Dotaz: Jaká je bezpečnost dvou OS Linux a win 10 na jednom počítači?

[frufru]

Mám na jednom počítači win 10 a Linux. Já osobně používám jen Linux, ale děti mají hry na win. Mám tedy otázku, zda win 10 mohou indexovat (prohledat) i ext4? Mám šifrovat ext4? Nebyl bych rád, kdyby mi win prohledávali HDD. Je tam nějaká hrozba, nebo problem?

Odpovědi

[PetebLazar]

Samotné Windows 10 by snad oficiálně filesystému Ext4 rozumět neměly (aplikace z nich s dostatečnými právy mohou škodit asi i bez porozumění), ale existuje řada nástrojů co přístup k Ext filesystémům z Windows umožní. Teoreticky by takovým nástrojem mohl disponovat i malware. Dalšími nástroji by mohly být multiplatformní recovery utility, které přistupují k disku nízkoúrovňově a díky schopnosti rozumět různým typům filesystémů tedy i umět "zachránit" soubory.

[j]

V desitkach mas toho virtualniho tuxe a ten to nejspis vpohode mountne.

Takze pokud jde o to aby se z widli nedalo dostat k datum, tak sifrovani, ale jak tu uz zaznelo, pokud jde o to, aby widle data neznicily, tak jedine oddelenej stroj.

[debian+]

Co viem, tak. Windows nesaha na disky, ktore nie su mu "domace". To neznamena, ze sa z Win neda zabezpecit, aby sa s EXT dalo pracovat. Znicit data cez dd sa bude dat furt (z 1 alebo 2 systemu), ak je dostupne fyzicky.

A sifrovanie ma tiez svoje nastrahy, pohlad (nie moj) expertov. Totiz ukol je odchytit heslo, ked sa dava pri citani na sifrovanie.

[k3dAR]

pokud by sifrovani bylo z duvodu aby pri nastartovanejch Win oni (pokud by to Microsoft implementoval z jakehokoliv duvodu) nebo SW (kterej by si proste ten ext ovladac pritahl sebou) NEmohl ziskat data, tak sifrovani pak samozrejme pomuze, pokud by nepotreboval z Win na LUKS pristupovat, tak ani utocnik-clovek-sw-microsoft nema jak ve Windows odchnytnout heslo kdyz by ho tazatel v nich nezadaval

[xkucf03]

Když jsem kdysi přecházel na GNU/Linux, tak jsem měl dualboot. Dneska bych to už na jednom disku neriskoval. Zavšivené Windows ti můžou smazat nebo poškodit jiné oddíly a i když budou šifrované, tak si můžou napadnout /boot nebo zavaděč. Lepší je použít dva fyzické disky a prohazovat je.

[Vasil]

Dneska bych to už na jednom disku neriskoval.

Jakoze spustene Windows by nemohly skenovat skryte jiny disk? Samo ze mohly, pokud by nebyl sifrovany ale sam vim ze to nedelaji, staci https://processhacker.sourceforge.io/ kde je videt podrobne aktivita cehokoliv, je to takova vyssi divci, oproti System Monitor is for the expert

Lepší je použít dva fyzické disky a prohazovat je.

zonglovat

[xkucf03]

Jakoze spustene Windows by nemohly skenovat skryte jiny disk?

Ten disk, který chceš ochránit, musíš samozřejmě fyzicky vypojit. Do stolních počítačů se dělají šuplíky na HDD, takže to jde celkem pohodlně. U notebooku prostě musíš otevřít ty dvířka/kryt. Případně použít externí USB disk/šuplík.

[Petr Fiedler]

Já mám v 5,25' pozici SATA switcher, do kterého mám zapojeny všechny disky a DVD mechaniku a nedám na něj dopustit. Úžasná věc!

[xkucf03]

To vypadá šikovně.

[Petr Fiedler]

Je to fakt super. Např. když instaluješ zmiňované Windows a máš v pc 2 disky a jeden z nich nevypneš, tak ti instalátor dá zavaděč na jiný disk, než OS. Když máš tenhle switcher, tak před instalací jen pouhým stisknutím vypínače vypneš ten druhý disk a je to. Nemusíš do BIOSu, ani oddělávat bočnici a sundávat z disku kšandy. DVD mechaniku prakticky nepoužívám, takže je vypnutá a kdybych jí náhodou v budoucnu potřeboval použít, stisknu jen vypínač a hotovo. Takhle je pc tišší. Nebo mám v pc (mimo jiné) HDD, který používám tak 1x za 2 měsíce. Takže je vypnutý, což je tiché a šetří to disk. Nebo když dělám nějaké "pokusy", tak raději vše vypnu a hotovo. A tak dále, a tak podobně. Prostě fakt paráda.

[pavele]

Ten SATA switcher vypadá opravdu pěkně.

