Ochrání Vás Linux před útoky Ransomware?

29.6.2017 08:52 | Přečteno: 2408× | bezpečnost | poslední úprava: 29.6.2017 08:52

Ransomware útoky můžou být nástrojem vzteklých hackerů, států a nebo různých teroristických skupin, kteří chtějí škodit a vydělávat na tom. Mnozí lidé se obávají že by se mohli stát jeho obětí. Myslíte si, že uživatelé Linuxu jsou zabezpečeni proti útokům ? Nebo co musíme udělat pro to, abychom linux ochránili ?

Jak napsal rastos v komentáři - co se stane, až se ransomware naučí pracovat s ext4 nebo btrfs ovladači ?

Podle některých tyto útoky fungovaly jen proto, že lidé neaktualizovali systém Windows, ani nepoužívali podporu. Každý operační systém je zranitelný, pokud jej neaktualizujete nebo pokud používáte verze bez podpory. Je pravda, že linuxové distribuce zpravidla poskytují bezpečnostní aktualizace mnohem rychleji než Microsoft, ale vždy záleží na tom, kdy se uživatelé rozhodnou aktualizovat. Myslím si, že Linux a Windows jsou oba dostatečně zabezpečené, pokud budete opatrní na co klikáte a včas budete aktualizovat systém. Myslím ale, že je daleko jednodušší udržovat aktualizovaný Linux, protože můžete aktualizovat jednoduše s jedním nebo dvěma příkazy a nemusíte vždy okamžitě restartovat.

Linux je bezpečnější, protože záplaty jsou vydávány rychleji (hrozby se snáze hledají a nemůžou být skryty před jedním vývojářem), navíc u Windows hraje svoji roli i ekonomická stránka. Je rozšířenější, pracuje s ním daleko víc obyčejných lidí, kteří o počítačích neví zhola nic. Tito lidé jsou náchylnější k tomu, aby si počítač zavirovali.

Souhlasím s názorem, že Linux, podobně jako Windows, je stejně bezpečný jako vy. Ale situace s viry uspíšila mé rozhodnutí přejít zcela na linux, neboť se domnívám, že situace se bude v budoucnu jen zhoršovat. :( Zajímá mě váš názor.        

Komentáře

[Max]

Ohledně ransomware jsou oba systémy shodně bezpečné / nebezpečné, protože většina toho není o chybě v sw, ale o uživateli.
Spousta ransomware přijde jako podvodný spam, který se tváří chytře a nemálo lidí to splete. Abyste něco nevědomky spustili, na to nemusíte mít díru v systému, ani v jiném sw.
Princip ransomware je v zašifrování dat uživatele, nepotřebuje k tomu admin práva, ani nijak upravovat systém.
Ve win se různě maskují koncovky sw, nebo využívají díry v office apod. V linuxu netřeba šachovat s koncovkama, o to je to jednodušší z pohledu útočníka. Pošle mailem neco.pdf, ale v hlavičce to bude třeba bash script, nebo binárně spustitelný soubor a po spuštění je s uživatelskými daty konec.

Někdo může namítnout, že v linuxu je btrfs a můžeš snapshotovat jak o život a data lehce obnovit. Ve win má člověk VSS, může dělat to samé, sice je default limit asi 64, ale lze zvednout a na takové věci to stačí.
V linuxu si člověk může hodit browser do chrootu, nebo nastavit selinux a další věci. Ve win si může člověk naladit antivir, který pak toho umí ještě více.
Z mého pohledu je to prostě jen o uživatelích, nic víc.
Ve firmě proti tomu bojuji proxy serverem, který je striktně nastaven a upřímně, 99% věcí přijde přes mail, takže máme hodně striktně nastaven i antispam (kromě zahazování spustitelných souborů máme i zákaz zip v zipu apod.). Jediným možným řešením je tedy dostat do sítě vir pomocí doc/pdf apod. a děravých office/adobe, což ale zase řeší antivir (ESET) s jeho HIPS filtrem, kde jde zakázat, aby procesy office vytvářely další procesy xy (vbs, cmd, rundl ..). Pokud tedy někdo bude mít děravý office, útočník stejně nebude moci spustit kód, protože to ESET s HIPS nedovolí (pokud je tedy dobře nastaven).
Zdar Max

[Aleš Kapica]

Ve win si může člověk naladit antivir, který pak toho umí ještě více.

No, no Maxi. Spuštění ransomware je věc mailového klienta. Jednak by to musel být ransomware napsaný speciálně pro linux, ty pro win totiž fungovat nebudou, a pak by musel postihnout tak širokou škálu různých eventualit, že se to zkrátka nevyplatí. Protože klíčovým předpokladem je uživatel blbec, který na všechno hned kliká.

