Blindare Linux

TheZeb · 28-11-2003, 15:54

Salve a tutti...
volevo sapere se esiste un modo per blindare una qualsiasi release linux in modo che gli utenti siano autorizzati ad usare solo determinati programmi o funzioni del s.o. un po come fa win2k con le group policy..
Grassie e ciao

ilsensine · 28-11-2003, 16:03

Dividi i programmi per gruppi di accesso, con privilegi 0750 (ovvero rwxr-x---). Quindi assegni ad ogni utente i gruppi per i quali ha diritto di esecuzione.

TheZeb · 28-11-2003, 16:23

MMMM.. ho capito...
ma non esiste nulla come applicazione ? LDAP no perchè è un bordello atomico... qualcosa di più semplice e immediato , solo per settare gli utenti locali di un pc. Ace!

ilsensine · 28-11-2003, 16:25

Devi giocare sui permessi degli eseguibili e sui gruppi...non è affatto complicato, tieni conto che la maggioranza dei programmi possono essere eseguiti da tutti gli utenti. Per quelli "critici" (in particolare per quelli root suid) puoi applicare le limitazioni.

ilsensine · 28-11-2003, 16:28

Tieni anche conto che per i programmi "normali" (non suid ad esempio), mettere limitazioni sull'esecuzione non è una protezione: l'utente potrebbe ricompilarsi (o scaricarsi precompilato) il programma nella sua home, ed eseguirlo (*). Questo discorso si applica anche a Windows.

(*) In realtà c'è un modo per difendersi da questo

VICIUS · 28-11-2003, 17:33

Quote:

Originariamente inviato da ilsensine
Tieni anche conto che per i programmi "normali" (non suid ad esempio), mettere limitazioni sull'esecuzione non è una protezione: l'utente potrebbe ricompilarsi (o scaricarsi precompilato) il programma nella sua home, ed eseguirlo (*). Questo discorso si applica anche a Windows.

(*) In realtà c'è un modo per difendersi da questo

eliminare tutti i compilatori esistenti nel sistema ? oppure ti riferisci forse a quella patch del kernel che avevi postato qualche tempo fa e che faceva tanto palladium

?

ciao

TheZeb · 28-11-2003, 20:15

Facendo così però ci metto una vita... mi servirebbe poter esportare su un file la configurazione di linux blindata per poi applicarla ad altre macchine, che di solito preparo tutte uguali.....

ilsensine · 29-11-2003, 14:25

Basta che fai il lavoro una volta sola, poi replichi il tutto sulle altre macchine (via nfs, oppure masterizzando le directory con i programmi eseguibili su un cd...)

Quote:

Originariamente inviato da VICIUS
eliminare tutti i compilatori esistenti nel sistema ? oppure ti riferisci forse a quella patch del kernel che avevi postato qualche tempo fa e che faceva tanto palladium

?

Monti /home e /tmp con noexec...

Ikitt_Claw · 29-11-2003, 16:11

Quote:

Originariamente inviato da ilsensine
Monti /home e /tmp con noexec...

Anche /var allora (per /var/tmp)

VICIUS · 29-11-2003, 16:14

Quote:

Originariamente inviato da ilsensine
Monti /home e /tmp con noexec...

azz questa non la sapevo.

ciao

ilsensine · 29-11-2003, 16:35

Quote:

Originariamente inviato da Ikitt_Claw
Anche /var allora (per /var/tmp)

/var non è user-writable; /var/tmp può essere un link a una dir in /tmp

Ikitt_Claw · 29-11-2003, 16:41

Quote:

Originariamente inviato da ilsensine
/var/tmp può essere un link a una dir in /tmp

Avevo letto sul Linux FileSystem Hierarchy Standard che era Sconsigliabile fare una cosa del genere, se ben ricordo.

ilsensine · 29-11-2003, 16:45

Per quale motivo?

Ikitt_Claw · 29-11-2003, 16:56

Quote:

Originariamente inviato da ilsensine
Per quale motivo?

Il FHS dice quanto segue:

Quote:

15.1 Purpose
The /var/tmp directory is made available for programs that require temporary files or directories that are preserved between system reboots. Therefore, data stored in /var/tmp is more persistent than data in /tmp. Files and directories located in /var/tmp must not be deleted when the system is booted. Although data stored in /var/tmp is typically deleted
in a site-specific manner, it is recommended that deletions occur at a less frequent interval than /tmp. 5.16 /var/yp : Network Information Service (NIS) database files (optional) 5.16.1 Purpose Variable data for the Network Information Service (NIS), formerly known as the Sun Yellow Pages (YP), must be placed in this directory.

quindi: o si linka /var/tmp ad una sottodirectory di /tmp da trattare in modo speciale (non cancellarla tutte le volte che si ripulisce /tmp

), oppure
non e` consigliabile linkarla direttamente a /tmp.
Tutto questo se ho ben capito...

ilsensine · 29-11-2003, 17:01

Ah ho capito. Non ho mai visto simili usi di /var/tmp però (anzi, la mia è sempre vuota) e non mi sono mai preoccupato di svuotare /tmp

Cmq invece di fare 500000 partizioni per queste directory temporanee, se proprio servono su partizioni dedicate (es. noexec), preferirei montare dei file in loopback...

