Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Ogłoszenie
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
#1 2017-06-25 11:38:12
lis6502 - 
Łowca lamerów
- lis6502
- Łowca lamerów
- Skąd: Stalinogród
- Zarejestrowany: 2008-12-04
Interaktywny firewall
Dzisiaj robiąc prewencyjnego [tt]netstat -naplet[/tt] zauważyłem, że chrome ma dziwną tendencję do dzwonienia do domu oraz do bezczelnego nasłuchiwania na porcie 5353.
Kod:
Aurora net # netstat -naplet|grep plugin tcp 0 0 160.64.0.40:51146 198.252.206.25:443 ESTABLISHED 1000 145911 7101/plugins tcp 0 0 160.64.0.40:36480 104.16.112.18:443 ESTABLISHED 1000 147566 7101/plugins tcp 0 0 160.64.0.40:51140 198.252.206.25:443 ESTABLISHED 1000 147573 7101/plugins tcp 32 0 160.64.0.40:57508 104.81.221.217:443 CLOSE_WAIT 1000 147572 7101/plugins tcp 0 0 160.64.0.40:39808 151.101.1.69:443 ESTABLISHED 1000 97466 7101/plugins tcp 0 0 160.64.0.40:36482 104.16.112.18:443 ESTABLISHED 1000 147567 7101/plugins
Powyższy output wygląda podobnie przy uruchomionej przeglądarce z jedną kartą i stroną domową google. Oczywiście zdążyłem już wygooglać, że za słuchanie na 5353 odpowiedzialna jest opcja w chrome:///flags dotycząca zeroconfowych ficzerów i podjąć stosowne kroki.
Niemniej niesmak pozostał. Po którymś updacie google uzna że warto zrobić kopię mojego ~ do google drive, just in case, za co będę im kiedyś wdzięczny- przecież to dla mojego dobra. [tt]Dont't be evil[/tt] my ass. Aby temu zapobiec i nie pierniczyć się co update z audytowaniem przeglądarki, chciałbym wykorzystać jakiś program, który zachowa się jak tfu tfu, Zapora systemu Windows. Zapyta mnie 'elo lisu, chrome chce połączyć się z $ADRES:$PORT, pasi ci to?'.
Wiem wiem, przecież mogę dodać cel LOG w iptables i na żywo w teminalu oglądać logi ;]
Wiem, że mogę wykorzystać cgroups, osobnego usera, chroota, gotowce typu firejail i inne metody separowania instancji przeglądarki od systemu- póki co jednak wolałbym by była spójnym komponentem mojego środowiska, a nie zabetonowanym klocem z ołowianą osłoną antyradiacyjną z wizjerem.
Podpowiem, że taką funkcjonalność widziałem też bodajże w afwall+, tylko jak wiemy w androidzie każda sraplikacja działa na własnym juzku, co upraszcza pewnie monitorowanie połączeń.
Ostatnio edytowany przez lis6502 (2017-06-25 11:41:46)
Offline
#2 2017-06-25 12:00:19
Jacekalex - Podobno człowiek...;)
- Jacekalex
- Podobno człowiek...;)
- Skąd: /dev/urandom
- Zarejestrowany: 2008-01-07
Re: Interaktywny firewall
Dynamiczny FW jak w Windows?
Pierwsze słyszę, jak masz prawidłowo skonfigurowanego FW, żeby odrzucał połączenia NEW i INVALID z netu, to w ogóle nie czaję, co za problem, że coś tam słucha na porcie.
Co do przeglądarki od Googla, to wiele w samym programie nie wymyślisz, ale zawsze jest jeszcze Chromium...
Zdaje się, że samo powiadamianie da się załatwić przez [url=https://askubuntu.com/questions/290092/how-to-display-apparmor-denied-messages-as-desktop-notifications]Apparmor-notify[/url], ale jeszcze nie zauważyłem, żeby do AA trafiła opcja filtrowania gniazd sieciowych, poza cudnym opisem w dokumentacji (chyba Morfik kiedyś pisał, że udało mu się to odpalić, ale nie pamiętam szczegółów).
EDIT:
Kod:
**************************************************************** ### Program: /opt/google/chrome-unstable/chrome ### user: pacjent ### ................................................................ 15:debug:/ 14:rdma:/ 13:pids:/ 12:hugetlb:/ 11:net_prio:/ 10:perf_event:/ 9:net_cls:/users/chrome 8:freezer:/ 7:devices:/ 6:memory:/users/chrome 5:blkio:/users/chrome 4:cpuacct:/ 3:cpu:/users/chrome 2:cpuset:/ 1:name=openrc:/ ................................................................ Apparmor: /opt/google/*/chrome (enforce) ................................................................ ................................................................ RAM: 124.0 KiB + 20.0 KiB = 144.0 KiB chrome-sandbox 530.9 MiB + 109.9 MiB = 640.7 MiB chrome (9) ****************************************************************
Jak widać wykonalne (cgroup, netfilter-cgroup i AA), ale gimnastyki z tym jest sporo.