Jinými slovy - ransomware tady s námi bude do té doby, dokud bude Windows dominantní systém na strojích BFU. Což ale nebude dlouho trvat, protože poučení postižení mají na výběr jen dvě možnosti - linux nebo mac.

Mimochode - tobě nepřijde divné, že se zatím nikdo nepokusil o ransomware pro mac? Přitom by to měl z hlediska variability prostředí mnohem snazší. Jestlipak za tím nebude náhodou aktivita společnosti Apple, jak přimět fanoušky MS Win ke změně platformy ve svůj prospěch?

[Max]

Není to jen věcí emailového klienta, záleží, co to bude, zda to bude opravdu jen čistě spustitelná příloha, tak ok, ale pokud to bude pdf využívající díry v Adobe (viz poslední verze Adobe pro linux, osobně taktéž okular používám), nebo v nějakém jiném sw (v případě webmailu chyba ve web prohlížeči atd.).
Chápej, že se tu mluví o bezpečnosti OS jako takovém. Tzn., že si představ, že má nyní linux 95% uživatelů na světě a vytvořit binární blob, co se spustí na většině strojů, to také není nic těžkého. Co ransomware potřebuje? Skoro nic, jen si může náhodně vygenerovat klíč, který pošle někam na web + pak už jen může jít a šifrovat soubory a generovat k nim readme (nepotřebuje ani řešit opětovné spouštění po restartu, což se těm verzím pro win také nedaří). Tohle dáš v klidu i s pitomým bash skriptem.

Kdybych něco někdy psal, tak bych to psal také pro win, proč bych to měl psát pro MAC, kterého je v zastoupení jen pár procent? Linux+MAC+BSD je prostě silná minorita oproti Windows, neměl bych důvod se s tím srát.

Pokud tedy máš pár miliard uživatelů, tak ti jich hafec omylem klikne na přílohu a otevře jí / spustí a je ámen, nemusíš ani řešit schovávání a řešení děravostí sw jako u Win, stačí poslat bash skript se jménem "neco.pdf" a je vymalováno. Obdobně to jde pak dělat lépe a dopilovat to na lepší úroveň.
Současné plus linuxu v bezpečnosti je jen to, že má obezřetný uživatele a minoritní zastoupení.
Zdar Max

[Max]

Jinak ten poslední ransomware, co teď koluje, to je taky síla. Prý šifruje MBR a MFT u NTFS. A co jako? To může max u uživatelů s admin právy, kdo jede pod userem, tak si to neškrtne. Prostě další chyba mezi židlí a klávesnicí.
Aktuální rozdíl mezi Linuxem vs. Windows+antivir je v tom, že Linux tě na nic neupozorní a nechá tě otevřít cokoli, kdyžto ve Win ti vyskočí warning, případně s vhodně nastaveným AV to třeba spustíš, ale nic to neudělá.
Zdar Max

[pc2005]

S MBR manipuloval už onehalf .

Pokud ransomware používá exploity, tak nepotřebuje být spuštěn s admin právy.

[Max]

Když už se zmiňuješ o tak významné viru, tak aspoň linkuj source code :).
Zdar Max

[pc2005]

Wow to jsem nevěděl. A jsou fakt ty návěští a konstanty originální?

[Max]

To nevím, ale koluje legenda, že OneHalf pochází ze školy z Košic.
Zdar Max

[pc2005]

Jj právě proto mě to zaujalo .

[fela]

A môj spolužiak, meno samozrejme nebudem verejne vypisovať, ale je to človek s nadpriemerným asi aj geniálnym IQ, urobil na to antivír...

[pc2005]

Popřípadně alternativa kdy nemusíš mít nadprůměrné IQ když už předem znáš zdroják .

[Jendа]

stačí poslat bash skript se jménem "neco.pdf" a je vymalováno

Doufám, že mailový klient na to hned nespustí interpret podle MIME typu a že při ukládání na disk tomu nenastaví executable bit!

[pc2005]

Jednak by to musel být ransomware napsaný speciálně pro linux, ty pro win totiž fungovat nebudou, a pak by musel postihnout tak širokou škálu různých eventualit, že se to zkrátka nevyplatí.

Někde jsem četl že wannacry (?) funguje i ve wine.

Jinak já bych do těch napadnutelnejch systému zahrnoval i androida (nebo rovnou pod linux). A zrovna androidy maj dost děravý jádra. Koneckonců získání roota obvykle znamená spustit java aplikaci, co využije exploitu.

[Aleš Kapica]

Někde jsem četl že wannacry (?) funguje i ve wine.

Tak samozřejmě že principiálně taková věc může fungovat i ve wine, ovšem kupř. PlayOnLinux má uživatelský profil součástí prefixu, takže by se nejspíš pokoušela dělat bordel tam.

