Ubuntu og sikkerhet

[stigfjel]

Det var en dag jeg skulle fikse en PC som ikke hadde internet. Denne PC'en kjørte Ubuntu 5.10 (vet det er gammelt, men eieren av PC'en har ikke noe særlig greie på data). PC'en kom ikke på nettet. Problemet med Ubuntu er at root-kontoen er deaktivert som standard, så man må vite passordet til den første brukeren som ble opprettet på maskinen. Det hadde selvfølgelig ikke jeg, heller ikke brukeren, siden eieren av PC'en bruker en konto som ikke er den første kontoen. Det var en tredje person som først satte opp PC'en. Så tenkte jeg at jeg skulle prøve å komme inn via recovery mode. Til all min forbløffelse kom jeg rett inn som bruker root uten å måtte oppgi noe passord. Jeg kunne til og med sette mitt eget root-passord, så jeg gjorde det. Da var jeg i stand til å fikse maskinen. I natt prøvde jeg å installere Ubuntu 6.10 på min laptop bare for å prøve (man må kjenne sin fiende ... Neida :!: ). Prøvde det samme i Ubuntu 6.10, å gå inn via recovery mode. Akkurat det samme skjedde, i recovery mode fikk jeg root-rettigheter uten å måtte oppgi så mye som et tegn som passord. Det betyr at hvis ikke brukeren er bevisst på dette og setter et root-passord (se man sudo_root for hvordan dette gjøres), vil maskinen være åpen for alle som kan komme bort til maskinen fysisk. Mener det er rett og slett skammelig at en så populær og utbredt distro har et slikt vidåpent sikkerhetshull. Vet at Ubuntu har hatt problemer med lignende ting før, som at f.eks. passordet til brukeren med sudo-rettigheter lå i klartekst i en fil. Vet ikke hva jeg skal si, annet enn at jeg er rystet.

[comicz]

Kan du si meg en distro der dette ikke er mulig? Er da bare å boote en live-CD, chroote og sette nytt passord uansett? Med mindre man begynner med krypterte partisjoner, selvsagt...

[Langbein]

Du påpeker noe som helt klart KAN være et problem, vel og merke om uvedkommende har fysisk tilgang til PCen. Derfor er det bra å være klar over slike ting, og ta nødvendige forholdsregler.

 

Men når det er sagt, er praktisk talt alle systemer sårbare så lenge folk får fysisk tilgang. Man kan boote opp med egne CDer/floppyer (og resette BIOS om nødvendig), eller rett og slett åpne kabinett og få fysisk tilgang til harddiskene.

 

Ubuntu er sånn sett ikke noe særtilfelle - man kan vel gjøre liknende i andre linux-distroer, eller i *BSD, ved å gå inn i single user mode.

[Zenit]

Du bør ikke bli sjokkert, tross alt bruker ubuntu sudo og hva skulle root-passordet vært satt til ellers?

 

Vi snakker om fysisk sikkerhet her, og dette er enda et eksempel på at uten fysisk sikkerhet har man ingen sikkerhet. Det gjelder uansett OS.

 

Du kan jo gå frem og sette et root-passord og og sikre boot-loaderen med et kryptert passord. Det lar seg finfint gjøre. Ved å så passordbeskytte BIOS og sørge for oppstart kun fra HD er det kanskje så langt man kan komme (utenom krypterte filsystemer og hele pakka).

[stigfjel]

Kan du si meg en distro der dette ikke er mulig? Er da bare å boote en live-CD, chroote og sette nytt passord uansett? Med mindre man begynner med krypterte partisjoner, selvsagt...

7412102[/snapback]

Prøvde å boote Slackware inn i singel user mode (init 1). Men da systemet hadde bootet ferdig, ble jeg spurt om root-passordet. Ergo er den metoden ikke mulig i Slackware. Der er det hullet tettet igjen.

[Zenit]

Prøvde å boote Slackware inn i singel user mode (init 1). Men da systemet hadde bootet ferdig, ble jeg spurt om root-passordet. Ergo er den metoden ikke mulig i Slackware. Der er det hullet tettet igjen.

