Tarkoitus ei ole aiheuttaa mitään sotaa, vaan ihan asiallisesti kyselen, että mitenkäs te linuxistit tiedätte, että koneeseenne ei ole murtauduttu? Siis mistä tiedätte, ettei joku ole ottanut sitä hallintaansa ja tee sillä esim. jotain laitonta?
Kyselen siis sen perään, et kun aina väitetään että se on kovin turvallinen se linux, niin että mistäs sen sitten tiedätte että olette turvassa.
Huom: olen itse linux-käyttäjä (Ubuntu Dabber) ja tällaiset asiat mietityttää. Eli ei ole mikään windows-sota-trollaus kyseessä.
P.S. Ei saa vastata, että voi käyttää tripwireä tai vastaavaa, kun sitä ei Ubuntun oletusasennuksessa heti asennu.
Kyselen siis sen perään, et kun aina väitetään että se on kovin turvallinen se linux, niin että mistäs sen sitten tiedätte että olette turvassa.
Huom: olen itse linux-käyttäjä (Ubuntu Dabber) ja tällaiset asiat mietityttää. Eli ei ole mikään windows-sota-trollaus kyseessä.
P.S. Ei saa vastata, että voi käyttää tripwireä tai vastaavaa, kun sitä ei Ubuntun oletusasennuksessa heti asennu.
Vastaukset 25
Vanhimmat
ja kun täälläkin huudellaan että mitään turva-asetuksia ei pidä linuxissa käyttää, niin soppa on valmis. Onneksi linux-käyttäjiä on vain alle 2% kaikista.
logeja seuraamallahan selviää, ketä konetta on käyttänyt. tietysti taitava murtautuja voi logit manipuloida ja toisaalta, kuinka moni noita logeja säännöllisesti lukee? itse en ainakaan jaksa, vaan luotan rautapalomuuriin ja sen lisäksi netfiltteriin. ja maailmalle palveluista on auki vain aivan pakolliset http ja ssh. ssh:kin tosin rajattu tietyille osoitteille.
niin ei silloin logeista ole apua. Nimittäin jos koneen on joku ottanut haltuun, niin silloin ei kyllä logeihin voi luottaa.
Eli on vaan luotettava siihen, että linux on turvallinen ja keinoa tietää ei ole?!
>>Eli on vaan luotettava siihen, että linux on turvallinen>>
tuo on erittäin vaarallinen asenne. mihinkään verkossa olevaan käyttikseen ei voi luottaa idioottivarmasti ja on vaarallista tuudittautua turvallisuuden tunteeseen.
>>ja keinoa tietää ei ole?!>>
ne logit on juuri siinä vaiheessa hyödyllistä, kun joku yrittää murtautua.
näkee kuka yrittää ja miten ja voi ryhtyä tarvittaviin toimenpiteisiin, esim rautapalomuurista estää täysin tietyt ip:t.
kukaanhan ei varmaan aivan suoraan ekalla kerralla onnistu koneelle murtautumaan.
turvallisuuden maksimoimiseksi kannattaa käyttää rautapalomuuria ja vielä softapalomuuriakin ja rajata nettiin näkyvät palvelut vain niihin mitä tarvitsee.
""rautapalomuuria ja vielä softapalomuuriakin ja rajata nettiin näkyvät palvelut vain niihin mitä tarvitsee.""
Tarkoitatko verkkolaitetta jossa palomuuri mukana, näithän on sekä että.
Softanako ibtables ja Firesterter sen säätämiseen.
Mistä näen mitä palveluita on päällä?
