Clanek o Linuxu na Neviditelnem psu

[Jan Marek]

Dobry den,

taky jsem cosi zplodil, ale neni to tak sofistikovane, jako od
pana Macoka :-):

Dobry den,

rad bych reagoval na clanek pana Jandy o (ne)bezpecnosti Linuxu.

1. Vyhody/nevyhody open source SW: o tomto tematu je zrejme
napsano pomerne dost clanku, takze jen strucne:

Open Source:
a) vyhody
- kazda chyba muze byt opravena v podstate kymkoliv, kdo se vyzna
v kodu C-ka a vi, jak funguje a na co utoci vyskytnuvsi se
exploit
b) nevyhoda
- jiz popisovana dostupnost zdrojovych kodu i pro hackery

Close source:
a) vyhoda
- nedostupnost zdrojovych kodu pro hackery
b) nevyhoda
- pokud se objevi exploit, jste absolutne zavisli na vyrobci
programu

Domnivam se, ze z techto moznosti si kazdy muze vybrat. Ja osobne
preferuji open source model, predevsim proto, ze jsou chyby
opraveny pomerne rychle.

Pro zajimavost: na podzim r. 1996 se objevil popis exploitu Ping
of Death (pro zajemce: je mozne najit na
http://www.insecure.org/sploits_linux.html). Tento exploit sice
nedava utocnikovi moznost dostat se do pocitace, ale zpusobi
"vytuhnuti" masiny, ve Windows zname obvykle jako BSOD. Pro Linux
se zaplata objevila pomerne brzy: cca do 4 dnu po zverejneni.
Domnival jsem se, ze operacni systemy Microsoftu jsou uz proti
teto chybe zabezpeceny take. Pred mesicem jsme pokusne vyzkouseli
Win98: vysledkem byl BSOD (kupodivu).

2. Skutecne mnozstvi objevenych der, ktere pan Janda napsal, je
zrejme jeho vlastnim odhadem. Presnejsi informace lze nalezt na
http://www.securityfocus.com/ v sekci Vulnerabilities ->
statistic. Jsou rozdeleny i podle ruznych operacnich systemu. Je
pravda, ze se Linux umistuje na "peknem" druhem miste hned za
WinNT... Ovsem z meho pohledu je daleko dulezitejsi doba reakce,
tzn. za jak dlouho jsou chyby opraveny. Na toto tema jsem take
videl zpracovanou statistiku na internetu, bohuzel se mi ji
nepodarilo nalezt. Pamatuji si, ze se v ni nacital pocet dnu od
zverejneni exploitu do opravy. V tomto smeru byl Linux ovsem
daleko pred WinNT a pokud me pamet neklame, o cca min. 200%.

3. Ad bezpecnost serveru
Jako spravce Linuxovych serveru mohu zodpovedne prohlasit, ze
zabezpeceni serveru je PREDEVSIM veci spravce serveru, mene
software, ktery na tomto serveru bezi. Nakonec, pan Janda o teto
veci take pise, klade ji vsak do budoucnosti: nikoliv, je to uz
pritomnost. Jsem ochoten verit, ze lze skvele zabezpecit WinNT
server, stejne jako vim, ze zabezpeceni Linuxoveho serveru muze
byt v podstate nulove. Spise si dovolim prohlasit, ze v pripade
Linuxu mam toto zabezpeceni plne v rukou a muzu v nem jit daleko
"hloubeji", nez v pripade WinNT. Povazuju take za velkou vyhodu
to, ze v podstate vsechny parametry sluzeb lze nadefinovat v
textovych souborech pomoci textoveho editoru: ano, je to
zneuzitelne i pro hackery, pokud udelam nekde chybu.
Jiste je, ze s deravym SW se zabezpeceny server dela dost tezko.
Ovsem vime, ze v kazdem programu je minimalne jedna chyba. Z meho
pohledu je tedy take dulezite, jakym zpusobem se provadi upgrade
na novejsi verzi programu (sluzby). Linuxovy server je na tom v
tomto pripade daleko lepe: staci preinstalovat program, ktery
urcitou sluzbu realizuje a pak restartnout sluzbu (nikoliv
server). Server se restartuje pouze v pripade, kdy se instaluje
nove jadro systemu, coz zase tak casto byt nutne nemusi. Dokonce
v jistych distribucich se upgrade provadi pomoci jedineho prikazu
pro vsechny upgradovane sluzby naraz (obdoba service packu :-)),
ovsem bez nasledneho restartu systemu, restartuji se pouze
upgradovane sluzby.

5. Mala poznamka k logovani
Linuxove logy jsou sice vetsinou textove a mohou byt tedy
zmeneny, ale je tu i moznost logovat na jiny pocitac pres
seriovou linku (coz je VELMI bezpecne, pokud logovaci pocitac
soucasne neni pripojen do site, pripadne logovat na zabezpeceny
sitovy pocitac pres sit. To je soucasne ochrana proti vymazani
logu hackery: ti totiz obvykle nemaji cas na nic jineho. A jestli
log ctu textovym editorem, nebo specialnim nastrojem, je potom
uplne jedno.

No, nevim. Podle meho odhadu je pan Janda pomerne dobre
informovany, coz lze poznat z popisu ruznych mechanismu
backdooru, pripadne DDOS. Nicmene dobra informovanost a praxe je
prece jen dost velky rozdil (aneb, jak pravi klasik, sucha je
teorie a zeleny strom zivota :-))).

Zdravim a preju mnoho uspechu (nejen) ve vydavani Neviditelneho
psa.
Honza Marek

Poslal jsem to panu Neffovi primo...

Honza Marek
--
Ing. Jan Marek
mailto:jmarek na email.cz, tel.:038/777 30 72
Pedagogical Faculty of University of South Bohemia
Jeronymova 10, 370 01 Ceske Budejovice
Motto: Kazda snaha bude po zasluze potrestana: z Murphyho zakonu