Ostatnio edytowany przez Jacekalex (2017-06-27 01:12:43)
W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem para bellum ;) | Pozdrawiam :)
Offline
#3 2017-06-25 12:40:21
lis6502 - Łowca lamerów
- lis6502
- Łowca lamerów
- Skąd: Stalinogród
- Zarejestrowany: 2008-12-04
Re: Interaktywny firewall
Pierwsze słyszę, jak masz prawidłowo skonfigurowanego FW, żeby odrzucał połączenia NEW i INVALID z netu, to w ogóle nie czaję, co za problem, ze coś tam słucha na porcie.[/quote]
To nie jest problem, jestem za firewallem więc nie dodzwonisz się do mnie bezpośrednio ani Ty, ani nikt inny.
Co innego połączenia wychodzące, które nawiązuje przeglądarka DO świata. Niepokoi mnie to, że mimo iż wyświetlam about:blank to mam aktywne 4 połączenia ode mnie do jakichś serwerów.
Nie ja je nawiązywałem i chciałbym po prostu dostać powiadomienie gdy takie połączenie zostanie nawiązane z możliwością zdecydowania "dodaj do wyjątków" albo "DROPUJ".
Chrome, chromium, firefox. Nie widzę różnicy szczerze mówiąc, bo co za różnica jaki silnik renderujący nawiązuje samodzielnie połączenia do świata w moim imieniu i wysyła bug wie co?
Offline
#4 2017-06-25 12:57:47
morfik - Cenzor wirtualnego świata
Re: Interaktywny firewall
W apparmor żadne z tych obostrzeń co się odnoszą do sieci nie działało mi jak się nimi bawiłem kiedyś. Część dokumentacji ma info o kontroli zasobów sieciowych ale chyba za wcześnie jeszcze na to. xD
Co do samego uniemożliwienia wysyłania plików z katalogu /home/ , to profil na apparmor i tak znajduje idealne zastosowanie.
[quote=lis6502]Niepokoi mnie to, że mimo iż wyświetlam about:blank to mam aktywne 4 połączenia ode mnie do jakichś serwerów.
Nie ja je nawiązywałem i chciałbym po prostu dostać powiadomienie gdy takie połączenie zostanie nawiązane z możliwością zdecydowania "dodaj do wyjątków" albo "DROPUJ".
Chrome, chromium, firefox. Nie widzę różnicy szczerze mówiąc, bo co za różnica jaki silnik renderujący nawiązuje samodzielnie połączenia do świata w moim imieniu i wysyła bug wie co?[/quote]
Może to zwykły "check for upade" czy inny wbudowany mechanizm, który coś sprawdza przy każdorazowym włączeniu przeglądarki? xD
Offline
#5 2017-06-25 13:03:00
lis6502 - Łowca lamerów
- lis6502
- Łowca lamerów
- Skąd: Stalinogród
- Zarejestrowany: 2008-12-04
Re: Interaktywny firewall
Może to zwykły "check for upade"[/quote]
a może to zwykły "upload my home porn to could and publish on jewtoobe"?
Czyli pozostaje mi grzebać w internetach, followoać logi z iptables.
Offline
#6 2017-06-25 13:05:26
morfik - Cenzor wirtualnego świata
#7 2017-06-25 13:08:40
Miras - Użytkownik
- Miras
- Użytkownik
- Skąd: Siewierz
- Zarejestrowany: 2013-08-06
Re: Interaktywny firewall
[quote=lis6502]Niepokoi mnie to, że mimo iż wyświetlam about:blank to mam aktywne 4 połączenia ode mnie do jakichś serwerów.[/quote]
Też mnie to drażni. Najpierw myślałem, to dodatki lub aktualizacja to robią, ale wyłączenie wszystkiego nic nie dało. Jeśli poczekamy kilka minut rozłączy wszystko, ale czekając dalej znowu gdzieś tam połączy i rozłączy - wszystko oczywiście na stronie 'blank' i nie wykonując absolutnie żadnej aktywności.
Dodam, że takie 'autopołączenia' zaobserwowałem dopiero na Jessie. Na Wheezy i wstecz nie było takich zachowań - no chyba, że mi conky tego wcześniej nie wyświetlał.
Aha, no i zauważyłem to tylko na Chrome i FF. Takie przeglądarki jak np. Lynx nie mają takiej ' naleciałości' - osobiście używam do konfiguracji lokalnego sprzętu (tak na wszelki wypadek :) )
Ostatnio edytowany przez Miras (2017-06-25 13:13:41)
Offline
#8 2017-06-25 13:15:30
morfik - Cenzor wirtualnego świata
#9 2017-06-25 14:33:03
lis6502 - Łowca lamerów
- lis6502
- Łowca lamerów
- Skąd: Stalinogród
- Zarejestrowany: 2008-12-04
Re: Interaktywny firewall
I co jeszcze, może odcisk palca. Przeglądarka ma być klientem www, per user. I żadne pomocniki od googla, integracje z fejzbukiem, gmailem są niepotrzebne.
