Gå til innhold

NFS og sikkerhet?

Langbein

Av Langbein
i Operativsystemer

Anbefalte innlegg

Langbein

Langbein

Skrevet
Skrevet (endret)

På hjemmenettverket mitt har jeg en NFS-server stående med rimelig default oppsett, altså ingen ekstra sikkerhetstiltak. Det fungerer ypperlig til sitt bruk, og NFS er etter min mening den desidert enkleste måten å sette opp en filserver mellom *nix-maskiner.

 

Men jeg skulle gjerne hørt fra de av dere som f.eks administrerer større nettverk i firmaer eller skoler. Hva har dere evt gjort av tiltak for å bedre sikkerheten? NFS har jo i seg selv ingen robust form for autentisering (bruker kun IP-adresser og UID).

 

Så lenge alle klientmaskinene holdes konstant oppdatert, er det forhåpentligvis ingen vanlige brukere som får tilgang fra disse maskinene. Opsjonen 'secure' i /etc/exports tvinger slik jeg har skjønt det alle klientene til å opprette connections på priviligerte porter, slik at vanlige brukere ikke skal kunne benytte tvilsomme programmer (rough clients) til å opprette connections som en annen UID, da disse vil bli avvist av servern.

 

Derfor er jeg mer redd for at folk rett og slett kobler seg inn på nettverket vha andre maskiner som de selv har kontroll på. Da trenger de ikke en gang å bruke trikseprogrammer, de er jo naturligvis root på disse egne pc'er og kan tilegne seg nøyaktig den UID de måtte ønske (eller bare være root hvis det ikke er sperret av servern med root_squash). IP-adressen kan selvsagt også settes manuelt til det man måtte ønske. Benyttes det firewall med MAC-filtrering kan jo det også trikses med.

 

Med andre ord - hvordan kan man få sikret en NFS-server mot misbruk på best mulig måt? Jeg ser ihvertfall ingen annen utvei enn å benytte en eller annen form for kryptering siden dette dessverre ikke er innebygd i selve NFS. Er en eller annen IPSEC-løsning veien å gå? Eller bruke noe helt annet enn NFS?

Endret av Langbein
Lenke til kommentar

Videoannonse

Videoannonse
Annonse
kyrsjo

kyrsjo

Skrevet
Skrevet

Jeg er admin på en skole, og sikkerhet/NFS er det vi ikke snakker så høyt om...

 

Så vidt jeg har forstått, har NIS noen løsninger for dette, men dette har vi ikke implementert. (skolelinux har)

 

Det med at IP-adressen kan settes manuellt er en todelt sak. Kun hvis man har "sørget for" at en gyldig ip er ledig, er dette mulig. ( i alle fall hvis mac-filtrering er på plass)

Lenke til kommentar
Cronius

Cronius

Skrevet
Skrevet
Derfor er jeg mer redd for at folk rett og slett kobler seg inn på nettverket vha andre maskiner som de selv har kontroll på. Da trenger de ikke en gang å bruke trikseprogrammer, de er jo naturligvis root på disse egne pc'er og kan tilegne seg nøyaktig den UID de måtte ønske (eller bare være root hvis det ikke er sperret av servern med root_squash). IP-adressen kan selvsagt også settes manuelt til det man måtte ønske. Benyttes det firewall med MAC-filtrering kan jo det også trikses med.

 

Med andre ord - hvordan kan man få sikret en NFS-server mot misbruk på best mulig måt? Jeg ser ihvertfall ingen annen utvei enn å benytte en eller annen form for kryptering siden dette dessverre ikke er innebygd i selve NFS. Er en eller annen IPSEC-løsning veien å gå? Eller bruke noe helt annet enn NFS?

Hvis det er sant at man kan trikse med MAC-adresse (var ikke klar over dette) så betyr det at man effektivt kan utelukke fysisk sikkerhet (stole på en maskin basert på at "denne maskinen er til å stole på"), og som du sier blir du nødt til å ty til kryptering for autentisering (software-autentisering).

 

Hvordan dette gjennomføres vet du sikkert mye bedre enn meg, men du har stort sett resonert deg fram til svaret i selve spørsmålet ditt..

 

Jeg tror ikke NFS hadde vært så utbredt hvis det ikke kan gjøres mer sikkert enn du beskriver det selv. Jeg tror det i så fall er "common practise" å bare la ssh ta seg av autentiseringa og heller la NFS gjøre den egentlig jobben sin.

Lenke til kommentar
Langbein

Langbein

Skrevet
  • Forfatter
Skrevet

Nettopp, skal holde å gjøre noe slikt for å spoofe både IP og MAC:

 

ifconfig eth0 192.168.0.1 hw ether 11:12:13:14:15:16 up

 

 

Men ang. sistnevnte forslag - hjelper det for sikkerheten på NFS-serveren å bruke LDAP m/PAM? NFS bruker jo ikke passord, det er kun UID som gjelder, og man kan vel uansett bare omgå LDAP-serveren siden man ikke trenger oppslag av hverken brukernavn eller passord.

Lenke til kommentar
stigfjel

stigfjel

Skrevet
Skrevet (endret)
Men hvilke ekstrafunksjoner er det snakk om?!?

Som sagt, jeg har ikke brukt NFS, men noen som kjenner systemet på NTNU har sagt at Solaris brukes bl.a. til NFS, da Solaris visstnok skal takle NFS på en måte ingen andre Unix/linux-distroer skal være i stand til. Når jeg vet eksakt hva det er, skal jeg komme tilbake.

Endret av stigfjel
Lenke til kommentar
Langbein

Langbein

Skrevet
  • Forfatter
Skrevet

Ettersom jeg har forstått har Solaris støtte for Secure RPC som bruker public/private key og DES-kryptering, slik at NFS (som baserer seg på RPC) blir endel sikrere.

 

Vi må nok belage oss på å vente en liten stund til NFSv4 er ferdig på Linux, før vi får en fullgod og sikker NFS out of the box. Hvis man bare leser de første linjene på http://nfs.sourceforge.net/ kan man lett få inntrykk at dette allerede er på plass (står at versjon 2,3 og 4 støttes av linux 2.6), men det er endel funksjonalitet som ikke er på plass ennå, blant annet sikkerhet. Når alt dette er ferdig og distroer leveres med alt inkludert, ser det meget lovende ut. Flere ulike former for autentisering skal støttes, både Kerberos-basert og en simplere mekanisme som trolig minner om Solaris sin løsning.

Lenke til kommentar

Opprett en konto eller logg inn for å kommentere

Du må være et medlem for å kunne skrive en kommentar

Opprett konto

Det er enkelt å melde seg inn for å starte en ny konto!

Start en konto

Logg inn

Har du allerede en konto? Logg inn her.

Logg inn nå
Gå til emneliste
×
×
  • Opprett ny...