Když to nejde, tak to nedělejte

15.9.2009 08:55 | Přečteno: 1837× | GNU

Škoda že nejsem ten typ člověka, co si všechno ukládá do bookmarků, aby mohl každý argument podpořit hromadou URL. O co jde: zdá se mi že hustota výskytu lokálních root exploitů v unix-like systémech je hodně vysoká (windows nestojí za zmínku, to je samozřejmě bezpředmětné). Kdybych byl útočník a potřeboval rootshell někde kde mám účet, stačilo by zřejmě jenom počkat pár měsíců než se objeví nějaká nezalepená díra. Tak mě napadá: má to vůbec smysl, hrát si na roota, capabilities, security enhancements, a podobné věci, když to stejně k ničemu není? Oč by byla správa a konfigurace PC jednodušší, kdybych měl jen jeden účet? Oč by bylo jednodušší jádro, kdyby každý syscall nemusel několikrát kontrolovat zda je daná věc povolená? Jednodušší navíc vždy znamená rychlejší a lépe odladěné. Třeba by pak zbylo i více času na hledání a opravu remote exploitů, což je podle mě mnohem důležitější.

A co argumenty typu "přece nepolezu na pr0n a warez stránky pod rootem"? No řekl bych že virtualizace je v tomto případě lepší volbou. Fakticky jsou tam sice stejné problémy jako u oddělení bezpečnostních domén v jádru, ale tak nějak cítím že díky tomu, že virtuální stroj to řeší na mnohem nižší úrovni, bude to jednodušší a robustnější.

Možná je to úplnej blábol, píšu to pod dojmem dalšího bugu ve FreeBSD, a protože mě zajíá jak se na to dívají ostatní.        

Komentáře

[huhu]

Takže sekretářku bys nechal používat root účet?

[zde]

Sekretářky na WXP fungují pod účtem "administrator" docela běžně.

[Salamek]

ano a také jak to dopadá

[alblaho]

Spuštění škodlivého kódu pod normálním účtem je velmi nepříjemné, protože člověk může přijít o jakákoliv data, která mu patří. To, že systém takový zásah přežije mi pak bude prd platné.

Na druhou stranu, když sekretářka ukládá dokumentu někam na síť (ze které se dělají zálohy), tak je určitě vhodné, aby její systém spuštění škodlivého kódu přežil a odnesl to jenom její účet.

Další věc jsou lidské omyly. Teoreticky bych mohl všechno dělat pod rootem a asi by se nic nestalo, na druhou stranu, když dělám experimenty, tak jsem občas rád, že jejich dopady jsou omezeny na můj účet.

[Max]

Osobně bych nebyl tak pesimistický. Když se podíváme na linuxový kernel, tak v nových jádrech se občas exploit objeví, ale když už, tak většinou lokální. Navíc, třeba debian, ten byl dost často proti takovým exploitům imunní, jelikož používá opravdu postarší verze jader a na ty se to už většinou nevztahovalo.
Pokud by jsi chtěl číhat na nějaký remote exploity, tak by jsi se nemusel moc dočkat a pokud by jsi se dočkal, tak by jsi si musel rychle chvátnout, aby jsi si napsal nějakýho červíka, který by to využíval.
Co si tak vzpomínám na díru ve vmsplice (lokální exploit), tak na tu vyšel patch / dočasné řešení do několika hodin.
Další věcí je, kolik serverů v dnešní době existuje s lokálními účty. Kolik z nich je potom nemá ošetřeno (chroot, absence make apod. věcí)? Takový počet serverů se už docela zužuje.
Zdar Max

[zde]

Tu argumentaci chápu, ale mám problém se s ní ztotožnit. Představ si že v údolí staví přehradu. Když se provalí přehrada plná vody, je to katastrofa. Tak proč ti hloupí inženýři nepostaví hráze dvě, nebo ještě lépe tři nebo čtyři za sebou? Když povolí první, zachytí vodu ta druhá, a tak dále. Ale oni ne, oni postaví hráz jen jednu! Óooo ta naivita, proč se nejdřív neporadili s někým opravdu moudrým, třeba s nějakými experty na počítačovou bezpečnost!

[zde]

sorry to měla být reakce na příspěvek o jednu pozici níže.

[belisarivs]

Ze by proto, ze 4 hrae jsou 4x drazsi nez 1 a je taky potreba nejake misto kde by byly a tak dale. Coz typicky u Linuxu neni problem.

