Trochu postěžování-chráníte své konfiguráky? (diskuse)

[Michal Vyskočil]

Více odstavců by neuškodilo, takto jsem se ztratil po prvních větách a zbytek ani nedočetl

[HonzaRez]

Omuvám se za poněkud neumělý styl. Snad jsem to teď zase nepřehnal s těmi odstavci...

[rastos]

Niektoré konfiguráky chránim do istej miery: napr. /etc/rndc.conf a named.conf obsahuje širovací kľúč, pre komunikáciu s DNS serverom. konfiguračné súbory pre ssh obsahujú nastavenia, ktorých znalosť teoreticky môže prospieť útočníkovi. Podobne nastavenie firewallu prezrádza podrobnosti, ktoré nemusí vedieť každý. Pokiaľ to má zmysel, tak poskytnem relevantnú časť týchto zdrojákov.

Zjavne ALSA k do tejto kategórie nepatrí. V Tvojom konkrétnom prípade by som typoval, že jednoducho skutočne nie je veľa ľudí, ktorí majú ten istý notebook (aj keď objednám 10 rovnakých strojov od HP, tak nebudú obsahovať navlas ten istý HW) a navyše aj keď je HW rovnaký, rozdiel môže byť v distribúcii či verzii daného balíka. Preto je logickejšie upravovať konfigurák, ktorý sa nainštaloval, ako preplácnuť ho celý niečím iným.

[Josef Kufner]

Ale i tak je kompletni konfigurak velice uzitecny. Muzes je hezky porovnat a treba zjistis, ze chyba je v nejake totalni blbosti.

[Michal Kubeček]

konfiguračné súbory pre ssh obsahujú nastavenia, ktorých znalosť teoreticky môže prospieť útočníkovi.

Tak tohle bych zařadil do stejné kategorie jako spouštění sshd na nestandardním portu nebo přejmenovávání roota. Pokud tam máte něco nastaveného nebezpečně, je to nebezpečné bez ohledu na to, zda útočník ten konfigurační soubor viděl nebo ne.

[rastos]

Bezpečné a nebezpečné nie je binárny stav. Ak mám povolený login zvonka len z jednej IP adresy, tak úroveň bezpečnosti môjho systému klesla o úroveň zraniteľnosti toho druhého stroja.

Nehovorím, že sa treba spoliehať na security by obscurity. Len hovorím, že obscurity ako layer navrch, nezaškodí. Resp. ani tak nejde o to či to tvrdím, alebo nie, alebo či je to pravda, ale o to, že to môže byť príčinou prečo ľuďia neuverejňujú kompletné konfiguráky.

[Michal Kubeček]

Len hovorím, že obscurity ako layer navrch, nezaškodí.

No a právě na tom se neshodneme.

[belisarivs]

A propc jsi nenapsal hw ktery chces zprovoznit? Co vis jestli to nekomu neslape a nemohl by ti poradit.

[Aleš Kapica]

Kompletní konfigurák nejenže vede k tupému předávání někdy i naprostých nesmyslů, ale především může být silně specifický - distribuce, nainstalovaný software, hardwarová konfigurace, atp. atp.

Takže to že k dispozici není nebývá projev zlé vůle, nebo sobectví - v takovém případě by se totiž ani neobtěžovali dotyční dávat na web vůbec nějakou informaci.

[vencour]

Taky jsem dostal vše na talíři k noťasu - beru to jen, když musim = abych se něco naučil vlastnim hledáním. Nemam rád black box.

P.S. rád pomůžu, buduůli moci.

[Michal Kubeček]

Kompletní konfigurák nejenže vede k tupému předávání někdy i naprostých nesmyslů

Ano, stačí se podívat na tvůrce webových stránek. 90 procent z nich opisuje deklaraci typu dokumentu jako posvátné dědictví předků, aniž by měli nejmenší tušení, co vlastně znamená. Když ji místo do dvou řádků napíšete do jednoho, budete upálen jako kacíř… :-)

[Filip Jirsák]

Navíc kdyby existovalo něco jako kompletní zaručený konfigurák pro něco, bude nejspíš takový konfigurák výchozím konfigurákem, budou jeho hodnoty výchozími hodnotami nebo alespoň bude součástí dokumentace. Leč váš problém je nejspíš v tom, že potřebujete něco nakonfigurovat nějak nestandardně, onen výchozí konfigurák vám nejspíš nevyhovuje/nefunguje.

[HonzaRez]

Tak úplně konrétně se mi jednalo o tento problém. Samozřejmě tento blog není myšlen jmenovitě na uživatele Ábíčka, že jsou to krkouni a nepošlou konfigurák. Vtip je v tom, že jsem prohledal spoustu diskusí a všude byly obecné rady a snad ani jeden příspěvek typu "Mně to jede bezva, tady je konfigurák..." Samozřejmě se nepovažuji za nijak zkušeného, ale i pře rozdílnost distribucí bych snad dokázal (pokus-omyl) zjistit, co by na tom mém kusu a distribuci fugnovalo... Díky všem za reakce.

[otula]

Není tak docela pravda, že člověk nedostane konkrétní odpověď. Já sám jsem jich pár dostal. http://www.abclinuxu.cz/forum/show/164195#17, http://www.abclinuxu.cz/forum/show/161610#1 nebo třeba http://www.abclinuxu.cz/forum/show/160438#3. Pravda je že se nejednalo o konfiguráky, ale odpovědi byly velmi konkrétní a pomohly mi.

[Robert Krátký]

Tak úplně konrétně se mi jednalo o tento problém.

Vzhledem k tomu, že v té diskuzi je jediná odpověď, tak bych řekl, že to vystihl Aleš Kapica výše:

Takže to že k dispozici není nebývá projev zlé vůle, nebo sobectví - v takovém případě by se totiž ani neobtěžovali dotyční dávat na web vůbec nějakou informaci.

Prostě tu diskuzi nečetl nikdo, kdo by takový konfigurák měl k dispozici. Potřeby uživatelů jsou různé. I kdyby někdo ten samý notebook používal s tou samou distribucí, neznamená to, že to má nastavené tak, jak by se tobě hodilo (a mohl by tedy konfiguraci poskytnout). Já měl například za uplynulých 15 let čtyři různé notebooky se zvukovkou (a další dva bez), ale ani jedinkrát jsem vestavěný mikrofon nepoužil (tj. ani nechtěl použít) -- ani tedy nevím, jestli na tom současném funguje nebo ne.