abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

včera 19:00 | Komunita

Na Humble Bundle lze získat počítačovou hru Sanctum 2 (Wikipedie, YouTube) běžící také v Linuxu zdarma. Speciální akce končí v sobotu v 19:00.

Ladislav Hagara | Komentářů: 0
včera 15:44 | Komunita

Projekt LiMux skončil. Mnichov se vrací k Windows. Rada města na svém včerejším zasedání schválila migraci všech počítačů na Windows 10 do roku 2020.

Ladislav Hagara | Komentářů: 19
včera 08:00 | Pozvánky

V Praze dnes probíhá konference Internet a Technologie 17.2 pořádaná sdružením CZ.NIC. Sledovat ji lze online. K dispozici je také archiv předchozích konferencí. Sdružení nedávno vydalo bezpečnostní pexeso. Ke stažení jako pdf pod licencí CC BY-NC-SA.

Ladislav Hagara | Komentářů: 0
včera 07:22 | Nová verze

Byla vydána verze 10.2 a krátce na to opravná verze 10.2.1 open source alternativy GitHubu, tj. softwarového nástroje s webovým rozhraním umožňujícího spolupráci na zdrojových kódech, GitLab (Wikipedie). Představení nových vlastností v příspěvku na blogu a na YouTube.

Ladislav Hagara | Komentářů: 20
včera 06:22 | Pozvánky

V úterý 28. listopadu se v Brně koná již 4. přednáškový večer Ruby Stories. Těšit se můžete na témata jako TDD, hybridní mobilní aplikace či programování v Elixiru. Více informací na Facebooku nebo se rovnou registruj na Eventbrite. Na místě bude zdarma drink a lehké občerstvení, tak dorazte.

ondrej-zadnik | Komentářů: 0
včera 06:11 | Pozvánky

V úterý 28. 11. 2017 bude další Prague Containers Meetup. DC/OS a Mesos vás provede Mesosphere's Developer Advocate Matt Jarvis.

little-drunk-jesus | Komentářů: 0
23.11. 14:44 | Komunita

Mozilla.cz informuje, že Firefox bude možná upozorňovat na úniky vašich hesel. V Mozille prototypují upozorňování na únik informací o vašem účtu, pokud se na seznamu Have I been pwned? objeví služba, ke které máte ve Firefoxu uložené přihlašovací údaje. Informace se objevila v pravidelném newsletteru o vývoji Firefoxu.

Ladislav Hagara | Komentářů: 7
23.11. 00:22 | Bezpečnostní upozornění

Společnost ZONER informuje o bezpečnostním incidentu, při kterém došlo ke zcizení a zveřejnění části přihlašovacích údajů zákazníků k elektronické poště a webhostingu CZECHIA.COM.

Ladislav Hagara | Komentářů: 1
22.11. 23:44 | Nová verze

Byla vydána nová stabilní verze 1.13 (1.13.1008.32) webového prohlížeče Vivaldi (Wikipedie). Z novinek vývojáři zdůrazňují možnost zobrazení otevřených i uzavřených listů pomocí ikonky Okno na postranní liště a vylepšené stahování (YouTube). Nejnovější Vivaldi je postaveno na Chromiu 62.0.3202.97.

Ladislav Hagara | Komentářů: 17
22.11. 20:55 | Nová verze

Byla vydána verze 2017.3 dnes již průběžně aktualizované linuxové distribuce navržené pro digitální forenzní analýzu a penetrační testování Kali Linux. Aktualizovat systém lze pomocí příkazů "apt update; apt dist-upgrade; reboot". Z novinek lze zmínit 4 nové nástroje: InSpy, CherryTree, Sublist3r a OSRFramework.

Ladislav Hagara | Komentářů: 2
Jak se vás potenciálně dotkne trend odstraňování analogového audio konektoru typu 3,5mm jack z „chytrých telefonů“?
 (9%)
 (1%)
 (1%)
 (1%)
 (75%)
 (14%)
Celkem 769 hlasů
 Komentářů: 37, poslední 21.11. 15:21
    Rozcestník

    Dotaz: Jak na šifrované logy z apache a syslogu?

    Bilbo avatar 4.6.2010 00:52 Bilbo | skóre: 29
    Jak na šifrované logy z apache a syslogu?
    Přečteno: 389×
    Rád bych šifroval logy co produkuje na serveru apache a syslog (u syslogu by stačila i jen část logů), aby když se někdo na server nabourá, případně ho ukradne, tak aby se do těch logů co tam jsou uloženy nedostal.

    Tedy by to musela být nějaká asymetrická kryptografie (např. něco na způsob GPG), kdy na serveru je jen veřejný klíč a privátní je uložen bezpečně v trezoru (ve chvíli, kdy si chci logy přečíst, tak si je přenesu na jiný počítač, vezmu z trezoru klíč a tam je dešifruju).

    GPG jen tak asi nepůjde použít (umí šifrovat soubory, ale asi to nepůjde tak jednoduše s rourami, kde data plynule proudí několik měsíců bez přestávky)

    Principiálně by to mělo být snad možné - apache umí logy posílat rourou zadanému programu, rsyslog sice ne, ale umí named pipes (fifo) takže by tu taky neměl být problém.