[Vasil]

sam vim ze to nedelaji,

Tady mala poznamka, Windows Defender ve vychozim ma povoleno skenovat externi disky, ale to lze zakazat.

[frufru]

Omlouvám se, že jsem se neozval. Byl jsem na dovolené bez netu. Abych upřesnil dotaz. Někde na netu jsem četl, že MS ve Win experimentuje s linuxem. Nejsem počítačový guru a tak jsem se zeptal. Když přidá nějakou podporu pro linux programy, jestli tam třeba nemá i čtení linuxových disků. Nebo to je jen někde na Win servru? Já jako spokojený linuxových uživatel jsem neměl nikdy potřebu se vracet k Win(naposled XP) Ty Win 10 jsou pro mne nepřehledný. Používám jen tablet, nebo linux. Jak je to s tou podporou linuxu ve Win? Nebo to jsou programy prekompilovane přímo pro win? Já sám prostě nejsem schopný zjistit, co Win sbírá a co odesílá. Preventivně bych zakázal vše ( kdybych věděl kde) , ale dneska je plno her, které si bez netu nazahrajete. Do toho všeho ještě sociální sítě apod. Jediné co jsem udělal, ze jsem nainstaloval antivir od Avastu a tím jsem skončil. Už to zachytilo jednu hrozbu. Prostě tam jednou za měsíc vylezu, projdou antivirem a tím to končí.

[debian+]

https://www.zive.cz/clanky/windows-10-jsou-opet-o-kousek-provazanejsi-s-linuxem/sc-3-a-197430/default.aspx

[Petr Fiedler]

Já sám prostě nejsem schopný zjistit, co Win sbírá a co odesílá. Preventivně bych zakázal vše ( kdybych věděl kde) ...

Co Windows sbírají a odesílají není schopen zjistit nikdo. Běžně v systému nelze jako kdysi vypnout telemetrii. Můžeš pouze nastavit její intenzitu. Takže buď základní, nebo úplná. Kdysi jsem na tyhle věci používal skript do PowerShellu. Nemusíš nic studovat (ono se to s každým novým buildem, tzn. 2x/rok stejně pořád mění) a nic pracně nastavovat. Jen jej spustíš a skript se už o vše postará. Napsal a stará se o něj jeden programátor, který na tohle téma napsal na svém webu i 2 články. Jak z Windows 10 udělat desktopový systém a Jak z Windows 10 udělat desktopový systém II. Doporučuji ti oba si přečíst. Odkaz na stažení skriptu najdeš v nich.

Sice se to týká jen dat uživatele Windows 10 v C:\Users\[username]\, ale podle mě je dobré o tom vědět.

[Max]

Ten skript je ukázka, jak se to opravdu nedělá. Ten Šmoula docílil toho, že spousta lidí si zcela zbytečně tím jeho skriptem povypínala různé ochrany win (UAC, firewall, Defender... fakt geniální) + povolila remote desktop a další věci. Naprosto otřesné z hlediska bezpečnosti a další Šmloulové to linkují a slintají nad tím. Ten skript je to nejhorší, co mohlo vzniknout. BFU to spouští bez zamyšlení. Dále to měnilo nastavení UI podle jeho preferencí. Měl tam i odinstalace určitých aplikací, což zase způsobilo to, že se win při upgrade rozesraly. Vypnutí Cortany zase rozesralo při upgrade zase jiné věci. Takto byl problém s několika prvníma buildama.
Když jsem si to tenkrát procházel, nestačil jsem se divit.
Jako z hlediska dokumentace, jak věci fungují to je dobrá práce, ale výchozí nastavení a doporučení je prostě něco otřesného.
Zdar Max

[Max]

Jinak ten Bug o mazání dat je jednak vyřešený, dále se týkal jen uživatelů, co si přesouvali knihovny na OneDrive a asi neměli zapnutou synchronizaci. Rozhodně se tedy nejednalo o nějakou běžnou věc.
Zdar Max

[j]

Pozmanka k poznamce ... widle jakoli nonwidlofilesystem oznaci za "vadny" disk a nabidnou ti, ze ho opravi (als bye bye data).

[Andrej]

Nebo vysvětlit dětem Steam pro Linux (ano, nabídka her není úplně 100% jako na Shitdows, co se dá dělat) a Shitdows vyhodit.

Prohazování disků je takové ošklivé, nemluvě o tom, že Shitdows dovedou dělat ekvivalent toho, co dělá efibootmgr, jenom samy od sebe, bez ohledu na přání uživatele. To se pak prohazuje a bootuje dost těžko.

[pavele]

Až půjdou používat všechny hry v linuxu stejně jako v Shitdows, až půjde používat Office v linuxu, až budou fungovat specializované programy s hardwarovým klíčem pro Shitdows také v linuxu, až půjde nastavit VPN stejně snadno v linuxu jako v Shitdows, až bude podpora pro grafické karty, zvukové karty stejně dobrá v linuxu jako v Shitdows, tak potom to dětem rád vysvětlím.

