bezpečnost

16.3.2014 16:50 | všeobecné Linux

Já se už nemíním nijak rozčilovat:Linux používám už 8 rok a zdá se mně,že s jeho bezpečností to jde 10 k 5.Policajtský virus otravuje i na Linuxu a co víc zjistil jsem že dáma na protější straně reaguje na mé podněty i bez rozsvícené kontrolky na Webové kameře na monitoru VK193D + Opensuse 12.3.        

Komentáře

[Migi]

Policejni virus je v podstate jen webova stranka, jež utočí na lidskou blbost.

Máme to chápat tak, že chceš systém na kterém nefunguje world wide web? V tom připadě runlevel 2, have fun.

Nebo přestan dělat vola.

[Jendа]

Máme to chápat tak, že chceš systém na kterém nefunguje world wide web?

Já bych chtěl webový prohlížeč, který takové vylomeniny neumožňuje. Tedy přesněji řečeno takový prohlížeč mám, ale chtěl bych, aby webové stránky fungovaly bez technologií umožňující takové vylomeniny. V současné době totiž spousta stránek vyžaduje JavaScript i pro takové věci jako je zobrazení menu nebo vyhledávání.

[Zdeněk]

To se ví,že nejsem debil a když už byl chrome zablokován,tak jsem ho odstřelil xkill a byl pokoj,ale víc mě rozhodila ta baba.Bez zapnuté kontrolky na webové kameře evidentně viděla co a jak a do konce odpovídala na otázky.

[Migi]

Ta policejni stranka ma už aj babu přes webku? To tam v době kdy jsem to posledně viděl nebylo. A spíš to smrdí spíš špatně nastaveným Chrobákem.

Killnout jsem musel Frndafox, Chrobák to vždycky zavřel jak kdyby se nechumelilo. Debian aj Fedora.

[MadCatX]

Takže v podstatě jediný problém, který máte, je skutečnost, že webová kamera nerozsvítí LEDku v případě, že je aktivní? Že webová stránka funguje ve světě relativně standardizovaných webových technologií a multiplatformních prohlížečů i na Linuxu asi není dvakrát šokující.

[Petr]

To, že ta kamera vůbec začala jen tak snímat vám připadá normální?

[Jendа]

Nepřipadá. Pokud to dělá webová stránka, chci to vidět. Myslel jsem, že je to samostatný problém, kdy autor zápisku spustil třeba Skype. Jinak HTML/JS AFAIK ještě nemají API na webkameru, tohle dělá Flash.

[Bystroushaak]

Pokud to dělá webová stránka, chci to vidět.

Přidávám se.

[MadCatX]

Flash má přístup k webkameře a dokonce se dá v nastavení zakázat (jak složité je Flash přimět, aby toto nastavení ignoroval nemám tušení), jinak by měl uživatele informovat o tom, že něco chce webkameru nebo mikrofon využít. Ať je to jak chce, v tomto případě jde pouze o druh otravné webové stránky a děravého Flashe. Moc mě nenapadá, jak by mohl linuxový ekosystém situaci vylepšit, takže stěžovat si v tomto kontextu na zhoršující se bezpečnost Linuxu považuji za neopodstatněné.

[kavol]

Moc mě nenapadá, jak by mohl linuxový ekosystém situaci vylepšit

no tak třeba tomu děravému Flashi nedovolit dělat koniny, jako např. vůbec šáhnout na kameru - pak by ovšem uživatelé řvali, že jim to nefunguje, že ...

(nevím, jestli jiný, tedy nejspíše by byla řeč o windowsovém, "ekosystém" dokáže či nedokáže totéž, ale za mejch mladejch let to v něm vypadalo tak, že domácí uživatel musel bejt admin, aby vůbec mohl pracovat, takže bezpečnost a řízení přístupu kde nic tu nic ...)

[Jendа]

Moc mě nenapadá, jak by mohl linuxový ekosystém situaci vylepšit

„Flashplayer chce otevřít /dev/video0. Povolit?“

[xkucf03]

Jinak HTML/JS AFAIK ještě nemají API na webkameru, tohle dělá Flash.

Mají. Dokonce s tím někteří dělají takové ptákoviny, jako převod do ASCII artu v JavaScriptu. Nějaké ukázky.

Ve Flashi je o dost pravděpodobnější (nebo jisté), že tam bude díra, ale i v tom prohlížeči může být chyba. Nicméně aby se ani nerozsvítila kontrolka, to už těch chyb musí být hodně a na několika úrovních: Flash/prohlížeč + ovladač + hardware. Správně navržená kamera by při snímání měla svítit a nemělo by to jít softwarově vypnout ani sebeděravějším Flashem/prohlížečem/ovladačem.

