Linux og sikkerhet set ut ifra et paranoid synspunkt

[arnizzz]

Ta en titt på

 

http://opensource.dyc.edu/tinhat

[tingo]

Hvorfor tror du store firmaer kjører linux i bunnen av sine systemer? For eks. i statens lånekasse kjører de linux i bunn, JageX (RuneScape) bruker linux osv osv. Hvis du skulle klare å få deg virus i linux / keylogger ja da er du veldig god

Store firmaer (i Norge) kjører Linux i løsninger hovedsaklig på grunn av lavere investeringskostnad - ikke på grunn av høyere "default" sikkerhetsnivå. slik er det bare.

 

Linux / unix har hatt rootkits siden tidenes morgen. Fortsatt er en av de mest brukte angrepsvektorene "buffer overflow" i programmer, gjerne php eller andre skriptspråk som kjøres under Apache. I mange år har det vært slik at bevissthet rundt sikkerhet og systemadminstrasjon har vært høyere hos de som driftet Linux / unix systemer, dermed var tiltakene og oppfølgingen bedre. Nå som "hvem som helst" kan følge en kokebok på internett for å sette opp en linux server (og i tillegg tror at denne serveren står trygt på internett i månedsvis uten oppfølging) så er riskoen betydelig øket.

 

Når ikke bare du, men alle naboene dine (les: "vanlige" PC brukere, uten spesiell interesse for data og sikkerhet) bruker Linux, så er "target" for de kriminelle stort nok; da legger de alle sine ressurser i trojanere / phishing verktøy for Linux, og da kommer problemet der til å bli like stort som på windows i dag.

[kyrsjo]

Så lenge du er skeptisk til når du drar frem administratorpassordet og bare installerer programmer du stoler på så har man nok svært lite (les: ingenting) å frykte.

 

Men for all del, ta gjerne en dual boot eller virtuell installasjon hvis det får deg til å føle deg bra

 

Dual-boot så har det ene OS'et tilgang til diskene til det andre. Virituell maskin er heller ikke helt isolert, slik det har blitt påpekt - det er mulig å krysse barriæren begge veier.

 

Hvorfor tror du store firmaer kjører linux i bunnen av sine systemer? For eks. i statens lånekasse kjører de linux i bunn, JageX (RuneScape) bruker linux osv osv. Hvis du skulle klare å få deg virus i linux / keylogger ja da er du veldig god

 

Linux er stadig et system det er temmelig lett å utvikle for, som gir bra ytelse og sikkerhet, og hvor man aldri behøver å krangle med lisensavdelingen...

 

Hvorfor tror du store firmaer kjører linux i bunnen av sine systemer? For eks. i statens lånekasse kjører de linux i bunn, JageX (RuneScape) bruker linux osv osv. Hvis du skulle klare å få deg virus i linux / keylogger ja da er du veldig god

Store firmaer (i Norge) kjører Linux i løsninger hovedsaklig på grunn av lavere investeringskostnad - ikke på grunn av høyere "default" sikkerhetsnivå. slik er det bare.

 

Linux / unix har hatt rootkits siden tidenes morgen. Fortsatt er en av de mest brukte angrepsvektorene "buffer overflow" i programmer, gjerne php eller andre skriptspråk som kjøres under Apache. I mange år har det vært slik at bevissthet rundt sikkerhet og systemadminstrasjon har vært høyere hos de som driftet Linux / unix systemer, dermed var tiltakene og oppfølgingen bedre. Nå som "hvem som helst" kan følge en kokebok på internett for å sette opp en linux server (og i tillegg tror at denne serveren står trygt på internett i månedsvis uten oppfølging) så er riskoen betydelig øket.

 

Når ikke bare du, men alle naboene dine (les: "vanlige" PC brukere, uten spesiell interesse for data og sikkerhet) bruker Linux, så er "target" for de kriminelle stort nok; da legger de alle sine ressurser i trojanere / phishing verktøy for Linux, og da kommer problemet der til å bli like stort som på windows i dag.

 

Ja, og det finnes privilegie-eskalerings-anngrep, og Firefox/Flash/etc. har jevnlig sikkerhetshull. Men helt seriøst: Med mindre du installerer programmvare fra pussige kilder, og ikke er onkel skrue eller har Kinesiske myndigheter / CIA på nakken, har du ingenting å frykte. Skulle du falle i en av disse kategoriene, vil jeg anbefale å ha en helt separat pc, som er låst nede i en "booby-trapped" kiste når du ikke bruker den. Og selvsagt bruke en 110% trygg bank i Sveits...

 

Har du satt deg inn i SELinux?

[Dalon]

Når det gjelder passord så bør man bruke et passe avansert passord. Det gjelder jo ikke bare for Linux men også for andre ting som nettbank osv.

