Dotaz: Zabezpečení - viry, spyware atd.

[qualt]

Dobrý den, mám následující dotaz: jak je to v Linuxu s viry, spyware atd. - existují takové věci vůbec? Pokud ano, jak se proti těmto věcem bránit, popř. proti hackerským útokům, jsou-li aktuální pro uživatelskou soukromou stanici, připojenou na internet přes LAN. Ve Windows mi vyhovoval ZoneAlarm. Používám Mandrake Linux 10.1.

Předem děkuji za vaše příspěvky.

Odpovědi

[Michal Kubeček]

Zdravý rozum je nad všechny antiviry…

[mmrnda]

Nevíte někdo tady co to jsou viry? Moc by mě to zajímalo.

Proti hacknutí je snad firewall, nebo se mýlím?

PS: Opravte mne jest-li se mýlím.

[ZAH]

Ono to zas tak odlišné od windows není.

1. Aktualizovat - ona nějaká ta díra se nejde skoro všude, pro linux 
   jsou většinou záplaty rychleji k dispozici.
2. Funkční paketový filter (firewal i když to není přesné ) a 
   povolit pouze to co potřebuji.
3. Neinstalovat každou blbost.
4. Nepracovat soustavně jako root. (Rozdíl proti windows)

S Klasickými viry se tu nesetkáte, ale jiní zlobiví hoši jsou občas docela aktivní.

[qualt]

Děkuji za Váš příspěvek. Jako root pracuji málokdy, skoro vůbec. Programy nad rámec instalačních CD instaluji minimálně, takže z tohoto hlediska by mělo být vše v pořádku. Zajímalo by mě, jestli je možná nějaká samovolná instalace programu přes mozillu, jako to bylo možné přes díry u exploreru. A jak nastavit správně firewall, existuje nějaký návod na netu? Děkuji.

[ZAH]

Návodů na netu je hromada i v této konferenci. Zásady jsou jednoduché

1. Pochopit co vlastně je paketový filtr.(většinou iptables)
2. Zakázat vše 
3. Začít postupně přidávat povolení pro služby, které potřebuji.

Myslím, že na rootu byl dobrý seriál Stavíme firewal nebo tak nějak.

[qualt]

Mockrát díky za Vaši odpověď, porozhlédnu se po nějakých návodech.

[Jan Martinek]

Ano, ve windows je vše snadné. Pustí se ZoneAlarm a je navždy klid. Ale v Linuxu nastává pravé peklo. Každý má k dispozici zdrojový kód od čehokoli. Může kdykoli připsat zadní vrátka a nikdo si toho nevšimne a každý jen poslušně nainstaluje podvrženou záplatu. Díry v systému se zveřejňují - ale jen takové, u nichž objevitel chce, aby je všichni znali. Pravý hacker nikdy nevyzradí chybu, na kterou přijde. Zná dokonale systém a nikdy se mu neubráníš. Dostane tě kdykoli. Viry v linuxu nejsou. Virus je hloupý robot a pro takové zde není místo. Proti tobě stojí něco daleko strašnějšího. Geniální hacker, který umí zneužít každou slabinu systému a před ničím se nezastaví. Je mu jedno, že tvůj počítač je bezvýznamný, snadný cíl. Každá oběť se počítá. A spyware? Ten v linuxu není. Proč odchytávat pouze hesla, když je celý tvůj systém zcela pod nadvládou? Už dávno má tvém počítači rootovský účet někdo, koho bys nečekal. A nikdy se to nedozvíš. Hacker bude vždy o krok napřed.

[Petr]

Jo a taky bubáci tam jsou, těch se bojím nejvíc.

[Michal Kubeček]

A nejhorší jsou trpaslíci… :-)

[Michal Čihař]

A nezapomeň, že velký bratr tě stejně pořád sleduje, takže jakákoliv obrana je zbytečná

[mmrnda]

Tak tak.

[Andre]

Aha.. Prave jsem pod perinou a zalezl jsem pod postel. Mam strach. Svuj PC jsem dal do krabice, 100x prevazal pevnou snurou a hodil do reky. At se utopi hacker jeden!!!!