[xkucf03]

P.S. ale jistota je jistota – na notebooku přelepit a u desktopu odpojit

[Václav HFechs Švirga]

Asi bohužel budou ty kontrolky řízené softwarově.

[Petr]

Dokázal byste najít adresu toho webu? Myslím, že rozbor takové věci by mohl být zajímavý.

[Michal Kubeček]

Nemělo to být "trolla"?

[Jendа]

Linux používám už 8 rok a zdá se mně,že s jeho bezpečností to jde 10 k 5.

Mně přijde, že je to pořád stejně zoufalé.

a co víc zjistil jsem že dáma na protější straně reaguje na mé podněty i bez rozsvícené kontrolky na Webové kameře

To je problém toho HW, ne OS.

[Zdeněk]

Takže bezpečnost Linuxu je OK a všechno je otázka hw.Dost blbý přístup.ale pak je otázka proč Linux používat,když v podstatě bude microsoft bezpečnější už tím,že je x programů třetích stran,které se budou o tu bezpečnost starat.Nejsem vývojář,ale blbec snad taky asi ne.Pokud se bude dogmaticky tvrdit,jak je Linux bezpečný,tak to dopadne asi tak,že hrozby se budou ignorovat,protože nám-opensource(Linuxu) se nic takového nestane.Ale ono se stane!A už možná stalo.

[Jendа]

Takže bezpečnost Linuxu je OK a všechno je otázka hw.

Ne. Bezpečnost Linuxu stojí za hovno, ale zrovna to, že kamera jde zapnout, aniž by se rozsvítila ledka, je problém HW.

Dost blbý přístup.ale pak je otázka proč Linux používat,když v podstatě bude microsoft bezpečnější už tím,že je x programů třetích stran,které se budou o tu bezpečnost starat.

Neznám takové programy.

Pokud se bude dogmaticky tvrdit,jak je Linux bezpečný

To snad nikdo netvrdí.

A už možná stalo.

Ano, stalo.

[kavol]

Pokud se bude dogmaticky tvrdit,jak je Linux bezpečný

To snad nikdo netvrdí.

no, tady asi ani ne, ale jinak jsem to slyšel (resp. četl) již nesčetněkrát :-/

[pc2005]

Ne. Bezpečnost Linuxu stojí za hovno, ale zrovna to, že kamera jde zapnout, aniž by se rozsvítila ledka, je problém HW.

Hehe chtělo by to RFKILL přepínač i na webkameru. Jinak ta ledka bude nejspíš připojená přes GPIO na ccd/cmos modulu a ten uvnitř stejně často má MCU (takže zase problém softwaru).

[Jendа]

Hehe chtělo by to RFKILL přepínač i na webkameru.

Jako softwarovej? To jde taky obejít, když to někdo vyownuje fakt hard. Dost kamarádů tam má prostě neprůhlednou samolepku. Já si ji tam dát nemůžu, protože by mi přestal fungovat fotící honeypot.

[Jendа]

Jo a jinak jako větší problém vidím integrovaný mikrofon.

[pc2005]

Já jsem myslel, že ty RFKILL posuvný přepínače fakt disablujou vysílač :-O.

[Jendа]

Aha, tenhle rfkill. Jo, to asi jo. A u kamery notebooku stačí otevřít rámeček displeje a přidat vypínač na napájení.

[Jendа]

(ale prostě zakrýt to je neinvazivní a nejjednodušší)

[Fluttershy, yay!]

• flamebait. checked
• argumentační klam. checked
• zoufalá gramatika. checked

GTFO

[kralyk z abclinuxu]

+1

Co má být zač ten "polcejní virus"?

[kralyk z abclinuxu]

s/polcejní/policejní/

[Fluttershy, yay!]

IIRC nějaký malware nazvaný Policie ČR, nebo tak něco, ale prd o tom vím.

[FrostyX]

http://www.root.cz/zpravicky/policejni-virus-se-rozsiril-i-na-linux-a-os-x/

[Jendа]

Prý je to webová stránka, která vypadá stejně, jako policejní ransomware („Váš počítač byl zablokován, protože jste stahovali porno, zaplaťte pokutu pomocí U:kash/Bitcoinu“), a pomocí javascriptové magie brání svému uzavření (to, že javascript něco takového umožní, považuji za naprosté selhání veškerých standardizátorů a programátorů webových prohlížečů).

[Laktos]

Ví ale někdo, jak zabezpečit prohlížeč tak, aby to "plicejní" okno zablokoval ještě před otevřením? Mám ve FF nastaveno "blokovat vyskakující okna", ale ono mi stejně vždycky vyskočí já musím zabít proces FF a nastartovat ho znovu s odháčknutým tabem.

[Jendа]

Pošleš URL?