Nämä nyt on alottelijan kysymyksiä joten suonette anteeksi tietämättömyyteni.
itellä on adsl-modeemissa nat-ominaisuus ja käytän sitä.
softapohjaisena firestarter ohjaamassa iptablesia, joka ohjaa varsinaista netfilteriä.
verkkopalvelut näkee samalla komennolla, kuin windowsissakin, eli netstat -a
ubuntu ei oletuksena avaa lainkaan ssh-palvelua, mikä on ihan hyvä asia.
mutta kun sen itse asentaa, niin oletuksena rootin kirjautuminen on sallittu. se on huono homma ja se kannattaakin estää.
joskus tuli puolasta(?) kirjautumiskokeiluja rootina ja sitten erilaista salasanapommitusta.
mutta kun rootina ei voi kirjautua, niin murtautumisesta tulee huomattavasti vaikeampaa, kun pitää arvata käyttäjätunnuskin..
lisäksi tosiaan muutin homman niin, että palomuuri (softa) sallii vain tietyistä käyttämistäni ip-osoitteista ssh:n
Näihin juttuihin pitääkin tutustua paremmin, linuxin oma palomuuri on käytössä mutta tuossa verkkopäätteessä ei tuota ominaisuutta ole.
kyllä se softapohjainenkin riittää ihan hyvin. itsellä on vaan rautapohjainen nattaus, kun tässä verkossa on useampia koneita, niin saa kaikki säädettyä kerralla.
jotkut sanoo, ettei linuxissa palomuuria edes tarvitse. totta se on silloin, kun kaikki toimii niin kuin pitääkin ja palveluita ei ole auki.
itsellä on kuitenkin jokaisessa koneessa silti softapalomuuri päällä, vaikka natin takana onkin.
se softapalomuuri hidastaa aivan äärettömän vähän toimintaa, joten mitään haittaa siitä ei ainakaan ole..
Seuraamalla uutisointia ja keskustelupalstoja pysyy kyllä hyvin tilanteen tasalla. Windowsien kaappaaminen on arkipäivää ja siitä ei juuri uutisoida mutta jos joku keksisi tavan kaapata Linux-koneita niin siitä nousisi sellainen haloo että sitä ei voisi olla huomaamatta. Oman koneen seuraamiseen voi keskittyä sen jälkeen ja konsteja kyllä löytyy.
Minä kun luulin, että tapoja on vaikka kuinka paljon jos osaa.
itse toimin ylläpitotehtävissä, joten tiettyjä uhkakuvia on luotava. muuten sitä olisi työtön sen jälkeen kun firman viimeisetkin koneet on vaihdettu linuxilla toimiviksi.
en kovin realistisena pidä, että oikein konfiguroitua linuxia otettaisiin verkon kautta haltuun. mutta silti teen näennäisiä ylläpitotehtäviä, kun ihan oikeaa säätämistä linuxeissa ei juuri ole sen jälkeen kun ne on kerran säätänyt turvalliseksi.
Ilman Tripwireä ei varmuutta ole. Kuitenkin oudot tapahtumat lokeissa ja epämääräinen verkkoliikenne antavat viitteitä siitä että jotain saattaa olla pielessä. Jos alkaa epäillä, ei ole muuta keinoa saada konetta turvalliseksi kuin asentaa kaikki aivan alusta. Siis levyt tyhjäksi ja terve järjestelmä tilalle.
Mitään taikakeinoa ei ole pitää konetta puhtaana. Paljon kehutulla palomuurillakaan ei saacuteta mitään vaikka näyttävät tuossa hypettävän. Linux-käyttäjän turvaohjeet on seuraavat.
1. Tehdään varmuuskopioita usein ja säilytetään osaa muuallakin kuin koneen vieressä.
2. Haetaan turvapäivitykset säännöllisesti.
3. Käytetään vain jakelun omia paketteja.
4. Ei laiteta palveluita verkkoon ellei ole pakko. Tällöin ensin opetellaan ohjelman oikea konffaus.
No tietenkin linuxissakin on aukkoja ja aina on mahdollista, että jostain joku pääsee sisään, mutta.
Ensinnäkin sä pystyt linuxissa hyvin helposti tarkistamaan mitä palveluja on päällä ja mitkä kuuntelee pyyntöjä netistä päin. Sä pystyt ylensäkin Linuxissa katsomaan helposti mitä prosesseja sun koneellasi pyörii. Esim. Windowsissa sun on erittäin vaikea olla varma siitä, että mitään ei ole auki tai että koneella ei pyöri mitään ylimäärästä. Useimmissa jakeluissa asennuksen jälkeen ei ole päällä mitään verkkopalveluja, ellei käyttäjä itse ole asennusvaiheessa niitä valinnut asennettavaksi.