[Ondroid]

Takže: Geniální hacker se zastaví snad jedině před Windows a ZoneAlarmem ten je totiž na vždy v pohodě. V Linuxu nemáš šanci se ubránit, jen málo která záplata není podvržená, smá slabina systému, root účet už kontroluje stejně dánvno někdo jinej - mimozemšťani co chtěj ovládnout plantu Zemi prostřednictvím opensource. :@))

[qualt]

Samozřejmě netvrdím, že ZoneAlarmem se vše vyřeší, uvedl jsem jej jako příklad programu, který mi spolehlivě sloužil proti spywaru a podobným věcem, společně s antivirovým programem a nějakým spyware-scannerem. Historka s hackerem mi připadá spíše nereálná, přesto pokud je to pravda - nevím kdo by si pomohl mít přístup na můj počítač Každopádně děkuji za příspěvek.

[qualt]

Toto mělo patřit spíše uživateli "Jan Martinek", ale i zde je stejná reakce na ZoneAlarm tak platí totéž.

[zoran]

Jelinku ty si asi moc četl detektivky co? Geniální hacker?nedavno sem se pobavil na jakou prkotinu že vypátrali toho mladého hackera z německa! prostě si dej firewal ale hardwarovy,a bud v klidu.

[zoran]

Tim Jelinkem sem měl samozřejmě na mysli o pár řádků víš píšícího Martinka.

[Jan Martinek]

Nejsem Jelínek. A neber situaci na lehkou váhu. Jsi další na řadě! Každý příkaz, který spustíš, je ve skutečnosti jeho modifikovaná verze. V jádře máš spoustu modulů, o nichž netušíš, co dělají. Samozřejmě se ve výpisu nezobrazují, protože lsmod už také není tím, co býval. Linux je jedinečný svou ovladatelností z dálky. A tak hacker může provést naprosto cokoli. Dělá to pečlivě, tak, aby se neprozradil. V logu se objeví jen to, co ON dovolí. Neexistuje postup, jak se ubránit. S pobavením sleduje marné pokusy o zabezpečení čehosi, co už dávno patří JEMU. Přeinstalování nepomůže, protože díry v systému zůstanou a do několika okamžiků tě dostane znovu. Firewall je k ničemu, jádro vždy poslušně pustí všechny TCP pakety od hackera, které on má speciálně označené. Hardwarový firewall je dětská hračka, protože stejně vždy chceš, aby se alespoň nějaké pakety dostaly i k tobě. A na tuto příležitost čeká hacker ...

[###]

Proc mam zase pocit, ze si tu pletete pojmy cracker a hacker? To uz jste opravdu tak mimo?

[Milo Kmeť]

a ako co odporucas? nejak nechapem tvoj narek nad nebezpecnostou. Vsetko, co nepoznas je nebezpecne. Aj sex. Nikdy nevies, aky spyware je prave v tej zene.... ale verim, ze taketo vyplody pise nejaky hacker a ty o tom ani netusis.

[tezkatlipoka]

Ted jsi me dostal, fakt nevim jestli to rikas vazne, nebo jako srandu. Jestli jako srandu, tak smekam, uz dlouho me nikdo takhle nenachytal.

[mmrnda]

Viru se nebojím, ale tímto jsi mi nahnal strach. Dá se to nějak léčit?

[qualt]

No tak tohle mi už připadá opravdu jako pohádka...ale vy jste tady odborníci.

[Michal Čihař]

A koukám, že zase ožil evil bit, kterým jsou označené nebezpečné pakety.

[Jan Polný]

Ještírci!!

[jm]

Ty ho snad jeste nepouzivas? Velka chyba, to se ti jednou vymsti!

[Michal Čihař]

Ale jasně že používám, nebezpečné pakety dávno označuju pomocí spamassasina

[David]

To já každýmu nebezpečnýmu packetu kreslím na zádíčka fixkou vykřičník.