Man oppfordres til å bytte passord med jevne mellomrom. Når man har passord både her og der kan det bli vankelig å huske passordene etterhvert og ikke minst om man skal bytte passord med jevne mellomrom?

 

Det jeg lurer på er hvorfor man bør bytte passord med jevne mellomrom, og hvor ofte bør man gjøre det?

[Crowly]

Man bør bytte slik at det blir vanskeligere å gjette seg til det, eller hvis det skulle komme på avveie vil det kun være brukbart i en viss periode. Problemet med det siste er jo at de(n) som har fått tak i passordet da også kan endre det, slik at du mister tilgang.

 

Hvor ofte man bør bytte er avhengig av hva passordet "beskytter". Nettbank er nok en av de som bør byttes oftere, mens en forum konto kan man nok drøye "noe lengre" mellom hver gang.

[mikeys]

Å bytte passord med jevnlige mellomrom gir deg ikke nødvendigvis bedre sikkerhet. Når det er sagt er det heller ikke noen god ide å bruke det samme passordet fra nå til evigheten. Ved å bytta passord for ofte kan du ende opp med å ødelegge for deg selv, feks. ved at du ender opp med å bytte til et svakere passord for å lette kunne huske det nye passordet.

 

En annen ting det kan være verdt å gi en tanke er hvor mange forskjellige plasser du har brukt det samme passordet. Ved å bruke det samme passordet flere plasser kan du ende opp med at din brukerkonto på "nettside.no" blir stjålet fordi "annenside.no" ble hacket. Dette kan skje med e-mail kontoen din hvis du registrerer deg en eller annen plass og tar i bruk samme passord som den oppgitte e-mail kontoen bruker.

 

@Anonym: Hvis du har tid og vilje til å sjekke PCen din for sikkerhets problemer kan du gjerne sjekke ut audit programmer som feks. lsat, lynis og rkhunter.

[Dalon]

Men det må være bedre å ha et meget godt passord og skifte sjeldent enn å ha et dårlig og skifte ofte. For å gå til det ekstreme, om man velger et passord til nettbanken på 20 tegn med små og store bokstaver og tall så er jo det klin umulig å gjette dette (og ikke bruker samme passord andre veier). Dermed må jo det være sikrere å bruke i flere år en om man velger "England" som passord og bytter til "Island" 3 mnd etter.

[nebrewfoz]

Men det må være bedre å ha et meget godt passord og skifte sjeldent enn å ha et dårlig og skifte ofte. For å gå til det ekstreme, om man velger et passord til nettbanken på 20 tegn med små og store bokstaver og tall så er jo det klin umulig å gjette dette (og ikke bruker samme passord andre veier). Dermed må jo det være sikrere å bruke i flere år en om man velger "England" som passord og bytter til "Island" 3 mnd etter.

Du har skjønt det.

(Noe IT-avdelingen her jeg jobber ikke har gjort...)

[Nordmoen]

Men det må være bedre å ha et meget godt passord og skifte sjeldent enn å ha et dårlig og skifte ofte. For å gå til det ekstreme, om man velger et passord til nettbanken på 20 tegn med små og store bokstaver og tall så er jo det klin umulig å gjette dette (og ikke bruker samme passord andre veier). Dermed må jo det være sikrere å bruke i flere år en om man velger "England" som passord og bytter til "Island" 3 mnd etter.

Hvis du gjør det på den måten burde du absolutt ha andre passord på litt mer tvilsome sider, f.eks her på bruke, gmail, hotmail osv.

 

Problemet med et kjempe bra passord som byttes skjeldent er at om det skulle havne i gale hender så får du kanskje ikke vite det før det er for sent, men hvis du har et litt dårligere som du bytter ofte så begrenser du skaden.

 

Men det er absolutt ikke så ille, hvis du har et kjempe bra på Nettbank og diverse andre på litt mer lugubre sider så er alt bra

[Dalon]

Nordmoen skriver:

"Problemet med et kjempe bra passord som byttes skjeldent er at om det skulle havne i gale hender så får du kanskje ikke vite det før det er for sent, men hvis du har et litt dårligere som du bytter ofte så begrenser du skaden."

---------------

 

Men er det ikke allerede for sent om noen skulle få tak i passordet? Det er vel ikke lett å begrense skaden for angriperen vil vel umiddelbart gjøre skade nå som han har passordet ditt?

Endret 5. november 2010 av Dalon

[Nordmoen]

Nordmoen skriver:

"Problemet med et kjempe bra passord som byttes skjeldent er at om det skulle havne i gale hender så får du kanskje ikke vite det før det er for sent, men hvis du har et litt dårligere som du bytter ofte så begrenser du skaden."