[Jendа]

Jsem se tuhle dozvěděl, že když exáč ve Wine zavolá linuxový syscall (jako že nacpe do RAX jeho číslo a udělá instrukci SYSCALL), tak se normálně provede. Takže takhle by šlo velmi jednoduše udělat multiplatformní věc, která si dokáže otevřít soubory mimo emulované C: a udělat třeba fork+execve na /bin/bash.

[Jendа]

a pak by musel postihnout tak širokou škálu různých eventualit, že se to zkrátka nevyplatí

Podle mě ti stačí, aby to chodilo na pěti nejrozšířenějších distribucích.

Protože klíčovým předpokladem je uživatel blbec, který na všechno hned kliká.

Ne. Třeba WannaCry bylo RCE v SMB. Na Linuxu zase existuje nekonečný stream CVEček v libpng, jasperu a spol.

ransomware tady s námi bude do té doby, dokud bude Windows dominantní systém na strojích BFU

I pokud by byl problém v „klikání na všechno“, vyřeší to Linux? „noexec“ a podobné věci na skripty jde snad nastavit i na Windowsech.

[marek_hb]

s tím snapshotem bych byl opatrný - v defaultu je snapshot rw - tak že pokud se k němu vir dostane, tak ho může zašifrovat taky. A pokud ho tvoříš s přepínačem -r, tak z něj systém neobnovíš (nebo jsem blbě hledal, ale nenašel jsem jak vrátit oprávnění do původního stavu). U dat je to asi jedno.

[Josef Kufner]

To by nebyl moc užitečný snapshot. I kdyby to nastavovátko neexistovalo (btrfs property set -ts /path/to/snapshot ro false), tak určitě z toho půjde udělat další, už zapisovatelný, snapshot.

[marek_hb]

To btrfs property ho jen označí jako ro, nebo v něm opravdu změní práva? To jsem minul - dík za rozšíření obzorů. On není problém ho pak zpětně uděla rw, ale v systemu jsou práva různě ne - a klasický +rw na všechno by asi nebylo nejlepší myslím...

[Aleš Kapica]

A pokud ho tvoříš s přepínačem -r, tak z něj systém neobnovíš

Je to stupidnější než bys myslel. Uděláš z něj nový snapshot, který bude rw.

[marek_hb]

aha - s se stejnými právy jako měl ten před tím? tak to se omlouvám, že to bude takhle jednoduchý mě fakt nenapadlo - omlouvám se

[TomasABC32]

k tomu Snapshotu... to je pro mě zajímavý téma. Jak můžu vytvořit snapshot třeba z čerstvě nainstalovanýho systému, abych si ho v případě nutné přeinstalace mohl jednoduše obnovit ?

[Max]

Viz : Heronovo - BTRFS
Zdar Max

[Bumbrdlíček]

Sorry Maxi, ale tohle je snůška nesmyslů.

Například který mailový program na Linuxu spustí přílohu? Jo takhle uložit, přidat tomu execute bit a spustit, to ano. To už BFU ale dělat nebude.

Chroot a SELinux srovnávat s antivirem je taky mimo. Většina Windows má antiviry a naprostá většina normálně použitelných antivirů stále spoléhá na vzorky. Takže jsou proti prvním vlnám podobných malwarů k ničemu. I ten ESET s HIPS jde bezbolestně obejít (pravda musí se na něj cílit).

VSS všechen ransomware pokud vím vypíná (a maže snapshoty) jako první.

Ale jasně problémem jsou uživatelé, ale také monokultura Windows, systém patchování/upgrade, ale hlavně výchova uživatelů a vývojářů Microsoftem, že programy potřebují běžet se zvýšenými právy, operační systém, že nepotřebuje správce a heslo je jen otrava, které se zbaví stiknutím Esc.

[Max]

1) nevím o ransomware, který by vypínal VSS (pokud tím vypnutím myslíš stopnutí celého windows scheduleru)
2) jen admin může VSS smazat, musel by využívat nějaký exploit k lokální eskalaci práv
3) netvrdím, že mailový klient automaticky něco otvírá, tvrdím, že stačí, když na to klikne uživatel (jednoduše se může splést, že ta ikonka na pdf je jiná, nebo prostě otevírá rychleji, než přemýšlí, což je běžné, když ti pod rukama projde 100 a více mailů k vyřízení za směnu)
4) víš vůbec, co to je HIPS filtr u ESETu? Protože z té tvé poznámky nabývám dojmu, že si myslíš, že je to nějaký algoritmus na detekci potencionálních virů, což není, je to jen další firewall, u kterého si můžeš nastavit, co která app může forkovat za procesy apod. Podporuje to import hotových profilů (nastavení) přímo z esetu atd. Tzn., že se nespoléháš na nějaké algoritmy detekce, které jsou dnes opravdu tragické u všech AV, ale nastavuješ prostě další úroveň FW na úrovni procesů v systému a říkáš, co který proces má povoleno dělat / spouštět apod. Věřím, že ostatní antiviry mají podobná řešení. Prostě takový selinux pro windows.
5) když si pošleš bash skript, tak ho poklepáním třeba z thunderbirdu normálně spustíš, není třeba ukládat na lokál a nastavovat práva pro spuštění atd.