Jakýkoliv dual-boot je méně bezpečný než jeden naistalovaný OS.

Takže pokud primárně používám Win, budu mít nainstalované Win plus subsystem pro linux, Virtualbox atd.

A opačně.

[raven4]

Dobry den preji nabizi se jeste 1 moderni varianta, kterou sam provozuji jiz na 2 domacich PC, tj nativni Linux a v pripade ze si deti chteji hrat tak nad Linuxem spoustim "herni" virtualku W10Pro s plnou akceleraci GPU

Obecne se tomu rika GPU passthru, tj technologie ktera umozni aby virtulni W10 meli plny pristup k realne grafice. Vyzaduje to mit v PC 2 grafiky - idealne tu slabsi (integrovanou v CPU) pro Linux hosta a tu vykonejsi/dedikovanou NV/AMD pro herni virtualku. Vse muze bezet z plne sifrovaneho M2 NVME disku a virtualni W10 ani nemusi vedet ze jsou vlastne virtualkou, nemaji pristup k Linuxu...

Cele to lze nakonfigurovat a nasledne spustet tak snadno ze to zvlada i muj 5 lety syn, ktery si herni virtualku spusti a umi ji i vypnout.

S pozdravem, raven4.

[PetebLazar]

Pokud nějaká existující/budoucí zranitelnost CPU neumožní z VM vyčíst obsah paměti HostOSu včetně šifrovacích klíčů.

[Max]

Pokud ano, bude záplata, klidně i sofwarová, tak jako na všechno ostatní. Chápu, že nyní se jak na běžícím páse objevují zranitelnosti Intel CPU, které je mnohdy problém fixnout. To ale neznamená, že nelze využití zranitelnosti natolik znesnadnit, až se její zneužitelnost stane pro x následujícíh let nemožnou.
Jinými slovy, stále věřím, že to lze vyřešit a současný stav s Intelem je vztyčený prst, který říká, aby bezpečnost na této úrovni byla brána velice vážně. Voda se myslím rozvířila docela dost na to, aby se z toho výrobci hw ponaučili a do budoucna se snažili, aby se podobná situace neopakovala.
Zdar Max

[SE]

Z hlediska bezpečnosti bych viděl jako přijatelné udělat dualboot.

Zavaděč Grub a linuxový oddíl šifrovat LUKS dm-crypt.

Ale osobně bych PC s nikým nesdílel a koupil si za cca 15 tisíc notebook a vyřešeno.

[Max]

Z uživatelského hlediska (=desktop uživatelé) jsou Win10 bezpečnější, než Linux. Mají několik úrovní ochran, což se naučily díky spousty let špatně chovající se uživatelům. Linux je v tomto směru s bezpečností na desktopu velice pozadu a vesměs to reálně není špatné jen kvůli obezřetnějším uživatelům.

Pokud děcka ve win nebudou mít administratora, nemůže nic udělat zásah na systémové úrovni (=přepisovat win, upravovat disky, bootování atd.). Jediné, co útočník může je to samé, jako na linuxu. Tj. může operovat akorát v userspace pod právy přihlášeného uživatele.

Dále samotný AV (Defender), který je součástí Win10, je už celkem na slušné úrovni. Platí ovšem, že neznámé hrozby se rozeznávájí čím dál tím hůře, takže pokud byste chtěl zainvestovat do dalších úrovní ochran, doporučuji ESETa a pohrát si v něm s nastavením HIPS filtru (lze definovat/zakazovat, aby nějaký proces mohl vytvářet jiný proces apod., příkladem budiž to, že lze zakázat, aby třeba Excel spustil nějaké exe, cmd.exe, rundl32.exe, vbscript apod.). Když tedy přijde infiltrovaný dokument a budete mít neposlušné uživatele, tak i když v něm bude červ a všechno možné, nebude jej možné spustit a k infiltraci nedojde.

Pokud bychom chtěli zabřednout do teorií o tom, jak nějaký červ pro win sebou tahá drivery pro ext4 a napadá linux, tak takový bordýlek by musel mít admin práva do těch win, nebo využít nějakou zero-day zranitelnost. Linux byste pak mohl ochránit jedině tak, že byste používal secure boot a šifroval Linux partition třeba pomocí luks.
Bez secure bootu nemá myslím v tomto kontextu smysl ani přemýšlet o šifrování linuxových partition.