[=^..^= AmigaPower®]

Copak jedeš za porníčko Jeníku, že ti to ještě nevyskočilo a nemáš to prolustrovaný? ;)

[kralyk z abclinuxu]

+1, taky bych rád vyzkoušel. Na odkazu níže se nic neděje a fakt nemám náladu probírat se tunama porna, jen abych objevil ransomware

[=^..^= AmigaPower®]

no hele, já taky na nic nemůžu narazit :D

[gtz]

ad-block + noscript

Policejní okno? Asi se moc čumíš na péčko.

[Jendа]

ad-block + noscript

Až na to, že dnešní web bez JS prostě nefunguje, takže stejně skončíš s tím, že budeš spoustu stránek povolovat.

[=^..^= AmigaPower®]

Policejní okno? Asi se moc čumíš na péčko.

stačej nějaký filmy online ;)

[FrostyX]

+1 jednoho času se to hodně objevovalo na kinotip.in

[Laktos]

Přesně, dělají mi to i stránky s online filmy, nejen porno - ale kamera na mně nikdy nevyskočila, jen u kamaráda jsem na XP viděl okénko s obrazem z jeho webky. Tam jsme ale museli udělat virovou kontrolu v administrátorském režimu a od té doby mu nefungují USB porty, jen napájení.

[FrostyX]

Já naštěstí v notebooku webkameru nemám. Stránka se mi hodněkrát objevila, ze začátku bylo potřeba zabít chromium (nebo tak něco), aby se toho člověk zbavil, ale teď už mi stačí prostě odkliknout alert a zavřít tab. Nevím co se kde opravilo/rozbilo/změnilo.

[Fluttershy, yay!]

Co lidi na tom webu děláte? O_o Já se včera dostal na fakt divný blog o sexu s delfínama, ani nevím jak, ale ani tak jsem nikdy nic jako ta policejní věc neviděl...

[FrostyX]

Já na to narazil pouze u online seriálů, tedy kinotip.in nebo sledujuserialy.cz. Nikde jinde.

[kralyk z abclinuxu]

ale kamera na mně nikdy nevyskočila, jen u kamaráda jsem na XP viděl okénko s obrazem z jeho webky. Tam jsme ale museli udělat virovou kontrolu v administrátorském režimu a od té doby mu nefungují USB porty, jen napájení.

Já nevim, co s tim děláte, stačí nastavit flash player, aby neměl přístup ke kameře. Na linuxu příkaz flash-player-properties.

[Václav HFechs Švirga]

Tak hlavně se flash vždycky zeptá, aspoň teda u mě.

[Migi]

Tak jsem si musel vygooglit proč je kolem toho vlastně takove halo, a ono to na windows prej umi šifrovat soubory.

rozbor na rootu shrnutí na lupa.cz

A dovolím si citovat tlupu:

Na OS X a Linux se „policejní software“ rozšířil díky praktikám webového adwaru, přičemž využívá multiplatformní JavaScript. „Tato verze policejního viru je prakticky neškodná, nezachytává žádné údaje, nepřipojuje vás k botnetu ani nestahuje další malware do počítače,“ popisuje Pavel Matějíček na serveru Viry.cz.

Frndafox aj Chrobák beží klasicky pod userem, zajímalo by mě tedy jak by to bylo na linuxu se zašifrováním uživatelských dat. V Chrobákovi by tomu měl zabránit sandbox, ale nevím jak Frndafox.

Nějaký expert for the help?

[Jendа]

Frndafox aj Chrobák beží klasicky pod userem, zajímalo by mě tedy jak by to bylo na linuxu se zašifrováním uživatelských dat. V Chrobákovi by tomu měl zabránit sandbox, ale nevím jak Frndafox.

Samozřejmě, že když ti to vyownuje prohlížeč, tak může dělat, co chce. Izolace aplikací v Linuxu v podstatě neexistuje.

A sandbox ti nepomůže, třeba VUPEN občas publikuje a prodává 0daye.

[kralyk z abclinuxu]

Z toho popisu není nijak jasný, jestli ty exploity fungují jen na Windows, nebo i na Linuxu. Chromium používá (pochopitelně) úplně jiné technologie sandboxingu na různých OS.

Detaily budem vědět zřejmě až budou zvěřejněná příslušná CVE.

[xkucf03]

Izolace aplikací v Linuxu v podstatě neexistuje.

Android je taky Linux cgroups, LXC, AppArmor, Qubes OS… technologie jsou, horší je, že je většina lidí nepoužívá.

[pavlix]

Izolace aplikací v Linuxu v podstatě neexistuje.

Co je tím přesně myšleno?