    Tedy jediné co "zbývá", je nějaký program co mu teče na vstup log v plaintextu a z něj se to pak zapisuje nějakým způsobem do nějakých šifrovaných souborů. A umí se nějak vyrovnat s rotací logů a jinými problémy - restart apache, aby se log celý nezničil při náhlém ukončení programu (OOM, restart serveru ...), atd ...

    Víte někdo o nějakém programu, co by tohle dělal (nebo ho lze nějak přiohnout, aby se k tomuhle dal použít), nebo si ho budu muset napsat sám?
    Big brother is not watching you anymore. Big Brother is telling you how to live...

    Odpovědi

    Max avatar 4.6.2010 07:47 Max | skóre: 65 | blog: Max_Devaine
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Mně to přijde jako security obscurity. Když se někdo nabourá na server, tak logy je to poslední, o co bych se bál. Ale to, že si neumím dobře představit zneužitelnost logů, ještě nic neznamená.
    Jinak osobně bych to možná řešil nějakým separátním logovacím serverem. To by do hodně velké míry zregulovalo počet možných bezpečnostních chyb (vše na FW zakázáno, jen naslouchání na ssh a syslogu povoleno).
    Nevýhodou zašifrovaných logů je to, že jsou zašifrovaný a tudíž se ti zvyšuje čas potřebný k řešení nějakého problému.
    Dalším problémem je, že když nasadíš šifrování, tak si odpálíš další bezpečnostní prvek, který zřejmě nepoužíváš a tím je automatická kontrola logů nějakým scriptem (log analyzerem jako je např. Logwatch), který v případě nalezení neobvyklého, nebo i předem definovaného, záznamu dá okamžitě vědět správci.
    Zdar Max
    Měl jsem sen ... :(
    4.6.2010 10:15 Bill Gates
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    >vše na FW zakázáno, jen naslouchání na ssh
    SSH mit otevrene z venku - tomu taky neverim..
    SSH zavrit taky, na SSH lezu skrz VPN bezici na serveru na totalne nestandardnim portu a az na VPNce teprve otevreny port SSH. By musel nekdo hacknout VPNku a pak jeste heslo na SSH, to uz je psycho.
    5.6.2010 16:28 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    By musel nekdo hacknout VPNku a pak jeste heslo na SSH, to uz je psycho.

    Správně. Ještě že žádní psycho hackeři nejsou.
    In Ada the typical infinite loop would normally be terminated by detonation.
    Bilbo avatar 4.6.2010 15:33 Bilbo | skóre: 29
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    V logwatch nevidím nepřekonatelný problém, kopie nešifrovaných logů se pustí do další roury, na jejímž konci bude logwatch. Logwatch pak bude posílat maily šifrované GPG :)

    Separátní logovací server asi nebude to správné řešení pro mně, jednak pořád musím řešit stejný problém (někdo nabourá nebo ukradne i ten logovací server, tedy potřeba šifrovat), jednak to znamená další stroj navíc.

    Samozřejmě, že optimální je, pokud se podaří server zabezpečit tak, aby se na něj nikdo nedostal, ale snažím se, aby když už se někdo serveru zmocní, nebo se na něj nabourá, aby nadělal minimum škody. Je celkem rozdíl, pokud si někdo ze serveru odnese logy za rok s citlivými údaji, nebo jen za krátkou (od hacknutí do objevení hackera), až nulovou (někdo vyškubne bednu ze zdi a odnese si ji) dobu.
    Big brother is not watching you anymore. Big Brother is telling you how to live...
    4.6.2010 16:08 zulu
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    S takovým přístupem ti taky může někdo nabořit server s privátním klíčem a logy rozšifrovat. Trochu soudnosti, pane. Mimo to, jak se ti do logů dostanou citlivá data a proč je tam cpeš?

    Bilbo avatar 6.6.2010 03:40 Bilbo | skóre: 29
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Rozdíl je v tom, že se akorát ty logy přenesou na logovací server (takže se jen změní cíl pro útočníka) - a ve chvíli kdy logserver klekne, tak přijdu o značnou část logů než ho osobně nahodím.

    Privátní klíč nemusí být online (může strávit většinu doby v trezoru), takže tam je riziko o dost nižší.