Kun mitään turhia palveluita ei ole päällä, sun koneellesi ei kukaan pääse. Koska jos mikään palvelu ei vastaa netistäö tuleviin yhteyspyyntöihin, niin se on ihan sama paljonko joku koputtelee. Lisäksi jokaisen Linux jakelun mukana tulee palomuuri, jolla voi sitä turvallisuutta lisätä.
Linuxissa myöskin yleensä logitetaan systeemien ja kaikkien palveluiden jne tapahtumat. Windowsissa logittaminen on lähes tuntematon käsite, lukuunottamatta tietenkin esim sitä jos asennat Linux/unix maailmasta tutun Apachen Windowsiin. Eli logitiedostoja lukemalla voi selvittää jälkikäteenkin mitä koneella on tapahtunut. Tietenkin jos tunkeutuja on saanut root-oikeudet, niin hän on voinut muokata logeja.
Linuxin käyttäjä ja ryhmäkohtaiset suojaukset hanakaloittaa varsin tehokkaasti tunkeutujan tuhojen tekemistä. Linuxin suojaukset on huomattavasti tiukemmat kuin esim Windowsin. Niitä suojauksia voi myöskin kiristää entisestään oletustilasta esim avoimella selinux:lla (Security enhanced linux), joka on NSA:n kehittämä.
Vaikka joku onnistuisi saamaan tavallisen käyttäjän käyttäjätunnukset ja pääsisi niillä koneelle, hän ei pystyisi tekemään mitään muuta kuin se kyseinen käyttäjä jonka tunnuksista on kyse. Asia on tietenkin eri, jos root:n tunnukset vuoraa vääriin käsiin. Mutta koska kaikki muu paitsi ylläpito tehdään normaalikäyttäjänä, niin riski on suht pieni ilman käyttäjän omaa typeryyttä. Ja ihmisen typeryyttähän ei mikään käyttis voi korjata.
Linuxille ei ole olemassa kuin joitakin harvoja viruksia jne. Jos niitä olisi merkittävästi enemmän se kyllä tiedettäisiin, koska sana kyllä leviäisi hyvin nopeasti. Ei pidä unohtaa, että linuxille kyllä on viruskillereitä, jos joku niitä haluaa ajaa. Mutta eipä niidenkään kehittäjät tunnu juuri löytävän uusia viruksia torjuttaviksi.
Suurin osa linuxin softasta perustuu avoimeen lähdekoodiin, jota voi kukatahansa lukea. Eli sinne koodin sekaan takaporttien jne piilottaminen on vaikeaa niin ettei kukaan sitä huomaisi ja ettei tieto siitä leviäisi. Suurin osa Linuxin softasta myös jaetaan yleensä keskitetysti paketinhallinnan kautta linux-jakelun omilta palvelimilta. Tämä osaltaan parantaa tietoturvaa huomattavasti, kun ei tarvitse lähteä metsästämään ohjelmia ympäri nettiä epämääräisiltä sivustoilta.
Ne ohjelmat, jotka ei tule suoraan paketinhallinnan kautta jaetaan yleensä tekijän omilla palvelimilla lähdekoodeina joita kuka tahansa voi tutkia. Suuri osa linux-käyttäjistä itseasiassa jopa kieltäytyy käyttämästä ohjelmia, joista ei ole lähdekoodit saatavilla. Sivuilla jaettavat ohjelmat on usein lisäksi digitaalisesti allekirjotttu ja niiden mukana tulee md5 tarkistussumma, jonka perusteella kukatahansa voi tarkistaa onko paketti se alkuperänen ohjelman tekijän julkasema.
"Vaikka joku onnistuisi saamaan tavallisen käyttäjän käyttäjätunnukset ja pääsisi niillä koneelle, hän ei pystyisi tekemään mitään muuta kuin se kyseinen käyttäjä jonka tunnuksista on kyse."
