abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

dnes 02:00 | Nová verze

Byl vydán Debian 9.1, tj. první opravná verze Debianu 9 s kódovým názvem Stretch a Debian 8.9, tj. devátá opravná verze Debianu 8 s kódovým názvem Jessie. Řešeny jsou především bezpečnostní problémy, ale také několik vážných chyb. Instalační média Debianu 9 a Debianu 8 lze samozřejmě nadále k instalaci používat. Po instalaci stačí systém aktualizovat.

Ladislav Hagara | Komentářů: 6
včera 15:50 | Zajímavý článek

Nadace The Document Foundation (TDF) zastřešující vývoj svobodného kancelářského balíku LibreOffice zveřejnila čtyřiačtyřicetistránkovou výroční zprávu za rok 2016. K dispozici je ve formátu pdf ve vysokém (21,68 MB) a nízkém (7,1 MB) rozlišení. Zpráva byla vytvořena ve Scribusu.

Ladislav Hagara | Komentářů: 0
včera 14:40 | Zajímavý software

Mozilla.cz informuje, že Firefox Focus pro Android, velmi jednoduchý prohlížeč zaměřený na anonymní prohlížení, dosáhl milionu stažení. Firefox Focus blokuje sledující prvky a reklamy a při ukončení automaticky smaže všechna uložená data stránek, historii prohlížení a cookies.

Ladislav Hagara | Komentářů: 16
včera 14:20 | Komunita

Vyplněním dotazníku na Formuláře Google lze ovlivnit výběr výchozích aplikací v Ubuntu 18.04 LTS. Podrobnosti v příspěvku Dustina Kirklanda na Ubuntu Insights [reddit].

Ladislav Hagara | Komentářů: 6
21.7. 11:30 | Komunita

Etherpad (Wikipedie), svobodný online webový textový editor umožnující spolupráci v reálném čase, se stal oficiálním projektem organizace Software Freedom Conservancy (Wikipedie). Vývojáři Etherpadu se tak mohou stejně jako vývojáři dalších projektů soustředit pouze na vývoj softwaru a vše kolem zařídí Software Freedom Conservancy. Spuštěna byla instance Etherpadu pad.sfconservancy.org.

Ladislav Hagara | Komentářů: 3
21.7. 10:40 | Zajímavý článek

Lukáš Růžička se v článku Workrave ve Fedoře aneb jak si nevytunelovat karpál na MojeFedora.cz věnuje aplikaci Workrave (Wikipedie) na sledování času stráveného na počítači, která může pomoci vyhnout se negativním účinkům práce s počítačem (RSI, CTS), nebo je alespoň výrazně zmírnit.

Ladislav Hagara | Komentářů: 1
21.7. 10:00 | Komunita

Na Humble Bundle lze získat počítačovou hru Shadow Warrior: Special Edition běžící také v Linuxu zdarma. Speciální akce končí v sobotu v 19:00.

Ladislav Hagara | Komentářů: 2
20.7. 23:11 | Nová verze

Byla vydána verze 2.4.0 analyzátoru síťového provozu Wireshark. Jedná se o první stabilní verzi nové řady 2.4. Podrobný přehled novinek v poznámkách k vydání. V červnu proběhla konference SharkFest’17 US věnovaná Wiresharku. Záznamy přednášek jsou k dispozici na YouTube.

Ladislav Hagara | Komentářů: 11
20.7. 13:11 | Pozvánky

Spolek OpenAlt zve příznivce otevřeného přístupu na 142. brněnský sraz, který proběhne v pátek 21. července od 18:00 hodin ve Sport Centru Srbská (Srbská 4). Od 19:00 je pro zájemce zamluveno hřiště na plážový volejbal.

Ladislav Hagara | Komentářů: 0
20.7. 12:34 | Bezpečnostní upozornění

V GNOME Soubory, původně Nautilus, konkrétně v generování náhledů exe, msi, dll a lnk souborů byla nalezena a opravena bezpečnostní chyba CVE-2017-11421 s názvem Bad Taste. Při otevření složky obsahující tyto soubory může být spuštěn VBScript obsažen v názvech těchto souborů.

Ladislav Hagara | Komentářů: 3
Těžíte nějakou kryptoměnu?
 (2%)
 (2%)
 (16%)
 (80%)
Celkem 45 hlasů
 Komentářů: 1, poslední dnes 12:40
    Rozcestník

    Dotaz: Jak na šifrované logy z apache a syslogu?

    Bilbo avatar 4.6.2010 00:52 Bilbo | skóre: 29
    Jak na šifrované logy z apache a syslogu?
    Přečteno: 389×
    Rád bych šifroval logy co produkuje na serveru apache a syslog (u syslogu by stačila i jen část logů), aby když se někdo na server nabourá, případně ho ukradne, tak aby se do těch logů co tam jsou uloženy nedostal.

    Tedy by to musela být nějaká asymetrická kryptografie (např. něco na způsob GPG), kdy na serveru je jen veřejný klíč a privátní je uložen bezpečně v trezoru (ve chvíli, kdy si chci logy přečíst, tak si je přenesu na jiný počítač, vezmu z trezoru klíč a tam je dešifruju).