Nehlede na fakt, ze pokud by se provalila jedna prehrada, nasladoval by dominovy efekt a sly by i dalsi. To u Linuxu taky nehrozi. Spis bych to prirovnal k vice radam hradeb. A to smysl ma.

[zde]

Ha ha ha. Násobné hrazení mělo možná pro obránce psychologický význam, ale myslím že z vojenského hlediska bylo zcela k ničemu. Víš snad o nějakém hradu, kde útočící armáda úspěšně zdolala vnější hradby, pronikla na nádvoří, ale ejhle, hradní pán utekl na druhé nádvoří nebo do věže, a tam se statečně ubránil?

[vencour]

Třeba na Karlštejně byly korunovační klenoty až v té největší věži, kterou nikdo nikdy nedobyl (pamatuju dobře, že tloušťka zdi je až 4 metry kamene?). Taky více stupňů překážek, opevnění.

[podlesh]

No jo, proč se neporadili s někým moudrým, třeba... jo aha, ty ses ještě nenarodil! Jaká to škoda...

Možná by dokonce vůbec hrady nestavěli - koneckonců, každou chvíli je nějaký dobyt, tak jaký to má smysl, že?

[zde]

To kdyby dali na tebe, tak bude kamenná hradba vhodně backupovat silové pole Disruptoru, že .-)

[belisarivs]

Snad nechces rici, ze hrad s nekolika sledy opevneni je zbytecny? A to jako chces argumentovat tim, ze nevis o zadnem, ktery by nebyl dobyt jenom kvuli vice sledum opevneni? A Konstantinopol, ktera odolala diky nekolikanasobnemu masivnimu opevneni nejednomu oblehani ti nic nerika?

Takze by bylo podle tebe lepsi, stavet jenom jednoduche opevneni, pripadne opevneni zadne? Nebo jak si ten nesmysl mam vysvetlit?

Kdyz ma nepritel maly (nebo zadny) hrad, tak ti staci k obsazeni urciteho uzemi jenom hrstka vojaku. Pokud pred tebou stoji bytelna tvrz, budto te rovnou od agrese odradi, nebo te jeji dobyvani stoji spoustu casu a zdroju a branici se oponent muze zatim shromazdit vojsko. Nebo by sis nechal nekryta zada obejitim tvrze a riskoval vypady do tyla? Ty bys teda byl valecnik k pohledani.

To bys jako nakreslil na zemi kolo, uprosted zapichnul vlajku a prohlasil, ze je to levnejsi a nepritel by to dobyl tak jako tak?

 

[Senior Database Programmer]

Keď sa prevalí jedna hrádza tak tá za ňou zachytí leda tak h...o.

[vencour]

Věcí návrhu je kalkulovat rizika, předimenzovat bytelnost. Stejně to platí u mostů, výtahů i přehrad. Protože to nejde jinak rozumně. A sídla se obvykle nestaví v okolí přehrad, záplavových oblastí. Tedy trvalého osídlení.

I proto, že je odolnost v tlaku, nárazu apod., použité řešení odpovídá očekávanému použití.

Viz níže, je root a je ještě něco, selinux, apparmor apod, taky více úrovní.

[xkucf03]

 

kolik serverů v dnešní době existuje s lokálními účty ... Takový počet serverů se už docela zužuje.

Což je IMHO  škoda, protože robustní OS si představuji mj. tak, že na něm může mít účet X užvatelů a vzájemně se nebudou poškozovat. Degradovat lokální účty na záležitost pro správce (pod jedním uživatelem se přihlásí, pak se su přepne na roota a jinak na tom stroji normálně nikdo nepracuje) mi přijde škoda, jako nevyužívání možností toho systému. Ty exploity nejsou moc časté* a opravy přicházejí velmi rychle -- není to prostě věc, který by mě moc znepokojovala.

 

*) možná to zní divně, ale nějaké chyby a exploity budou vždycky, zbavit se chyb úplně nejde -- a Linux je na tom IMHO dobře.

 

[vencour]

Vidim smysluplné snažit se minimalizovat rizika a pravděpodobnost nechtěného jevu. Z toho pohledu má funkčnost více "přístupových vrstev" smysl a opodstatnění.

