Knoppix nopeaksi ja turvalliseksi ?
Knoppixin saa nopeaksi 1. kerralla tohd -optiolla ja myöhemmin fromhd - optiolla.
Mutta tuon turvallisuutta olisi hyvä parantaa.
Ideana olisi muokata knoppixia sitem että se tekisi seuraavaa:
1. buuttaus CD tai DVD -levyltä.
2. buuttikehotteeseen annettaisiin joko näppäillen fromhd -optio tai sitten muokattu CD tai DVD esitäyttäisi tuon buuttirivin omien toiveideni mukaan. (siis CD tai DVD olisi muokattu niin, että siinä on tallennettuna vapaavalintainen buuttirivi knoppixin buuttaamista varten, ja buuttaus optiselta medialta esitäyttäisi buuttikehotteeseen tuon esitäytetyn rivin, jonka voisi joko hyväksyä enterin painalluksella tai vaihtoehtoisesti muokata haluamallaan tavalla ennen enterin painallusta.
3. nyt tulee yksi ylimääräinen kohta verrattuna normaaliin knoppixin buuttaukseen: jos buuttirivillä on enteriä painettaessa fromhd -optio, niin nyt pitäisi laskea kiintolevyllä olevien knoppix -tiedostojen (siis sinne aiemmin tohd -optiolla kopioitujen) md5 -summa ja estää buuttauksen jatkaminen kiintolevyltä, jos tuo summa ei täsmää CD / DVD -levylle tallennettuun.
4. jos edellisessä kohdassa md5 -summa täsmää, jatketaan buuttausta kuten normaalistikin knoppixissa fromhd -optiolla.
Tarkoituksena olisi siis saada lisää tietoturvaa sillä, että kun knoppix käynnistetään, niin kiintolevylle tallennetun knoppix -jakelun eheys tarkistetaan md5 -summalla ennen sen käyttöä buuttaamiseen, alkulataajahan luetaan CD tai DVD -levyltä ja nuohan ovat read only -medioita ja siten turvallisia haittaohjelmia ja muita nettihyökkäyksiä vastaan. (poikkeuksena RW -levyt).
Mutta mitä osia linuxista on käynnissä siinä vaiheessa, kun knoppixin buuttikehotteeseen painetaan enter ?
Jos olen oikein ymmärtänyt, niin vain jokin osa ISOLINUX -nimisestä optisella levyllä käytettävästä buuttauksenhallintajärjestelmästä.
Miten siis tuohon pystyisi lisäämään sen, että buuttaus jatkuu vain, jos MD5 -summa täsmää, ja siis tietenkin sen, että tuo MD5 -summa yleensä laskettaisiin ?
Jos koneessa on nopea CPU, niin DVD -levyllisen dataa, joka on kiintolevyllä, MD5 -summan laskeminen on huomattavasti nopeampaa kuin saman datan kopiointi yhä uudelleen DVD -levyltä.
Samalla tulee mieleen kysymys: onko kukaan tehnyt Knoppix 5.3.1:stä CD -versiota, jostain syystä Klaus Knopper on tehnyt siitä vain DVD -version.
Sikäli harmi, että CD -versiota voi nykykoneissa käyttää myös toram -optiolla (vaatii vähintään 1 Gt RAM -muistia). Mutta DVD -versiossa käsittääkseni toram ei ole kelvollinen optio, koska se vaatisi 4,7 Gt RAM -muistia ja se taas vaatisi 64 -bittisen linuxin, 32 -bittisissä kun maksimi hyödynnettävä RAM -muistin määrä on 4 Gt, josta on vielä vähennettävä näytönohjainmuistin koko.
Vaikka moni pitää linuxia windowsia turvallisempana, niin onhan myös linux -koneiden tietoturva silloin tällöin onnistuttu murtamaan.
Tietoturva paranisi oleellisesti, jos jokaisen buuttauksen jälkeen voisi olla varma siitä, että järjestelmässä ei ole haittaohjelmia.
Kommentteja ja ohjeita ?
Knoppixin saa nopeaksi 1. kerralla tohd -optiolla ja myöhemmin fromhd - optiolla.
Mutta tuon turvallisuutta olisi hyvä parantaa.
Ideana olisi muokata knoppixia sitem että se tekisi seuraavaa:
1. buuttaus CD tai DVD -levyltä.
