Forum Debian Users Gang

[b]Jacekalex[/b] zawsze jest wieczny flejm grsec czy selinux, ja stawiam na grsec :)

Grsec bardzo mocno obcina (bez /etc/grsec/policy) działanie exploitów, jest dokładnie od tego zarówno sam grsec jak i pax.
Do tego ma ACL - do skonfigurowania w /etc/grsec/policy - dość trudne, automatyczna generacja raczej niezbyt skuteczna, ale można to sensownie zrobić.

W porównaniu z Selinux i Apparmor, jest to jedyny moduł zmniejszający ryzyko działania exploitów, wiele z funkcji grsec/paxa znalazło się w standardowych kernelach, ale grsec i pax są w tych technikach o trzy kroki do przodu, przed kernelami dystrybucyjnymi.
Jednak w ACL grsecurity jest trochę za malo opcji, jeśli chodzi o konfigurację pojedynczego programu, tutaj radziłbym puścić go wolno w ACL grsec,
a dopieścić Apparmorem lub Selinux bardziej szczegółowe uprawnienia, które w grsec trudno zdefiniować.
Sensowne np w odniesieniu do firefoxa u mnie, na serwerze takich kłopotów będzie znacznie mniej, bo i softu będzie znacznie mniej ;)

Jedna wada w Paxie i technologii [url=http://www.gentoo.org/proj/pl/hardened/pax-quickstart.xml]ASLR[/url] - potrzebne jest PIE - w Gentoo możesz tak skompilować cały system, w innych Linuxach , bazujących na gotowych paczkach zależy od developerów, co będzie korzystało z ASLR, a co nie.
W Debianie na oko nieźle zabezpieczonych jest około 40% paczek serwerowych, np Apache tak, sshd tak, ale nginx i lighttpd już nie, kiedy ostatnio patrzyłem,  i około 20 - 25% paczek na desktop,  w Ubuntu jest trochę lepiej, bo wyraźnie wcześniej się za to zabrali.

Ale jak chcesz takie szczegóły, to poczytaj trochę dokumentacji Gentoo Hardened, Security handbooki Debiana i Ubuntu przejrzyj trochę forum i [url=http://en.wikibooks.org/wiki/Grsecurity]wiki grsec[/url], np ten post: http://forums.grsecurity.net/viewtopic.php?f=3&t=2131

Z tego , co ma być na tym shellu, nie widzę niczego, co mogłoby nie działać, ale grsec i pax zmieniają system w coś podobnego bardziej lub mniej do czołgu, dlatego grsec/pax może narobić trochę kłopotu, zwłaszcza, jak się ktoś walnie w konfiguracji.
Co do Slackware, to kiedyś zamierzałem go postawić, ale jak poczytałem dokumentację, i zobaczyłem o nim conieco, to zdecydowałem się na Gentoo,
a Slackware mnie za bardzo nie obchodzi na razie.
Grsec i Pax możesz użyć na każdym Linuxie, i to równolegle z Selinux lub Apparmor, ale w odniesieniu do niektórych funkcji modułu Pax, zależy od sposobu kompilacji paczek w danej dystrybucji, i nie zawsze można z tego modułu wycisnąć max możliwości, a to pierwsza  linia obrony przed exploitami, które potrafią dostać się do systemu np przez serwer www, i zrobić małe boooom w pamięci RAM.
Standardowe jajo też jest na taką okoliczność nieźle zabezpieczone, ale grsec i pax to po prostu wyraźnie wyższa półka zabezpieczeń.

Ale żeby ją stosować, to trzeba trochę poczytać, trochę się  podszkolić z konfiguracji i użycia tego drobiazgu, i przygotować się na kłopoty, np ja na grsec Virtualboxa już 2 miechy próbuję odpalić, i w żaden sposób mi się nie udało (choć nie siedzę nad tym dzień i noc ;  ale nakombinowałem się już dość sporo.)

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2011-05-16 10:08:12)

Z patchami i konfiguracją?
To się raz poznaje, a potem już leci.
Początek strasznie jest trudny, zawsze są jakieś kłopoty, ale jak zaczniesz czaić bazę, i widzieć, o co w tym biega, to się robi proste jak p**********.

A takie drobiazgi jak Grsec, czy LXC, czy Selinux lepiej poznać, jak chcesz się uważać za fachowca od Linuxa, tak samo jak lepiej poznać OpenBSD, FreeBSD i NetBSD, jak chcesz się uważać, za fachowca od *BSD.

Jednak z każdym systemem jest jakaś robota, żaden nie jest gotowy do użytku, po 10 minutach instalacji.