[pasmen]

Pokud si každý uživatel bude hrát na svým písečku (tj. vlastní PC bez konektivity ke zbytku světa/firmy), pak to do jisté míry zbytečné je. Pokud už ale má tupá recepční koukat na sdílená data s nějakými definovanými oprávněními, pak musí nutně mít nějaký účet, pro který se tato oprávnění dají nastavit.

[zde]

koukat na sdílená data s nějakými definovanými oprávněními, pak musí nutně mít nějaký účet, pro který se tato oprávnění dají nastavit.

Účet na aplikačním serveru nevyžaduje existenci uživatelského účtu v OS, a to ani na klientovi, ani na serveru. Ostatně mysql, postgress, oracle, samba, apache.. všechno to má obvykle vlastní databázi uživatelů a systém práv zcela nezávislý na operačním systému, takže účty v OS jsou redundantní věc a bylo by vhodné je zrušit.

[pasmen]

Jasně, ale všichni se přese snažíme to těm lidem ulehčit, takže cpeme SSO kde to jde, že.

[zde]

Akorát že SSO je záležitost systémové interoperability, nikoliv jádra OS.

[pasmen]

No a co? Ve většine případů je totiž SSO postaveno na přihlašování systémovými účty.

[zde]

No já teda fakt hodně pochybuju že když založím účet na gmailu, facebukvici nebo twatteru, tak se někde exec()ne useradd, a taky si nemyslím že moje požadavky na serveru běží pod UIDem který nikdo jiný nemá.

[pasmen]

Copak se tady někdo baví o Gmailu apod.? Přečti si znovu, co jsem napsal předtím. Bavím se o aplikacích, které umožnují SSO, což ani jedna z nich není. V takových je samozřejmě třeba konfigurace, říkající odkud se účty berou.

[zde]

Aha, tak to jsem nějak špatně pochopil. Jsem myslel že SSO je nějakej systém jak se přihlásím do jedné aplikace, a tohle přihlášení pak funguje i v dalších aplikacích, něco jako když gmailový účet funguje i v Picasse, že se tam ty credentials nějak propašují přes cookies nebo tak něco.. takže tohle SSO není?

[pasmen]

Viz zde. Už v úvodu je napsáno, že aplikace kterých se to týká, musí být independent. Dle mého názoru to Gmail a Picassa nesplňují. Co je ale důležitější je to, co je napsané níže, konkrétně rozdíl oproti Shared Authentication Schemes, jde o to, že se musíš přihlásit přesně jednou. Pokud se do systému přihlašuješ jinak, než do Gmailu, pak _nejde_ o SSO.

[zde]

Hmm, to mi přijde jako hraní se slovíčky, jak z nějakého poblblého školení... Aby nějaká featura fungovala, musejí zúčastněné strany implementovat nějaké společné API, ergo pak nemůžou být independent.

[pasmen]

Že to tak přijde tobě, to ještě nic neznamená To independent znamená, že jedna aplikace neví o druhé, resp. že je jí jedno, jaká jiná aplikace využívá SSO. Viz např. SSO ve Windows. Pokud nějakou webovou stránku prohlásím za Intranet, můžu v Exploreru nastavit, že se má pomocí Windows loginu snažit automaticky (tudíž SSO) přihlásit do Intranetových stránek. Těm je pak jedno, odkud se příchozí jméno a heslo bere. Oni ho pouze nějak ověří a pokud projde, pustí tě dovnitř. Stejně tak Windows je jedno, o jaké kontrétní stránky se jedná. Pro souhru je důležité pouze to, aby se obě hesla ověřovala stejným způsobem (to je to tvoje společné API -- nicméně to může být libovolné, a může jich být více, záleží na aplikaci) a _pouze_ jednou při přihlášení.

[xkucf03]

 

Oni ho pouze nějak ověří a pokud projde, pustí tě dovnitř.

Což je pěkně hloupý systém – přes aplikaci zbytečně chodí hesla a přitom je vůbec nepotřebuje – aplikaci stačí, když ví, že uživatel je oprávněný (k tomu nepotřebuje znát jeho heslo.)

 

 

[sigma]

 Tak to není, aplikace se samozřejmě k plaintext heslu nedostane, to by bylo skutečně hloupé.