7412135[/snapback]

Forskjellen er at her var root-passordet satt. Du kunneendret på boot-parametre og oppgitt init=/bin/bash og likevel kommet deg forbi det. Riktignok mest sannsynlig med kun lesetilgang til rotpartisjonen, men likevel. Eller like så greit startet opp fra cd, floppy, usb, whatever. Det hjelper ikke så mye med et root-passord i et slikt tilfelle.

 

edit: trykkleif og dårlig norsk

Endret 3. desember 2006 av Zenit

[stigfjel]

Prøvde å boote Slackware inn i singel user mode (init 1). Men da systemet hadde bootet ferdig, ble jeg spurt om root-passordet. Ergo er den metoden ikke mulig i Slackware. Der er det hullet tettet igjen.

7412135[/snapback]

Forskjellen er jo at her var root-passordet satt. Du kunne jo endret på boot-parametre og oppgitt init=/bin/bash og likevel kommet deg forbi det. Riktignok mest sannynlig med kun lesetilgang til rotpartisjonen, men likevel. Eller like så greit startet opp fra cd, floppy, usb, whatever. Det hjelper ikke så mye med et root-passord i et slikt tilfelle.

7412160[/snapback]

I OpenBSD kommer du deg ikke inn i singel user mode uten først å boote systemet opp som vanlig, og så gi kommandoen init 1, som root. I FreeBSD kan man boote inn i singel user mode direkte, men man får ikke gjort noe særlig der heller. Man må nok boote opp systemet som vanlig for så å gå inn i singel user mode som root. Poenget er at her er man tvunget til å oppgi et root-passord ved installasjon, noe jeg ser på som en sikkerhet. Samme med Solaris, her kommer man ikke langt uten å ha et root-passord. Første gangen jeg prøvde GNU/Linux, gjorde jeg det sammen med en kamerat som allerede hadde en del erfaring med GNU/Linux, da i form av redhat. Distroen var Slackware 7.0. Allerede i Slackware 7.0 var shadow av passwd standard, samt at hullet i singel user mode var tettet igjen. Kameraten min var overrasket over at dette var standard. Det var det nemlig ikke i Redhat den gangen.

Endret 3. desember 2006 av stigfjel

[Langbein]

Uansett er det en smal sak å legge til litt ekstra sikkerhet i grub (og lilo?) ved å kreve passord for å få frem en prompt. Kan også sette passord på bestemte menyvalg.

 

Forøvrig vil jeg si at problemet du skisserte med at man har glemt passord til første bruker (som har sudo-rettigheter) ikke er så unikt. Man havner jo i akkurat like mye trøbbel i andre distroer om man glemmer root-passordet. Eneste er at nye brukere kanskje kunne vært gjort mer oppmerksom på hvordan sudo fungerer, og hvordan en gir nye brukere disse rettighetene.

[stigfjel]

Forøvrig vil jeg si at problemet du skisserte med at man har glemt passord til første bruker (som har sudo-rettigheter) ikke er så unikt. Man havner jo i akkurat like mye trøbbel i andre distroer om man glemmer root-passordet. Eneste er at nye brukere kanskje kunne vært gjort mer oppmerksom på hvordan sudo fungerer, og hvordan en gir nye brukere disse rettighetene.

7412180[/snapback]

Personlig synes jeg egentlig at sudo er litt forhistorisk. Etter å ha fått litt erfaring med Solaris, så ser jeg egentlig hvor upraktisk og usikkert sudo er. I Solaris kan man enkelt delegere admin-oppgaver til forskjellige brukere. Noen kan være databaseadmin, andre kan være zone-admin (containers), og atter andre kan være filsystem-admins osv. Dette fungerer faktisk ganske bra. Og i Trusted Solaris er det til og med tatt høyde for at hovedadmins kan være illojale. Trodde virkelig at et sånt stygt sikkerhetshull var tettet for lengst. Jeg kaller det stygt siden jeg er vant med OS der man er tvunget til å oppgi root-passord. Under installasjonen er det umulig å ikke huske på, det blir ganske tydelig poengtert.

