abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
včera 21:55 | Komunita

Nadace pro svobodný software (FSF) oznámila aktualizaci seznamu prioritních oblastí (changelog), na které by se měli vývojáři a příznivci svobodného softwaru zaměřit. Jsou to například svobodný operační systém pro chytré telefony, hlasová a video komunikace nebo softwarový inteligentní osobní asistent.

Ladislav Hagara | Komentářů: 1
včera 16:44 | Nová verze

Byla vydána verze 2.0.0 knihovny pro vykreslování grafů v programovacím jazyce Python Matplotlib (Wikipedie, GitHub). Přehled novinek a galerie grafů na stránkách projektu.

Ladislav Hagara | Komentářů: 0
včera 15:33 | Komunita

V australském Hobartu probíhá tento týden konference linux.conf.au 2017. Na programu je celá řada zajímavých přednášek. Sledovat je lze online.

Ladislav Hagara | Komentářů: 0
včera 10:20 | Zajímavý článek

Pavel Tišnovský se v dvoudílném článku na MojeFedora.cz věnuje bitmapovým (rastrovým) grafickým editorům ve Fedoře. V prvním dílu se věnuje editorům MyPaint, MtPaint, Pinta, XPaint, Krita a GIMP. V pokračování pak editorům GNU Paint (gpaint), GrafX2, KolourPaint, KIconEdit a Tux Paint.

Ladislav Hagara | Komentářů: 1
16.1. 17:11 | Komunita

Byl proveden bezpečnostní audit svobodného IMAP a POP3 serveru Dovecot (Wikipedie). Audit byl zaplacen z programu Mozilla Secure Open Source a provedla jej společnost Cure53. Společnost Cure53 byla velice spokojena s kvalitou zdrojových kódu. V závěrečné zprávě (pdf) jsou zmíněny pouze 3 drobné a v upstreamu již opravené bezpečnostní chyby.

Ladislav Hagara | Komentářů: 0
16.1. 15:30 | IT novinky

Nadace Raspberry Pi představila na svém blogu Raspberry Pi Compute Module 3 (CM3 a CM3L), tj. zmenšené Raspberry Pi vhodné nejenom pro průmyslové využití. Jedná se o nástupce Raspberry Pi Compute Module (CM1) představeného v dubnu 2014. Nový CM3 vychází z Raspberry Pi 3 a má tedy dvakrát více paměti a desetkrát větší výkon než CM1. Verze CM3L (Lite) je dodávána bez 4 GB eMMC flash paměti. Uživatel si může připojit svou vlastní. Představena byla

… více »
Ladislav Hagara | Komentářů: 1
16.1. 01:23 | Nová verze

Oficiálně bylo oznámeno vydání verze 3.0 multiplatformního balíku svobodných kancelářských a grafických aplikací Calligra (Wikipedie). Větev 3 je postavena na KDE Frameworks 5 a Qt 5. Krita se osamostatnila. Z balíku byly dále odstraněny aplikace Author, Brainstorm, Flow a Stage. U Flow a Stage se předpokládá jejich návrat v některé z budoucích verzí Calligry.

Ladislav Hagara | Komentářů: 7
15.1. 15:25 | Nová verze

Bylo oznámeno vydání první RC (release candidate) verze instalátoru pro Debian 9 s kódovým názvem Stretch. Odloženo bylo sloučení /usr jako výchozí nastavení v debootstrap. Vydán byl také Debian 8.7, tj. sedmá opravná verze Debianu 8 s kódovým názvem Jessie.

Ladislav Hagara | Komentářů: 6
15.1. 13:37 | Zajímavý projekt

1. ledna byl představen projekt Liri (GitHub). Jedná se o spojení projektů Hawaii, Papyros a původního projektu Liri s cílem vyvíjet operační systém (linuxovou distribuci) a aplikace s moderním designem a funkcemi. Včera byl představen Fluid 0.9.0 a také Vibe 0.9.0. Jedná se o toolkit a knihovnu pro vývoj multiplatformních a responzivních aplikací podporující Material Design (Wikipedie) a volitelně také Microsoft Design Language (designový jazyk Microsoft) [reddit].

