Forum Debian Users Gang

lis6502 · 2017-06-25 11:38:12

Dzisiaj robiąc prewencyjnego [tt]netstat -naplet[/tt] zauważyłem, że chrome ma dziwną tendencję do dzwonienia do domu oraz do bezczelnego nasłuchiwania na porcie 5353.

Kod:

Aurora net # netstat -naplet|grep plugin
tcp        0      0 160.64.0.40:51146       198.252.206.25:443      ESTABLISHED 1000       145911     7101/plugins        
tcp        0      0 160.64.0.40:36480       104.16.112.18:443       ESTABLISHED 1000       147566     7101/plugins        
tcp        0      0 160.64.0.40:51140       198.252.206.25:443      ESTABLISHED 1000       147573     7101/plugins        
tcp       32      0 160.64.0.40:57508       104.81.221.217:443      CLOSE_WAIT  1000       147572     7101/plugins        
tcp        0      0 160.64.0.40:39808       151.101.1.69:443        ESTABLISHED 1000       97466      7101/plugins        
tcp        0      0 160.64.0.40:36482       104.16.112.18:443       ESTABLISHED 1000       147567     7101/plugins

Powyższy output wygląda podobnie przy uruchomionej przeglądarce z jedną kartą i stroną domową google. Oczywiście zdążyłem już wygooglać, że za słuchanie na 5353 odpowiedzialna jest opcja w chrome:///flags dotycząca zeroconfowych ficzerów i podjąć stosowne kroki.
Niemniej niesmak pozostał. Po którymś updacie google uzna że warto zrobić kopię mojego ~ do google drive, just in case, za co będę im kiedyś wdzięczny- przecież to dla mojego dobra. [tt]Dont't be evil[/tt] my ass. Aby temu zapobiec i nie pierniczyć się co update z audytowaniem przeglądarki, chciałbym wykorzystać jakiś program, który zachowa się jak tfu tfu, Zapora systemu Windows. Zapyta mnie 'elo lisu, chrome chce połączyć się z $ADRES:$PORT, pasi ci to?'.
Wiem wiem, przecież mogę dodać cel LOG w iptables i na żywo w teminalu oglądać logi ;]
Wiem, że mogę wykorzystać cgroups, osobnego usera, chroota, gotowce typu firejail i inne metody separowania instancji przeglądarki od systemu- póki co jednak wolałbym by była spójnym komponentem mojego środowiska, a nie zabetonowanym klocem z ołowianą osłoną antyradiacyjną z wizjerem.
Podpowiem, że taką funkcjonalność widziałem też bodajże w afwall+, tylko jak wiemy w androidzie każda sraplikacja działa na własnym juzku, co upraszcza pewnie monitorowanie połączeń.

Ostatnio edytowany przez lis6502 (2017-06-25 11:41:46)

Jacekalex · 2017-06-25 12:00:19

Dynamiczny FW jak w Windows?

Pierwsze słyszę, jak masz prawidłowo skonfigurowanego FW, żeby odrzucał połączenia NEW i INVALID z netu, to w ogóle nie czaję, co za problem, że coś tam słucha na porcie.

Co do przeglądarki od Googla, to wiele w samym programie nie wymyślisz, ale zawsze jest jeszcze Chromium...

Zdaje się, że samo powiadamianie da się załatwić przez [url=https://askubuntu.com/questions/290092/how-to-display-apparmor-denied-messages-as-desktop-notifications]Apparmor-notify[/url], ale jeszcze nie zauważyłem, żeby do AA trafiła opcja filtrowania gniazd sieciowych, poza cudnym opisem w dokumentacji (chyba Morfik kiedyś pisał, że udało mu się to odpalić, ale nie pamiętam szczegółów).

EDIT:

Kod:

****************************************************************
###  Program:  /opt/google/chrome-unstable/chrome   ###  user: pacjent  ###
................................................................
15:debug:/
14:rdma:/
13:pids:/
12:hugetlb:/
11:net_prio:/
10:perf_event:/
9:net_cls:/users/chrome
8:freezer:/
7:devices:/
6:memory:/users/chrome
5:blkio:/users/chrome
4:cpuacct:/
3:cpu:/users/chrome
2:cpuset:/
1:name=openrc:/
................................................................

