Dotaz: Live CD a bezpečný internet

[Baranička]

Mám v PC nainstalován Win7 a začínám se seznamovat s Linuxem pomocí Live CD Slax. Pokud by se takto v Linuxu - přes jeho bezpečnost - chytil na internetu virus, červ a jiné neřádstvo, opravdu není možné dojít k jeho přenosu z RAM na pevný disk? Omlouvám se za asi naivní otázku, ale jistě bude zajímat více začátečníků. Děkuji za poučení.

Odpovědi

[nobody]

"virus, červ a jiné neřádstvo" je zalezitost Windows, takze pri behu LiveCD Slax se ti do pameti nedostane, pokud ale nekde stahnes archiv neceho kde toto budes mit zamoreno/pribaleno, ulozis si to sam na hdd s Windows, a pak po restartovani do Windows archiv rozbalis a to neco pustis, muzes "virus, červ a jiné neřádstvo" samozrejme aktivovat...

[Jendа]

"virus, červ a jiné neřádstvo" je zalezitost Windows

Já teda v konferenci debian-security vidím díry v linuxových programech zneužitelné ke vzdálenému spuštění kódu každou chvíli.

[Josef Kufner]

To jo, ale aktivně se zalepují, takže ono neřádstvo nemá moc příležitostí jich využít. Něco málo existuje, to ne, že ne, ale u poctivě aktualizovaného systému se tím nemá smysl trápit.

[Jendа]

Předpokládáš, že chyby hledají pouze lidé, kteří je hned jdou oznámit vývojářům, nechají jim chvíli na opravu, a potom je zveřejní. Ale takhle to nefunguje.

[lertimir]

... opravdu není možné dojít k jeho přenosu z RAM na pevný disk?

Asi bych řekl: To je špatně položená otázka. Protože, jak odpověď je to možné, tak i není to možné, je v zásadě správná.

Virusy, červy a jiné neřádstvo není žádná démonická zvířena, ale prostě programy, které někdo vymyslel. Ty pracují v nějakém kontextu prostředí daném hlavně operačním systémem a mnohdy i prohlížečem, když běží uvnitř něj. Typicky mají nějakou distribuční část, které se stará o rozmnožování a akční část, která škodí, sbírá data, jinak útočí.

Pravděpodobnost, že někomu bude stát za to psát program, který kromě standardního rozšiřování ve windows poběží i na linuxu, najde v linuxu disky, porozumí, který je systémový z win, připojí jej (popřípadě zvýší svá oprávnění tak, aby jej připojit mohl) a finálně vloží do disku takové změny, aby při přístím bootu byla win instalace zavirovaná je opravdu velmi velmi malá. do takovéhto situace se ta havěť během svých standardních distribučních cest dostávat nebude, a programátor svým úsilím precizovat a naprogramovat tuto část postupu rozšiřování havěti moc získávat nebude. Ale naprosto nulová nebude nikdy, motivovaný a finančně sliný tvůrce havěti může zahrnout i takovouto cestu.

[lertimir]

Ještě poznámka. Na linuxu je spuštění ještě mnohem méně pravděpodobné, protože standardně se pouští jen kód, který přišel od tvůrce distribuce, takže je i mnohem menší prostor pro tvůrce havěti, jak u nehazardujícího uživatele kód spustit.

[Jardík]

Tak u distribucí, pocházející z USA, je takové riziko podstatně větší. Tam totiž autorovi/správci distribuce mohou TAJNĚ nařídit, aby tam přidal backdoory, viry a podobné havěti. A on nemůže dělat nic, ani se právně bránit, protože to NESMÍ říct svému právníkovi. Nařízení je tajné, z tajného soudního řízení na základě tajného zákona! A to, že je tam nějaký source rpm/deb/pkgbuild/cokoliv, kde to nevidíte, neznamená, že to tam v binární podobě balíčku obsaženo není, že je opravdu sestaven z toho, co je vám předkládáno. Minimálně tedy doporučuji vyhnout se distribucím z USA a Velké Británie, největší vlezdoprdelky USA.

[Jendа]

na základě tajného zákona

Zdroj?

Jinak neomezoval bych se jenom na USA a VB, jinde třeba nemají tak agresivní státní složky, ale spousta malware vzniká i soukromě.

[rADOn]

Zdroj. Obavam se ze v tomhle ma jardik pravdu. Patriot Act sice neni tajnej, ale jeho aplikace se taji jak se jen da… Nektery organizace udrzuji warrant canary ale to imo neni moc ucinny.

