- niin ei sieltä kaiketi privilege escalationia tulisi vaikka mediatiedostoissa olisi minkälaisia koiruuksia. Sen sijaan kyse onkin nyt ohjelman asentamisesta, johon lähes aina tarvitsee sudon. Luultavasti haitakkeen tehnyt toivoo aina, että käyttäjä on kyllin hölmö ajaakseen ohjelman rootin oikeuksilla.
Windowsissahan on UAC, mutta totuus on, että Joe Sixpack suhauttelee adminina ympäri nettiä ja ajettavat binääritiedostotkin käynnistetään painamalla OK tai Salli UAC:in kysyessä pääkäyttäjälupia. Windowsiin voi myös luoda rajoitetun tilin, mutta hyvin harva luo niitä (ja vaikka loisikin, niin joka tapauksessa tuo haittaohjelma kyselee pääkäyttäjän oikeuksia, jolloin käyttäjä saattaa tilin vaihtaa ja ajaa binäärin adminina, tosin jos käyttäjä on älynnyt luoda rajoitetun tilin, niin todennäköisesti osaa varoa perinteisiä haitakkeita, joita levitetään ajettavien binääritiedostojen muodossa).
Vastaukset 30
Vanhimmat
Jos käyttäjä on huomattavasti keskimääristä tyhmempi niin mikään käyttöjärjestelmä ei ole turvallinen, eli se suurin tietoturvariski on aina siinä näppäimistön ja tuolin välissä.
Unix-tyyppisissä järjestelmissä käyttöjärjestelmän sisäinen rakenne rajoittaa jossainmäärin haittaohjelmien toimia (paremmin kuin Windowsissa) mutta ei niissäkään täysin kyetä estämään käyttäjän idioottimaisuudesta johtuvia ongelmia ja uhkia.
tyhmän ja fiksun välimuoto on se kaikista pahin. luulee osaavansa tehdä jotain, muttei kuitenkaan osaa. tyhmä ei edes yritä niin vahinkoa ei tulekaan.
Allekirjoitan tuon mutta sillä varauksella, että sana "tyhmä" korvataan sanalla "tietämätön". Jos ei ees tiedetä mikä on nimeltään se alla pyörivä käyttöjärjestelmä niin kyse on vain laiskuudesta ottaa selvää asioista.
Avoimella puolella kun _sekin_ on ihan avoimesti selvitettävissä ihan ite:
$ uname --operating-system
GNU/Linux
Harva varmaan osaa tuollaisia komentoja osaa käyttää ellei kyse ole kokeneesta käyttäjästä.
Pidän laiskuutta vääränä sanana. Olen nimittäin lähes varma, että suurin osa käyttäjistä ei ole sen hölkäsenpölyäystä kiinnostuneita itse siitä käyttöjärjestelmästä. Muutenkaan pitkän työpäivän jälkeen hra. pankinjohtaja ei todellakaan ole kiinnostunut ottamaan selvää minkäänmaailman käyttöjärjestelmän toiminnallisuuksista. Käyttöjärjestelmä tulee elämän prioriteettilistalla varmaan aika hännillä.
Siinä tapauksessa ihmisellä on prioriteetit sekaisin. Tietotekniikalle elämme, tietotekniikan puolesta taistelemme ja sen edestä kuolemme! Aamen.
Debianiin perustuvien jakeluiden tietoturvan perusta on paketinhallinnassa. Ohjelmat haetaan jakelun omista lähteistä ja niiden allekirjoitukset tarkistetaan ennen asennusta. Muilla jakeluilla on hieman erilaiset käytännöt mutta periaate on sama.
Ohjelmina pyritään käyttämään ensisijaisesti avoimen koodin ohjelmia, jolloin kuka tahansa voi tutkia mitä ohjelma oikein tekee. Suljetun koodin ohjelmissa pitä luottaa vain tekijän sanaan.
Ohjelmavirheiden korjaus on nopeaa. Parhaassa tapauksessa jo samana päivänä kun vakava virhe löytyy. Korjatut paketit asentuvat automaattisesti tai tulee ainakin huomautus käyttäjälle.
Sudotuksella on kaksi päätarkoitusta. Se muistuttaa käyttäjää siitä että nyt tehdään jotain sellaista mikä saattaa sotkea koneen ja estää jotain ulkopuolista tekemästä pahojaan koneelle mikäli pääkäyttäjä sattuu unohtamaan koneen lukituksen poistuessaan paikalta.
Linuxia on myös helppo lujittaa. Työkalut löytyy valmiina. Iptables, iproute, ACL, Bastlle, SELinux, AppArmor, chroot, virtualisointi, LUKS jne.
On huomattava että rootilla on kaikki oikeudet koneeseen. Kone tottelee iloisesti kuinka tuhoisaa käskyä tahansa. Korkeintaan voi kysyä että aivanko varmasti. Roottina onkin syytä miettiä joka kerta ennen kuin paina Enteriä.