[Michal Marek (twofish)]

Já jim trhám nožičky.

[Mazl!k]

no kdyz jsem cetl pohadku o genialnim hackerovi tak jsem malem spadnul pd stul ;o)))) fakt.... skoro jsem si myslel ze jsem v nejaky scifarne...

[tezkatlipoka]

ale asi to tak bude, videl jsem to v televizi. Uz v X filmech a serialech jsem videl ze kladasove maji v tymu kterej zachrani svet nejakeho odbornika na Computery, a kdyz se potrebujou dostat do nejakeho zabezpeceneho PC, ktery ma treba vyhodit do povetri ameriku, nebo obsahuje dulezita data o prezidentovi (treba jak dlouhe ma pero (Clinton) nebo kolik bodu IQ ma pod normal (Walker Bush) tak se odbornik posadi za PC a zacne nahodne zkouset hesla, a tak do dvou minut to ma. Takze to je asi vsechno pravda.

[Jan Martinek]

Poté, co jsem napsal předchozí dvě pohádky, zaměnil hackera a crackera a trochu jsem si zapřeháněl, už mi asi nikdo nebude důvěřovat, ale bezpečnost systému je dost složitá věc. Dá se obecně shrnout, že nabourat do systému je možné zneužitím chyb. A stačí se jen podívat do historie, kde všude se chyby vyskytly... Rád bych se výjádřil k několika myšlenkám, co zde padly:

Proti hacknutí je snad firewall ...

Tohle je velice zjednodušující pohled na věc. Jestliže mi na počítači neběží NIC, co by poslouchalo na nějakém portu, je význam firewallu mizivý (nebudu zabíhat do detailů). Jestliže chci na svém serveru pustit službu (ssh, httpd), musím ji povolit i ve firewallu a v té chvíli mě už nijak nechrání. Firewall nemůže uchránit před chybou v nějakém programu. Firewall je zcela bezmocný, je-li chyba (na šikovném místě) v jádře.

Zajímalo by mě, jestli je možná nějaká samovolná instalace programu přes mozillu, jako to bylo možné přes díry u exploreru.

Ano, je to možné. Platí to pro jakéhokoli klienta. Stačí malý skriptík, co zpřístupní shell a uživatelský účet už má někdo jiný... Cesta od uživatelského účtu k rootovskému je mnohdy jen otázkou času.

Programy nad rámec instalačních CD instaluji minimálně, takže z tohoto hlediska by mělo být vše v pořádku.

Programy nad rámec instalačních CD nejsou o nic horší nebo lepší. Ke všem programům jsou zdrojáky a všechny programy jsou na tom víceméně stejně, tedy zhruba řečeno.

... nevím kdo by si pomohl mít přístup na můj počítač ...

Hóhó! Jak jsem psal, každá oběť se počítá. Z cizího účtu je možné provádět svinstva a kdyby něco, tak to slízneš ty, protože k tobě povedou stopy.

------ Příhoda ze života: Hackl (crackl) mě kdysi kdosi přes díru v ssh. Měl tam rootovský účet a vesele se tam proháněl. Občas smazal logy, občas po sobě něco nechal. Měl rootovský shell v /dev/.blahblah. Vytvořil mi tam pár uživatelů a až ho to přestalo bavit, tak mi zalepil(!) díru v ssh a zmizel beze stop.

[Mazl!k]

Uz jsem se bal, ze jsi to snad myslel vazne ;o) Ve vetsine veci s tebou souhlasim, ale myslim si ze fw by mel mit kazdy... Vzdy se najde nejaka ta sluzba, kterou uzivatel potrebuje a v takovem pripade je nutne zakazat na ni pristup z venci. A to s tou mozillou je podle myho taky blabol. Nerikam, ze se nelze nabourat do systemu, ale na 99% si to zpusobuje sam uzivatel, ktery odklikne co mu pod ruku padne. Ale i tak si myslim ze ziskani plne kontroly nad systemem je touto cestou skoro nemozne.