Tvá poslední připomínka nedává ohledně tématu smysl už vůbec, když je myslím naprosto jasné, že ransomware jde hlavně po datech uživatelů, nejde mu o systém apod., nepotřebuje nutně admin práva. Tzn., že problém se vztahuje na všechny uživatele.
Nazývat uživatele hloupým, to těžko posoudit, zkus nejdříve rok někde sedět v kanclu a vyřizovat stovky mailů denně (u nás šéfíci fakt jedou ve stovkách regulérních mailů denně k vyřízení, to samé fakturační oddělní, nebo účetní oddělení a pak nějací obchoďáci) a pak si vzpomeň, kolikrát za rok jsi v tom mailu otevřel něco, co jsi nechtěl . I takové jsou prostě případy, i když jde o obezřetné uživatele. Mně se to třeba také stalo, omylem jsem takto otevřel bash skript z thunderbirdu, se kterým jsem si hrál (nějaký šmejd pro linux).
Zdar Max
PS: to, co ty píšeš o MS, platilo za dob WinXP, už fakt není rok 2007, jsem zase o 10 let trochu někde jinde , neříkám, že výjimky neexistujou, ale v 99% jde o nějaké obstarožní věci jako hry apod., co mají problémy s kompatibilitou

[TomasABC32]

Můj názor je takový, že Microsoft udělal obrovský kus práce a už to opravdu nejsou systémy z let 2000 - 2002, kdy to bylo děravé. Já to vidím v naší firmě, obrovská síť a IT oddělení jen utahuje šrouby, prostě ořezávají práva na všechno.

Podle mě, dneska už je úplně jedno jestli Windows nebo Linux, ale otázkou je jak reaguje uživatel a na co kliká. A druhou věcí je ekonomický zájem těch, kteří takový virus vyvíjí. Určitě je pro ně pohodlnější vyvíjet virus pro Windows, protože procentuální podíl laických a neinformovaných uživatelů je tam zkrátka vyšší. Ale technicky napsat virus pro Linux problém není, zvlášť Ramsomware, který zamyká data.

[R]

Obrovsky kus prace urobili hlavne na nekonecnom prerabani GUI a pridavani nezmyselnych funkcii. Stale je to derava sracka.

[TomasABC32]

To že je to hnusný a blbě se to používá je věc jiná :D Taky tohle je jeden z důvodů, proč jsem přešel na linux.

[Jendа]

Abyste něco nevědomky spustili, na to nemusíte mít díru v systému, ani v jiném sw.

Pokud jsi něco nevědomky spustil, je díra minimálně v UI tvého systému. UI má být navržené tak, aby tyhle omyly udělat nešly.

99% věcí přijde přes mail, takže máme hodně striktně nastaven i antispam

Takže váš antispam má soukromé PGP klíče všech vašich zaměstnanců?

Pokud tedy někdo bude mít děravý office, útočník stejně nebude moci spustit kód, protože to ESET s HIPS nedovolí (pokud je tedy dobře nastaven).

A pokud to zrovna nebude díra, která umožní spustit něco i bez vytváření nového procesu…

[Petr Tomášek]

99% věcí přijde přes mail, takže máme hodně striktně nastaven i antispam

Takže váš antispam má soukromé PGP klíče všech vašich zaměstnanců?

Jenže jakmile budete mít jediného zaměstnance, který "se" nechá zavirovat, tak jste v zadnici...

[AsciiWolf]

Pošle mailem neco.pdf, ale v hlavičce to bude třeba bash script, nebo binárně spustitelný soubor a po spuštění je s uživatelskými daty konec.

Není, pokud uživatel nenastaví souboru ručně executable bit a následně jej nespustí.

V linuxu si člověk může hodit browser do chrootu, nebo nastavit selinux a další věci. Ve win si může člověk naladit antivir, který pak toho umí ještě více.

V Linuxu je možno proces izolovat pomocí dalších namespaces. Případně mu ještě více omezit přístup k prostředkům pomocí cgroups. Krom toho se čím dál více začínají rozšiřovat nejrůznější technologie určené pro sandboxing uživatelských aplikací, například Flatpak.