Siis kun asennat koneeseen haittaohjelman niin koneesi on saastunut. Mikäli tällaista epäillään on käyttöjärjestelmä asennettava kokonaan puhtaista lähteistä. Muuta varnaa keinoa ei ole. Samo koskee tietysti Windowsiakin mutta siellä ajatellaan riittävän kunhan haittaohjelia ei ole liiallisesti koneella.
"Siis kun asennat koneeseen haittaohjelman niin koneesi on saastunut."
Mistä tuollaisen haittaohjelman voi Ubuntuun löytää?
Tässäpä sulle sellainen, kokeile päätteellä itse jollet usko.
rm -fr / ; sudo rm -fr /
Tuo ei ole haittaohjelma vaan komento. Eikä se saastuta konetta, korkeintaan tyhjentää kovalevyn, jos edes sitäkään:
http://www.linuxbsdos.com/2012/04/29/what-will-rm-rf-actually-do-to-your-linuxbsd-machine/
Viimeksi taisi olla jollakin sivustolla, jossa on Gnomen teemoja. Tietääkseni yhdenkään jakelun virallisissa repoissa ei ole ollut.
Onkohan tuo sellainen iranilainen paikallinen hyökkäys?
Iranilaisessa "paikallishyökköyksessä" toimii komento rmdir C:\ s/q
http://club.myce.com/f34/i-ran-comand-promt-i-have-no-ides-how-undo-what-did-rmdir-c-s-q-188554/
"Mulla on boltsi hukassa sen suhteen, mihin Ubuntun tietoturva loppupeleissä perustuu. Jos ajan Ubuntulla -- sovitaan vaikka, että uusin LTS -- kaiken sudona ympäri nettiä, siis kaikenmaailman ohjelmat (tarballit, debit, elfit jne.), joita vain käsiini löydän mitä hämärimmistäkin netin kolkista, niin voivatko ne saastuttaa konettani?"
Tietysti troijalaiset voivat saastuttaa tietokoneen. Ubuntussa ei ole mitään rajoitetta ohjelmien asentamiselle, että jos asennat humpuukiohjelman niin kyllä sen saa saastumaan.
Ubuntussa vaan ei yleensä näin tehdä kun yli 95%:sti Ubuntu sisältää lähes kaiken tarvittavan ohjelmiston ettei tarvitse mistään hevon kuusesta lähtä haalimaan ohjelmia.
Suurin osa Windowsin haitakkeista on muuten jotain "tietokoneen optimointi", "ilmainen virusturva", "avaa tiedosto nönnönnöö" tai piraattiohjelman crack tiedosto -tyylisiä troijalaisia. Ubuntussa käyttäjällä ei ole tälläiseen tarvetta ja ohjelmat tosiaankin saa siitä kauppakassi kuvakkeesta niin se auttaa pitämään koneet kunnossa.
Eli toisinsanoen Linux-pohjaiset koneet olisivat ihan yhtä pahoissa ongelmissa kuin Windows-koneet, jos jokainen Urpo Tallaaja käyttäisi niitä.
Ei niin vaan toisin päin. Taviskäyttäjä saa kaikki tarvitsemansa ohjelmat turvallisesti jakelun varastosta. Vain nörtit kaivavat eksoottisia ohjelmia netin synkistä syövereistä Windowsin tapaan.
Ei ole. Ubuntussa on ne ohjelmat valmiina lähes täysin, Windowsista puuttuu lähes täysin kaikki.
Lisäksi, Windowsin käyttöliittymä mahdollistaa social engineeringin paljon helpommin kun Windowsissa on niin tavallista että ruutuun pomppiin jotain laatikoita missä pitää painaa "OK".
Ubuntua käyttää monet Urpo Tallaajat ja ne pysyvät huimasti paremmin kunnossa kuin Windows tietokoneet.
Mikään noista ei auta, jos Urpo Tallaaja päättää ladata sen "optimointisoftan" tai avata tiedoston "nönnönnöö". Hölmölle käyttäjälle ei mikään järjestelmä mahda mitään. Nönnönnöö.
Mutta kun sitä tarvetta ei samalla tavalla tule.
Ubuntussa ei ole mitään "Tietoturvakeskus" -nimistä mainostoimintoa pelottelemassa
Ubuntussa ei jatkuvasti laiteta laatikoita ruudulle mitä pitää painaa ok.
Ubuntuun ei tarvitse etsiä juuri ikinä ohjelmia jostain hevonkuusesta vaan on se sovelluskeskus.
Ubuntussa jos ohjelma ei ole asennuspaketissa, sille täytyy erikseen asettaa oikeudet että sen voi käynnistää. Tiedoston nönnönnöö avaaminen ei siis saastuta Ubuntua.