[xkucf03]

Předpokládám to, že se ti třeba proces webového prohlížeče dostane (ve výchozím nastavení většiny distribucí) k soukromým klíčům (SSH, GPG, X.509) nebo k e-mailům a dalším dokumentům, ke kterým vůbec přístup mít nemusí. Totéž třeba přehrávač médií nebo IM klient.

[pavlix]

Díky za odhad toho, jak to Jenda mohl myslet, nicméně si počkám na autoritativní odpověď. To, co popisuješ ty, je nepoužití prostředků. Z toho, co Jenda psal nebylo zřejmé, zda má namysli nepoužití prostředků nebo jejich neexistenci/nedostatečnost.

Pokud vím, tak ochrana soukromých SSH klíčů je se současnými prostředky typu selinux triviální úloha. To samozřejmě nic neříká o těch ostatních věcech a každý systém je trochu jiný a bezpečnostní politiku je potřeba pečlivě navrhnout.

[kralyk z abclinuxu]

Imho důležitá - a často opomíjená - vlastnost zabezpečení / izolace aplikací je uživatelská přívětivost. Například ten selinux v tomhle ohledu zrovna nevyniká. Pokud se pravidla nebudou dát snadno nastavit a pokud je kvůli zabezpečení potřeba opatchovat polovinu systému (opět selinux, vč. třeba takových utilit jako flex, což mi přijde mírně absurdní), nebudou to lidi používat. BFU to nebudou používat zcela určitě a ani power userům se do toho nebude chtít.

[Heron]

Hlavně se na to jde (imo) ze zcela opačné strany. Tj jak antivir ve windows. Místo toho, aby se to udělalo správně (dobře se chovající programy z repositáře, oddělení uživatelských účtů, apod), tak se "nebezpečný" program (ehm, když už vím, že je nebezpečný, tak proč ho tam mám), zavře do klece. Na windows outlook kdysi automaticky pouštěl activex prvky v html emailech. Tj červený koberec pro autory virů. Autoruny na médiích totéž. Na Windows měl ještě jistotu, že to běží pod adminem.

Teď se dělá "skoro" totéž na linuxu. Potenciálně nebezpečné programy se zavírají do selinuxu apod. Jako já netvrdím, že je špatná myšlenka v mac. To je dobrá myšlenka a doplnění ke standardním právům. Ale jestli by ono nebylo lepší mít jako hlavní cíl slušné programy, které nebudu muset zavírat.

[pavlix]

Hlavně se na to jde (imo) ze zcela opačné strany. Tj jak antivir ve windows. Místo toho, aby se to udělalo správně (dobře se chovající programy z repositáře, oddělení uživatelských účtů, apod), tak se "nebezpečný" program (ehm, když už vím, že je nebezpečný, tak proč ho tam mám), zavře do klece.

Pokud jde o selinux, tak ten umí obojí.

Nicméně uživatelé zjevně nejsou ochotni zabezpečený systém používat, vzhledem k tomu, že pak na pouhou migraci klíče na jiný stroj bude potřeba zásah systémového administrátora. Takže celé je to o nastavení bezpečnostní politiky. Pokud máš funkční univerzální návod na bezpečnost uživatelského linuxu, tak sem s ním, budeš první.

Ale jestli by ono nebylo lepší mít jako hlavní cíl slušné programy, které nebudu muset zavírat.

Cílem toho zavírání je mimo jiné právě to mít slušné programy, které není potřeba zavírat. To je právě oblast, kde z existence a selinuxu těží i ti, kteří ho nepoužívají.

[xkucf03]

vzhledem k tomu, že pak na pouhou migraci klíče na jiný stroj bude potřeba zásah systémového administrátora.

Což je právě ta chyba. Může to tak být třeba na nějakém pracovním počítači v bance, kde bude zakázaná spousta věcí, ale na běžných počítačích ne – tam by si to měl řešit uživatel a root by nastavil jen nějaký výchozí stav.

Mělo by to fungovat jako v databázích – tam můžeš mít určitá práva na určité tabulky + můžeš mít právo tato práva přidělovat ostatním (v tomto případě svým aplikacím běžícím v omezeném režimu) a nemůžeš přidělit víc práv, než sám máš.

[pavlix]

S mlhavými teoriemi umí přijít každý. Ale slušný ucelený a hlavně přijtelný návrh je trochu jiná liga než hospodská diskuze.

[xkucf03]

Co ti na tom přijde mlhavého?

Buď spustím (důvěryhodnou) aplikaci normálně, tak jako dnes, se všemi právy, která mám já. Nebo ji spustím ve zvláštním omezeném režimu, jehož parametrem je profil definující různá omezení¹ a tento profil si může vytvořit uživatel spouštějící aplikaci – nemusí jen přejímat profily, které definoval root.