[Jendа]

Zdroj.

Tam se nepíše o tajných zákonech. To že při aplikaci udělají gag order jsem nerozporoval.

[Jardík]

Zákon jako takový možná není (možná ale je), ale soudní nařízení, vydané třeba FISA, tajná jsou, jsou to nařízení a pokud nařídí tajně, že "Petr musí Jirkovi nainstalovat trojana a nesmí mu to říct", tak to má v podstatě stejný účinek jako tajný zákon přikazující tuto věc udělat.

[rADOn]

No to je snad logicky ze kdyz se na nekoho nasazuje odposlech tak se mu o tom nerika… Svincky to zacina byt kdyz takovy narizeni je z nejakyho duvodu vadny, ale ty se nemuzes branit protoze to nesmis prozradit ani svymu pravnikovi. Coz se, jestli mi pamet slouzi, stalo v pripade lavabitu.

Zakon tajnej neni, ale vyhlasky podle kterych se uplatnuje tajny viditelne byt mohou. OTOH nektery nejvypecenejsi casti patriot actu uz byly soudne prohlasny za protiustavni, ale je smutny ze to trvalo roky…

[Baranička]

S tou bezpečností Linuxu na internetu totiž si nejsem tak jist - chytil jsem v něm "policejní virus", proto ten dotaz. Naštěstí se to vyřešilo restartem, protože to bylo live CD a okamžitě jsem restartoval PC. Pořád jsem někde četl, jak je linux bezpečný, tak jsem si to chtěl ověřit a schválně zabrousil dost hluboko do netu. Celkem rychle jsem ho chytil . V linuxu (live CD Slax) jsem měl "policejního vira", všechno mrtvé, ale šlo to softvérově zrestartovat. Otázka je, kdybych to hned nevypnul, jestli by se ten hajzlík nedostal nějak skrz tu RAMku na pevný disk? Myslím bez mého vstupu na ten disk - což jsem kvůli tomu viru ani nemohl. Jestli jsem správně pochopil Lertimira, tak by se tam (na HDD) přestěhovat na 99% neměl, ale kdo ví? Raději hluboko do netu nelézt, že ano?

[lobotron]

Jestli se bojíš tohodle, tak před lezením "hluboko do netu" odpoj HDD.

[Pavel 'TIGER' Růžička]

No ten "policejní vir" není nic jiného, než zobrazená webová stránka. Na windowsech běžná záležitost, zamkne plochu a nejde nic. Ale externími nástroji jej celkem pohodlně a rychle odstraníš. U Linuxu jsem jej ještě neviděl a obávám se, že ani nefunguje a jedná se o hoax z tvé strany.

[Petr Šobáň]

Já na linuxu se na internetu neomezuji od porna po vědecké články a nikdy jsem nic nechytil, v mailech pokud jsou nějaké přílohy tak je rozbalím a kouknu většinou je to nějakej exe nebo scr s nějakým spustitelným kodem co na linuxu nespustíš takže taky klid a smažu to....

Jinak k tvé otázce na DVD se to nedostane takže po restartu z DVD máš zase čistý PC.

Samozřejmě pokud je na DVD nějaká díra tak se dá zneužít že by něco zapsala na HDD a potom při spuštění by se spustila nějaká breberka.

Ale že by nějaký hekr psal virus co by byl pro linux který by heknul a pak se instaloval do windows na HDD je strašně malá pravděpodobnost - i když ta možnost je.

Potom je jediné řešení mít na internet samostatný stroj, nebo mít HDD v šuplíku a prostě ho odpojit (vytáhnout).

[Jendа]

a nikdy jsem nic nechytil

Jak se to pozná?

[Petr Šobáň]

Jednoduše neposíláš spam, nic z PC nezmizí, nic se nikam samo neodešle sám PC nekomunikuje s internetem......

Účty v bance taky zůstanou netknuté......

Každé napadení uživatel časem pozná pokud není úplný BFU.

[Jendа]

Jednoduše neposíláš spam, nic z PC nezmizí, nic se nikam samo neodešle sám PC nekomunikuje s internetem......

Analyzovat veškerý provoz počítače jsem zkoušel, ale byl to takový bordel, že v tom nebylo nic vidět. Navíc u TLS nedej bože s forward secrecy se to dělá dost blbě. Co k tomu používáš?