Ladislav Hagara | Komentářů: 8
14.1. 00:33 | Zajímavý software

Google na svém blogu věnovaném open source představil knihovnu pro komprimaci a dekomprimaci 3D grafiky s názvem Draco. Knihovna bude využívána například v aplikacích pro virtuální a rozšířenou realitu. Porovnání Draco s gzip na YouTube. Zdrojové kódy Draco jsou k dispozici na GitHubu pod licencí Apache 2.0.

Ladislav Hagara | Komentářů: 5
Jak se stavíte k trendu ztenčování přenosných zařízení (smartphony, notebooky)?
 (10%)
 (2%)
 (75%)
 (3%)
 (10%)
Celkem 304 hlasů
 Komentářů: 24, poslední včera 10:14
    Rozcestník
    Reklama

    Dotaz: Jak na šifrované logy z apache a syslogu?

    Bilbo avatar 4.6.2010 00:52 Bilbo | skóre: 29
    Jak na šifrované logy z apache a syslogu?
    Přečteno: 383×
    Rád bych šifroval logy co produkuje na serveru apache a syslog (u syslogu by stačila i jen část logů), aby když se někdo na server nabourá, případně ho ukradne, tak aby se do těch logů co tam jsou uloženy nedostal.

    Tedy by to musela být nějaká asymetrická kryptografie (např. něco na způsob GPG), kdy na serveru je jen veřejný klíč a privátní je uložen bezpečně v trezoru (ve chvíli, kdy si chci logy přečíst, tak si je přenesu na jiný počítač, vezmu z trezoru klíč a tam je dešifruju).

    GPG jen tak asi nepůjde použít (umí šifrovat soubory, ale asi to nepůjde tak jednoduše s rourami, kde data plynule proudí několik měsíců bez přestávky)

    Principiálně by to mělo být snad možné - apache umí logy posílat rourou zadanému programu, rsyslog sice ne, ale umí named pipes (fifo) takže by tu taky neměl být problém.

    Tedy jediné co "zbývá", je nějaký program co mu teče na vstup log v plaintextu a z něj se to pak zapisuje nějakým způsobem do nějakých šifrovaných souborů. A umí se nějak vyrovnat s rotací logů a jinými problémy - restart apache, aby se log celý nezničil při náhlém ukončení programu (OOM, restart serveru ...), atd ...

    Víte někdo o nějakém programu, co by tohle dělal (nebo ho lze nějak přiohnout, aby se k tomuhle dal použít), nebo si ho budu muset napsat sám?
    Big brother is not watching you anymore. Big Brother is telling you how to live...

    Odpovědi

    Max avatar 4.6.2010 07:47 Max | skóre: 64 | blog: Max_Devaine
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Mně to přijde jako security obscurity. Když se někdo nabourá na server, tak logy je to poslední, o co bych se bál. Ale to, že si neumím dobře představit zneužitelnost logů, ještě nic neznamená.
    Jinak osobně bych to možná řešil nějakým separátním logovacím serverem. To by do hodně velké míry zregulovalo počet možných bezpečnostních chyb (vše na FW zakázáno, jen naslouchání na ssh a syslogu povoleno).
    Nevýhodou zašifrovaných logů je to, že jsou zašifrovaný a tudíž se ti zvyšuje čas potřebný k řešení nějakého problému.
    Dalším problémem je, že když nasadíš šifrování, tak si odpálíš další bezpečnostní prvek, který zřejmě nepoužíváš a tím je automatická kontrola logů nějakým scriptem (log analyzerem jako je např. Logwatch), který v případě nalezení neobvyklého, nebo i předem definovaného, záznamu dá okamžitě vědět správci.
    Zdar Max
    Měl jsem sen ... :(
    4.6.2010 10:15 Bill Gates
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    >vše na FW zakázáno, jen naslouchání na ssh
    SSH mit otevrene z venku - tomu taky neverim..
    SSH zavrit taky, na SSH lezu skrz VPN bezici na serveru na totalne nestandardnim portu a az na VPNce teprve otevreny port SSH. By musel nekdo hacknout VPNku a pak jeste heslo na SSH, to uz je psycho.
    5.6.2010 16:28 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    By musel nekdo hacknout VPNku a pak jeste heslo na SSH, to uz je psycho.