lovaz · 29-11-2003, 19:04

Confermo che all'uni usiamo /var/tmp per evitare il divieto di exec (/tmp è montata noexec) e di perdere i file per la pulitura di /tmp

28-11-2003, 15:54	#1
TheZeb Senior Member Iscritto dal: Nov 2003 Città: VERONA Messaggi: 9258	Blindare Linux Salve a tutti... volevo sapere se esiste un modo per blindare una qualsiasi release linux in modo che gli utenti siano autorizzati ad usare solo determinati programmi o funzioni del s.o. un po come fa win2k con le group policy.. Grassie e ciao

28-11-2003, 16:03	#2
ilsensine Senior Member Iscritto dal: Apr 2000 Città: Roma Messaggi: 15625	Dividi i programmi per gruppi di accesso, con privilegi 0750 (ovvero rwxr-x---). Quindi assegni ad ogni utente i gruppi per i quali ha diritto di esecuzione. __________________ 0: or %edi, %ecx; adc %eax, (%edx); popf; je 0b-22; pop %ebx; fadds 0x56(%ecx); lds 0x56(%ebx), %esp; mov %al, %al andeqs pc, r1, #147456; blpl 0xff8dd280; ldrgtb r4, [r6, #-472]; addgt r5, r8, r3, ror #12

28-11-2003, 16:25	#4
ilsensine Senior Member Iscritto dal: Apr 2000 Città: Roma Messaggi: 15625	Devi giocare sui permessi degli eseguibili e sui gruppi...non è affatto complicato, tieni conto che la maggioranza dei programmi possono essere eseguiti da tutti gli utenti. Per quelli "critici" (in particolare per quelli root suid) puoi applicare le limitazioni. __________________ 0: or %edi, %ecx; adc %eax, (%edx); popf; je 0b-22; pop %ebx; fadds 0x56(%ecx); lds 0x56(%ebx), %esp; mov %al, %al andeqs pc, r1, #147456; blpl 0xff8dd280; ldrgtb r4, [r6, #-472]; addgt r5, r8, r3, ror #12

28-11-2003, 16:28	#5
ilsensine Senior Member Iscritto dal: Apr 2000 Città: Roma Messaggi: 15625	Tieni anche conto che per i programmi "normali" (non suid ad esempio), mettere limitazioni sull'esecuzione non è una protezione: l'utente potrebbe ricompilarsi (o scaricarsi precompilato) il programma nella sua home, ed eseguirlo (). Questo discorso si applica anche a Windows. () In realtà c'è un modo per difendersi da questo __________________ 0: or %edi, %ecx; adc %eax, (%edx); popf; je 0b-22; pop %ebx; fadds 0x56(%ecx); lds 0x56(%ebx), %esp; mov %al, %al andeqs pc, r1, #147456; blpl 0xff8dd280; ldrgtb r4, [r6, #-472]; addgt r5, r8, r3, ror #12

29-11-2003, 16:45	#13
ilsensine Senior Member Iscritto dal: Apr 2000 Città: Roma Messaggi: 15625	Per quale motivo? __________________ 0: or %edi, %ecx; adc %eax, (%edx); popf; je 0b-22; pop %ebx; fadds 0x56(%ecx); lds 0x56(%ebx), %esp; mov %al, %al andeqs pc, r1, #147456; blpl 0xff8dd280; ldrgtb r4, [r6, #-472]; addgt r5, r8, r3, ror #12

28-11-2003, 16:23	#3
TheZeb Senior Member Iscritto dal: Nov 2003 Città: VERONA Messaggi: 9258	MMMM.. ho capito... ma non esiste nulla come applicazione ? LDAP no perchè è un bordello atomico... qualcosa di più semplice e immediato , solo per settare gli utenti locali di un pc. Ace!

28-11-2003, 20:15	#7
TheZeb Senior Member Iscritto dal: Nov 2003 Città: VERONA Messaggi: 9258	Facendo così però ci metto una vita... mi servirebbe poter esportare su un file la configurazione di linux blindata per poi applicarla ad altre macchine, che di solito preparo tutte uguali.....

29-11-2003, 17:01	#15
ilsensine Senior Member Iscritto dal: Apr 2000 Città: Roma Messaggi: 15625	Ah ho capito. Non ho mai visto simili usi di /var/tmp però (anzi, la mia è sempre vuota) e non mi sono mai preoccupato di svuotare /tmp Cmq invece di fare 500000 partizioni per queste directory temporanee, se proprio servono su partizioni dedicate (es. noexec), preferirei montare dei file in loopback... __________________ 0: or %edi, %ecx; adc %eax, (%edx); popf; je 0b-22; pop %ebx; fadds 0x56(%ecx); lds 0x56(%ebx), %esp; mov %al, %al andeqs pc, r1, #147456; blpl 0xff8dd280; ldrgtb r4, [r6, #-472]; addgt r5, r8, r3, ror #12

29-11-2003, 19:04	#16
lovaz Senior Member Iscritto dal: Jul 2002 Messaggi: 4334	Confermo che all'uni usiamo /var/tmp per evitare il divieto di exec (/tmp è montata noexec) e di perdere i file per la pulitura di /tmp

Strumenti
Mostra una versione stampabile Invia questa pagina per email