Můj názor je, že pokud dodržíte základy bezpečnosti na win (dnešní win10 opravdu nejsou winxp), tak jsou vámi nastíněné obavy zbytečné. Každopádně hraní se meze nekladou a pokud vás tyto bezpečnostní problémy trápí, s chutí do toho, secure boot a luks jsou celkem přívětivé hračky.
Zdar Max

[k3dAR]

Z uživatelského hlediska (=desktop uživatelé) jsou Win10 bezpečnější, než Linux.[...]

Pokud děcka ve win nebudou mít administratora, nemůže nic udělat zásah na systémové úrovni (=přepisovat win, upravovat disky, bootování atd.).[...]

takze stejne jako kdyz v GNU/Linuxu nebudou v skupine sudo a/nebo znat heslo roota

[Max]

Zapomínáš na ty bugy v zabezpečení xserveru, DE (jednoduché překonání lock screenů, které se čas od času objevují / opakují), bugách v knihovnách (zneužitelné knihovny pro práci s obrázky atd.).
+ samozřejmě chybí jednoduché nástroje na základní blbosti, co mají win už ošetřeny. Prostě myslím si, že bezpečnost GUI je v linuxu horší, jak ve Win. A chci upozornit, že tím myslím skutečně bezpečnost jen GUI. Ve všech ostatních ohledech považuji Linux bezpečnější a lepší.
Zdar Max

[j]

Ty zas zapominas na ficury widli na tema boot do nouzaku s bydefault adminem bez hesla ... a taky na to, ze ve widlich si bez admin opravneni nenastavis ani hodiny. A ted si predstav, ze driva vetsina games, se ti bydefault bude chtit instalovat do ... programfiles. Kam ovsem jako beznej user nemas pravo zapisovat === nemuzes ani hrat, protoze opet, spousta games se chce (sama sebe) i aktualizovat.

Takze pokud chces pod widlema hrat hry, tak admina mit musis a tudiz i muzes (a vetsine BFU to netrva ani dny) system pomerne slusne naborit.

[j]

Apropos, do programfiles uklada bydefault samozrejme i widlosteam. "c:\Program Files (x86)\Steam\steamapps", tudiz opet treba admina, jinak smolik (a pravda, tohle se da rekonfigurovat, ale co uz se rekonfigurovat neda, je to, ze steam se pomerne casto sam aktualizuje. Nadto BFU zadnou konfiguraci nikdy nikde menit nebude.)

[Max]

Ty si na Linuxu můžeš změnit systémový čas (+ změnit nastavení syncu s ntp servery) bez roota, suda apod.? Myslím, že ne .

Tím nouzákem asi myslíš to recovery menu Win10, které slouží k obnově win, resetu do továru apod. (tzn. né nouzový režim, ten heslo vyžaduje)? Každopádně snad všechny distribuce by default umožňují bez znalosti hesla editovat nastavení bootloaderu a nabootovat s "init=/bin/bash", kdy má uživatel hned roota. A v obou systémech lze toto ošetřit. Takže žádný rozdíl. Tudíž tento argument nechápu.

Dále pokud se má instalovat nějaký program na úroveň OS, tak je naprosto v pořádku, že to chce admina. Na Win máš jak portable aplikace (netřeba instalovat), tak aplikace, které můžeš instalovat pod běžným uživatelem do uživatelského adresáře. A podobně jako na Linuxu si můžeš bez admin práv zkompilovat nějaký sw a používat ho bez nutnosti přístupu jako admin. Takže tento tvůj argument také nechápu. Možná se jen divíš, že většina app toho admina vyžaduje? V takovém případě se ale nabízí i otázka, kolik aplikací máš nainstalovaných v linuxu mimo balíčkovací systém a jak je pak tedy rozumně udržuješ? Předpokládám, že jich asi moc nebude .

Nechci tady rozjíždět nějaký flame Linux vs Windows, jen jsem upozornil na chabou bezpečnost GUI aplikací v Linuxu, nic víc. Chápu, že někteří chtějí věřit, že je Linux úplně ve všem nejlepší a nejbezpečnější, ale já to tak černobíle nevidím.
Zdar Max

[k3dAR]

Zapomínáš na ty bugy v zabezpečení xserveru[...]

a jsou horsi nezli nove zjistenej bug WinXP-Win10 kdy jakakoliv i sanboxovana aplikace muze cist i zapisovat do jakehokoliv okna atd? viz

[Pavel 'TIGER' Růžička]

No ona stačí výroční aktualizace windows 10, která s velkou pravděpodobností bude onen dual boot narušovat a to dvakrát do roka.

[j]

Na to bohate staci notes od HP ... zrovna sem resil, ze cokoli co se nejmenuje \EFI\Microsoft\Boot\bootmgfw.efi ... naprosto ignoruje.

[Aleš Kapica]

Ale kdež!

[Kit]

Dva šuplíky s HDD, resp. s SSD by to měly vyřešit.

[Petr Fiedler]

Chtěl jsem odpovědět tobě, ale vložil jsem to jinam. Tady.