    GPG jen tak asi nepůjde použít (umí šifrovat soubory, ale asi to nepůjde tak jednoduše s rourami, kde data plynule proudí několik měsíců bez přestávky)

    Principiálně by to mělo být snad možné - apache umí logy posílat rourou zadanému programu, rsyslog sice ne, ale umí named pipes (fifo) takže by tu taky neměl být problém.

    Tedy jediné co "zbývá", je nějaký program co mu teče na vstup log v plaintextu a z něj se to pak zapisuje nějakým způsobem do nějakých šifrovaných souborů. A umí se nějak vyrovnat s rotací logů a jinými problémy - restart apache, aby se log celý nezničil při náhlém ukončení programu (OOM, restart serveru ...), atd ...

    Víte někdo o nějakém programu, co by tohle dělal (nebo ho lze nějak přiohnout, aby se k tomuhle dal použít), nebo si ho budu muset napsat sám?
    Big brother is not watching you anymore. Big Brother is telling you how to live...

    Odpovědi

    Max avatar 4.6.2010 07:47 Max | skóre: 65 | blog: Max_Devaine
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Mně to přijde jako security obscurity. Když se někdo nabourá na server, tak logy je to poslední, o co bych se bál. Ale to, že si neumím dobře představit zneužitelnost logů, ještě nic neznamená.
    Jinak osobně bych to možná řešil nějakým separátním logovacím serverem. To by do hodně velké míry zregulovalo počet možných bezpečnostních chyb (vše na FW zakázáno, jen naslouchání na ssh a syslogu povoleno).
    Nevýhodou zašifrovaných logů je to, že jsou zašifrovaný a tudíž se ti zvyšuje čas potřebný k řešení nějakého problému.
    Dalším problémem je, že když nasadíš šifrování, tak si odpálíš další bezpečnostní prvek, který zřejmě nepoužíváš a tím je automatická kontrola logů nějakým scriptem (log analyzerem jako je např. Logwatch), který v případě nalezení neobvyklého, nebo i předem definovaného, záznamu dá okamžitě vědět správci.
    Zdar Max
    Měl jsem sen ... :(
    4.6.2010 10:15 Bill Gates
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    >vše na FW zakázáno, jen naslouchání na ssh
    SSH mit otevrene z venku - tomu taky neverim..
    SSH zavrit taky, na SSH lezu skrz VPN bezici na serveru na totalne nestandardnim portu a az na VPNce teprve otevreny port SSH. By musel nekdo hacknout VPNku a pak jeste heslo na SSH, to uz je psycho.
    5.6.2010 16:28 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    By musel nekdo hacknout VPNku a pak jeste heslo na SSH, to uz je psycho.

    Správně. Ještě že žádní psycho hackeři nejsou.
    In Ada the typical infinite loop would normally be terminated by detonation.
    Bilbo avatar 4.6.2010 15:33 Bilbo | skóre: 29
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    V logwatch nevidím nepřekonatelný problém, kopie nešifrovaných logů se pustí do další roury, na jejímž konci bude logwatch. Logwatch pak bude posílat maily šifrované GPG :)

    Separátní logovací server asi nebude to správné řešení pro mně, jednak pořád musím řešit stejný problém (někdo nabourá nebo ukradne i ten logovací server, tedy potřeba šifrovat), jednak to znamená další stroj navíc.

    Samozřejmě, že optimální je, pokud se podaří server zabezpečit tak, aby se na něj nikdo nedostal, ale snažím se, aby když už se někdo serveru zmocní, nebo se na něj nabourá, aby nadělal minimum škody. Je celkem rozdíl, pokud si někdo ze serveru odnese logy za rok s citlivými údaji, nebo jen za krátkou (od hacknutí do objevení hackera), až nulovou (někdo vyškubne bednu ze zdi a odnese si ji) dobu.
    Big brother is not watching you anymore. Big Brother is telling you how to live...
    4.6.2010 16:08 zulu
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    S takovým přístupem ti taky může někdo nabořit server s privátním klíčem a logy rozšifrovat. Trochu soudnosti, pane. Mimo to, jak se ti do logů dostanou citlivá data a proč je tam cpeš?

    Bilbo avatar 6.6.2010 03:40 Bilbo | skóre: 29
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Rozdíl je v tom, že se akorát ty logy přenesou na logovací server (takže se jen změní cíl pro útočníka) - a ve chvíli kdy logserver klekne, tak přijdu o značnou část logů než ho osobně nahodím.

    Privátní klíč nemusí být online (může strávit většinu doby v trezoru), takže tam je riziko o dost nižší.