    Správně. Ještě že žádní psycho hackeři nejsou.
    In Ada the typical infinite loop would normally be terminated by detonation.
    Bilbo avatar 4.6.2010 15:33 Bilbo | skóre: 29
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    V logwatch nevidím nepřekonatelný problém, kopie nešifrovaných logů se pustí do další roury, na jejímž konci bude logwatch. Logwatch pak bude posílat maily šifrované GPG :)

    Separátní logovací server asi nebude to správné řešení pro mně, jednak pořád musím řešit stejný problém (někdo nabourá nebo ukradne i ten logovací server, tedy potřeba šifrovat), jednak to znamená další stroj navíc.

    Samozřejmě, že optimální je, pokud se podaří server zabezpečit tak, aby se na něj nikdo nedostal, ale snažím se, aby když už se někdo serveru zmocní, nebo se na něj nabourá, aby nadělal minimum škody. Je celkem rozdíl, pokud si někdo ze serveru odnese logy za rok s citlivými údaji, nebo jen za krátkou (od hacknutí do objevení hackera), až nulovou (někdo vyškubne bednu ze zdi a odnese si ji) dobu.
    Big brother is not watching you anymore. Big Brother is telling you how to live...
    4.6.2010 16:08 zulu
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    S takovým přístupem ti taky může někdo nabořit server s privátním klíčem a logy rozšifrovat. Trochu soudnosti, pane. Mimo to, jak se ti do logů dostanou citlivá data a proč je tam cpeš?

    Bilbo avatar 6.6.2010 03:40 Bilbo | skóre: 29
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Rozdíl je v tom, že se akorát ty logy přenesou na logovací server (takže se jen změní cíl pro útočníka) - a ve chvíli kdy logserver klekne, tak přijdu o značnou část logů než ho osobně nahodím.

    Privátní klíč nemusí být online (může strávit většinu doby v trezoru), takže tam je riziko o dost nižší.

    Je dost případů, kdy data z logů můžou být cennější, než jakákoliv jiná data na serveru. Komplet index googlu je relativně cenný (je potřeba dobrá konektivita a hodně času k jeho vybudování, ale zase to může "snadno" udělat kdokoliv), ale informace kdo kde co vyhledává (čili logy) bude asi cennější (a lépe zneužitelná ve špatných rukou) a nedá se tak snadno získat, viz. třeba rozruch kolem uvolnění podobných dat Amazonem (který je sice "anonymizoval", ale moc to nepomohlo ....)
    Big brother is not watching you anymore. Big Brother is telling you how to live...
    Max avatar 6.6.2010 09:51 Max | skóre: 64 | blog: Max_Devaine
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Nojo, jenomže ten logovací server může být mnohonásobně lépe zabezpečenější, než ten původní, jelikož na něm nepoběží žádné služby, jen asi dvě a ty budou na FW omezeni jen pro určité IP. Takže jediná možnost, jak by se někdo mohl do serveru nabourat, je zjistit si heslo roota, nebo přijít na nějaký remote exploit jádra k získání root práv. Obě dvě věci považuji za v dnešní době hodně nerealistické.
    Zdar Max
    Měl jsem sen ... :(
    6.6.2010 12:36 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    ten logovací server může být mnohonásobně lépe zabezpečenější, než ten původní
    To může být pravda, ale na tom ve výsledku asi nebude moc záležet.