[Jendа]

Není, pokud uživatel nenastaví souboru ručně executable bit a následně jej nespustí.

Třeba správce archivů Squeeze to bral tak, že "končí to .pdf... pustím na to evince. Končí to .txt... pustím na to gedit. Končí to .py... pustím na to Python". Jednou jsem si takhle něco (naštěstí neškodného) spustil…

[Kvakor]

V Linuxu je možno proces izolovat pomocí dalších namespaces. Případně mu ještě více omezit přístup k prostředkům pomocí cgroups. Krom toho se čím dál více začínají rozšiřovat nejrůznější technologie určené pro sandboxing uživatelských aplikací, například Flatpak.

Ultimativnní řešení by bylo spouštět to rovnou ve virtuálním stroji, což by při dnešních shopnostech hardwaru (tedy s vyjímkou levných "okleštěnců" od intelu) a ceně pamětí nebyl zas takový problém. V Linuxu by to šlo obzvlášť dobře, protože by šlo využít jak stávající instalaci softwaru (tj. žádné zbytečne zabrané místo na disku), tak u paměti KSM čili sjednocování paměťových stránek se stejným obsahem, v tomto případě mezi virtuálním a reálným strojem, případně mezi více instancemi viruálních strojů (viz příklad v článku z Wikipedie).

U Windows by to bylo poněkud složitější a méně elegantní, instalace by musela být samostatná, Windows AFAIK nemají KSM a navíc by byla téměř určitě třeba samostatná licence, nicméně minimálně pro základní systém s prohlížečem existují volně dostupné hotove image určené pro testování webů (i když odkaz, co jsem na ně měl, už nefunguje), které by nejspíš alespoń na část úkolů měly stačili.

Virtuálizovaný OS by pak zapisoval jen skrz snapshot/COW, ale originální data by změnit nemohl. I když by pak někdo udělal podobný malware pro Linux, docílil by tím pouze škodu v onom snapshotu/COW datech, ale zbytek by neohrozil, tedy alspoň za předpokladu, že by se nedostal ven z virtuálníciho stroje, což je dost obtížné a nejspíš by to (minimálně dnes) nikomu za tu práci nestálo.

Nevýhodou (tedy kromě poněkud složitější práce se soubory při přesunu mezi fýzickým a virtuálním stojem) by byla nutnost mít připojený / (s /bin, /lib a /usr) jen na čtení (tedy alespoň během běhu virtuálního stroje) a mít oddělené /var a /home a případně mít i separátní jádro pro virtualizovaný stroj, nicméně to pokládám za mnohem jednodušší než např. uchodit běžné aplikace se SELinuxem nebo podobným drsně-bezpečnostním řešením .

[Max]

Jakmile se nějaká práce zesložiťuje, tak to řešení není vhodné. Tzn. případná práce s dokumenty by byla docela obtížná (+ hlavně předávání dokumentů mezi více app).
Zdar Max

[Max]

Jinak rastos nejspíše myslel případ, kdy máš dualboot a do win se ti dostane ransomware, který v sobě bude mít i driver pro ext4/btrfs a bude tak moc z win přistupovat na linux oddíly.
Asi to měl být od rastose vtip, protože když chci útočit na linux, tak nebudu sázet na to, že týpek má dualboot a budu k ransomware přibalovat obří drivery na ext4 a btrfs.
Zdar Max

[rastos]

Uh. Až dnes som našiel tento blog a teší ma, že si môj post niekto všimol

Máš pravdu, že som mal na mysli systém, ktorý používa dualboot, vírus napadne windows a okrem inej neplechy si dotiahne driver pre bežné linuxové filesystémy, primountuje ich a narobí neplechu aj tam.

ext2 driver pre windows má 2.5MB. To nie je tak veľa. Navyše to nemusí byť priamo súčasťou vírusu. Ten vírus to jednoducho stiahne z oficiálnej stránky projektu a nainštaluje.

Nie je to tak celkom vtip. Je pravda, že robiť to s týmto cieľom neprinesie asi veľké ROI, ale napr. ako spearfishing si to viem predstaviť.

[MLN]

Myslim se ze som sa dobre rozhodol ked som si pred rokom kupil Blue ray mechaniku na archivaciu dat ktore sa uz nebudu menit(nadalej pouzivam aj hdd, ale bojim sa ramsomwaru) Tych par Blue ray rocne cloveka financne nezruinuje. Ak by bolo na hdd mechanicky prepinac ktory by prepol harddisk do readonly modu (softverovo neprepnutelne, nieco co by doslova vyplo napajanie obvodov pouzivanych pri prepise hdd), tak by som nemusel napalovat Blue ray.