Chyba zmienę temat na "szukam koszernego klienta www z obsługa ssl XD"
Offline
#10 2017-06-25 15:00:12
yossarian - Szczawiożerca
- yossarian
- Szczawiożerca
- Skąd: Shangri-La
- Zarejestrowany: 2011-04-25
Re: Interaktywny firewall
Wiem, że mogę wykorzystać cgroups, osobnego usera, chroota, gotowce typu firejail i inne metody separowania instancji przeglądarki od systemu- póki co jednak wolałbym by była spójnym komponentem mojego środowiska, a nie zabetonowanym klocem z ołowianą osłoną antyradiacyjną z wizjerem.[/quote]
Ale w czym widzisz problem?
Przecież to działa zupełnie bezobsługowo i niezauważalnie dla użytkownika.
Zwykły start programu:Kod:
$ chromium Redirecting symlink to /usr/bin/chromium Reading profile /etc/firejail/chromium.profile Reading profile /etc/firejail/disable-common.inc Reading profile /etc/firejail/disable-programs.inc Reading profile /etc/firejail/whitelist-common.inc Parent pid 17977, child pid 17978 Child process initialized[quote=man firejail]--netfilter=filename
Enable the network filter specified by filename in the new net‐
work namespace. The filter file format is the format of ipta‐
bles-save and iptable-restore commands. New network namespaces
are created using --net option. If a new network namespaces is
not created, --netfilter option does nothing.[/quote]
A to tylko jedno z wielu dostępnych narzędzi.
Offline
#11 2017-06-25 21:10:05
Miras - Użytkownik
- Miras
- Użytkownik
- Skąd: Siewierz
- Zarejestrowany: 2013-08-06
Re: Interaktywny firewall
Po zablokowaniu adresu łączy z innym, następnie z innej puli, taka zabawa w kotka i myszkę.
Wiem - mam sposób - wyciągnę RJ-ta z gniazda i niczego nie będzie :p
Offline
#12 2017-06-25 22:10:13
seler - Użytkownik
- seler
- Użytkownik
- Zarejestrowany: 2012-05-15
Re: Interaktywny firewall
[quote=lis6502]chciałbym wykorzystać jakiś program, który zachowa się jak tfu tfu, Zapora systemu Windows. Zapyta mnie 'elo lisu, chrome chce połączyć się z $ADRES:$PORT, pasi ci to?'.
Wiem wiem, przecież mogę dodać cel LOG w iptables i na żywo w teminalu oglądać logi ;][/quote]
Może proste GUI do firewalla w rodzaju Firestarter?
[img]http://www.techotopia.com/images/9/92/Ubuntu_linux_firestarter_events.jpg[/img]
a to feler westchnął seler
Offline
#13 2017-06-25 23:21:46
Miras - Użytkownik
- Miras
- Użytkownik
- Skąd: Siewierz
- Zarejestrowany: 2013-08-06
Re: Interaktywny firewall
Pousuwałem kilka adresów "ma pałę" w FF about:config i ilość połączeń zeszła z 6 do 3. Jutro się pobawię z głową przy tym - dziś już dobranoc.
Offline
#14 2017-06-26 05:59:48
morfik - Cenzor wirtualnego świata
Re: Interaktywny firewall
[quote=lis6502]I co jeszcze, może odcisk palca. Przeglądarka ma być klientem www, per user. I żadne pomocniki od googla, integracje z fejzbukiem, gmailem są niepotrzebne.
Chyba zmienę temat na "szukam koszernego klienta www z obsługa ssl XD"[/quote]
E tam, po prostu wszystko ma swój cel i może nie działać prawidłowo bez tego. Jeśli chrome łączy się z tymi serwerami, to w jakimś konkretnym celu. Zamiast gdybać i przewidywać przyszłość, lepiej może wbić na jakąś listę mailingową do gógla i po prostu zwyczajnie się ich zapytać po co chrome się z tymi adresami łączy. Jestem zdania, że ci odpowiedzą. xD
Offline
Informacje debugowania
| Time (s) | Query |
|---|---|
| 0.00011 | SET CHARSET latin2 |
| 0.00004 | SET NAMES latin2 |
| 0.00159 | SELECT u.*, g.*, o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.128.31.227' WHERE u.id=1 |
| 0.00097 | REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.128.31.227', 1732810414) |
| 0.00043 | SELECT * FROM punbb_online WHERE logged<1732810114 |
| 0.00076 | SELECT topic_id FROM punbb_posts WHERE id=311914 |
| 0.00130 | SELECT id FROM punbb_posts WHERE topic_id=29681 ORDER BY posted |
| 0.00138 | SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=29681 AND t.moved_to IS NULL |
| 0.00005 | SELECT search_for, replace_with FROM punbb_censoring |
| 0.00232 | SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=29681 ORDER BY p.id LIMIT 0,25 |
| 0.00109 | UPDATE punbb_topics SET num_views=num_views+1 WHERE id=29681 |
| Total query time: 0.01004 s | |