skype, bezpečnosť a xen (diskuse)

[kyytaM]

No Xen je trozka tazky kaliber na toto. :) Zacal by som VirtualBoxom s nou non-free licenciou (PUEL?) - to ma podporu aj pre USB. Ak by to neficalo, tak moznop este VMWare Player. :)

[michal00]

no kvôli iným veciam by som sa mal so xenom zoznámiť (nejaké serverové veci), takže preto hovorím o xene.

[kyytaM]

No skusit mozes, ale trivialne to nebude. ;) USB by nemal byt problem passnut, ale s tym zvukom sa obavam, ze bude treba celu zvukovku passnut pre VM (respektive netusim, ako funguju zvukovky v Xene pri PVM a HVM. :) )

[CEST]

Jestli chces zkusit XEN, tak rozhodne ne se skype (zvuk, GUI). U XENu bych doporucoval zacit pouze ssh serverem a pak jit dal. Ono bez GUI (pres ssh) je to prakticky bezna prace. Xserver jsem ve xenu neprovozoval, ale mam par xen guestu, kde jsem instaloval Xknihovny, abych si mohl presmerovat vystup pres SSH, to je taky prakticky stejny, jako s klasickou masinou (akorat nemas gdm/kdm/xdm).

Ale zvuk jsem tam netestoval.

[CEST]

Boha, ty jsi na tom stejne jako tazatel co? XEN, Virtual Box a dalsi virtualizacni veci jsou opravdu tezkej kalibr na obycejny omezeni jednoho procesu. Na to staci chroot.

jednou jsem takhle skype provozoval. Proste jsem skype-static rozbalil do nejakyho adresare a pak jako root (pripadne pod sudo) spustil chroot /chroot-skype /skype/skype. Ono to vypsalo nejakou chybu, ze to nemuze najit knihovnu. Tak jsem ze systemu nakopiroval. Takhle jsem to parkrat zopakoval a pak uz nabehnul. Pro zvuk a video bude zrejme potreba primountit jeste /dev pomoci "bind". mkdir -p /chroot-skype/dev ; mount -o bind /dev /chroot-skype/dev

[pavlix]

Chápu to dobře, že jsi to v chrootu spouštěl s právy roota?

[Jendа]

To bude veselo, až se ten spyware spuštěný v chrootu s UID 0 rozhodne zapsat na /dev/sda…

[trekker.dk]

Proste jsem skype-static rozbalil do nejakyho adresare a pak jako root (pripadne pod sudo) spustil chroot /chroot-skype /skype/skype.

Když už chceš poučovat, jak něco dělat bezpečně, tak bys měl do toho chrootu nacpat /dev jenom s tím, co ten Skype potřebuje k fungování.

[luckyboy]

neriesi nieco podobne OpenSolaris s jeho virtualizaciou ci co to je na baze containerov ci freebsd s jailami kde sa daju vytvorit akoby odelene fungujuce pocitace s vlastnou IP a ostatsnym hardverom? ci ako to vlastne je?

[luckyboy]

http://en.wikipedia.org/wiki/FreeBSD_jail

[pavlix]

Linux OpenVZ

[xkucf03]

Jakákoli virtualizace je trochu těžký kalibr Začal bych s tím, že bych založil zvláštního uživatele, třeba skypeisshit a pod ním spouštěl skype. Tenhle uživatel by neměl práva číst můj domovský adresář a případně by se daly omezit další práva pomocí AppArmoru.

Linux nabízí dost prostředků, jak oddělit aplikace, aniž by se musela používat virtualizace. Po té bych sáhnul, až když by mi tohle nestačilo. Možná by šlo ten virtuální server spustit někde na síti, kde k němu bude mít přístup víc lidí a udělat takovou bránu pro Skype – člověk by se připojil přes SSH (obraz přes X, zvuk přes PulseAudio) a telefonoval by Tím, že by ten virtuální počítač mohlo používat víc lidí, by to nebyl takový opruz, jako mít virtuální prostředí kvůli jediné aplikaci a jedinému uživateli.