Ja, jak zobaczylem (po 3 latach z Ubuntu), że mimo wszystko o prawdziwym Linuxie mam o wiele mniejsze pojęcie, niż myślalem, to wziąłem najtrudniejszego i najbardziej hardcorowego Linuxa, i teraz gram sobie w Quake na hardened z grsec/paxem i apparmorem, a znam dwóch informatyków, którzy potrafią postawić serwer WWW na Debianie, i tygodniami opowiadać, jaki to pancerny szybki i stabilny system, a jak się skrypciarze do takiego serwera zabiorą  atakiem slowloris, to ło matko, co teraz robić, bo nawet rev-proxy do Apacha nie postawili, bo po co, przecież taki wspaniały system postawili.

A przecież Debian jest dobrym systemem, też można go porządnie skonfigurować i zabezpieczyć, ale to też nie jest 15 minut i sprint po piwo.
I z systemami BSD jest dokładnie tak samo, z tym, że Open* częściej trafia na routery, na serwerach www podobno ma kłopoty z szybkością, słyszałem, nie sprawdzałem.

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2011-03-28 11:40:36)

[quote=Jacekalex]1. Ściągasz stage hardened - najnowszy, i jest gotowy do pracy, na shellu Duga taki jest i chodzi. Kompilujesz do niego jajo, resztę programów możesz kompilować, lub skołować paczki.

2. Kilka programów z bibliotekami możesz ściągnąć z tinderboxa - link masz wyżej, zainteresuj się zmienną PORTAGE_BINHOST.

3. Na Celeronie niczego nie kompilujesz, kompilujesz na kompie P4 z flagami do Celerona, i opcją buildpkg w features, na Celerona wypakowujesz gotowe paczki.

Co do kompilacji na P4-2.8 - to o ile się nie mylę, Ilin na podobnym kompie skompilował Gentoo razem z Gnome, i nekrologu nie widziałem, więc chyba przeżył w dość dobrym stanie ;).
Na serwer poza tym, nie kompiluje się żadnej krowy w stylu Gnome czy KDE, Irssi czy podobne programy  konsolowe , są lekkie  i kompilują się dość szybko.

Radzę tylko trzymać się programów pisanych w C, a w miarę możliwości unikać pisanych w pythonie , perlu czy javie, (z wyjątkiem skryptów).
Takie programy są 2 razy szybsze, i wyraźnie stabilniejsze, poza tym przy aktualizacji np Pythona nie trzeba ich przebudowywać, co jest dużym ułatwieniem.

Gentoo działa z paczkami równie dobrze, jak  Debian.
Tylko że użyszkodnicy Gentoo robią sobie paczki samodzielnie, pod swój własny sprzęt.

Co do Selinuxa: Super Wsparcie w Debianie: http://pastebin.com/LbCJVrxi
i byle jakie , "prawie żadne" w Gentoo: http://pastebin.com/vS9Ejeqk

AFAIK najbardziej rozwiniętego Selinuxa ma Fedora, włącznie z [url=http://www.heise-online.pl/newsticker/news/item/Fedora-12-sandbox-dla-aplikacji-biurkowych-815780.html]sandboxem[/url].
Najlepsze wsparcie dla Apparmora,  (który jest w mojej opinni prostszy w obsłudze i trochę lepszy do Selinuxa), ma Ubuntu.

Także w niczym nie jestem specjalnie zakochany, ale ten system (Gentoo), mi po prostu dopowiada, nie dlatego, że jest łatwy, ale dlatego, że w nim nie ma rzeczy niemożliwych.

To by było na tyle
;-)[/quote]
Wiem że dla Ciebie gentoo jest łatwe dla mnie nie za bardzo. Po drugie nie chce się od nowa bawić z stawianiem systemu, tak jak to powiedział azhag:
"lepszy debian niż wszystkie inne jego klony".
Oczywiście nie mam nic przeciwko ubuntu ale dosyć często zrobią upgrade i potem mam niskie uptime.
Nie znalazłem u siebie w konifgu sshd opcji która odpowiadała by za chroot mam ją dodać?
No i co będzie z moim kontem "userowym" na które się loguje (oczywiście nie jako root ;-) ).
Będzie one logowało się do chroota czy jak? Grsec wystarczy chyba (plus ew. selinux).

[quote=bryn1u]Systemy BSD same w sobie po instalacji sa mocno zabezpieczone. OpenBSD ma duzo mechanizmow zwiekszajacych bezpieczenstwo min. kryptografie i dlatego jest malo wydajne, ale za to cholernie bezpieczne. Cos za cos :P Czyli co mowisz, zeby brac Gentoo ? Bo sklonny jestem zaryzywkowac. Powiedzmi czy jedynym wyjsciem, zeby zainstalowac gentoo jest sciagniecie livecd ? Nie ma jakiegos odpowiednika netinstall z debiana ?[/quote]
Jest instalator graficzny ale chyba nie wspierany, musisz sciągnąć sarge 3 rozpakować potem jak się nie mylę instalacja portage. Kiedyś też chciałem gentoo, ale na moim sprzęcie kompilacja trwa wieki. Jądra nie trzeba kompilować, genkernel, czy coś takiego.