Επόμενο Περιεχόμενα
Με αυτό τον όρο εννοούμε τα μέτρα που πρέπει να πάρουμε
ώστε κάποιος χρήστης που έχει πρόσβαση στον υπολογιστή
μας (είτε φυσική πρόσβαση, είτε user account), να μη
μπορεί να αποκτήσει τον έλεγχο του συστήματος (root
access).
Ιδιαίτερα επικίνδυνα για αυτό το σκοπό είναι τα suid root
binaries. Δηλαδή τα προγράμματα που, ασχέτως του χρήστη
που τα καλεί, εκτελούνται πάντα σαν να τα είχε καλέσει ο
root. Ο αριθμός των suid root binaries σε ένα σύστημα
είναι ένα νούμερο που θέλουμε να το κρατήσουμε όσο το
δυνατό μικρότερο, και να ελέγχουμε τακτικά οποιαδήποτε
αλλαγή. Μια ατέλεια στον κώδικα ενός εκτελέσιμου
προγράμματος αρκεί για να γίνει ένα buffer
overflow, το οποίο, σε suid root binaries, σημαίνει
root shell, δηλαδή πλήρη έλεγχο του συστήματος.
Αν λοιπόν έχουμε μετρήσει όλα τα suid root binaries και
ξέρουμε ότι είναι 25 στο σύστημά μας, και μετά από λίγο
καιρό ελέγξουμε και βρούμε 26, πρέπει να εξετάσουμε πολύ
προσεχτικά αυτό το 26ο πρόγραμμα και να σιγουρευτούμε ότι
είναι κάτι που εμείς εγκαταστήσαμε.
Για μια λίστα με τα setuid και setgid αρχεία στο σύστημά
μας, κάνουμε το εξής:
# find / \( -perm -02000 -o -perm -04000 \) -ls > setXid
Κατόπιν μπορούμε να μετρήσουμε τις γραμμές αυτού του
αρχείου, και έτσι να ξέρουμε πόσα τέτοια (setXid) ειδικά
αρχεία έχουμε:
# wc -l setXid
Είναι καλή ιδέα να ελέγχουμε περιοδικά το πλήθος αυτών
των ειδικών αρχείων και να εντοπίζουμε τυχόν διαφορές.
Ακόμα και αν κάποιος καταφέρει να αποκτήσει τοπική
πρόσβαση στο σύστημά μας, με κάποιον υπάρχοντα
λογαριασμό, έχουμε χάσει μόνο τη μάχη, αλλά όχι
απαραιτήτως τον πόλεμο. Για να μην τραβήξει την προσοχή,
ο επιτιθέμενος θα προσπαθήσει να μάθει όλα τα συνθηματικά
(passwords) των χρηστών του συστήματος, χωρίς να τα
αλλάξει. Ακόμα και αν κάποιος έχει root access στο
μηχάνημά σας, πρέπει να είναι ιδιαίτερα προσεχτικός για
να μην τον ανακαλύψετε. Οπότε, παρόλο που ο root μπορεί
να αλλάξει οποιοδήποτε password και να προσθέσει
οποιονδήποτε λογαριασμό, η καλύτερη μέθοδος είναι να
ξέρει κανείς όλα τα υπάρχοντα συνθηματικά, και να τα
χρησιμοποιεί όποτε χρειάζεται πρόσβαση.
Έχοντας root, ή έχοντας καταφέρει να διαβάσει το αρχείο
/etc/shadow με κάποιο άλλο τρόπο, ο επιτιθέμενος θα
προσπαθήσει να μάθει όλα τα συνθηματικά που βρίσκονται σε
αυτό το αρχείο. Αν τα συνθηματικά ακολουθούν τους κανόνες
των δυνατών passwords, κάτι τέτοιο θα είναι από πολύ
δύσκολο έως πρακτικά αδύνατο.
Ο καλύτερος τρόπος για να διαπιστώσετε πόσο ισχυρά είναι
τα συνθηματικά που χρησιμοποιούνται στο σύστημά σας,
είναι να προσπαθήσετε να τα "σπάσετε" (crack) μόνοι σας.