[Semo]

Chroot by stacil az az. Asi nebezis skype pod rootom, takze neujde. A stacil by asi aj strace a parsovat vystup z neho, ci skype lozi kam nema. Aj ked to by bolo iba na detekciu a nie na zabranenie.

[Jakub Lucký]

$ cat /usr/bin/sskype 
#!/bin/bash
xauth extract /opt/skype/$HOME/.Xauthority $DISPLAY
schroot -c sid -p skype
rm -f /opt/skype/$HOME/.Xauthority

Skript je odněkud vykraden...

[Limoto]

Spusť to v chrootu, virtuálka nemá smysl, Xen už vůbec ne.

[edois]

Jestli jsi opravdu tak paranoidni (ja vim, asi si rikas, ze v tom spiknuti jedu taky), tak si tam bud rozjed openvz (je to fajn "virtualizace", nema prakticky zadnej overhead a jdou s ni delat opravdu hezky veci), nebo si jako ja porid nokii n900 a skypuj z ni :) Musim rict, ze se to drzi u ucha lip, nez notebook :)) a jede to i pres 3g, kdyz neni v dosahu wifina...

[robotics]

Takže když mam ted spustenej skype tak se děje co? Někdo vidí co dělám na PC či co? :-O

[kyytaM]

zomieraju maciatka a hori prales v Amazonii ;(

[michal00]

to že si paranoik, nezamená že ťa nesledujú...

[Jendа]

Máš na svém počítači spuštěný obfuskovaný BLOB, který komunikuje šifrovaným protokolem se stovkami počítačů po celém Internetu.

[Jakub Lucký]

Který sahá do profilu Firefoxu...

[Jendа]

Fakt? To jsem ani nevěděl.

[Jakub Lucký]

Nebo to aspoň dělával, viz link

[michal00]

ak som úplný paranoik a binárke vôbec neverím stačí chroot ? chroot zabezpečí že nebude liezť mimo určeného adresára, linux snáď zabezpečuje že nejde mimo svoju RAM, ak mu dám nice a ionice bude aj služný... v čom ma ešte môže prekvapiť ?

[trekker.dk]

Těžko říct, když k tomu nemáš zdroják

[Jakub Lucký]

Těžko říct, ta binárka má snad všechny triky, které existují aby se zamaskovalo, co dělá...

Ale z toho, co se ví, ještě dělá pěkné prasárny se sítí, obzvlášť, je-li člověk na veřejné IP

[michal00]

preto ta otázka či chroot stačí na odizolovanie procesu.

či nemôže čítať obsah RAM iných procesov, použiť ps (ak to má v sebe integrované), sniffovať packety, a pod. ošetrí mi to chroot ? resp je to ošetrené priamov jadre ?

[trekker.dk]

Jestli běží pod rootem, tak může dělat všechno, co si vývojáři vymysleli.

[michal00]

hm, takže xen je najistejšia cesta (aj keď to pustím pod rootom, neuvidí nič než to čo je vo virtuále)

[Jirka]

A proč bys měl uživatelskou aplikaci spouštět pod rootem?

[michal00]

to mi ani nenapadlo ...

pod normálnym userom a chroot mi vie urobiť paseku popísanú vyššie ?

[Chytrex]

chroot by měl být dostatečný.. Najdi si nějaké howto jak to (bezpečně) udělat a víc neřeš. XEN a libovolná jiná virtualizace je fakt úplně zbytečný overkill.

[pavlix]

chroot by měl být dostatečný

Záleží, co od toho očekáváš. Chroot nikdy nebyl dobrý bezpečnostní mechanismus, pokud vím. Za velmi specifických okolností se tak dá použít, ale musí člověk opravdu vědět, co dělá.

úplně zbytečný overkill.

Opět, záleží na požadavcích, ne na náboženství.

[Jakub Lucký]

Jakou myslíš? Tu se sítí? Pokud tu, tak tu ti udělá klidně i v Xenu, pokud ho pustíš k veřejné IP, viz článek na Rootu, ohledně sítě je to bod 4, ale i další jsou zajímavé