Zacal som pouzivat firejail sandbox na niektore programy (firefox, skype, deluge atd), mam firewall a aktualizujem sw. Este by to chcelo nejaky user friendly aplikacny firewall, ale to v linuxe zatial moc v stable verzii neexistuje. Ako.IT amater neviem co viac mozem spravit.

[Aleš Kapica]

Blue ray mechanika je děsně nespolehlivý kus HW, který už jen v málokterém kompu najdeš. Takže je otázkou, jestli pak budeš mít kde a jak ty data z těch médií vytáhnout.

[MLN]

Pokial bude Blue ray mechanika u mna doma, tak ma netrapi ze ostatni nie su schopni ocenit Blue ray (pozdravujem debilov z Debianu ktori vytvorili umely problem cdrtools/cdrkit)

To iste sa da povedat o IDE slote pre pripojenie starych hdd cez 80 zilovy kabel, to uz je tiez rarita. Ake dalsie medium okrem blueray mozem pouzit ak chcem alternativu k hdd ? Nieco na styl nahram, odpojim od pc a zalozim do skrine/zakopem na zahrade. Velke datove kazety su financne nedostupne, ssd disky terabajtovych kapacit su tiez drahe a potencionalne nespolahlive (mlc ci ako sa to vola), do velkych diskov zacinaju pridavat helium(som zvedavy co sa stane ak to niekto po par rokoch vytiahne zo skrine a helium uz bude zmiesane so vzduchom)

Nechapem tu dnesnu averziu voci optickym mediam, chapem ze kopyrajtovi monopolisti by sa asi najradsej vratili do doby doma nekopirovatelnych LP platni. Blue ray ma ked uz nic tak aspon anoganicke farbivo na rozdiel od DVD. Neodvazil by som sa tvrdit ze bezny domaci nas je bezpecnejsi ako blue ray, najma ked vidim ako vyrobcovia kaslu na podporu a aktualizaciu starsieho hw.

Celkovo by sa dalo povedat ze dlhodobu archivacia dat beznych uzivatelov je akosi nedoriesena.

[Max]

Blue ray je pro smrtelníka nejlevnější a nejdostupnější způsob pro zálohování a tato technologie tady s námi ještě dlouho bude. Na příštích 10 let bych se toho fakt neobával.
Kdo si těch dat váží víc, sáhne po kvalitnějších plackách k tomu určených.
Zdar Max

[Petr Tomášek]

BléRay? No, nevím, nevím...

Já teď stavím zálohovací stroj. Idea: stroj není přístupný ze sítě (nemá otevřenou žádnou službu, ale může iniciovat spojení do lokální sítě), ovládá se pouze přes (starý KVM) / LCD+klávesnici. Stroj má v sobě RAID s btrfs a pravidelně pomocí rsync+ssh stahuje (synchronizuje) ze zálohovaných PC (s Linuxem) soubory, pokaždé pochopitleně udělá lokální snapshot.

Pochopitelně je stroj chráněn firewallem, aby kdyby se náhodou omylem spustil nějaký síťový daemon, aby tam stejně nikdo nemohl. Stroj nemá xorg ani wayland, ovládá se přes ručně spouštěné skripty. Na stroji neběží nic jiného než zálohování.

Ano, určitě se to dá nějak hacknout atd., ale riziko nevypadá až tak velké. Jediné, co se asi nedá uhlídat je, když se "vir" nejprve na delší dobu tajně usadí na zálohovaném stroji a zablokuje zálohování, ale ani to se nezdá být až tak jednoduché a hlavně neodhalitelné.

[Dalibor Smolík]

Podle serveru živě stačí do konfiguráku smb.conf přidat řádek
nt pipe support = no
a restartovat Sambu.
No nevím, jestli je to tak jednoduché ..

[pedro]

Ocekaval jsem nejakou seriozni diskusi o urovni zabezpeceni vnitropodnikovych siti, ev. o dirach v SMB. Tema "hloupa sekretarka" je vazne hloupe, pokud se clovek namaha zjistit, jak se tento posledni ransomware zacal sirit. Sekretarky za to vazne nemohly...

[Heron]

Diskuse o vnitropodnikových sítích může skončit velice rychle. Nejlepší je žádnou vnitro síť nemít.

Prostě ke každému síťovému uzlu přistupovat tak, jako by byl uprostřed internetu a všichni na nej viděli. A podle toho jej zabezpečit.

Rozdělovat síť na vnitro, centro, outro, intro a co já vím za -tro, je zdrojem hromady problémů, protože typicky je jistá část sítě považována za více bezpečnou (ať už to v oblastí sítí znamená cokoliv) a nekteří lidé mají pocit, že v této bezpečné síti se můžou chovat nebezpečně (třeba ten server zabezpečit poněkud méně, třeba tam připojit nechráněná zařízení, ehm iot, ehm). Z tohoto plyne potom většina úniků dat. Pokud se někdo dostane do vnitro sítě, tak má z pravidla data jako na stříbrném podnosu. Totéž platí o možnosti napadení, vnitro sítě jsou prakticky nechráněné.