[Jan Martinek]

Uz jsem se bal, ze jsi to snad myslel vazne ;o) Ve vetsine veci s tebou souhlasim, ale myslim si ze fw by mel mit kazdy... Vzdy se najde nejaka ta sluzba, kterou uzivatel potrebuje a v takovem pripade je nutne zakazat na ni pristup z venci.

Jasně, firewall není na škodu. Ale u většiny služeb lze omezit přístup přímo v konfiguráku nebo tcpwrappers. Jsem toho názoru, že je potřeba udělat obojí, nikoli spoléhat pouze na firewall. Navíc, když potřebujete něco lokálně, tak je lepší se úplně vyhnout otvírání portů. Bylo by lepší se bavit o konkrétním příkladu.

A to s tou mozillou je podle myho taky blabol. Nerikam, ze se nelze nabourat do systemu, ale na 99% si to zpusobuje sam uzivatel, ktery odklikne co mu pod ruku padne. Ale i tak si myslim ze ziskani plne kontroly nad systemem je touto cestou skoro nemozne.

A co nedávná chyba v libpng? Byl jen krůček k tomu, aby se zneužila hromadně. Podívejte se na kritické chyby mozilly za poslední dva roky. Je jich celkem dost, které umožňují spuštění libovolného kódu. Jestliže uživatel klikne na něco, co způsobí v mozille buffer overflow, tak to není jeho vina a nemá šanci to ovlivnit.

[mmrnda]

Mám takovej dotaz. FFox mi občas při kliku prostředního tlačítka do prázdné plochy na stránce vrátí o stránku zpět. Je to normální nebo je to chyba?

[Jan Martinek]

Máš zapnutý gestures a třepe se ti ruka?
Neboj, přes tohle tě asi nehacknou.

[mmrnda]

Bohuzel nevím co je to gestures? Ruka se mi netřepe.

[Michal Kubeček]

A nemůže to být tím, že máte v selection pořád URL té minulé stránky?

[mmrnda]

V selection nemám URL minulé stránky.

[David Jež]

Firewall je pro decka... Opravdu. Pokud neco nepotrebujes, tak to stopnes aby nenaslouchalo. Pokud neco potrebujes lokalne, pustis si to lokalne. Na booku treba fw take nemam, jedine co tam posloucha jsou lokalni Xka. Ssh nebo ftp si nahodim pokud potrebuji a stejne budto na klice a nebo povolim spojeni pouze od jedne duverne IP. Na serveru, kde musi ssh poslouchat mi stejne fw nepomuze. Radeji bych veril nekomu, kdo si dokaze pozavirat vsechny otevrene diry do systemu, nez tomu, kdo veskerou bezpecnost vyresi jednou fw. Potom je totiz predpoklad, ze ten dotycny asi take poslusne updatuje. Samotna fw te neochrani pred chybami napr. v apachi, bindu, sendmailu, openssl, php, php bastlu nad kterym nekdo nepremyslel, ... na strane serveru ktere mit otevrene musis ci pred deravym fetchmailem, mozillou, thunderbirdem, pdf prohlizecem, ftp klientem ci dc-like hnusy na strane klienta, ktere ti zakernou vec stahnout mohou.

Zapremyslej nad tim, kolik ruznych utilitek a programu pouzivas a v kolika z nich skutecne chyby byly a co by se stalo, kdyby se objevila nova chyba, ktere nekdo zneuzije. Jak chces zabranit tomu, ze ti prijde nevinne vyzerajici pdf nad kterym stece deravy acroread? Jak chces zabranit tomu, ze ti prijde mail, ktery shodi mozillu? A co e-hnuj ci jak se ten p-t-p klient jmenuje, ktery take mel sveho casu par zavaznych chyb? Jak chces zabranit tomu, ze ti nejaky hodny brasko na p-t-p siti neposle pozdrav? Vseresici fw? Smesne... Das za kazdy z tech (a pripadne dalsich) programu, ktere nekdy pouzivas nebo jejichz pouziti se nevyhnes, ruku do ohne ze jsou v poradku? Ja tedy rozhodne ani nahodou, ani omylem. Ne tedy, ze bych travil cas dvacet metru v podzemi obleceny do atombordelu pryc od civilizace, ale rozhodne neziji v bludu, ze za me vse vyresi linux (ci *bsd..) a firewall a muzu se dloubat v nose. Take si rozmyslim, pokud potrebuji pouzit nejakeho klienta ci demonka jestli ho opravdu potrebuji, jak ho co nejvice znesvepravnit a pripadne jaky z X tun programu bude asi tak nejlepsi. Take dost vehementne koulim ocima do vsech stran kdyz po me nekdo chce nahodit nejaky potencialne nebezpecny bordel, ktery ,,nutne potrebuje`` a o nemz si myslim sve, a cuji z toho akorat problemy...
-djz

