Forum Debian Users Gang

Mikrotik23 · 2016-09-11 11:59:21

Witam,
poszukuję pomocy w przerobieniu debiana 8 by był tylko do odczytu. Z mint 18 udało mi się i działa bardzo dobrze, użyłem do tego programu "overlayroot".
Chciałbym się dowiedzieć czy komuś udało się przerobić debiana, że po wyłączeniu go system wracał do pierwotnego stanu?

mati75 · 2016-09-11 13:50:54

https://wiki.debian.org/ReadonlyRoot

Jacekalex · 2016-09-11 14:06:28

Root na RO to średni pomysł.

Jak boisz się mrówek terrorystek, które szperają w kompie, to możesz bardzo ładnie zablokować możliwość zapisu w folderach systemowych różnym aplikacjom w [url=https://en.wikibooks.org/wiki/Grsecurity/The_RBAC_System]RBAC Grsecurity[/url] łatwiej, albo w SELinuxie ddduuużżżżoooo trudniej, ale to będzie prawdziwe zabezpieczenie, a nie teoretyczne, jak root na RO.

Możesz też dosyć łatwo tworzyć profile Apparmora, składnia jest dosyć prosta, ale objęcie nimi [b]/sbin/init[/b], żeby pod kontrolą AA był cały system to robota niczym spacerek na księżyc
i z powrotem, zwłaszcza dla kogoś, kto zaczyna takie zabawy.

Pozdro

Ostatnio edytowany przez Jacekalex (2016-09-11 14:10:16)

mati75 · 2016-09-11 14:50:55

Można się jeszcze inaczej bawić. /boot jako ro, filesystem jako squashfs a /home jako overlayfs i inne cuda /tmp /var montowane jak ramdisk

Novi-cjusz · 2016-09-12 11:04:34

Jaka jest roznica miedzy LiveCd a RBAC Grsecurity na zainstalowanym systemie?
Moze [url=https://subgraph.com/]SUBGRAPH[/url]?

morfik · 2016-09-12 11:23:33

Najprościej to tak jak mati napisał. Zainstalować sobie jakiś system, najlepiej via debootstrap. Wgrać tam wszystkie potrzebne rzeczy via apt-get. Skonfigurować sobie system tak jak ma być i zrobić z całości obraz squashfs. Potem na dysku zrobić strukturę katalogów jak na live cd/dvd/pendrive i system się będzie bootował z dysku tak jakby to był system live. Można by nawet persistence dorobić na osobnej partycji, nawet zaszyfrowany. xD Tylko lepiej mieć jakiś SSD do takiej zabawy, bo na HDD się taki system będzie strasznie wlókł ale będzie o niebo lepiej niż na cd/dvd/pendrive. xD

Mikrotik23 · 2016-09-12 13:58:09

Dzięki za podpowiedzi, widzę że tak łatwo nie jest przerobić system by był tylko do odczytu, tak jak tym programem co podałem w pierwszym poście. Wpadłem na inny pomysł tylko nie wiem czy da się coś takiego zrobić, przygotować własny live cd wgrać obraz iso lub img na dysk i żeby grub go mógł wystartować tak jak płytę lub pendrive?

morfik mógłbyś podać jakieś konkrety, czyli jakiś poradnik czy coś :)

morfik · 2016-09-12 15:50:37

W sumie to ja się tym nie bawiłem, tzn. nie robiłem systemu RO ale robiłem system live i mniej więcej wiem jak procedura stworzenia takiego systemu RO by wyglądała. Jakbym miał wolny dysk SSD to pewnie bym jakieś howto dorobił, a tak to nie mam na czym. xD

Mikrotik23 · 2016-09-12 17:37:13

[quote=morfik]W sumie to ja się tym nie bawiłem, tzn. nie robiłem systemu RO ale robiłem system live i mniej więcej wiem jak procedura stworzenia takiego systemu RO by wyglądała. Jakbym miał wolny dysk SSD to pewnie bym jakieś howto dorobił, a tak to nie mam na czym. xD[/quote]
A jakiś poradnik lub wskazówki do modyfikacji gotowego live? A czy grub potrafi uruchomić taki system live cd z obrazu na dysku?

Jacekalex · 2016-09-12 18:24:22

[quote=Novi-cjusz]Jaka jest roznica miedzy LiveCd a RBAC Grsecurity na zainstalowanym systemie?
Moze [url=https://subgraph.com/]SUBGRAPH[/url]?[/quote]
Zasadnicza, w RBAC możesz ustawić, żeby niektóre procesy administracyjne mogły zapisywać,
np dpkg czy inny instalator pakietów, żeby niektóre pliki konfiguracyjne mogły być aktualizowane, np klient dhcp i /etc/resolv.conf, a cała reszta nie.