_{[1] případně ten profil staví na nulových právech a musí definovat, co aplikace smí, aby vůbec mohla běžet}

[pavlix]

Tahle diskuze asi nemá moc cenu.

[kralyk z abclinuxu]

Místo toho, aby se to udělalo správně (dobře se chovající programy z repositáře

No jo, jenže ono je dost náročné zajistit, aby byl program 'dobře se chovající'. Programy prostě obsahují chyby. A když tím programem je JavaScript VM, který vykonává kód odněkud z internetu (nebo něco podobného), tak v zásadě ani není jiná možnost, než sandbox.

oddělení uživatelských účtů

Tohle se mi nelíbí, uživatelský účet je od toho, aby reprezentoval uživatele, ne jednu aplikaci uživatele... Navíc mi to nepřijde praktické, protože by pak člověk musel různá nastavení synchronizovat mezi různými uživateli... To je dost nahouby.

[Jendа]

dobře se chovající programy z repositáře

Jako aby v programech nebyly bezpečnostní díry? To by bylo super, bohužel asi v dohledné době nereálné.

oddělení uživatelských účtů

Pro každou aplikaci vlastní účet?

ehm, když už vím, že je nebezpečný, tak proč ho tam mám

Nevyčerpávající seznam nebezpečných programů: Firefox, Chromium, Thunderbird, MPlayer, Evince, Okular, Mutt, LibreOffice, Pidgin.

Ale jestli by ono nebylo lepší mít jako hlavní cíl slušné programy, které nebudu muset zavírat.

Bylo, ale myslím, že to není moc reálné.

[Heron]

Pro každou aplikaci vlastní účet?

Ne pro každou. Pro aplikaci, kterou chci oddělit. Nevím, co je na tom divného, na počítači, kde toho ani moc neběží a je tam přihlášen jeden (fyzický) uživatel běží aktuálně programy pod celkem 9 různými uid.

[pavlix]

Pro aplikaci, kterou chci oddělit.

To je v přímém rozporu s tvým tvrzením, že zabezpečovat jednotlivé aplikace je chyba.

[Heron]

Nic takového v odkazovaném komentáři není. Dokonce tam je oddělení uživatelských účtů.

[pavlix]

Asi už jsem tě pochopil, ale nesouhlasím. Že je oddělení UID ten jediný správný způsob ochrany, je jen dojem. Ve skutečnosti se bezpečnost dá řešit různými způsoby a v mnoha případech je více než rozumné ty způsoby kombinovat.

[Heron]

Určitě ne jediný správný. Ale možný a občas zapomínaný.

[pavlix]

Podle mě především na tyhle případy nevhodný, ale to by bylo na delší povídání.

[xkucf03]

Pro serverové aplikace/démony je to běžná věc. Pro uživatelské aplikace je to spíš otázka pokročilejších uživatelů a jistého nepohodlí. Možná by nebyla od věci nějaká systémová podpora pro tohle – uživatel (člověk) by neměl jen jedno UID, ale nějaký přidělený¹ rozsah. První UID by bylo výchozí a do těch dalších by mohl „zavírat“ jednotlivé aplikace a oddělovat je od ostatních. Plus mít nějaký framework pro sdílení zdrojů – k některým souborům (a soketům) můžou všichni, k jiným jen vybrané aplikace + omezování síťového provozu, CPU, RAM… V podstatě vše potřebné pro tohle v GNU/Linuxu je, jen k tomu chybí nějaké uživatelsky přívětivé rozhraní.

Taky je potřeba řešit izolaci na úrovni X serveru (nebo jeho nástupce). A nějaké oddělení na úrovni pluginů/modulů – např. věřím nějaké aplikaci (třeba KDE), ale chci si v ní vyzkoušet nějaký experimentální plugin. Pokud tam bude nějaké API resp. protokol, mohl by klidně plugin běžet pod jiným UID a s aplikací komunikovat třeba přes STDIO, POSIX MQ, D-Bus atd.

Druhá možnost je pouštět všechny aplikace jednoho uživatele pod stejným UID, ale omezit jejich práva jinak. Každopádně by to ale měl být uživatel (ne jen root), kdo řekne, co aplikace smí a nesmí dělat (samozřejmě nesmí překročit oprávnění, které má sám).

_{[1] a systém by měl přehled o tom, co komu patří, dokázal by s tou skupinou UID potažmo uživatelských účtů pracovat jako s jedním uživatelem, např. ho najednou smazat nebo mu ukončit všechny procesy atd.}

[kralyk z abclinuxu]

Dělá to na mě dojem, že se snažíš znovuvynaleznout cgroups.

[xkucf03]

O těch UID začal Heron Já psal o cgroups už tady: #49.