Χρησιμοποιώντας το καλύτερο password cracker για
συστήματα UNIX (John the Ripper),
θα μάθετε αν το συνθηματικό σας θα αντέξει σε τέτοιου
είδους επιθέσεις.
Η χρήση του John είναι πολύ απλή: Αφού κατεβάσετε το
tarball (*.tar.gz), το κάνετε extract (tar xvfz
*.tar.gz), μπαίνετε στον κατάλογο john-1.x/src/ και
δίνετε ένα
$ make
Αυτό θα σας πει τις επιλογές που έχετε, και θα διαλέξετε
την πιο κατάλληλη για το σύστημά σας. Μόλις τελειώσει το
compile, μπείτε στον κατάλογο john-1.x/run/ και:
# ./unshadow /etc/passwd /etc/shadow > passwords
$ ./john passwords
Ο John θέλει λίγα δευτερόλεπτα για να μαντέψει τα τελείως
ελεεινά συνθηματικά (όμοια με το όνομα χρήστη, κάτω από 4
χαρακτήρες, λέξεις λεξικού), αλλά μπορεί να τρέχει επί
εβδομάδες χωρίς να μπορεί να βρει ένα δυνατό password 8
χαρακτήρων.
Καλά συνθηματικά είναι αυτά που έχουν τα εξής στοιχεία:
-
Έχουν τουλάχιστον 6 χαρακτήρες
-
Περιέχουν τουλάχιστον έναν χαρακτήρα από τις εξής
κατηγορίες:
-
Kεφαλαία (A-Z)
-
Πεζά (a-z)
-
Aριθμούς (0-9)
-
Eιδικούς χαρακτήρες (!, @, #, %, : κτλ.)
-
Δεν συνδέονται με κάτι που μπορεί να μαντέψει ο
επιτιθέμενος αν σας γνωρίζει προσωπικά (ημερομηνία
γέννησης, όνομα συγγενή κτλ)
-
Είναι αρκετά εύκολα να τα θυμάστε εσείς και να τα
πληκτρολογείτε ώστε να μη σας σπάνε τα νεύρα! Δε λέω,
καλό συνθηματικό το kj%{8*#I, αλλά δεν πρόκειται
να το θυμάμαι για πάνω από 2 λεπτά, ή (ακόμα
χειρότερα), άπαξ και το μάθω δεν θα θέλω να το αλλάξω
ποτέ επειδή είναι το πλέον uncrackable συνθηματικό.
Αυτή είναι εξίσου κακή πρακτική με το να έχετε πολύ
εύκολα συνθηματικά, επειδή αν κάποιος καταφέρει να
κλέψει αυτό το συνθηματικό παρακολουθώντας το δίκτυο,
πχ, θα έχει αιώνια πρόσβαση στο μηχάνημά σας.
-
Δεν είναι λέξη σε οποιαδήποτε γλώσσα! Αν νομίζετε ότι
ένα συνθηματικό σε Σουαχίλι ή από κάποιον επιστημονικό
κλάδο σας σώζει, ρίξτε μια ματιά στις λίστες που
κυκλοφορούν.
Μια καλή πρακτική είναι να δημιουργούμε συνθηματικά από
χαρακτήρες φράσεων που μπορούμε να τις θυμηθούμε εύκολα,
αλλά αν δεν ξέρει κάποιος την φράση, το συνθηματικό να
μην έχει κανένα νόημα. Παράδειγμα: Ας πούμε ότι το
αγαπημένο σας τραγούδι είναι το "Welcome to the machine"
των Pink Floyd. Από τους πρώτους χαρακτήρες κάθε λέξης,
βγάζουμε το εξής: Wttm_PF, που δεν είναι καθόλου άσχημο,
αλλά δεν σέβεται όλους τους κανόνες ενός καλού
συνθηματικού. Οπότε αντικαθιστούμε μερικούς χαρακτήρες με
αριθμούς σε "leet-speak lingo": W11m-PF και ιδού!