[lertimir]

No myslím si, že by se to našlo. Potkal jsem už pár firem, které čas od času zapínají monitoring firewalu. s tím, že odsledují všechen IP provoz (hlavička IP + vloženého protokolu), a pak to proženou dataminingem. (den záchytu, několik tera) Jsem přesvědčen, že ve světovém kontextu je takových firem desítky tisíc. A v podstatě stačí zvednout podezření. Podobně jako je to v kontextu internetových televizí. Tam si už žádný trochu znalý informatik nedovolí připojit televizi bez monitoringu, co dělá. Navíc velké množství firem jede přistup přes proxy.

[Jendа]

Potkal jsem už pár firem, které čas od času zapínají monitoring firewalu. s tím, že odsledují všechen IP provoz (hlavička IP + vloženého protokolu), a pak to proženou dataminingem.

A jak řeší TLS (opravdu dělají na všechno MITM?) nebo nedej bože steganografii?

Podobně jako je to v kontextu internetových televizí. Tam si už žádný trochu znalý informatik nedovolí připojit televizi bez monitoringu, co dělá.

To mi vždycky přijde zábavné (nebo spíš smutné) jaký taneček se dělá kolem televizí a přitom vůbec nikdo neřeší smartphony.

[lertimir]

A jak řeší TLS (opravdu dělají na všechno MITM?) nebo nedej bože steganografii?

Nějak nerozumím cestě tvé argumentace. Moje argumentace byla ta, že pokud systém by aktivně komunikoval ven, tak se to na stacionárních linkách najde. Mnoho firem (nezávislých) má dost prvku infrastruktury a v první fázi jde především o to identifikovat, zda probíhá komunikace pro niž nemám vysvětlení. Je jedno jestli na TLS, ftp či jakkoliv jinak. Pokud myslíš generování slabě lámatelné kryptografie tak tam ta identifikace je problematičtější, ale asi ne zcela nemožná, mnohé bezpečnostní firmy a akademické pracoviště si jednou subsystémy své sítě jako testovací podhoubí. A i ta steganografie by byla problematická, dokážu si představit modus operandi s automatickým vkládáním informace třeba do obrázků, ale ne moc jak to dostat ven.

To mi vždycky přijde zábavné (nebo spíš smutné) jaký taneček se dělá kolem televizí a přitom vůbec nikdo neřeší smartphony.

S tím souhlasím. Smartphony jsou bezpečnostní problém, protože tam pro uživatele není žádná infrastruktura, kterou by mohl monitorovat. Okamžitě z mobilu nad kterým nemá vládu odejdou data do sítě operátora, nad kterým také nemá vládu. Možná jedině cyanogen.

[Jendа]

Nějak nerozumím cestě tvé argumentace. Moje argumentace byla ta, že pokud systém by aktivně komunikoval ven, tak se to na stacionárních linkách najde.

Já tvrdím, že se to v bordelu který generuje třeba webový prohlížeč ztratí. V podstatě libovolná stránka (nebo různé regulérní programy které si kontrolují aktualizace) dneska vyrobí TLS spojení na nějaké velké cloudové providery. Ovládací centrum malware bude pravděpodobně hostováno taky na nějakém Amazon AWS. A tohle v traffic dumpu alespoň já nejsem schopen rozlišit.

Možná jedině cyanogen.

Ten má bohužel různé bloby, které také komunikují s operátorem. Nebo baseband komunikuje přes DMA, takže operátor může číst a zapisovat kousky paměti. Atd.

[Jendа]

Účty v bance taky zůstanou netknuté......

(jako tvůrce malware který jde po informacích mě fakt nezajímají nějaké peníze v bance)

[lertimir]

na linuxu je podle zpráv to možné spustit také, a je to v jádru jen javascript

[Pavel 'TIGER' Růžička]

Díky za upřesnění. Já to ještě nepotkal, možná je to tím, že jsem za firewallem, nebo adblockem v prohlížeči. Také mám nastaven prohližeč tak, aby si po zavření nic nepamatoval.

[Jendа]

chytil jsem v něm "policejní virus", proto ten dotaz

Hustý, nebyl by prosím vzorek? :)

Myslím bez mého vstupu na ten disk

Nějaký tvůj vstup je tomu viru úplně fuk.