Tohle je moje představa jak by šlo využít více UID, aby to nebyl jen bastl nebo provizorium, které si rozchodí pokročilý uživatel. Více UID ale není jediná a možná ani nejlepší možnost. Ale ať už se použije cokoli (UID/cgroups/AppArmor/SELinux/…), pořád tomu zatím chybí uživatelská přívětivost. Zatím nejdál (i když ne dokonalé) je to asi u Androidu – při instalaci vidíš, jaká oprávnění aplikace potřebuje a rozhodneš se, zda jí je dáš.

[pavlix]

Například ten selinux v tomhle ohledu zrovna nevyniká.

Pokud jde o nastavení, tak v případě SSH klíčů selinux vykazuje 100% uživatelskou přívětivost (uživatel s tím nemusí nic dělat).

[Jendа]

Myslel jsem to přesně takhle.

Pokud vím, tak ochrana soukromých SSH klíčů je se současnými prostředky typu selinux triviální úloha.

Asi jsem blbej, ale nejsem to schopen udělat jinak, než mít pro každou aplikaci zvláštního uživatele (nebo nějaký SELinux profil) a pro každou grafickou aplikaci zvláštní nested X server.

[pavlix]

Někdy pokecáme. Předpokládám, že máš v hlavě hromadu nevyřčených požadavků, a ty mi líp řekneš někde v čajovně.

[Heron]

A proč by se neměl dostat? Pokud nechci, aby se dostal, tak ho pustím pod jiným uživatelem a mám ochranu dostatečnou, ale také může být legitimní požadavek, aby se k těm souborům dostal.

Tohle je problém selinuxu, občas totiž není úplně jasné, kam se má daný program dostat a kam ne. Osobně bych byl velmi nepříjemný, pokud by se prohlížeč někam nedostal jen k vůli tomu, že autora politiky si myslel, že to tak má být.

Problém totiž není v těch souborech, kam se webový prohlížeč (ne)má dostat, problém je v tom, že se z webového prohlížeče (pasivní to věc), stal vysoce nebezpečný program, který (může být) je řízen kódem na webové stránce třetí strany (nevím, jak moc je složité napsat js který odešle někam soukromý klíč, ale spíše je otázkou, proč by to ten program vůbec měl umět), který se spustí by defaul ještě dřív, než uživatel zjistí, zda na té stránce vůbec chtěl být. Trochu to připomíná situaci s autorunem ve Windows. Jakýsi kód se automaticky spustí, aniž by tomu uživatel (by default) mohl zabránit. Takto by se programy chovat neměly.

[pavlix]

Tohle je problém selinuxu, občas totiž není úplně jasné, kam se má daný program dostat a kam ne.

Nesmysl. Tohle je problém nezávislý na selinuxu. Selinux je jenom jeden z nástrojů, jak v systému vynutit bezpečnostní politiku. Jenže je těžké něco vynucovat, pokud to nedokážeš ani definovat.

Takto by se programy chovat neměly.

Přesně z tohoto důvodu se selinuxem systém chrání primárně před programy, které běžně přijímají data ze sítě, popřípadě před programy ze sítě přijaté. Proto není selinuxem zablokované třeba spuštění příkazu cat z uživatelského shellu.

[xkucf03]

A proč by se neměl dostat? Pokud nechci, aby se dostal, tak ho pustím pod jiným uživatelem a mám ochranu dostatečnou

To taky dělám, mám tu založeno několik uživatelů a používám je na různé věci. Ale je to jednak trochu neohrabané, je problém se sdílením zdrojů a jednak je to takové nesystémové – můžu si to dovolit já jako root daného počítače, můžu si tu založit uživatelů, kolik chci, pro každý účel nebo klidně i aplikaci jeden, ale co má dělat běžný uživatel na víceuživatelském počítači? Vždyť jedna z důležitých vlastností unixu (a GNU/Linuxu) je to, že je víceuživatelský. Jeden účet by měl (zhruba) odpovídat jednomu člověku – a ne že každý bude potřebovat deset účtů + roota pro případ, že by chtěl na počítači dělat jedenáctou činnost.

Jak píšu, více uživatelských účtů používám, ale beru to jako takové provizorium, na izolaci aplikací by IMHO mělo sloužit něco jiného. Ty aplikace mají běžet pod jedním uživatele (= patří jednomu člověku), ale ten je může chtít od sebe izolovat a omezit jim oprávnění.

Osobně bych byl velmi nepříjemný, pokud by se prohlížeč někam nedostal jen k vůli tomu, že autora politiky si myslel, že to tak má být.

Chce to hodně dobře vyladit výchozí nastavení (což je asi důvod, proč se tyhle věci zatím moc nepoužívají) + dát uživateli možnost, aby svým aplikacím přidával nebo odebíral práva podle vlastního uvážení.