Apparmor: /opt/google/*/chrome (enforce) 
................................................................

................................................................

RAM: 124.0 KiB +  20.0 KiB = 144.0 KiB    chrome-sandbox
530.9 MiB + 109.9 MiB = 640.7 MiB    chrome (9)

****************************************************************

Jak widać wykonalne (cgroup, netfilter-cgroup i AA), ale gimnastyki z tym jest sporo.

Ostatnio edytowany przez Jacekalex (2017-06-27 01:12:43)

lis6502 · 2017-06-25 12:40:21

Pierwsze słyszę, jak masz prawidłowo skonfigurowanego FW, żeby odrzucał połączenia NEW i INVALID z netu, to w ogóle nie czaję, co za problem, ze coś tam słucha na porcie.[/quote]
To nie jest problem, jestem za firewallem więc nie dodzwonisz się do mnie bezpośrednio ani Ty, ani nikt inny.
Co innego połączenia wychodzące, które nawiązuje przeglądarka DO świata. Niepokoi mnie to, że mimo iż wyświetlam about:blank to mam aktywne 4 połączenia ode mnie do jakichś serwerów.
Nie ja je nawiązywałem i chciałbym po prostu dostać powiadomienie gdy takie połączenie zostanie nawiązane z możliwością zdecydowania "dodaj do wyjątków" albo "DROPUJ".

Chrome, chromium, firefox. Nie widzę różnicy szczerze mówiąc, bo co za różnica jaki silnik renderujący nawiązuje samodzielnie połączenia do świata w moim imieniu i wysyła bug wie co?

Time (s)	Query
0.00012	SET CHARSET latin2
0.00005	SET NAMES latin2
0.00099	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.138.69.39' WHERE u.id=1
0.00059	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.138.69.39', 1732483777)
0.00051	SELECT * FROM punbb_online WHERE logged<1732483477
0.00065	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=29681 AND t.moved_to IS NULL
0.00006	SELECT search_for, replace_with FROM punbb_censoring
0.00211	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=29681 ORDER BY p.id LIMIT 0,25
0.00084	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=29681
Total query time: 0.00592 s

Forum Debian Users Gang

Ogłoszenie

#1 2017-06-25 11:38:12

lis6502 - Łowca lamerów

Interaktywny firewall

Kod:

#2 2017-06-25 12:00:19

Jacekalex - Podobno człowiek...;)

Re: Interaktywny firewall

Kod:

#3 2017-06-25 12:40:21

lis6502 - Łowca lamerów

Re: Interaktywny firewall

#4 2017-06-25 12:57:47

morfik - Cenzor wirtualnego świata

Re: Interaktywny firewall

#5 2017-06-25 13:03:00

lis6502 - Łowca lamerów

Re: Interaktywny firewall

#6 2017-06-25 13:05:26

morfik - Cenzor wirtualnego świata

Re: Interaktywny firewall

#7 2017-06-25 13:08:40

Miras - Użytkownik

Re: Interaktywny firewall

#8 2017-06-25 13:15:30

morfik - Cenzor wirtualnego świata

Re: Interaktywny firewall

#9 2017-06-25 14:33:03

lis6502 - Łowca lamerów

Re: Interaktywny firewall

#10 2017-06-25 15:00:12

yossarian - Szczawiożerca

Re: Interaktywny firewall

Kod:

#11 2017-06-25 21:10:05

Miras - Użytkownik

Re: Interaktywny firewall

#12 2017-06-25 22:10:13

seler - Użytkownik

Re: Interaktywny firewall

#13 2017-06-25 23:21:46

Miras - Użytkownik

Re: Interaktywny firewall

#14 2017-06-26 05:59:48

morfik - Cenzor wirtualnego świata

Re: Interaktywny firewall

Stopka forum

Informacje debugowania