[ZAH]

Nedá mi to, abych se nevyjádřil k této část příspěvku. i když s ostatním lze souhlasit.

 Firewall je pro decka... Opravdu.

Dle mne je hlavním úkolem firewallu oddělit části sítě s rozdílnou úrovní zabezpečení. Mám li i tu sebemenší síť bude asi, uroveň nastavení uvnitř sítě poněkud jiná než nastavení bezpečnosti při pohledu zvenku.On postačí již připojovaný nootebook do domácí sítě (i k počítači), a určitě nepotřebuji, aby mi někdo na tom připojeném šrotu testoval jestli mám poslední záplaty jádra, když jsou nové distribuce nad jeho možnosti. Stejně tak ve firmě je nutno některé služby nutné znepřístupnit z internetu jiné znepřístupnit části uživatelů lokální sítě , ale i také, které v lokální síti jsou v postatě chráněné minimálně nebo i vůbec a zde je firewall nenahraditelným pomocníkem.

[David Jež]

Ano, z pohledu napr. firemni nebo skolni site, kde mas tunu vselijakych pocitacu, jeden kus je na tom hur nez druhy, ti nic jineho nezbyva . Na tom se shodneme. Stejne tak jako na rozdeleni na asgard, midgard a nilfhelm .

U te stanice jsem myslel spise ten pohled, ze radeji zakazi vsechno co mi nasloucha nez se spolehat na fw. Pokud pripojim booka doma, ssh nahodim jinak ho nenahazuji. V principu je jedno, jestli spoleham na fw nebo vsechno zavru. Ale spolehat na fw se muze hezky vymstit. Jedna perlicka: co si myslis, ze se stane, kdyz budes mit na booku otevrene vsechno pro napr. 192.168.0.0/16 ze domaci sit? Pak na to zapomenes a pripojis booka nekde ve skolni ci firemni siti, kde zrovna jak napotvoru bude cela sit za maskaradou splnujici tvou masku ?
-djz

[ZAH]

Ono spíš je to tak, že můj noťas je nastaven spíše na přátelské prostředí. Jestliže je rozumně firma oddělena od internetu, tak tam mohu provozovat aplikaci, kterou bych přes internet asi nikdy neprovozoval. ( Školy považuji za nepřátelské prostředí ). Útočník by proto musel sedět uvnitř firmy a pak jsou na něj jiné páky. Jde o to, že bych tuto situaci nazval přiměřenou mírou rizika. Ve vnitřních síti běžně pracují systémy pracující se sdílením souborů na té úrovni, že zpřístupnit je z internetu, se rovná likvidaci velké části informací ve firmě. A tady jde o to, že kdyby tyto stanice byly přímo dostupné, musely by se skutečně zabezpečit (firewall nebo nastavení služeb) a pak by nemohly v mnoha případech vůbec plnit co se po nich chce, na druhé straně i tyto stanice určitý minimální přístup potřebují. On totiž leckterý software má své počátky v období, kdy internet byl znám maximálně několika specialistům. Navíc jsou sítě ve firmách obvykle heterogenní což situaci dále komplikuje. Souhlasím však s názorem, že u jedné mašiny je stejně účinné nastavení služeb. Při rozšíření na síť je pak potřeba to měnit.