    Nakonec chcete ty data někam dostat, abyste je mohl zpracovat nebo číst, takže bude mnohem více záležet na tom, jak zabezpečíte čtení. (Pokud je chcete jen shromažďovat, tak nejbezpečnějším a nejúspornějším místem je /dev/null :)
    zjistit si heslo roota ... považuji za v dnešní době hodně nerealistické
    Žijete asi v jiné realitě než já (a spousta jiných).
    In Ada the typical infinite loop would normally be terminated by detonation.
    Ondrej avatar 4.6.2010 16:25 Ondrej | skóre: 20 | blog: darkblair_server | Praha
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Resis blbost. Pokud ti nekdo ukradne nebo naboura server, mas mnohem horsi problem nez nejaky cteni logu. Z logu se nic utocnik nedozvi, mnohem zajimavejsi jsou data na nem. A pokud mas aplikaci, ktera do syslogu cpe duverny data - aplikaci okamzite vyhod.

    Jinak bych to resil logovacim serverem s sifrovanym diskem, klic na flashce. Pokud potrebujes restartovat server, tak k nemu dojit, strcit do nej flashku, nechat pripojit disky a flashku si zase odnest.

    Ale jak rikam ja a i lidi prede mnou - resis zbytecnou blbost. Nicemu nepomuzes a jenom budes spotrebovavat vykon stroje na (de)sifrovani logu.

    P.S.: A ted si predstav, ze ti nekdo crackne soukromej klic! preci jenom je to jenom par kilobitu dat - u 2048bit klice je jenom 2^2048 moznejch privatnich klicu, coz je nejaky (a popravde celkem i maly) cislo - 3,231700607e+616 (cca.)
    Nikdo neni nikdy lepsi nez ty! Pouze ty jsi obcas horsi nez ostatni.
    5.6.2010 16:30 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    u 2048bit klice je jenom 2^2048 moznejch privatnich klicu, coz je nejaky (a popravde celkem i maly) cislo - 3,231700607e+616 (cca.)

    Jak kde :)
    In Ada the typical infinite loop would normally be terminated by detonation.
    5.6.2010 16:36 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Tedy jediné co "zbývá", je nějaký program co mu teče na vstup log v plaintextu a z něj se to pak zapisuje nějakým způsobem do nějakých šifrovaných souborů. A umí se nějak vyrovnat s rotací logů a jinými problémy - restart apache, aby se log celý nezničil při náhlém ukončení programu (OOM, restart serveru ...), atd ...

    Myslím, že jste na to kápnul. Ten program si musí přečíst (zapamatovat) kus záznamu z logu, ten pak zašifrovat a uložit. To není nic proti ničemu (postačí na to docela malý skript).

    Jen si musíte rozvrhnout, jak dlouhý kus si budete pamatovat. Pokud bude moc krátký, budete režie šifrování příliš veliká. Pokud bude moc dlouhý, hrozí, že při výpadku přijdete o adekvátně dlouhý kus záznamů. Pokud bych střelil od boku, tak bych šifroval např. jednou za minutu nebo jednou za 4 kb textu, podle toho, co přijde dřív.

    Samozřejmě musíte k tomu připojit nástroj, kterým budete ty logy schopen efektivně číst.
    In Ada the typical infinite loop would normally be terminated by detonation.
    Bilbo avatar 6.6.2010 03:04 Bilbo | skóre: 29
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Jo, šlo by to řešit podobně jako to dělá GPG - asymetrickou šifrou se zašifruje session key a zbytek se pak šifruje symetrickou šifrou - u čehož lze cpát šifrovaná data do logu po menších kusech průběžně. Navíc oproti GPG by se tu ale musel session key každých X minut střídat, takže bych pak musel napsat i vlastní dešifrátor a nešel by použít formát GPG.

    Ale napadlo mně, jestli nějaký podobný software už neexistuje, že bych ho nemusel celý psát ... sice by šlo použít k tomu velké kusy z GPG, ale i tak by bylo jednodušší použít už něco hotového.
    Big brother is not watching you anymore. Big Brother is telling you how to live...
    6.6.2010 07:31 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Můžete rovnou použít gpg, na každej ten kousek zvlášť.

    In Ada the typical infinite loop would normally be terminated by detonation.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.