Jest też jedna zasadnicza wada Grsecurity RBC, nie da się aktualnie (o ile mi wiadomo, ale może się coś zmieniło niedawno) zamontować żadnego zewnętrznego systemu plików ani zdalnie ani lokalnie, także pendraki, smartfony, tablety i chmury dostępne przez FUSE (np google-drive, dropbox, sshfs ) mają wolne.

Ale jak chcesz totalne bezpieczeństwo, to trzeba troszkę pocierpieć. :D

W [url=https://grsecurity.net/rbac_tutorial.pptx]dokumentacji[/url] wygląda to tak

Mount: requires CAP_SYS_ADMIN, not supported while RBAC is enabled[/quote]
Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2016-09-12 18:34:37)

W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem para bellum ;) | Pozdrawiam :)

Time (s)	Query
0.00011	SET CHARSET latin2
0.00004	SET NAMES latin2
0.00100	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.133.157.231' WHERE u.id=1
0.00067	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.133.157.231', 1732499358)
0.00069	SELECT * FROM punbb_online WHERE logged<1732499058
0.00074	DELETE FROM punbb_online WHERE ident='18.188.91.223'
0.00077	DELETE FROM punbb_online WHERE ident='18.189.184.99'
0.00070	DELETE FROM punbb_online WHERE ident='18.227.49.73'
0.00047	SELECT topic_id FROM punbb_posts WHERE id=305171
0.00010	SELECT id FROM punbb_posts WHERE topic_id=28951 ORDER BY posted
0.00057	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=28951 AND t.moved_to IS NULL
0.00005	SELECT search_for, replace_with FROM punbb_censoring
0.00108	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=28951 ORDER BY p.id LIMIT 0,25
0.00095	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=28951
Total query time: 0.00794 s

Forum Debian Users Gang

Ogłoszenie

#1 2016-09-11 11:59:21

Mikrotik23 - Użytkownik

System do odczytu?

#2 2016-09-11 13:50:54

mati75 - Psuj

Re: System do odczytu?

#3 2016-09-11 14:06:28

Jacekalex - Podobno człowiek...;)

Re: System do odczytu?

#4 2016-09-11 14:50:55

mati75 - Psuj

Re: System do odczytu?

#5 2016-09-12 11:04:34

Novi-cjusz - Użytkownik

Re: System do odczytu?

#6 2016-09-12 11:23:33

morfik - Cenzor wirtualnego świata

Re: System do odczytu?

#7 2016-09-12 13:58:09

Mikrotik23 - Użytkownik

Re: System do odczytu?

#8 2016-09-12 15:50:37

morfik - Cenzor wirtualnego świata

Re: System do odczytu?

#9 2016-09-12 17:37:13

Mikrotik23 - Użytkownik

Re: System do odczytu?

#10 2016-09-12 18:24:22

Jacekalex - Podobno człowiek...;)

Re: System do odczytu?

#11 2016-09-12 19:07:50

skullman - Użytkownik

Re: System do odczytu?

#12 2016-09-12 20:59:16

morfik - Cenzor wirtualnego świata

Re: System do odczytu?

#13 2016-09-13 09:41:31

Novi-cjusz - Użytkownik

Re: System do odczytu?

#14 2016-09-13 14:01:47

mati75 - Psuj

Re: System do odczytu?

#15 2016-09-13 20:23:48

Mikrotik23 - Użytkownik

Re: System do odczytu?

#16 2016-09-13 22:22:34

Novi-cjusz - Użytkownik

Re: System do odczytu?

#17 2016-09-13 22:27:46

mati75 - Psuj

Re: System do odczytu?

#18 2016-09-13 22:28:54

Jacekalex - Podobno człowiek...;)

Re: System do odczytu?

#19 2016-09-13 23:01:43

morfik - Cenzor wirtualnego świata

Re: System do odczytu?

#20 2016-09-13 23:54:22

Hepita - Użytkownik

Re: System do odczytu?

#21 2016-10-09 18:50:29

Mikrotik23 - Użytkownik

Re: System do odczytu?

#22 2016-10-19 11:44:22

Novi-cjusz - Użytkownik

Re: System do odczytu?

#23 2016-10-19 11:52:15

mati75 - Psuj

Re: System do odczytu?

#24 2016-10-19 12:21:14

Novi-cjusz - Użytkownik

Re: System do odczytu?

Stopka forum

Informacje debugowania