Endret 3. desember 2006 av stigfjel

[Zenit]

I FreeBSD kan man boote inn i singel user mode direkte, men man får ikke gjort noe særlig der heller. Man må nok boote opp systemet som vanlig for så å gå inn i singel user mode som root. Poenget er at her er man tvunget til å oppgi et root-passord ved installasjon, noe jeg ser på som en sikkerhet. Samme med Solaris, her kommer man ikke langt uten å ha et root-passord.

7412179[/snapback]

Riktig, FreeBSD single user spør også om root-passordet underveis. Jeg skal si meg enig i at det er mer sikkert å ha satt et root-passord, så jeg er enig i at det burde bli gjort. I de fleste Linux-distroer er ikke det et større problem.

 

Man må kanskje se det i sammenheng at Ubuntu skal være en enkel distro å bruke. Setter man et root-passord under install, da har man i praksis slått på root-kontoen. Policyen i Ubuntu er å først og fremst bruke sudo, og det har sine fordeler i daglig bruk (også sikkerhetsmessig).

[stigfjel]

I FreeBSD kan man boote inn i singel user mode direkte, men man får ikke gjort noe særlig der heller. Man må nok boote opp systemet som vanlig for så å gå inn i singel user mode som root. Poenget er at her er man tvunget til å oppgi et root-passord ved installasjon, noe jeg ser på som en sikkerhet. Samme med Solaris, her kommer man ikke langt uten å ha et root-passord.

7412179[/snapback]

Riktig, FreeBSD single user spør også om root-passordet underveis. Jeg skal si meg enig i at det er mer sikkert å ha satt et root-passord, så jeg er enig i at det burde bli gjort. I de fleste Linux-distroer er ikke det et større problem.

 

Man må kanskje se det i sammenheng at Ubuntu skal være en enkel distro å bruke. Setter man et root-passord under install, da har man i praksis slått på root-kontoen. Policyen i Ubuntu er å først og fremst bruke sudo, og det har sine fordeler i daglig bruk (også sikkerhetsmessig).

7412221[/snapback]

Man kan fint gjøre begge deler. Ubuntu bruker sudo, men det burde da ikke være noen utfordring at man også legger til et punkt der man må oppgi root-passord. sudo fungerer som vanlig, bruker det selv på Slackware-boksen. Det tar 2 sek å sette opp, og da gjør jeg det på gamlemåten. Så det er ingen unnskyldning. Brukere klarer å sette opp 2 forskjellige passord så lenge man blir guidet igjennom, noe som man trygt kan si gjelder Ubuntu.

[Langbein]

Jeg skjønner ikke helt hva du mener med at man ikke blir bedt om passord under install. Hele root-kontoen er jo deaktivert som default i ubuntu, fordi de baserer seg på sudo isteden, hvor priviligerte brukere får root-rettigheter ved å oppgi sitt eget passord istedenfor root-passord. Dette går dog an å endre på, så hvis du absolutt ønsker å bruke root-kontoen kan du fint aktivere den

 

Ellers er det som sagt bare et par linjer som skal til for å sikre GRUB:

 

password --md5 PASSWORD (beskytter mot interaktiv bruk/kommandolinje)

 

lock (legges inn etter en bestemt boot-entry for å passordbeskytte den)

 

 

Dette gir den nødvendige sikkerheten du etterlyser, men det er altså ikke skrudd på som default. Men det trengs kanskje heller ikke på en typisk hjemme-PC. På en skole er det derimot kjekt

[Zenit]

Man kan fint gjøre begge deler. Ubuntu bruker sudo, men det burde da ikke være noen utfordring at man også legger til et punkt der man må oppgi root-passord. sudo fungerer som vanlig, bruker det selv på Slackware-boksen. Det tar 2 sek å sette opp, og da gjør jeg det på gamlemåten. Så det er ingen unnskyldning. Brukere klarer å sette opp 2 forskjellige passord så lenge man blir guidet igjennom, noe som man trygt kan si gjelder Ubuntu.