[MadCatX]

Jak to zhruba funguje:

Nastartujete linuxovou distribuci z LiveCD. Při startu z LiveCD se standardně nepřipojují pevné disky, takže k datům na nich se nedá přistupovat. Nějaký malware, co by se chtěl trvale zapsat na disk by musel

1. Být dostatečně multiplatformní, aby na Linuxu vůbec běžel
2. Zjistit, že v počítači jsou pevné disky, na které se nedostane
3. Nějakým exploitem získat práva roota a disky připojit
4. Vymyslet, co a na jaký disk zapsat

Proveditelné? Určitě. Pravděpodobné, že někdo takto sofistikovaný malware vymyslí? Nijak velká, vzhledem k zastoupení newidloidních OS na desktopech se to nevyplatí. Protože klíčový krok (připojení disků) závisí na zneužití nějaké chyby pro získání práv roota, mělo by šance na úspěšný útok snížit pravidelné instalování bezpečnostních aktualizací. Rychlost vydávání bezpečnostních updatů je na Linuxu v porovnání třeba s Widlemi celkem slušná (i když se to liší projekt od projektu).

"Policejní virus" není virus ale docela normální webová stránka, která akorát chytře používá běžné technologie (JavaScript, HTML5, možná i Flash). Hlavně kvůli demenci některých webových prohlížečů je možné splácat takový web, který se tváří, jako že "zamknul" počítač. Protože běžné prohlížeče jsou na většině desktopových OS stejné, funguje tenhle "virus" logicky všude. Na druhou stranu ale právě proto, že je to jen otravně vymyšlený web, neměl by být nijak nebezpečný. Docela bych na něco podobného ocenil link, zajímalo by mě, jak se to chová za různých podmínek :)

Absolutně bezpečný systém neexistuje. Programové vybavení na běžném PC je poskládán z tolika různého software, že nějaká neošetřená chyba se najde vždycky. Linux na tom může být lépe, protože mezi běžnými uživateli je ho málo a malware se pro něj nevyplatí vyvíjet. Taky je různorodější než třeba Windows, takže vymyslet univerzální malware může být složitější. V neposlední řadě hodně pomáhá open source. Jednak se lépe audituje, druhak pokud se objeví nějaký problém, jsou byť i improvizované záplaty k dispozici velmi rychle; třeba Shellshock nebo Heartbleed byly opraveny do několika hodin po ohlášení.

[Jendа]

Protože klíčový krok (připojení disků) závisí na zneužití nějaké chyby pro získání práv roota, mělo by šance na úspěšný útok snížit pravidelné instalování bezpečnostních aktualizací.

Live distribuce většinou po nabootování běží pod uživatelem který má sudo práva bez hesla nebo mají na roota triviální heslo ("toor", "slax", "ubuntu").

[MadCatX]

To mají, ale změnit rootovské heslo ihned po startu není problém. Pro dlouhodobější použití se dá upravit /etc/passwd rovnou v image LiveCDčka.

[vertigo]

Není už potom jednodušší povytáhnout ten windoze-hadrdisk než začnu bootovat tučňáka z USB/CD?

[MadCatX]

To si nemyslím. Nezabrání to malwaru infikovat přímo ten systém běžící z LiveCD. Program s právy roota může přečíst libovolný úsek v RAM a získat citlivé informace takto. Odpojovat disk(y) pokaždé, když chci startovat live Linux je dost nepraktické, když root heslo se dá změnit primitivní úpravou obrazu LiveCD.

Kdyby to někdo myslel s bezpečností doopravdy vážně, asi by používal rovnou nějaký bezdiskový netbook.

[jakrd]

najbezpečnejší počítač je ten ktorý botuje len z dvd a je zamknutý v sejfe pred použivatelom viď cz.nic :) aj to funguje tak že hesla su minimalne tri ;) , teraz vážne ako tu už niekto písal bežný OS obsahuje cca nech nežerem 40.000 súborov kto mi zaručí že v 36481 súbore nebude niečo čo tam byť nemá , dalej sú aj iné možnosti ako sa ten vírus môže preniesť či to je usb klúč alebo niečo podobné , tak ako vzniklo SU , SUDO SU , vznikli aj univerzálne heslá to bolo tiež už spomenuté ... a tie možnosti , stále ich je X na druhú , ani samotný papier a pero nie je záruka ;)

[Josef Kufner]

# find /boot /etc /var /lib /usr | wc -l
702017

… to jsi se opravdu moc nenažral

Tohle udržet plně důvěryhodné je prakticky nereálné. Hodně mohou pomoci reprodukovatelné buildy, ale ani tehdy to nebude stoprocentní.

[Jendа]

Kdyby to někdo myslel s bezpečností doopravdy vážně, asi by používal rovnou nějaký bezdiskový netbook.

Na CCC byla přednáška o instalování malware do flashky která je na desce.