Για να προστατέψουμε τον υπολογιστή μας από επιθέσεις με
φυσική πρόσβαση, όπου ο χρήστης κάθεται στο πληκτρολόγιο,
χρειαζόμαστε πολλά και διάφορα. Ο γενικός κανόνας είναι
ότι "φυσική πρόσβαση = root πρόσβαση", για τους εξής
λόγους:
Ας πούμε ότι αφήνουμε τον υπολογιστή μας και πεταγόμαστε
στο διπλανό δωμάτιο για μερικά λεπτά. Αν κάποιος θέλει να
αποκτήσει πρόσβαση στον υπολογιστή μας, μπορεί απλά να
κάτσει στο πληκτρολόγιο και να ψάξει για τυχόν root
logins που έχουμε αφήσει ενεργά. Λύση: ΠΟΤΕ μην αφήνετε
root logins ενεργά χωρίς πολύ καλό λόγο. Αν χρειάζεται να
τρέχει κάτι σαν root για μεγάλα χρονικά διαστήματα,
μπορείτε να το καλέσετε με έναν τρόπο που να κάνει logout
μόλις τερματιστεί η εργασία. Παράδειγμα:
# tail -f /var/log/messages ; logout
Με αυτή τη γραμμή, μπορείτε να αφήσετε ένα root terminal
με σχετική ασφάλεια, επειδή αν κάποιος διακόψει την
εργασία με CTRL+C, εκτελείται αμέσως το logout και
χάνεται το root shell.
Αλλά ακόμα και η πρόσβαση σαν κανονικός χρήστης μπορεί να
είναι καταστροφική. Πχ, μπορεί κάποιος να
σβήσει/διαβάσει/διαφθείρει όλα τα προσωπικά σας αρχεία,
να στείλει email με το όνομά σας και άλλα δυσάρεστα. Μια
λύση είναι όταν δουλεύετε στο γραφικό περιβάλλον να
κλειδώνετε το τερματικό πριν φύγετε από το πληκτρολόγιο
(όλοι οι μοντέρνοι window managers μπορούν να καλέσουν το
xlock που κάνει ακριβώς αυτή τη δουλειά).
Τι γίνεται όμως αν κάποιος πατήσει απλά
CTRL+ALT+Backspace και "σκοτώσει" το γραφικό περιβάλλον;
Δεν θα μείνει με ένα shell του χρήστη μας;
Δεν είναι απαραίτητο. Για να αποφύγουμε αυτό το πρόβλημα
μπορούμε να προσθέσουμε ένα alias στο .bashrc μας, που να
θέτει:
alias startx="startx -- -nolisten tcp; logout"
Έτσι, με το που τερματίσουμε με οποιοδήποτε τρόπο το X
session μας, ο χρήστης μας κάνει αυτόματα logout. Για τη
σημασία του "-nolisten tcp" θα μιλήσουμε παρακάτω.
Όμως ακόμα και αν ο επιτιθέμενος δεν βρει έτοιμο prompt
στο μηχάνημά μας, δεν μπορεί να το εκμεταλλευτεί;
Σίγουρα, αν έχουμε "ευκολίες" όπως automount και autoexec
στο CDROM. Μια δυσάρεστη έκπληξη που είχα σε ένα
φρεσκο-εγκατεστημένο σύστημα ήταν όταν έβαλα ένα δισκάκι
στο CD drive και μετά από λίγα δευτερόλεπτα είδα τον
Mozilla να ανοίγει ένα παράθυρο και να μου δείχνει την
"αρχική σελίδα" του CD, παίζοντας περιχαρώς
μουσική! Τι θα γινόταν αν αυτό το CD είχε κώδικα
με περίεργες προθέσεις, που περίμενε την αρχική σελίδα
(index.html) για να ενεργοποιηθεί;
Για να αποφύγουμε τέτοιες εκπλήξεις καλό είναι να
απενεργοποιήσουμε οποιοδήποτε automount και να
σιγουρευτούμε ότι το mount γίνεται με ασφαλείς
παραμέτρους. Μερικές χρήσιμες παράμετροι είναι oι noexec,
nosuid. Ρίξτε μια ματιά στο man mount για περισσότερα.