2. buuttikehotteeseen annettaisiin joko näppäillen fromhd -optio tai sitten muokattu CD tai DVD esitäyttäisi tuon buuttirivin omien toiveideni mukaan. (siis CD tai DVD olisi muokattu niin, että siinä on tallennettuna vapaavalintainen buuttirivi knoppixin buuttaamista varten, ja buuttaus optiselta medialta esitäyttäisi buuttikehotteeseen tuon esitäytetyn rivin, jonka voisi joko hyväksyä enterin painalluksella tai vaihtoehtoisesti muokata haluamallaan tavalla ennen enterin painallusta.
3. nyt tulee yksi ylimääräinen kohta verrattuna normaaliin knoppixin buuttaukseen: jos buuttirivillä on enteriä painettaessa fromhd -optio, niin nyt pitäisi laskea kiintolevyllä olevien knoppix -tiedostojen (siis sinne aiemmin tohd -optiolla kopioitujen) md5 -summa ja estää buuttauksen jatkaminen kiintolevyltä, jos tuo summa ei täsmää CD / DVD -levylle tallennettuun.
4. jos edellisessä kohdassa md5 -summa täsmää, jatketaan buuttausta kuten normaalistikin knoppixissa fromhd -optiolla.
Tarkoituksena olisi siis saada lisää tietoturvaa sillä, että kun knoppix käynnistetään, niin kiintolevylle tallennetun knoppix -jakelun eheys tarkistetaan md5 -summalla ennen sen käyttöä buuttaamiseen, alkulataajahan luetaan CD tai DVD -levyltä ja nuohan ovat read only -medioita ja siten turvallisia haittaohjelmia ja muita nettihyökkäyksiä vastaan. (poikkeuksena RW -levyt).
Mutta mitä osia linuxista on käynnissä siinä vaiheessa, kun knoppixin buuttikehotteeseen painetaan enter ?
Jos olen oikein ymmärtänyt, niin vain jokin osa ISOLINUX -nimisestä optisella levyllä käytettävästä buuttauksenhallintajärjestelmästä.
Miten siis tuohon pystyisi lisäämään sen, että buuttaus jatkuu vain, jos MD5 -summa täsmää, ja siis tietenkin sen, että tuo MD5 -summa yleensä laskettaisiin ?
Jos koneessa on nopea CPU, niin DVD -levyllisen dataa, joka on kiintolevyllä, MD5 -summan laskeminen on huomattavasti nopeampaa kuin saman datan kopiointi yhä uudelleen DVD -levyltä.
Samalla tulee mieleen kysymys: onko kukaan tehnyt Knoppix 5.3.1:stä CD -versiota, jostain syystä Klaus Knopper on tehnyt siitä vain DVD -version.
Sikäli harmi, että CD -versiota voi nykykoneissa käyttää myös toram -optiolla (vaatii vähintään 1 Gt RAM -muistia). Mutta DVD -versiossa käsittääkseni toram ei ole kelvollinen optio, koska se vaatisi 4,7 Gt RAM -muistia ja se taas vaatisi 64 -bittisen linuxin, 32 -bittisissä kun maksimi hyödynnettävä RAM -muistin määrä on 4 Gt, josta on vielä vähennettävä näytönohjainmuistin koko.
Vaikka moni pitää linuxia windowsia turvallisempana, niin onhan myös linux -koneiden tietoturva silloin tällöin onnistuttu murtamaan.
Tietoturva paranisi oleellisesti, jos jokaisen buuttauksen jälkeen voisi olla varma siitä, että järjestelmässä ei ole haittaohjelmia.
Kommentteja ja ohjeita ?
Vastaukset 8
Vanhimmat
Sitäkö ettei joku ole asentanut "viritettyä" Knoppix-imagea koneellesi?
Tuossa alussa on vain Isolinux käynnissä. Vasta kun on saatu kernel käyntiin ja ladattu muistiin ja liitetty initrd.img niin päästään käyttämään Linuxin ohjelmia. Initrd.img sisältää käynnistykseen tarvittavat modulit, ohjelmat ja scriptit. Sieltä löytyy paikat minne halutut viritykset voi asentaa.
Aivan, luvattoman muutoksen havaitseminen tässä on tarpeena.
Eli, jos knoppixin toimiessa joku onnistuu hyökkäämään koneelleni siten, että kiintolevyllä olevaa knoppix CD:tä tai DVD:tä vastaavaa imagea muokataan siten, että joku osa siitä korvataan troijalaisella versiolla siten, että uudelleenbuuttauksen jälkeen hyökkääjän haluama koodi käynnistyisi, niin MD5 -tarkistus, jossa sekä laskentakoodi että vertailusumma on read only -medialla eli CD:llä tai DVD:llä, niin tuo eliminoisi riskin.