    Je dost případů, kdy data z logů můžou být cennější, než jakákoliv jiná data na serveru. Komplet index googlu je relativně cenný (je potřeba dobrá konektivita a hodně času k jeho vybudování, ale zase to může "snadno" udělat kdokoliv), ale informace kdo kde co vyhledává (čili logy) bude asi cennější (a lépe zneužitelná ve špatných rukou) a nedá se tak snadno získat, viz. třeba rozruch kolem uvolnění podobných dat Amazonem (který je sice "anonymizoval", ale moc to nepomohlo ....)
    Big brother is not watching you anymore. Big Brother is telling you how to live...
    Max avatar 6.6.2010 09:51 Max | skóre: 65 | blog: Max_Devaine
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Nojo, jenomže ten logovací server může být mnohonásobně lépe zabezpečenější, než ten původní, jelikož na něm nepoběží žádné služby, jen asi dvě a ty budou na FW omezeni jen pro určité IP. Takže jediná možnost, jak by se někdo mohl do serveru nabourat, je zjistit si heslo roota, nebo přijít na nějaký remote exploit jádra k získání root práv. Obě dvě věci považuji za v dnešní době hodně nerealistické.
    Zdar Max
    Měl jsem sen ... :(
    6.6.2010 12:36 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    ten logovací server může být mnohonásobně lépe zabezpečenější, než ten původní
    To může být pravda, ale na tom ve výsledku asi nebude moc záležet.

    Nakonec chcete ty data někam dostat, abyste je mohl zpracovat nebo číst, takže bude mnohem více záležet na tom, jak zabezpečíte čtení. (Pokud je chcete jen shromažďovat, tak nejbezpečnějším a nejúspornějším místem je /dev/null :)
    zjistit si heslo roota ... považuji za v dnešní době hodně nerealistické
    Žijete asi v jiné realitě než já (a spousta jiných).
    In Ada the typical infinite loop would normally be terminated by detonation.
    Ondrej avatar 4.6.2010 16:25 Ondrej | skóre: 20 | blog: darkblair_server | Praha
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Resis blbost. Pokud ti nekdo ukradne nebo naboura server, mas mnohem horsi problem nez nejaky cteni logu. Z logu se nic utocnik nedozvi, mnohem zajimavejsi jsou data na nem. A pokud mas aplikaci, ktera do syslogu cpe duverny data - aplikaci okamzite vyhod.

    Jinak bych to resil logovacim serverem s sifrovanym diskem, klic na flashce. Pokud potrebujes restartovat server, tak k nemu dojit, strcit do nej flashku, nechat pripojit disky a flashku si zase odnest.

    Ale jak rikam ja a i lidi prede mnou - resis zbytecnou blbost. Nicemu nepomuzes a jenom budes spotrebovavat vykon stroje na (de)sifrovani logu.

    P.S.: A ted si predstav, ze ti nekdo crackne soukromej klic! preci jenom je to jenom par kilobitu dat - u 2048bit klice je jenom 2^2048 moznejch privatnich klicu, coz je nejaky (a popravde celkem i maly) cislo - 3,231700607e+616 (cca.)
    Nikdo neni nikdy lepsi nez ty! Pouze ty jsi obcas horsi nez ostatni.
    5.6.2010 16:30 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    u 2048bit klice je jenom 2^2048 moznejch privatnich klicu, coz je nejaky (a popravde celkem i maly) cislo - 3,231700607e+616 (cca.)

    Jak kde :)
    In Ada the typical infinite loop would normally be terminated by detonation.
    5.6.2010 16:36 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Tedy jediné co "zbývá", je nějaký program co mu teče na vstup log v plaintextu a z něj se to pak zapisuje nějakým způsobem do nějakých šifrovaných souborů. A umí se nějak vyrovnat s rotací logů a jinými problémy - restart apache, aby se log celý nezničil při náhlém ukončení programu (OOM, restart serveru ...), atd ...

    Myslím, že jste na to kápnul. Ten program si musí přečíst (zapamatovat) kus záznamu z logu, ten pak zašifrovat a uložit. To není nic proti ničemu (postačí na to docela malý skript).

    Jen si musíte rozvrhnout, jak dlouhý kus si budete pamatovat. Pokud bude moc krátký, budete režie šifrování příliš veliká. Pokud bude moc dlouhý, hrozí, že při výpadku přijdete o adekvátně dlouhý kus záznamů. Pokud bych střelil od boku, tak bych šifroval např. jednou za minutu nebo jednou za 4 kb textu, podle toho, co přijde dřív.

    Samozřejmě musíte k tomu připojit nástroj, kterým budete ty logy schopen efektivně číst.
    In Ada the typical infinite loop would normally be terminated by detonation.
    Bilbo avatar 6.6.2010 03:04 Bilbo | skóre: 29
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Jo, šlo by to řešit podobně jako to dělá GPG - asymetrickou šifrou se zašifruje session key a zbytek se pak šifruje symetrickou šifrou - u čehož lze cpát šifrovaná data do logu po menších kusech průběžně. Navíc oproti GPG by se tu ale musel session key každých X minut střídat, takže bych pak musel napsat i vlastní dešifrátor a nešel by použít formát GPG.

    Ale napadlo mně, jestli nějaký podobný software už neexistuje, že bych ho nemusel celý psát ... sice by šlo použít k tomu velké kusy z GPG, ale i tak by bylo jednodušší použít už něco hotového.
    Big brother is not watching you anymore. Big Brother is telling you how to live...
    6.6.2010 07:31 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Jak na šifrované logy z apache a syslogu?
    Můžete rovnou použít gpg, na každej ten kousek zvlášť.

    In Ada the typical infinite loop would normally be terminated by detonation.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.