Linux - bezpieczeństwo

[InfiniteLove]

0

Witajcie. Wiele się mówi o tym jak Bezpieczny jest nasz Pingwinek lecz czy to jest prawda? Mówi się, że "prawie" nie ma wirusów  i innych malware. Napiszcie proszę jak mogę upewnić się że system jest bezpieczny. W końcu używa się wielu programów do przeglądania netu i przegląda się czasami niepewne strony. Czy serio mogę mówić znajomym, że na Linuxie to nie problem jeśli chodzi o wirusy. A może jakaś szansa jest i jak się przed tym chronić jeśli jest taka potrzeba? Linux działa na hasłach i moim zdaniem jeśli ktoś lub coś zdobędzie to hasło to będą kłopoty. Jak to jest? Interesuje mnie wiedza od Was bo wielu z Was sporo tutaj wie i pomaga. 

Czy muszę robić coś więcej by się chronić czy Linux już tak ma, że jest odporny z zasady?

[Karpiu]

1

Jeśli chodzi o bezpieczeństwo ogólne systemów komputerowych, to trzeba zauważyć, że istnieją dwa rodzaje „celów” dla osób, które tworzą wirusy itp. Pierwszym celem jest zarażenie jak największej liczby urządzeń (np. żeby ofiary zapłaciły, aby odszyfrować dane), w tym przypadku szuka się jak najwięcej wspólnych cech urządzeń np. ten sam system operacyjny lub oprogramowanie użytkowe itp. Drugim celem jest atakowanie konkretnych systemów, np. kiedyś było głośno, o tym, że zaatakowany został system kontroli wirówek do wzbogacania uranu w Iranie (chyba tam?), system ten jest tak wyspecjalizowany i zabezpieczony, że żaden domorosły haker nie byłby w stanie tego dokonać, a nawet jeśli to po co miałby to robić? W takich wypadkach to zapewne działają służby albo ekipa, którą ktoś opłacił (np. konkurencja). Jeśli chodzi, o pierwsze to Linux jest bezpieczniejszy od Windowsa i Maca w domowych zastosowaniach przez to, że jest mało popularny, oczywiście zawsze się może, znaleźć ktoś, kto będzie próbował coś zmajstrować, szybciej bym się w domu spodziewał zagrożenia, które miało być wycelowane w serwerownie — tam Linux jest najpopularniejszym systemem. Linux wywodzi się z systemów Unixowych, których budowa była tworzona z myślą, żeby zwykły użyszkodnik nie rozwalił systemu albo komputera, który w tamtych czasach kosztowały tysiące $, dlatego wszystko, co może rozwalić system trzeba potwierdzać hasłem (bardzo duży skrót historyczny ). W Windows XP też wprowadzono (dzięki użyciu jądra NT, które było budowane z taką myślą) mechanizm ograniczający, ale twórcy aplikacji Windowsowych w tamtych czasach byli zbyt przyzwyczajeni do dostępu do całego systemu w poprzednich edycjach Windowsów, przez co wiele aplikacji nie potrafiło normalnie działać w trybie użytkownika, dlatego prawie każdy praktycznie używał konta administratora. Po wprowadzeniu UAC w Viście zaczęło to przypominać Unixowe podejście do tematu. Dodatkowym plusem Linuxa jest jego otwarty kod, dzięki czemu każdy, kto się zna na programowaniu, po znalezieniu błędu może napisać i wysłać poprawkę — i tu ważne jest zgłaszanie błędów, nawet jeśli nie potrafisz programować to ktoś, kto przeczyta opis błędu, będzie mógł zrobić poprawkę oraz załatać ewentualny wektor ataku. Linux jest bezpieczniejszy z uwagi na małą popularność i ze względu swojej budowy i dlatego nie musisz się przejmować antywirusami itp — no, chyba że korzystasz z WINE, wtedy możesz odpalić wirusa z Windowsa, który może albo i nie coś namieszać w systemie (zależy jaką lukę w Windowsie wykorzystuje i czy ona działa pod WINE). Dodatkowo już od lat sprzęt jest tak projektowany, aby zabezpieczać dane przed nieautoryzowanym dostępem innych aplikacji — luki w zabezpieczeniach procesorach Intela (Spectre, Meltdown itp.), pokazują, że da się obejść te zabezpieczenia, ale jak się wczyta w detale, to jest to ciężkie do wykorzystania w normalnych warunkach, co w połączeniu z systemowym podejściem ograniczania aplikacji powoduje, że współczesne systemy są bardzo bezpieczne (Trzeba się o wiele bardziej nakombinować niż kiedyś). Jeśli chcesz mieć 100% bezpieczny system, to powinieneś odłączyć go od internetu, nikogo nie dopuszczać i nie podłączać żadnych nośników danych, których podłączasz do urządzeń podłączonych do internetu lub, nad którymi nie masz 100% kontroli. Największym zagrożeniem dla systemu (bez jakiego względu) jest jego użytkownik, nawet najlepsze zabezpieczenia nie mają szans, jeśli użytkownik będzie chciał coś zrobić, albo zostanie namówiony do tego (socjotechnika – najskuteczniejszy wektor ataku). Dlatego żartobliwie się mówi w środowisku, że najczęstsza przyczyna błędu znajduje się między fotelem a klawiaturą.