Problém totiž není v těch souborech, kam se webový prohlížeč (ne)má dostat, problém je v tom, že se z webového prohlížeče (pasivní to věc), stal vysoce nebezpečný program, který (může být) je řízen kódem na webové stránce třetí strany (nevím, jak moc je složité napsat js který odešle někam soukromý klíč, ale spíše je otázkou, proč by to ten program vůbec měl umět), který se spustí by defaul ještě dřív, než uživatel zjistí, zda na té stránce vůbec chtěl být. Trochu to připomíná situaci s autorunem ve Windows. Jakýsi kód se automaticky spustí, aniž by tomu uživatel (by default) mohl zabránit. Takto by se programy chovat neměly.

Souhlasím. Webový prohlížeč by tohle dělat neměl. Má sloužit k prohlížení stránek, čtení hypertextových dokumentů. Ovšem jsou tu dvě ale:

1) V programu (prohlížeč, e-mailový klient, přehrávač filmů, rss čtečka atd.) může být chyba a přijde mi dobré, to mít nějak pojištěné. I za cenu toho, že třeba nebudu moci k e-mailům přidávat soubory ze všech složek nebo je nahrávat přes formuláře na webu. Případně by mohl vyskočit nějaký dialog nezávislý na tom programu, ve kterém bych přístup k těm souborům odsouhlasil.

2) Je dobré mít nějakou platformu pro spouštění cizích a ne zcela důvěryhodných aplikací – ne všechno musí projít skrze distribuci a instalovat se jako systémové balíčky (které mj. můžou při instalaci spustit nějaký skript pod rootem). Osobně mi vadí, že tahle platforma dnes splývá s webem – tedy prohlížečem hypertextových dokumentů – považuji to za nešťastné, ale těžko se s tím něco dělá. A i kdyby to nesplývalo, řešili bychom ten stejný problém – jak izolovat tuhle platformu od zbytku systému a omezit těm cizím aplikacím práva, aby nemohly úplně všechno.

To se dá udělat buď v režii té aplikace resp. platformy (prohlížeč, Flash, Java…), na které se aplikace spouští. Ale děravé to může být stejně a je to nesystémové, dochází k duplikaci kódu, ta samá omezení a logiku musím implementovat v různých programech/platformách. Lepší by bylo to napsat jednou a pořádně, na úrovni operačního systému. Případně kombinace obojího – prohlížeč jako kontejner, základní okno + jednotlivé stránky/aplikace v samostatných procesech, které mají přidělená určitá oprávnění (např. jedna stránka může k webkameře a jiná ne).

[Jendа]

problém je v tom, že se z webového prohlížeče (pasivní to věc), stal vysoce nebezpečný program, který (může být) je řízen kódem na webové stránce třetí strany

Jenže taková chyba byla třeba i v libpng. Chceš si stěžovat na to, že je proto z prohlížeče fotek vysoce nebezpečný program?

[kralyk z abclinuxu]

Jenže taková chyba byla třeba i v libpng.

...v libjpeg [1], v libtiff [2],...

[Heron]

Vidím rozdíl mezi chybou a záměrným chováním. Chyba se dá opravit, zatímco chování je většinou chtěné. Prohlížeč má být pasivní. To současné webové prohlížeče rozhodně nejsou.

[pavlix]

Prohlížeč má být pasivní.

Když člověk vychází jen z dojmů, které neodpovídají současné realitě, tak těžko může bezpečnost nějak významně řešit. Já nepopírám, že by se mi líbilo, kdyby web byl pasivní a webové aplikace se považovaly za samostatnou platformu, kterou člověk spouští vědomě a za nějakým konkrétním účelem, nicméně jsem si i vědom toho, že se to nestane.

[Heron]

Spíš jde o to, že se to celé jaksi posunulo z relativně bezpečné oblasti nativních aplikací, zabezpečených účtů apod. do oblasti, ve které tohle všechno chybí (do prohlížečů). Celé to zabezpečení včetně selinuxu je celé naprd v případě, že si někdo "všechno" řeší jen v prohlížeči (existují i vnc a ssh klienti apod hezké věci pro prohlížeč). Pokrok nezastavíš

[pavlix]

Není pravda, že je vše včetně selinuxu celé naprd. Je potřeba bezpečnostní mechanismy přizpůsobit situaci, ať už to znamená úpravu politiky, aplikačního software, bezpečnostního software, nebo i výměnu některých komponent.

Prohlížeč, který slouží jako aplikační platforma má kupodivu podobné bezpečnostní problémy jako aplikační platforma a jsou i podobně řešitelné. A v případě open source browseru je to ještě pořád o něco nadějnější a jednodušší než třeba v případě KVM virtuálu s Windows, což lze taky považovat za aplikační platformu při troše fantazie a lze to tak používat.