7412229[/snapback]

Jeg er ikke enig. Det som da ville skjedd er at:

 

a) brukeren er flink og fortsetter med sudo

b) bruker root-kontoen til alt mulig og gir blaffen i sin egen konto

 

Etter å ha vært borti en del begynnende unix-brukere vil du bli overrasket over hvor mange synes at det er praktisk og utrolig "greit" å være root hele tiden. Kanskje sudo i Ubuntu er et kompromiss, mellom det at det skal være noenlunde sikkert men at brukeren slipper å ha to forskjellige passord å forholde seg til. Jeg synes de har løst det på en helt grei måte. Alt til sitt bruk, og jeg vil ikke kalle det "et stort sikkerhetshull".

[stigfjel]

Jeg skjønner ikke helt hva du mener med at man ikke blir bedt om passord under install. Hele root-kontoen er jo deaktivert som default i ubuntu, fordi de baserer seg på sudo isteden, hvor priviligerte brukere får root-rettigheter ved å oppgi sitt eget passord istedenfor root-passord. Dette går dog an å endre på, så hvis du absolutt ønsker å bruke root-kontoen kan du fint aktivere den

Root-kontoen er deaktivert i vanlig multi-user mode. Men root-kontoen er absolutt ikke deaktivert hvis du går inn i recovery mode. Man får spørsmål om å sette passord på bruker nummer 1, den som har sudo-rettigheter. Root-passordet blir ikke satt under installasjon fordi man ikke får spørsmål om å sette det.

[stigfjel]

Jeg synes de har løst det på en helt grei måte. Alt til sitt bruk, og jeg vil ikke kalle det "et stort sikkerhetshull".

7412254[/snapback]

Som sagt, jeg mener at dette er et stort sikkerhetshull. Men igjen, når det kommer til Linux/UNIX så begynte jeg med Slackware. Har fått en god del erfaring med FreeBSD/OpenBSD og har ved flere anledninger testet ut Solaris. At dette hullet er tettet, tar jeg som en selvfølge. Grunnen til at jeg opprettet dette emnet var fordi jeg ville belyse dette emnet, som jeg tror den gjennomsnittelige Ubuntu-bruker aldri ville tenkt på.

[Langbein]

Root-kontoen er deaktivert i vanlig multi-user mode. Men root-kontoen er absolutt ikke deaktivert hvis du går inn i recovery mode. Man får spørsmål om å sette passord på bruker nummer 1, den som har sudo-rettigheter. Root-passordet blir ikke satt under installasjon fordi man ikke får spørsmål om å sette det.

7412255[/snapback]

Fair enough. Er ikke sikker i farta hvordan denne recovery greia fungerer heller, men jeg står fast på mitt, i at det viktigste man bør gjøre for å sikre maskinen, er å sette passord i GRUB. Ved å gjøre det, sikrer man seg også mot at folk starter i single user mode o.l.

 

Hvorfor er GRUB-passord viktigst? Jo, fordi om du ikke har det, vil alle de andre sikkerhetstiltakene være nytteløse, da en inntrenger kan gjøre alt mulig kødd ved hjelp av GRUB-kommandolinjen, inkl å boote tilfeldige medier (floppy, cdrom) med f.eks. en live-distro, og vips er man root uansett

 

Så da spør jeg - gjør Slackware dette som default? Hvis ikke, har den også et stort "sikkerhetshull".

Endret 3. desember 2006 av Langbein

[stigfjel]

Root-kontoen er deaktivert i vanlig multi-user mode. Men root-kontoen er absolutt ikke deaktivert hvis du går inn i recovery mode. Man får spørsmål om å sette passord på bruker nummer 1, den som har sudo-rettigheter. Root-passordet blir ikke satt under installasjon fordi man ikke får spørsmål om å sette det.

7412255[/snapback]

Fair enough. Er ikke sikker i farta hvordan denne recovery greia fungerer heller, men jeg står fast på mitt, i at det viktigste man bør gjøre for å sikre maskinen, er å sette passord i GRUB. Ved å gjøre det, sikrer man seg også mot at folk starter i single user mode o.l.