---------------

 

Men er det ikke allerede for sent om noen skulle få tak i passordet? Det er vel ikke lett å begrense skaden for angriperen vil vel umiddelbart gjøre skade nå som han har passordet ditt?

Ikke nødvendigvis, kanskje er personen ute etter informasjon om dine kjøpe vaner f.eks fordi han har fått tak i epost passordet, da ville jo personen bare lese epost uten at du fikk vite noe om det.

 

Men dette er nok et ikke problem for deg Det virker som du tar sikkerhet så på alvor at du ikke burde bekymmre deg for dette

[Dalon]

Ikke nødvendigvis, kanskje er personen ute etter informasjon om dine kjøpe vaner f.eks fordi han har fått tak i epost passordet, da ville jo personen bare lese epost uten at du fikk vite noe om det.

 

 

Hvordan kan en person få tak i mitt e-post passord og som du skriver lese min e-post?

Bør man også skifte passord til sin e-post adresse med jevne mellomrom?

[Nordmoen]

Ikke nødvendigvis, kanskje er personen ute etter informasjon om dine kjøpe vaner f.eks fordi han har fått tak i epost passordet, da ville jo personen bare lese epost uten at du fikk vite noe om det.

 

 

Hvordan kan en person få tak i mitt e-post passord og som du skriver lese min e-post?

Bør man også skifte passord til sin e-post adresse med jevne mellomrom?

Det var bare et eksempel(et dårlig et sådan), hvis du bruker Hotmail eller Gmail uten pop og sletting av epost på så vil jo eksempelet gi litt mening, men hvis du laster ned fra epost serveren uten å lagre på serveren har det eksempelet lite å si.

 

Alle passord burde vel byttes ut av og til. Jeg er ekstremt dårlig til å gjøre dette, men man burde.

[Varj]

passordskifte-regimer stammer fra tiden da /etc/passwd inneholdt krypterte passord (altså før /etc/shadow/passwd ble normalt).

 

da kunne alle brukerne på systemet laste ned passwd-fila og kjøre igang brute-force knekking lokalt hos seg selv, og det var da gjerne bare et spørsmål om tid før man kunne knekke noe.

 

trikset var da å bytte passord med kortere intervall enn tiden man brukte på å knekke det.

[Dalon]

passordskifte-regimer stammer fra tiden da /etc/passwd inneholdt krypterte passord (altså før /etc/shadow/passwd ble normalt).

 

da kunne alle brukerne på systemet laste ned passwd-fila og kjøre igang brute-force knekking lokalt hos seg selv, og det var da gjerne bare et spørsmål om tid før man kunne knekke noe.

 

trikset var da å bytte passord med kortere intervall enn tiden man brukte på å knekke det.

 

 

Nå blir jeg sånn passe forvirret. Mener du virkelig at det ikke er nødvendig å skifte passord hverken i Ubuntu, nettbank, eller andre tjenester?

[del_diablo]

Nei, han sier at det fantes en gang i tiden en stor sikkerhetsfeil som involverte at det fantes triks for å knekke passord på direkten. Folk kom seg utenom med å skifte passord en gang i blandt.

Vis du virkelig er paranoid: Lag et godt passord, som ikke kan brytes via ordbok eller som er at "vanelig" passord, og bytt hvert 1-2 år.

[Dalon]

Nei, han sier at det fantes en gang i tiden en stor sikkerhetsfeil som involverte at det fantes triks for å knekke passord på direkten. Folk kom seg utenom med å skifte passord en gang i blandt.

Vis du virkelig er paranoid: Lag et godt passord, som ikke kan brytes via ordbok eller som er at "vanelig" passord, og bytt hvert 1-2 år.

 

 

Takk for oppklaringen

[Dalon]

Når det gjelder add-ons i Firefox hvordan kan man vite hva som er sikkert å installere? Ser at de fleste er merket i grønt men noen er merket i gult hvor det står "This add-on has not been reviewed by Mozilla."

 

Er det så enkelt at de som er merket i grønt har blitt undersøkt av Mozilla og er trygge å installere?

 

Men også de som er merket i grønt får man opp en advarsel der det står: "Installer utvidelser bare fra utgivere du stoler på"

 

Hvordan kan jeg vite hvem jeg kan stole på?

[Lycantrophe]

De som er inspisert av Mozilla kan du stole på.

[Dalon]

De som er inspisert av Mozilla kan du stole på.

 

(Bare for å være helt sikker....)

Så de som er grønne ER inspisert og godkjent av Mozilla?

 

På de fleste add-ons som er grønne står det likevel ("Utgiveren er ikke bekreftet") Hva betyr det?