Ubuntussa oletuksena ollaan ihan normaalilla käyttäjätilillä eikä kokoajan pääkäyttäjänä. Muutokset järjestelmään edellyttää aina salasanaa.
Ubuntu näyttää tiedostopäätteet oletuksena eikä pidä niitä piilossa. Ei siis pysty harhauttamaan klikkaamaan ajettavaa tiedostoa samalla tavalla kuin Windowsissa.
...
Käytännössä Ubuntukoneet ei vaan ole kokoajan sekaisin vastaavasti kuin Windowskoneissa usein näkee. Käytännössä, Ubuntun arkkitehtuuri on paljon fiksummin suunniteltu kuin Windowsin mikä näkyy helppoutena. Tietystikään siinä ei ole esteitä ohjelmien käyttämiselle. Ubuntu ei siis ole mikään iPad tai pelikonsoli vaan PC käyttöjärjestelmä.
Toki tulee valmiina ja mikäs siinä tosin tuo koskee vain osaa käyttäjistä. Esimerkiksi yksikään käyttämäni ammattilaistason ohjelma ei ollut minun Ubuntussa valmiina, vaan jouduin niistä maksamaan samoin kuin tuesta. Mutta tiedän, mitä oikeasti hait, joten itse asiaan:
Sotket asioita sikäli, ettet ymmärrä, mitä tarkoittaa "olla valmiina". Ei siinä perusrepositoryssä ole kuin pisara meressä, eikä ne oikein tahdo riittää kaikille. Eli pitäisi saada lisärepoja ja nyt päästäänkin itse asiaan: mistä Urpo Tallaaja tietää, onko repository x turvallinen?
Voihan kuka tahansa "mustahattu" tehdä esim. päältäpäin legitiimiltä vaikuttavan Linux-maailmaa käsittelevän sivuston, jossa mukamas suositellaan eri repoja ja tuo mustahattu voi vieläpä laittaa repoon alussa täysin turvallisia softia. Sitten jokin päivä kuitenkin ohjelmien päivitettyihin versioihin tämä black-hat lisäileekin kaikenlaisia haitakkeita rahallinen tms. hyöty mielessä. Miksei tämä toimisi ainakin hetken?
Hys hys! Ei tuollaista saa sanoa ääneen! Tahrautuu linsucksin maine! Pyhitetty olkoon linsucks!
SItä tärkeämpää on käyttää vain virallisia repoja. Windowsmaailmassahan uhkakuvasi on toteutunut varsin täydellisesti juuri luotettavien repojen puutteen takia.
Entä kun virallisesta reposta ("sovelluskaupasta") ei löydy sitä, mitä haluaa? Sitten vaan kärvistellään ilman?
Siinäpä se onkin suuri ongelma. repovarasto on hyvin suppea ja vanhakantainen ja sisältää runsaasti täysin toimimattomia ohjelmia. Useita ohjelmia joita Windowsiin on tarjolla useita erilaisia versioita, ei löydy ubuntuun ollenkaan. Missä vika?
Aivan. Homma ei voi toimia kunnolla, jos se perustuu vapaaehtoisuuteen. Kun softan tehnyt propelipää kyllästyy, ohjelma jää heitteille. Sama pätee suurimpaan osaan linux-distroja. Kun ei ole taloudellista motiivia kehittää asioita eteenpäin, mitään ei tapahdu.
Esimerkiksi Debianiin kuuluu 37500 ohjelmapakettia. Kaikki toimivia.
Windows-ohjelmat on Windowsiin ja Linux-ohjelmat Linux-masiinaan. Miksi noin yksinkertainen asia on niin vaikea ymmärtää?
Sitten hankitaan käyttöjärjestelmän ulkopuolelta. Tätä tietysti vältetään.
Höpöhöpö. Ubuntun sovellusvalikoima on huimasti laajempi kuin mitä jossain Windows XP:n asennuslevyltä löytyy.
Edelleenkin, sovelluksia voi asentaa myös käyttöjärjestelmän ulkopuolelta. Ubuntussa tarvitsee tehdä tälläistä vähemmän ja se on etu mitä tulee turvallisuusasioista huolehtimisen helppouteen.
Kaikki perustuu vapaaehtoisuuteen niin kauan kun ei ole orjuudessa.
Ubuntusta vastaavat ovat Canonicalin palkkalistoilla. Takana on siis organisaatio jolla on rahaa, tämä turvaa käyttöä.
Mikään avoimen koodin ohjelma ei jää heitteille niin pitkään kuin sitä käytetään. Silloin löytyy kyllä ihmisiä jotka pitää sitä hengissä. Jos ohjelma ei kiinnosta ketään, että se ei ole tärkeä ja sitä ei ylläpidetä, sitten se kyllä mätänee.
U:n tietoturva perustuu hyväntahtoiseen uskoon, että mikään paha ei iske kun käyttää Ubuntua.