 

Hvorfor er GRUB-passord viktigst? Jo, fordi om du ikke har det, vil alle de andre sikkerhetstiltakene være nytteløse, da en inntrenger kan gjøre alt mulig kødd ved hjelp av GRUB-kommandolinjen, inkl å boote tilfeldige medier (floppy, cdrom) med f.eks. en live-distro, og vips er man root uansett

7412270[/snapback]

Sette passord i GRUB høres ut som en fin ting. Absolutt noe å vurdere hvis man setter sikkerhet høyt. Også noe som man burde få spørsmål om ved standard-installasjonen av Ubuntu. Recovery mode i Ubuntu fungerer rett og slett på den måten at når GRUB-menyen kommer opp, så velger man bare recovery mode. Maskinen booter opp i singel user mode, og hvis man ikke har gjort noe, får man root-shell med en eneste gang og dermed full tilgang til å kunne gjøre akkurat som man vil. Enkelt, farlig enkelt.

 

Edit:

@langbein: takk for tipset om passord i GRUB. Kjenner ikke GRUB så godt, da Slackware fortsatt bruker LILO. Passord i GRUB høres veldig bra ut, det blir et fint tillegg når jeg skal sette opp filserveren min. Solaris bruker nå GRUB som boot-loader.

Endret 3. desember 2006 av stigfjel

[Langbein]

@langbein: takk for tipset om passord i GRUB. Kjenner ikke GRUB så godt, da Slackware fortsatt bruker LILO. Passord i GRUB høres veldig bra ut, det blir et fint tillegg når jeg skal sette opp filserveren min. Solaris bruker nå GRUB som boot-loader.

7412283[/snapback]

Bare hyggelig

 

Det er forøvrig en interessant problemstilling du tar opp her. Mange tenker nok utelukkende på sikkerhet mot remote trusler, og glemmer at PCen kan være utsatt mot trusler lokalt. Men for en typisk hjemmepc er det ikke sikkert dette er noe å bry seg om heller, i motsetning til i firmaer, skoler osv. Uansett er det veldig vanskelig å beskytte en PC 100% mot uvedkommende som har fysisk tilgang, så for maksimum sikkerhet bør man kanskje satse på krypterte filsystem, som en nevnte tidligere i tråden. Dette har vel blitt stadig mer aktuelt siden så mange benytter bærbare PCer som lettere kan bli stjålet.

Endret 3. desember 2006 av Langbein

[Zenit]

Sette passord i GRUB høres ut som en fin ting. Absolutt noe å vurdere hvis man setter sikkerhet høyt. Også noe som man burde få spørsmål om ved standard-installasjonen av Ubuntu. Recovery mode i Ubuntu fungerer rett og slett på den måten at når GRUB-menyen kommer opp, så velger man bare recovery mode. Maskinen booter opp i singel user mode, og hvis man ikke har gjort noe, får man root-shell med en eneste gang og dermed full tilgang til å kunne gjøre akkurat som man vil. Enkelt, farlig enkelt.

7412283[/snapback]

Nemlig, jeg var også inne på det i en av mine første svar. Recovery mode er bare single user, hverken mer eller mindre. Fungerer på samme måte i envher linux-distro og er tilnærmet likt annen type *NIX, så det er kun root man logger inn med. Er passordet blankt, er man inne selv om kontoen er slått av per default.

 

Angående det å beskytte boot-manageren, er det et fint tiltak. Det vil ikke hjelpe mot den som kommer forbi med floppy/livecd uten å samtidig sikre BIOS. Står maskina for seg selv da kan man jo... osv.

 

Ubuntu skal være enkelt. Man skal ikke trenge å forholde seg til ørten passord i det man må frem med single user for å fikse et problem. Trenger man å beskytte seg, kan det gjøres akkurat som i andre distroer. Jeg ser jo du også har et poeng, men er som sagt ikke helt enig.

 

edit: uklar setning og dårlig norsk

Endret 3. desember 2006 av Zenit

[stigfjel]

Uansett er det veldig vanskelig å beskytte en PC 100% mot uvedkommende som har fysisk tilgang, så for maksimum sikkerhet bør man kanskje satse på krypterte filsystem, som en nevnte tidligere i tråden. Dette har vel blitt stadig mer aktuelt siden så mange benytter bærbare PCer som lettere kan bli stjålet.

7412312[/snapback]

Det er det helt klart. Poenget her er å gjøre det så vanskelig som mulig for uærlige personer å gjøre noe tull.