    Je dost případů, kdy data z logů můžou být cennější, než jakákoliv jiná data na serveru. Komplet index googlu je relativně cenný (je potřeba dobrá konektivita a hodně času k jeho vybudování, ale zase to může "snadno" udělat kdokoliv), ale informace kdo kde co vyhledává (čili logy) bude asi cennější (a lépe zneužitelná ve špatných rukou) a nedá se tak snadno získat, viz. třeba rozruch kolem uvolnění podobných dat Amazonem (který je sice "anonymizoval", ale moc to nepomohlo ....)
    Big brother is not watching you anymore. Big Brother is telling you how to live...
    Max avatar 6.6.2010 09:51 Max | skóre: 65 | blog: Max_Devaine
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Nojo, jenomže ten logovací server může být mnohonásobně lépe zabezpečenější, než ten původní, jelikož na něm nepoběží žádné služby, jen asi dvě a ty budou na FW omezeni jen pro určité IP. Takže jediná možnost, jak by se někdo mohl do serveru nabourat, je zjistit si heslo roota, nebo přijít na nějaký remote exploit jádra k získání root práv. Obě dvě věci považuji za v dnešní době hodně nerealistické.
    Zdar Max
    Měl jsem sen ... :(
    6.6.2010 12:36 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    ten logovací server může být mnohonásobně lépe zabezpečenější, než ten původní
    To může být pravda, ale na tom ve výsledku asi nebude moc záležet.

    Nakonec chcete ty data někam dostat, abyste je mohl zpracovat nebo číst, takže bude mnohem více záležet na tom, jak zabezpečíte čtení. (Pokud je chcete jen shromažďovat, tak nejbezpečnějším a nejúspornějším místem je /dev/null :)
    zjistit si heslo roota ... považuji za v dnešní době hodně nerealistické
    Žijete asi v jiné realitě než já (a spousta jiných).
    In Ada the typical infinite loop would normally be terminated by detonation.
    Ondrej avatar 4.6.2010 16:25 Ondrej | skóre: 20 | blog: darkblair_server | Praha
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Resis blbost. Pokud ti nekdo ukradne nebo naboura server, mas mnohem horsi problem nez nejaky cteni logu. Z logu se nic utocnik nedozvi, mnohem zajimavejsi jsou data na nem. A pokud mas aplikaci, ktera do syslogu cpe duverny data - aplikaci okamzite vyhod.

    Jinak bych to resil logovacim serverem s sifrovanym diskem, klic na flashce. Pokud potrebujes restartovat server, tak k nemu dojit, strcit do nej flashku, nechat pripojit disky a flashku si zase odnest.

    Ale jak rikam ja a i lidi prede mnou - resis zbytecnou blbost. Nicemu nepomuzes a jenom budes spotrebovavat vykon stroje na (de)sifrovani logu.

    P.S.: A ted si predstav, ze ti nekdo crackne soukromej klic! preci jenom je to jenom par kilobitu dat - u 2048bit klice je jenom 2^2048 moznejch privatnich klicu, coz je nejaky (a popravde celkem i maly) cislo - 3,231700607e+616 (cca.)
    Nikdo neni nikdy lepsi nez ty! Pouze ty jsi obcas horsi nez ostatni.
    5.6.2010 16:30 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    u 2048bit klice je jenom 2^2048 moznejch privatnich klicu, coz je nejaky (a popravde celkem i maly) cislo - 3,231700607e+616 (cca.)

    Jak kde :)
    In Ada the typical infinite loop would normally be terminated by detonation.
    5.6.2010 16:36 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Tedy jediné co "zbývá", je nějaký program co mu teče na vstup log v plaintextu a z něj se to pak zapisuje nějakým způsobem do nějakých šifrovaných souborů. A umí se nějak vyrovnat s rotací logů a jinými problémy - restart apache, aby se log celý nezničil při náhlém ukončení programu (OOM, restart serveru ...), atd ...

    Myslím, že jste na to kápnul. Ten program si musí přečíst (zapamatovat) kus záznamu z logu, ten pak zašifrovat a uložit. To není nic proti ničemu (postačí na to docela malý skript).

    Jen si musíte rozvrhnout, jak dlouhý kus si budete pamatovat. Pokud bude moc krátký, budete režie šifrování příliš veliká. Pokud bude moc dlouhý, hrozí, že při výpadku přijdete o adekvátně dlouhý kus záznamů. Pokud bych střelil od boku, tak bych šifroval např. jednou za minutu nebo jednou za 4 kb textu, podle toho, co přijde dřív.

    Samozřejmě musíte k tomu připojit nástroj, kterým budete ty logy schopen efektivně číst.
    In Ada the typical infinite loop would normally be terminated by detonation.
    Bilbo avatar 6.6.2010 03:04 Bilbo | skóre: 29
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Jo, šlo by to řešit podobně jako to dělá GPG - asymetrickou šifrou se zašifruje session key a zbytek se pak šifruje symetrickou šifrou - u čehož lze cpát šifrovaná data do logu po menších kusech průběžně. Navíc oproti GPG by se tu ale musel session key každých X minut střídat, takže bych pak musel napsat i vlastní dešifrátor a nešel by použít formát GPG.

    Ale napadlo mně, jestli nějaký podobný software už neexistuje, že bych ho nemusel celý psát ... sice by šlo použít k tomu velké kusy z GPG, ale i tak by bylo jednodušší použít už něco hotového.
    Big brother is not watching you anymore. Big Brother is telling you how to live...
    6.6.2010 07:31 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Můžete rovnou použít gpg, na každej ten kousek zvlášť.

    In Ada the typical infinite loop would normally be terminated by detonation.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.