List zapezpečenia systému

Linux Foundation zverejnila na servery github návod na zabezpečenie linuxového pc "Linux workstation security checklist".

8.9.2015 07:43 | ewew | Zajímavý článek

Komentáře

[Pali]

Hm? Nevidím kategóriu humor. Alebo to je myslené vážne?

Hneď prvý zoznam je:

* System supports SecureBoot (ESSENTIAL)

* System has no firewire, thunderbolt or ExpressCard ports (NICE)

* System has a TPM chip (NICE)

[Bystroushaak]

Co se ti na tom nezdá?

[Zopper]

To víš, riziko toho, že ti uklízečka v hotelu podvrhne bootloader je rozhodně větší, než že někdo využije některou ze těch chyb ve Firefoxu, ke kterým měl pár měsíců/let přístup v security části bugzilly... :D

Co se ale těch portů týče, tak tam je opravdu průšvih, že vystrkují vnitřní sběrnici a kdokoliv s přístupem k tomuhle portu si může povídat s kterýmkoliv zařízením po PCI-E, bez větších možností od OS tomu zabránit. Třeba si stáhnout obsah disku, možná i nahrát do něčeho vlastní firmware...

[Bystroushaak]

To víš, riziko toho, že ti uklízečka v hotelu podvrhne bootloader je rozhodně větší, než že někdo využije některou ze těch chyb ve Firefoxu, ke kterým měl pár měsíců/let přístup v security části bugzilly... :D

To můžeš mít v kontejneru.

[pavlix]

A máš?

[Bystroushaak]

Nemám, ale minulý týden jsem to začal řešit.

[Bystroushaak]

(firefox nemám vůbec)

[Jendа]

Ano, a spouštění různých věcí v různých kontejnerech/virtuálech by podle mě mělo být to nejdůležitější, co doporučí, a až potom by se měly řešit útoky jako evil maid. Místo toho je tam o tom jeden odstaveček.

Nejlépe by měly být virtuály podle účelu na samostatných šifrovaných oddílech, které by se odemykaly jen v případě potřeby. Já třeba většinu času strávím z bezpečnostního hlediska „nezajímavými“ věcmi a je naprosto zbytečné se vystavovat riziku tím že je trvale otevřené všechno. Na to dojel třeba pan SilkRoad, počkali si na něj v knihovně a zezadu ho sebrali, takže nestačil zamknout terminál.

[MOOT]

Takže v podstatě jenom OS od Red Hat?

[Keson]

Propagovat "nature abhors roombas" jako bezpečné heslo? To už se pár let silně nedoporučuje. Pokud získáte hash, něco takového rozlousknete za pár hodin/dní běžnými prostředky. (vzdáleně související DefCon video Cracking CryptoCurrency Brainwallets)

[Kvakor]

To se mi nějak nezdá. Platilo by to, pokud by a) se ona kombinace slov někde vyskytovala a mohl by se z ní předpočítat hash pro rainbow tabulky a b) při počítání hesla by se nepoužívala sůl, nebo by měla jen málo bitů (původní unixy měly 12 bitů, dnes je to většinou 128 bitů). I pro čistý slovníkový útok znamená více slov kombinatorické navýšení složitosti, pokud má slovník řekněme milion položek (a to je ještě relativně malý slovník), tak už tři slova znamenají bilionkrát více práce (10^18 namísto 10^6 pokusů), tudít pokud by se jednoslovné heslo slovníkovým útokem a oním milionovým slovníkem rozlousklo za řekněme hodinu (ať se to dobře počítá), tak za předokladu, že hashovací funkce nemá nějakou slabinu, by se dvě slova lámala něco přes sto let, lámání tří slov by nejspíš přerušilo několik dob ledových, výbuchů supervulkánů a pádů asteroidů, no a čtyři slova by se nestihla dřív, než zhasne Slunce

[Vladimír Čunát]

10^6 slov mi naopak přijde příliš velký slovník. Běžný native-speaker (v Angličtině) používá výrazně menší, ~2-4 * 10^4 – pro tři slova 8-64 * 10^12, což není až tak astronomické. A to nepočítám fakt, že mnohá slova mají tendenci být vybírána výrazně víc než jiná...