Eli aivan kuten oletinkin, isolinux hallitsee konetta sillä hetkellä, kun buuttikehotteeseen painetaan enter.
Millähän keinolla tuon isolinuxin saisi tekemään md5 -tarkistuksen tuolle kiintolevyllä olevalle imagelle ja hylkäämään sen, jos tarkiste ei täsmää CD:llä tai DVD:llä olevaan vertailusummaan ?
Jos ei mitenkään, niin miten knoppixin saisi buuttaamaan niin, että itse kernel ladataan CD:ltä tai DVD:ltä ja samoin md5 -laskentaohjelma, vertailusumma, ja mahd. apuohjelma, joka käyttä joko md5sum- linuxin vakio-ohjelmaa tai sitten tuo apuohjelma sisältää saman koodin kuin md5sum, mutta on itse riittävän siksu että osaa jatkaa eri tavalla riippuen, täsmääkö tuo md5 -summa.
Eikös linuxin normaalissa buutissa kernelin jälkeen ladata init -prosessi, jonka PID=1 ?
Siis myös tuo init -prosessin image pitäisi ladata read only -medialta, samoin kuin se/ne tiedosto(t) joka määrää, mitä seuraavaksi käynnistetään.
Ja tuossa tiedostossa pitäisi sitten ajaa vaikkapa md5safetychk -ohjelma, joka sitten kontrolloisi, mitä sen jälkjeen tapahtuu.
Toinen vaihtoehto ehkä voisi olla PXE, mutta edellyttääkö tuo verkkokortille preboot -ROMmia ?
Jos onnistut saamaan jonkin haitakkeen knoppixiin, niin käy hyvä ihminen myös lottaamassa, sillä lotossakin täysosuman saaminen on todennäköisempää :D
Olisiko parempi että pysyttelet vain livessä, sen verran paranoidia juttua ;D
Ymmärtäisin tuosta että idea on vähän sama kuin joissakin anti-rootkit-softissa jotka laskevat tärkeistä tiedostoista md5:n ja tutkivat mahdollisia muutoksia.
Mahtaisiko tuo onnistua isolinux.cfg:n kautta? Ei itellä ole aavistustakaan mutta sieltähän ajetaan muutakin sälää että sieltä saattaisi jotenkin onnistua ajaa skripti. Voihan tuo md5summa olla myös kiintolevyllä, kun sille asettaa immuuni-attribuutin (chattr i) niin eipä sitä kukaan pääse muuttelemaan tai vaihtamaan.
Kannattaa valaa myös se cd-romppu betonilaatan sisään varastoinnin ajaksi niin ei kukaan pääse vaihtamaan sun cd-rompun sisältöä salaa, painat vaan siihen valuun peukalonjäljen puumerkiksi ja nostat kirjahyllyyn ni talles on!
aika kehnoa tekstiä multa, sorry, huumoritarkoituksella.
Ei se isolinux osaa muuta kuin käynnistellä ohjelmia. Muutamaa poikkeusta lukuunottamatta ohjelmat tarvitsevat käyttöjärjestelmän alleen (vaikka DOS).
Initrd.img on se paikka jonne tuommoiset tarkastussysteemit asennellaan. Kun katselee tavallisen Debianin initrd.img rakennetta niin näkee että siellä on valmiit paikat mihin omat systeminsä sijoittaa. Purkaa tarkastelua varten tyhjään hakemistoon komennolla (esimerkkinä oma Debiani)
zcat /boot/initrd.img-2.6.26-2-amd64 | cpio -i
>...turvallisuutta olisi hyvä parantaa.
Ja minkähän vuoksi? Tietoturvassa, ihan kuin kaikessa muussakin turvallisuudessa, toimenpiteisiin kannattaa ryhtyä vasta sitten kun reaalinen uhka on todistettavasti olemassa ja edes jossainmäärin todennäköinen. Ihmisiä on jopa kuollut meteoriitin iskuun mutta kenelläkään normaalilla ei ole aikomustakaan rakentaa suojaa niitä varten. Vai meinaatko olla ensimmäisten joukossa jos mahdollisesti tällaista tapahtuisi?
>...kiintolevylle tallennetun knoppix -jakelun eheys tarkistetaan md5 -summalla...
Entäs päivitysten jälkeen? Aiotko polttaa uuden asennuspaketin jokaisen bugikorjauksen jälkeen?