[mln]

Ked spominate vnutorne siete, tak nebolo by spatne pridat napr do NFS jednoduchú autentifikaciu vyuzivajucu dvojicu privatny/verejny kluc tak ako je to v ssh. (vygenerujem dvojicu klucov, uploadnem verejny kluc) Zabezpecit NFS autentifikaciu pomocou kerberosu a x dalsich komponentov je v malej sieti dost prekomplikovane (napr 2-3 pocitace bez domenovych mien, kde kazdy pc je klient aj server zaroven). Chybajuca jednoducha autentifikacia je dovod preco som prestal NFS pouzivat a presiel som k sshfs.

[Heron]

Tak u NFS by to bylo stejně jedno, protože stejně přenáší data nešifrovaně. K NFS je asi nejlepší přistupovat prostě jako ke kabliku od disku, tedy je dobré tu sít fyzicky ochránit, aby se tam nikdo nemohl připojit.

U iscsi je to o chloupek lepší, protože tam si může klient zašifrovat to blokové zařízení a po síti chodí už jen šifrovaná data.

SSHFS je super, sám to používám pro ad hoc připojování fs na různých strojích. Tam, kde mám přístup a klíče, tak to si klidně můžu připojit jako fs.

[petr_p]

Na to spíše hodí IPsec.

[vencour]

Pedro čeká nápovědu co má testovat jako první?

[pedro]

Proc myslis?

[Heron]

Mnozí lidé se obávají že by se mohli stát jeho obětí

Nechť vytáhnou data z poslední zálohy...

Nedávno mi volal známý, že mu něco zašifrovalo disk. Tak jsem mu poradil, ať si to obnoví ze zálohy (pravda, říkal jsem to trochu škodolibě). Potom volal, že ta data fakt potřebuje, že tam má rozpracovanou zakázku za miliony. Ano, opravdu ji neměl zazálohovanou... No, takže má z toho poučení za pěkných pár zlaťáků.

Dokonce byl ochoten zaplatit vyděračům... Dál jsem to nezkoumal, možná to byl ten "vir", co šel snadno odšifrovat, poslal jsem ho za experty od avastu (jestli tam došel netuším).

Myslíte si, že uživatelé Linuxu jsou zabezpečeni proti útokům ? Nebo co musíme udělat pro to, abychom linux ochránili ?

Myslím si, že každý uživatel je v takovém bezpečí, jaké si vytvoří. Pokud je uživatel hloupý a jako root spustí nějakou blbost (třeba klidně zašifrování disku a zapomene heslo), nelze ho před sebou samotným uchránit.

Druhá část otázky, linux dostatečně bezpečný je. Stačí jej dostatečně bezpečně používat.

co se stane, až se ransomware naučí pracovat s ext4 nebo btrfs ovladači

Co by se stalo? Program nemusí umět pracovat s formátem na disku. Pokud má dostatečná práva (třeba roota), tak se dostane ke všem datům. Jenže v linux není tradice spouštět věci jako root, naopak, vše by mělo být spouštěno s minimálními právy.

Podle některých tyto útoky fungovaly jen proto, že lidé neaktualizovali systém Windows, ani nepoužívali podporu.

Nevím jaké konkrétní útoky. Pokud uživatel pracuje s omezenými právy, tak se škodlivý program nedostane ke všem datům. Pokud uživatel ten program ani nespustí, tak se nestane nic.

Někdo tady zmiňoval, že jako opravu samby před čímsi stačí nastavit jeden řádek v konfiguráku. Ok, možná jo, ale mě spíše zajímá, jak se útočník k této špatně nastavené sambě dostane. Pokud má někdo otevřenou sambu do světa, patrně má mnohem větší problém, než jakýsi jeden parametr. Každou službu je potřeba řádně nastavit a následně omezit síťový dosah. (Pokud je to síťová služba.) Pokud někdo nechal port samby otevřený do světa, asi má o co žádal.

Linux je bezpečnější, protože záplaty jsou vydávány rychleji (hrozby se snáze hledají a nemůžou být skryty před jedním vývojářem), navíc u Windows hraje svoji roli i ekonomická stránka.

Já nevím, s pokročilým věkem mě tyto linuxovowindowsové války nějak přestaly bavit. Používám oboje, ve widlích se to aktualizuje samo, pravda, nemá to repositáře, takže si musím pomáhat třeba Secunia PSI, aby to oznamovalo i staré verze programů, v linuxu je pochopitelně update systému na jeden řádek. Pochopitelně to ze mě nesnižuje odpovědnost ty běžící služby správně nastavit a síťově omezit.