V praxi se reálně používá Kerberos nebo NTLM (oba protokoly umí jak Firefox, tak IE, možná další). Ověřování probíhá prostřednictvím autentizačního serveru - třetí strany. Podrobně si chování těchto protokolů můžete nastudovat, specifikace je volně dostupná. Zásadně ale platí, že 1 aplikace ověřující klienta přes Kerberos (nebo i NTLM) žádným způsobem nepracuje s daty, které by bylo možné zneužít pro přístup do jiných aplikací nebo dokonce k získání původního plaintext hesla (ono ani žádné nemusí existovat, Kerberos ticket můžu získat třeba na základě smart card)... Takže i totálně nedůvěryhodná aplikace může využívat ověřeování přes váš systémový účet.

Jinak ten Kerberos s Firefoxem funguje i na Linuxu...

[pasmen]

Já jsem někde mluvil o hesle? Heslo je nejběžnější způsob přihlášení do systému, že by pak ale heslo cestovalo k jiné aplikaci jsem nikde neřekl. Pouze jsem řekl, že ho _nějak_ ověří, konkrétně jsem měl na mysli to, co je v příspěvku níže, tedy Kerberos.

[xkucf03]

„Těm je pak jedno, odkud se příchozí jméno a heslo bere.“

Kerberos (nebo NTLM) betu, ale když jsi psal o jméně a hesle, znělo to tak, že aplikace se k němu dostane.

[pasmen]

Aha, tak to jsem zase zapomněl já, že jsem se někde zmínil o heslu No v každém případě si už rozumíme.

[xkucf03]

Jasně že jsou uživatelé všude možně, na rýzných úrovních

• operační systém
• aplikace (postgresql, samba, apache…)
• databáze (tabulka uvnitř databáze obsahující seznam uživatelů a jejich hesel nebo LDAP…)
• …

Ale fakt, že jsou uživatelé i jinde, neznamená, že zrušíme uživatele na úrovni OS. Např. na serveru dáš webařovi práva upravovat soubory ve /var/www, ale nedáš mu práva roota.

 

[unknown_]

S tema lokalnima exploitama to taky neni az tak slavny jak to vykreslujes. A zase se ve FreeBSD po par letech objevila vulnerabilita hm

[xsubway]

 

No řekl bych že virtualizace je v tomto případě lepší volbou.

Třeba co uživatel to jeden virtuální stroj s Haiku-os, nebo Linuxem, ...? Pěkná představa.

 

[petr_p]

Díváte se na to optikou výhradního desktopového uživatele. V okamžiku, kdy potřebujete jeden stroj sdílet s více lidmi, tak se váš jednouživatelský systém kácí k zemi jako jednouživatelská Windows z 90. let.

[Mrkva]

No nevím, ono těch root exploitů zase tolik není. A když se jádro doplní něčím jako GRSecurity/PaX, tak si většina exploitů ani neškrtne - ono zkuste si spustit exploit, když nemůžete spouštět programy mimo souborů vlastněných rootem, ke kterým nemá nikdo krom roota právo zápisu :)

[otasomil]

Muj server (viz paticka) bezi pod rootem (jiny ucet tam stejne neni) a stale odolava utokum zvedavcu.

Bezet implicitne pod rootem neznamena pro znaleho cloveka zadny problem. Je jedno jestli dotycny leze na warez ci porno - nic se v zadnem pripade nemuze stat

U windows je ucet admina bohuzel defaultni u vetsiny uzivatelu i mnoha firem. Stacilo v instalaci nabidnout moznost uzivatelskeho uctu s omezenym opravnenim a hned by bylo mene problemu. M$ to vyresil po svem pomoci UAC a podobnych zohavenosti. Veskere zabezpeceni win tedy je v omezeni opravneni admin uctu. A kdyz chce uzivatel byt jo superadmin tak pravoklik - "spustit jako spravce"

[Filip Jirsák]

Asi jste nikdy nespravoval počítač, kde měl účet ještě někdo jiný, než vy sám. Jinak byste to prohlásil přesně opačně: oč jednodušší je spravovat počítač, když každému můžete přidělit jen práva, která potřebuje, než spravovat počítač, kdy si každý může dělat, co chce. A i u toho počítače, který nepoužívá nikdo jiný, je vhodné oddělit užívání PC od jeho správy. Myslím, že když jde třeba herec do divadla na představení jako divák, setrvá v téhle roli až do konce a nevstupuje do představení každou chvíli, když se mu zdá, že by to chtělo vylepšit.