Sikreste linux webserver

[DJViking]

Solaris. Med Compartmentalization er den utmerket for servere...

[franksun]

OpenBSD er enklere å vedlikeholde, hvis du kan Unix.

Debian og andre linux-distribusjoner med et skikkelig pakkesystem er etter min mening klart enklere å vedlikeholde enn *BSD.

Har ikke *BSD et pakkesystem? Både Free, Net og Open har Ports, Free og Open har forøvrig også pkg_add (med -r-opsjonen kan man hente ned pakker fra nettet) og NetBSD har et stort reprositiar med tredjepartipakker kalt pkgsrc.

 

Men husk at GNU/Linux er kun en avkastning/klone av Unix, ikke en variant/flavor eller distribusjon.

Er ikke BSD også det? jo.

[phatsam]

Er ikke BSD også det? jo.

BSD er da en UNIX-variant

[stigfjel]

Er ikke BSD også det? jo.

BSD er da en UNIX-variant

BSD er Berkeley-universitetes versjon av det originale UNIX-operativsystemet utviklet av AT&T, som UNIX System V er et direkte utspring fra.

[kyrsjo]

Egil.B er inne på riktig spor når det gjelder sikkerhet: Jail. OpenBSD har dette som default.

Skal det være mest mulig sikkert, kjør OpenBSD med apache jail'et! :-)

OpenBSD er kos.

Tror du har en tilsvarende pakke i yum for fedora.

 

Forøvrig er vel dette en relativt sikker distro, men mange oppdateringer. Men så lenge du ikke har et tonn pakker installert, blir det uansett begrensede mengder.

 

Eller så har du RHEL aka. CentOS - jeg vil tro denne er rimelig sikker.

[pegar]

Vil gjerne nominere Debian Woody som en kandidat hvis man skal fokusere på sikkerhet.

 

Woody er ikke særlig fancy, men ekstremt stabil og utmerket til serverbruk (driftssikkerhet er også et viktig aspekt). Dessuten har den en enkel mulighet til å laste ned nye sikkerhetspatcher fra Debian via apt-get. Denne løsningen er i alle fall den jeg har følt meg minst paranoid med.

 

Men klart; helt sikker er man ikke med mindre man kjører serveren i et sikkert chroot-jail. Og jo færre åpne porter man har åpne mot maskinen, jo bedre.

 

Et godt overblikk over sysloger og FW-logger når man først er i gang er heller ikke til å kimse av. Finn et godt verktøy som holder styr på de, f. eks root-tail, så kommer du langt.

 

~Pegar

Endret 14. april 2005 av pegar

[stigfjel]

Solaris er ganske sikker, som nevnt. Den gir anledning til å kjøre tjeneser i containers, med dedikert diskplass, ip-adresse og root-passord. Men selvfølgelig, dette er ikke GNU/Linux, men System V UNIX. Gratis for forbrukere.

Endret 14. april 2005 av stigfjel

[tyldum]

Trustix var jo i sin tid blant de sikreste Linux distribusjonene. Men om den eksisterer enda er jeg usikker på... www.trustix.no har bare en kostbar Trustix Linux Enterprise OS...

 

Men så har man også www.trustix.org, men hva den har til felles med hva brukte å være Trustix vet jeg ikke

Trustix lever i beste velgående.

Jeg jobber for en kommune og bruker utelukkende Trustix på min servere (brannmur, web, epost, vpn).

Forskjellen på gratisutgaven (tilgjengelig fra trustix.org) og den komersielle (fra trustix.com) er support og at den komersielle også har Smash Stack Protector. SSP er involvert under kompilering av pakkene og skal hindre teoretiske sikkerhetshull.

[kyrsjo]

Solaris er ganske sikker, som nevnt. Den gir anledning til å kjøre tjeneser i containers, med dedikert diskplass, ip-adresse og root-passord. Men selvfølgelig, dette er ikke GNU/Linux, men System V UNIX. Gratis for forbrukere.

system V er vel egentlig i dag bare en "standard" for unix - som også Linux er. Men solaris er ikke systemV da de ikke bruker sysV init (noe mange linuxer gjør, men ikke alle (slack bruker BSD init)).

 

Chroot finnes også for Linux, eller BSD ("jails"). I tillegg har du Xen og liknende teknologier.

Men dette er strengt tatt skadebegrensning.

 

Om jeg ikke husker feil, er SSP en option til GCC som gjør at programmer krasjer ved buffer overflow. Ganske kjekt - den gjør et innbruddsproblem (med datakorrupsjon/tyveri/tap som mulig følge) om til et denial-of-service problem. NX-bit som også er støttet har vel også noe av samme effekten.

[stigfjel]

system V er vel egentlig i dag bare en "standard" for unix - som også Linux er. Men solaris er ikke systemV da de ikke bruker sysV init (noe mange linuxer gjør, men ikke alle (slack bruker BSD init)).

Solaris er basert på UNIX System V-kode, så man kan trygt si at Solaris hører under System V-standarden. Oppstartscriptene har ikke så mye å si. Men koden som benyttes i kjernen, og operativsystemet forøvrig er basert på System V. Sun har en fullverdig UNIX-lisens på linje med den SCO har. De kan gjøre akkurat hva de vil med denne koden. Det er defor de kan frigi kildekoden uten juridiske problemer, selv om Solaris nedstammer direkte fra UNIX System V.

Endret 2. mai 2005 av stigfjel