že situace se bude v budoucnu jen zhoršovat

To záleží podle koho. V poslední době nějak novináři začali vnímat, že něco jako počítač taky existuje, občas o tom i něco napíšou a je to většinou na zvracení. Z praxe nemám pocit, že by se cokoliv zhoršovalo nebo zlepšovalo. Je to stále o tom samém. Někdo provozuje software, v tom software někdo zlý objeví chybu a snaží se ji zneužít. Autor toho software (pokud ještě žije a pokud ho to ještě baví), se tu chybu snaží zaplácnout. To je furt dokola.

[pedro]

jak se útočník k této špatně nastavené sambě dostane

To muze byt ruzny, ale v tom poslednim pripade zrejme pres aktualizaci nejakeho ukrajinskeho ucetniho softwaru. Je mozny, ze byly nejaky pripady napadeni zvenku pres sambu, ale ve vetsine pripadu se ten bordel pres sambu pouze siril uvnitr vnitropodnikovych siti (a to bohuzel sakra uspesne a s dost katastrofickymi nasledky).

[Max]

Od windows 10 mají integrovaný čokoládový repo : chocolatey.org a i jiné "balíčkovací" systémy. Teoreticky tedy už nemusíš "Secunia PSI" používat, stačí vše naladit přes čokoládu a můžeš vesele upgradovat pomalu jak na linuchu.
Zdar Max

[GeBu]

Maxi, považuješ chocolatey za bezpečnou věc?

[Jendа]

Ta díra v Sambě je authenticated RCE. Ze světa nejde zneužít, pokud nemáš anonymní zapisovací share.

Pokud má někdo otevřenou sambu do světa

IMHO šlo o to, že externista, co měl právo zápisu do jednoho adresáře, najednou může získat roota na fileserveru.

[Jendа]

Nebo co musíme udělat pro to, abychom linux ochránili ?

Předělat ho ve stylu QubesOS, hypervizor formálně verifikovat a vyvinout hardware, který dokáže poskytnout podobné záruky o své bezchybnosti. Ano, je to „trošku“ pracné a momentálně se tomu skoro nikdo nevěnuje. Pojďme radši řešit podporu USB kávovarů v HTML5, na řízení ekonomiky a průmyslu nám současné děravé počítače stačí.

Jak napsal rastos v komentáři - co se stane, až se ransomware naučí pracovat s ext4 nebo btrfs ovladači ?

Spíš co se stane, až ransomware poběží nativně na Linuxu (a místo exploitů na nedávno opravené chyby ve Windows si potáhne exploity na nedávné chyby v Linuxu, nebo ještě lépe 0daye).

Ale podle mě se to nestane. Linuxové stroje bývají víc high-profile, takže když je útočníci vyhackují, radši je použijí k něčemu zajímavějšímu než zašifrování dat a řeknutí si o pár dolarů.

Každý operační systém je zranitelný, pokud jej neaktualizujete nebo pokud používáte verze bez podpory.

Ne. Každý operační systém je zranitelný. (pokud nepočítáme výše uvedenou možnost s formální verifikací) Podpora a aktualizace ti zajistí jen to, že nepodlehne chybě, jejíž popis už je dostupný volně na netu. Ale dokud se vývojáři o chybě nedozví, tak ti nijak nepomáhá.

[Petr Tomášek]

Předělat ho ve stylu QubesOS, hypervizor formálně verifikovat a vyvinout hardware, který dokáže poskytnout podobné záruky o své bezchybnosti.

Dokud nebudeš mít formálně verifikovaný CPU a vlastně celý HW, tak je ti to stejně nahovno. A i když budeš mít HW formálně verifikovaný, tak to 100% bezpečný není, protože hardware je vlastně analog i když se tváří jako digitální...

[pc2005]

Jako že si hacker bude ssebou nosit zdroj ionizačního záření?

[Petr Tomášek]

Tak ono i lokální zahřátí křemíku v určitém místě může udělat své. A občas se dá něčeho dosáhnout i neionizujícím zářením

[pc2005]

Tak samozřejmě předpokládáme že součástí návrhu odolného HW bude i bezpečná operace v rámci rozumných fyzikálních parametrů. Jinak by stačilo zneužít rowhammer .

[pc2005]

vyvinout hardware, který dokáže poskytnout podobné záruky o své bezchybnosti

:-O :-O

[TomasABC32]

pořád si myslím že dobrý článek na toto téma je tento :

http://linuxzblizka.blog.zive.cz/2010/08/deset-piliru-bezpecnosti-v-linuxu/