Plus tietenkin mahdollisesti hyödyntää kernelin paikallista aukkoa, josta saattaa saada root-oikeudet. Kuten nähtiin vähän aikaa sitten.
Pitäisikö Ubuntussa tehdä sitten sellainen käyttäjätunnus, jolla ei voi sudo:ttaa? Mä olen ainakin sudo:ttanut normaalilla tunnarilla, jota käytän konetta muutenkin.
Silloinhan murtautuja saa rootin, jos onnistuu saamaan käyttäjätunnukseni?
Suosittelisin tekemään joo. Ubuntun ongelmana on just se, että sudoa käytettäessä käytetään sen sudo oikeudet omaavan käyttäjän salasanaa. Jos se sudo kysys rootin salasanaa, ni se olis parempi jo.
"Jos se sudo kysys rootin salasanaa, ni se olis parempi jo."
Tai ylipäätänsä eri salasanaa kuin koneelle kirjauduttaessa.
Tästä sudo jutusta saa helposti väittelyn aikaseksi enkä halua semmosta alottaa :)
Oma mielipiteeni vaan on, että se sudo-oikeudet omaava käyttäjä kannattas jättää ylläpitäjäksi ja luoda jokapäivästä käyttöä varten toinen tunnus. Sitten varmistaa vielä, että sillä sudo-käyttäjällä ei ole oikeutta kirjautua netistä koneelle esim ssh:n kautta.
Mihin kohtiin tuossa käyttäjäoikeuksissa olis hyvä ruksit poistaa, tuossa kuvankaappaus jossa oletuksena ruksi pois vaan tuosta yhdestä kohdasta, tämä on vähäsen uutta asiaa siksi kysyn.
http://kuvax.net/i/5989_Kuvakaappaus_K_ytt_j_tunn.png
Nimenomaan tuo "ylläpito" ei kuulu rivikäyttäjän tehtäviin vaan se rootin työsarkaa.
Jos sudo kysyisi rootin salasanaa, olisi se melkoisen hyödytön ohjelma. Sudollahan on tarkoitus antaa rajattuja pääkäyttäjän oikeuksia tietyille käyttäjille. Esim. www-ylläpidon tunnuksille voidaan antaa oikeus apachen käynnistämiseen/sammutukseen, jollekkin toiselle taasen oikeudet nfs-palvelimen säätöön jne. Jos kaikki nämä tarvitsisivat rootin salasanan, voisivat he roottina tehdä ihan mitä vaan haluavat koneella.
Se on totta, että sudon pitäisi kysyä jotain muuta salasanaa kuin sudo-oikeudet omaavan käyttäjän salasanaa, koska nykyisellään se on turvaton. Valitettavasti suuri osa ubuntun käyttäjistä käyttää konetta arkipäiväsiin asioihin sillä sudo-oikeudet omaavalla käyttäjällä, ja sillon nykymuotoinen sudo ei ole sen turvallisempi kuin root-tunnus.
Aika työn takana se on murtautua koneeseen jossa on kaikki portit kiinni. Jos jotain muuta kautta pääsee sisään, niin yleensä saa haltuunsa vaan jonkin käyttäjän tunnuksen ilman su-oikeuksia ja paljastuu prosessit listaamalla.
Omasta tietoturvasta huolehtiminen (ohjelmien asentaminen) on tietysti omalla vastuulla. Linux tarjoaa kuitenkin huomattavasti Windowsia paremmat puitteet krakkerien ja virusten välttämiseen. Internet-idiooteille ainoa turvallinen tapa käyttää Internetiä on käyttää siihen laitetta johon ei voi asentaa mistään mitään.
>...käyttää siihen laitetta johon ei voi asentaa mistään mitään.
Lienee aika lähellä totuutta mutta minkäs teet kun windowsin käyttäjistä löytyy vielä yksilöitä jotka henkeen ja vereen puolustaa esim. ActiveX:n käyttöä. Selaimella voi asentaan käyttiksen natiivikoodia koneelleen, prkl!!!
http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=653&posting=22000000017912398