[kralyk z abclinuxu]

Prohlížeč má být pasivní. To současné webové prohlížeče rozhodně nejsou.

Co to znamená "pasivní"? Znímky výše o libpng apod. dokládají, že už pouhé zobrazení obrázku z internetu nese riziko arbitrary code execution (a podobně radosti). To by ten browser nesměl umět téměř nic. Je pravda, že by pak sice byl bezpečný/ější, ale zas by nebyl k ničemu užitečný...

[Heron]

Vždyť jsem to psal v komentáři, na který reaguješ

Je rozdíl mezi chybou v knihovně (knihovna na obrázky není určená ke spouštění kód v daném obrázku), a vlastností (prohlížeč ve výchozím nastavení spouští kód webové stránky a to ještě dřív, než je schopen uživatel rozpoznat, zda na té stránce vůbec chce být).

Vidím v tom poměrně zásadní rozdíl. Jedno je nechtěné chování, které se opraví, druhé je chtěné chování (autorem aplikace), které se ještě rozšiřuje.

[xkucf03]

To by chtělo změnit úplně způsob, jakým se web dneska dělá – aby nebyl procedurální, ale čistě deklarativní – dokument. Taky by se mi takové pojetí webu líbilo.

Ty procedurální části by se mohly vyčlenit do znovupoužitelných knihoven/modulů, které by se šířily jako svobodný software a byly pod veřejnou kontrolou. Na jednotlivých webech by pak byla jen deklarativní parametrizace a jméno modulu, který se má spustit. Uživatel by si pak mohl nastavit, které moduly se mají spouštět automaticky (např. prohlížečka obrázků), které na vyžádání a které vůbec.

[JS1]

Tohle byla snad puvodni myslenka webu.. Rekl bych, ze prave vyvoj ukazal, ze ten deklarativni zpusob lidem holt nestaci.

[Amara]

Nějaké kontrolní součty pro image Windows jsem našla tady, můžete si to zkontrolovat, jestli některý nebude sedět na vaše DVD. Případně zkusit ještě jiné zdroje. Kdysi jsem viděla nějakou stránku s checksumy přímo u Microsoftu, ale nedaří se mi ji najít, asi už to zrušili.

[kralyk z abclinuxu]

Jenže ono to ve výsledku vyjde nastejno, protože z toho, že ta stránka vykonává nějaký JavaScript neplynou v zásadě žádné bezpečnostní problémy navíc oproti (třeba) tomu png, principielně to je v zásadě to samé.

Jestliže JsVM umožňuje útočníkovi vykonat nějaký nebezpečný kód, tak je to stejná situace jako s libpng - bezpečnostní bug.

[Jendа]

Vidím rozdíl mezi chybou a záměrným chováním.

A ty si myslíš, že ve Firefoxu je feature javascript:document.system.read_and_send_all_private_ssh_keys()?

Prohlížeč má být pasivní. To současné webové prohlížeče rozhodně nejsou.

I kdyby byl, furt mi vadí, že se tam můžou objevit chyby. Nebo úmyslné backdoory.

[xkucf03]

Prohlížeč prostě patří k těm potenciálně nebezpečným aplikacím, které stahují data (případně i kód, ale to není nutné) z neznámých a nedůvěryhodných zdrojů – stejně jako přehrávač internetového rádia, případně obecný přehrávač médií, e-mailový klient atd. A je dobré tyto programy nějak izolovat od zbytku aplikací daného uživatele a omezit jim práva.

U prohlížečů je ale situace ještě horší, protože nestačí izolovat prohlížeč jako celek – v rámci prohlížeče se chodí na různé stránky a dokonce spouští různé aplikace a ty by měly být izolované i mezi sebou – aby např. nějaký všivý web nemanipuloval s tvým elektronickým bankovnictvím, které máš otevřené ve vedlejším panelu. Tohle je sice extrémní případ – na e-bankovnictví si člověk může udělat zvláštní UID nebo aspoň profil prohlížeče – ale těch webových aplikací, které by se měly chránit, je daleko víc – v podstatě co doména, to by měl být samostatný kontejner, do kterého jiné weby nevidí a nemůžou s ním manipulovat. Teoreticky se o to prohlížeče snaží, ale díry se tam objevují (např. CSRF, XSS). Tady by pomohlo lepší rozlišování mezi webovými stránkami a webovými aplikacemi – aplikace spouštět v samostatném okně, procesu, profilu prohlížeče a nejlépe s nějakým vnějším omezovačem práv poskytovaným operačním systémem. Stránky/prezentace pak spouštět sice v prohlížeči a v jednom okně, ale ideálně taky v různých procesech a izolované nějakým tím nástrojem na úrovni OS.