Linux - bezpieczeństwo

[morfik]

1

Ta opinia (upraszczając trochę) jakoby linux był bezpieczniejszy ze względu na fakt, że nikt go nie używa, to trochę mnie rozbawiła . Co to za argument? To tylko jest potwierdzenie innej tezy, mianowicie, że ze wzrostem popularności, linux stałby się mniej bezpieczny... Więc idąc dalej trym tropem -- może w tej chwili jednak nie jest bezpieczny, skoro liczba użytkowników danego systemu decyduje o jego bezpieczeństwie? Ja śmiem jednak twierdzić, że ogromne znaczenie w kwestii bezpieczeństwa ma użytkownik stukający na wejściu w klawiaturę i interpretujący wyjście swojego monitora.

Jeśli chodzi o sam system, to linux'a (jak i windows'a) można uczynić bezpiecznym, np kompilując własnoręcznie kernel z włączonymi/wyłączonymi pewnymi opcjami, które zebrał np. projekt KSPP -- pytanie teraz ile osób z was ma te opcje redukujące powierzchnię ataku włączone w swoich kernelach? Dla przykładu, wiadome jest, że obsługa architektury 32bit (i 16) na 64 bitowych systemach (czyli tych, których używamy obecnie) generuje całą masę zagrożeń. Przegrepujcie sobie /boot/config-* w poszukiwaniu CONFIG_IA32_EMULATION , CONFIG_X86_X32 albo CONFIG_X86_VSYSCALL_EMULATION .Tych opcji jest oczywiście więcej ale obadajcie sobie na razie tylko te . Dlaczego dystrybucje te opcje włączają? Bo przecie dystrybucyjny kernel ma za zadanie działać na każdym sprzęcie... a takie podejście nigdy nie jest bezpieczne.

Inny argument, który padł, to, że w systemie można ustawić hasło do rzeczy niebezpiecznych, tak by nie zrobić sobie krzywdy. No można, tylko ten co ustawił sobie hasło nie wyeliminował przyczyny, czyli osobnika, który te krzywdę może w dalszym ciągu wyrządzić. Ba mało tego, ten osobnik teraz zna hasło do konta administratora. Nawet jeśli uznać, że użytkownik jest racjonalny przy obsłudze swojego systemu, to wciąż jakiś syf może się dostać do systemu i uruchomić się na prawach zwykłego user'a i monitorować klawisze w celu poznania tego hasła... Więc pytanie tu raczej trzeba by postawić czy jesteś świadomym użytkownikiem komputera/internetu, jeśli tak to i na windows nie będzie miał problemów, a jeśli nie, to i linux ci w niczym nie pomoże...

Dodatkowo już od lat sprzęt jest tak projektowany, aby zabezpieczać dane przed nieautoryzowanym dostępem innych aplikacji — luki w zabezpieczeniach procesorach Intela (Spectre, Meltdown itp.), pokazują, że da się obejść te zabezpieczenia, ale jak się wczyta w detale, to jest to ciężkie do wykorzystania w normalnych warunkach, co w połączeniu z systemowym podejściem ograniczania aplikacji powoduje, że współczesne systemy są bardzo bezpieczne

Obecnie nie projektuje się sprzętu by był bezpieczny, a wręcz przeciwnie. Pogóglaj sobie za teminem MEI/IME (intel management engine), czy za sprzętowymi backdor'ami albo osłabianiem szyfrowania, podmianą certyfikatów SSL/TLS by podsłuchiwać ruch https. Kiedyś ten wirtualny świat był bezpieczniejszy, dziś ludzie uważają, że zajrzenie w pasek adresu przeglądarki w poszukaniu kłódki czyni stronę, którą przeglądają, bezpieczną, bo przecie mam kłódkę, a więc połączenie jest szyfrowane. A skąd wiesz czy trafiłeś pod wiarygodny adres IP -- przecie zapytań DNS nie szyfrujesz, a więc są podatne na zmiany... A czy zweryfikowałeś cert witryny którą odwiedziłeś, obecnie większość ma certyfikaty z letsencrypt -- każdy może wygenerować ważny certyfikat, co tylko pomaga w ataku np. na strony bankowe... Ja tak mogę długo. Nie trzeba? To dobrze.

Jeśli chcesz mieć 100% bezpieczny system, to powinieneś odłączyć go od internetu, nikogo nie dopuszczać i nie podłączać żadnych nośników danych, których podłączasz do urządzeń podłączonych do internetu lub, nad którymi nie masz 100% kontroli.

Nie -- chcesz mieć bezpieczniejszy system, to się nim zainteresuj.