W skrócie:
Chcesz być bezpieczny (bez względu na system), to myśl co robisz, jak otwierasz zdjęcie i wyskakuje Ci prośba o hasło, to znaczy, że coś tu jest nie tak. Jak wyskakuje okienko, to przeczytaj co tam jest napisane, a nie bezmyślnie wciskasz byle co, byle się odwaliło i dało spokojnie pograć (miałem taki przypadek, że w ten sposób Windows stracił prawo zapisu na partycji systemowej )

Uff, ale się rozpisałem

[morfik]

1

Ta opinia (upraszczając trochę) jakoby linux był bezpieczniejszy ze względu na fakt, że nikt go nie używa, to trochę mnie rozbawiła . Co to za argument? To tylko jest potwierdzenie innej tezy, mianowicie, że ze wzrostem popularności, linux stałby się mniej bezpieczny... Więc idąc dalej trym tropem -- może w tej chwili jednak nie jest bezpieczny, skoro liczba użytkowników danego systemu decyduje o jego bezpieczeństwie? Ja śmiem jednak twierdzić, że ogromne znaczenie w kwestii bezpieczeństwa ma użytkownik stukający na wejściu w klawiaturę i interpretujący wyjście swojego monitora.

Jeśli chodzi o sam system, to linux'a (jak i windows'a) można uczynić bezpiecznym, np kompilując własnoręcznie kernel z włączonymi/wyłączonymi pewnymi opcjami, które zebrał np. projekt KSPP -- pytanie teraz ile osób z was ma te opcje redukujące powierzchnię ataku włączone w swoich kernelach? Dla przykładu, wiadome jest, że obsługa architektury 32bit (i 16) na 64 bitowych systemach (czyli tych, których używamy obecnie) generuje całą masę zagrożeń. Przegrepujcie sobie /boot/config-* w poszukiwaniu CONFIG_IA32_EMULATION , CONFIG_X86_X32 albo CONFIG_X86_VSYSCALL_EMULATION .Tych opcji jest oczywiście więcej ale obadajcie sobie na razie tylko te . Dlaczego dystrybucje te opcje włączają? Bo przecie dystrybucyjny kernel ma za zadanie działać na każdym sprzęcie... a takie podejście nigdy nie jest bezpieczne.

Inny argument, który padł, to, że w systemie można ustawić hasło do rzeczy niebezpiecznych, tak by nie zrobić sobie krzywdy. No można, tylko ten co ustawił sobie hasło nie wyeliminował przyczyny, czyli osobnika, który te krzywdę może w dalszym ciągu wyrządzić. Ba mało tego, ten osobnik teraz zna hasło do konta administratora. Nawet jeśli uznać, że użytkownik jest racjonalny przy obsłudze swojego systemu, to wciąż jakiś syf może się dostać do systemu i uruchomić się na prawach zwykłego user'a i monitorować klawisze w celu poznania tego hasła... Więc pytanie tu raczej trzeba by postawić czy jesteś świadomym użytkownikiem komputera/internetu, jeśli tak to i na windows nie będzie miał problemów, a jeśli nie, to i linux ci w niczym nie pomoże...

Dodatkowo już od lat sprzęt jest tak projektowany, aby zabezpieczać dane przed nieautoryzowanym dostępem innych aplikacji — luki w zabezpieczeniach procesorach Intela (Spectre, Meltdown itp.), pokazują, że da się obejść te zabezpieczenia, ale jak się wczyta w detale, to jest to ciężkie do wykorzystania w normalnych warunkach, co w połączeniu z systemowym podejściem ograniczania aplikacji powoduje, że współczesne systemy są bardzo bezpieczne

Obecnie nie projektuje się sprzętu by był bezpieczny, a wręcz przeciwnie. Pogóglaj sobie za teminem MEI/IME (intel management engine), czy za sprzętowymi backdor'ami albo osłabianiem szyfrowania, podmianą certyfikatów SSL/TLS by podsłuchiwać ruch https. Kiedyś ten wirtualny świat był bezpieczniejszy, dziś ludzie uważają, że zajrzenie w pasek adresu przeglądarki w poszukaniu kłódki czyni stronę, którą przeglądają, bezpieczną, bo przecie mam kłódkę, a więc połączenie jest szyfrowane. A skąd wiesz czy trafiłeś pod wiarygodny adres IP -- przecie zapytań DNS nie szyfrujesz, a więc są podatne na zmiany... A czy zweryfikowałeś cert witryny którą odwiedziłeś, obecnie większość ma certyfikaty z letsencrypt -- każdy może wygenerować ważny certyfikat, co tylko pomaga w ataku np. na strony bankowe... Ja tak mogę długo. Nie trzeba? To dobrze.

Jeśli chcesz mieć 100% bezpieczny system, to powinieneś odłączyć go od internetu, nikogo nie dopuszczać i nie podłączać żadnych nośników danych, których podłączasz do urządzeń podłączonych do internetu lub, nad którymi nie masz 100% kontroli.

Nie -- chcesz mieć bezpieczniejszy system, to się nim zainteresuj.

[yahoob3]

0

Npisał geek, który własny kernel skompilował po przepatrzeniu kilku tysięcy linijek kodu. XD

ogromne znaczenie w kwestii bezpieczeństwa ma użytkownik stukający na wejściu w klawiaturę i interpretujący wyjście swojego monitora

... i to zasadniczo w domowych warunkach powinno, w stopniu wystarczającym, zabezpieczyć komputer

[morfik]

0

Npisał geek, który własny kernel skompilował po przepatrzeniu kilku tysięcy linijek kodu. XD

To nie były linie kodu, tylko opcje konfiguracyjne.

---

Dodano po pewnym czasie:
O tak, na czasie odnośnie bezpieczeństwa dzisiejszych komputerów:
https://community.amd.com/thread/249766