Αλλά και πάλι, αν κάποιος μπορεί να επανεκκινήσει τον
υπολογιστή, μπορεί να επιλέξει από τον boot loader (LILO,
GRUB ή οτιδήποτε άλλο χρησιμοποιούμε) να κάνει boot σε
single mode, όπου έχει πλήρη έλεγχο του συστήματος. Για
να αποκλείσουμε και αυτή την πιθανότητα, μπορούμε να
βάλουμε έναν κωδικό στον boot loader. Έτσι, μόνο όποιος
ξέρει τον κωδικό μπορεί να ξεκινήσει το σύστημα. Αυτό
επιτυγχάνεται στα αρχεία /etc/lilo.conf και
/etc/grub.conf (για τους δύο πιο δημοφιλείς boot
loaders).
Όμως ποιος τα χρειάζεται όλα αυτά, όταν υπάρχει το
KNOPPIX;
Απλά κάνουμε ένα reboot τον υπολογιστή, βάζουμε το
δισκάκι στο drive, παρακάμπτουμε ό,τι είδους ασφάλεια
υπάρχει, και κάνουμε mount τον δίσκο του θύματος με πλήρη
δικαιώματα! Εύκολο; Όχι τόσο γρήγορα. Γι'αυτό υπάρχουν τα
BIOS
passwords, που ζητούν τον κωδικό του χρήστη πριν
επιτρέψουν σε κάποιον να αλλάξει τη συνηθισμένη σειρά
εκκίνησης και να κάνει boot από CD ή δισκέτα.
Αλλά αν έχετε laptop πχ, και ο "κακός" μπορεί να βουτήξει
απλά ολόκληρο το laptop ή να βγάλει στο πι και φι τον
δίσκο και να τον πάρει μαζί του; Αυτή είναι μάλλον η
χειρότερη περίπτωση, και το μόνο που μας σώζει είναι
κάποιο encrypted filesystem, που δεν επιτρέπει στον δίσκο
να διαβαστεί από κάποιον που δεν έχει το κατάλληλο
λογισμικό και δεν ξέρει το σωστό συνθηματικό
(pass-phrase) για να τον αποκωδικοποιήσει. Επειδή δεν έχω
εμπειρία σε κάτι τέτοιο, θα σας προτείνω απλά να
κωδικοποιείτε με το Gnu
Privacy Guard (GPG) οτιδήποτε δεν θέλετε να πέσει με
τίποτα σε λάθος χέρια.
Δεν είναι καθόλου δύσκολο! Αν έχετε ήδη δημιουργήσει
τα κλειδιά σας και μπορείτε να χρησιμοποιήσετε το
gpg, μπορείτε να μαζέψετε όλα τα ευαίσθητα αρχεία σας σε
έναν κατάλογο (ας πούμε secret/). Με ένα
$ tar -cf secret.tar secret
δημιουργείτε ένα αρχείο που περιέχει ολόκληρο τον
κατάλογο secret. Μετά μπορείτε να κωδικοποιήσετε
(encrypt) το αρχείο αυτό με το προσωπικό σας κλειδί, ώστε
μόνο εσείς να μπορείτε να το αποκωδικοποιήσετε στο
μέλλον:
$ gpg -esr apapadop@cmu.edu secret.tar
(αντικαταστήστε το email μου με το email που αντιστοιχεί
στο προσωπικό κλειδί σας) Αυτή η εντολή θα έχει σαν
αποτέλεσμα ένα αρχείο secret.tar.gpg που θα μπορείτε μόνο
εσείς να το διαβάσετε. Μπορείτε να ελέγξετε αν το σύστημα
δουλεύει σωστά με τις εξής εντολές:
$ gpg -d -o test.tar secret.tar.gpg
Αυτή η εντολή θα αποκωδικοποιήσει το αρχείο και θα το
σώσει σαν test.tar. Για να δοκιμάσουμε αν έχει την
παραμικρή διαφορά από το αυθεντικό αρχείο που έχει τα
ευαίσθητα περιεχόμενα, δίνουμε
$ md5sum test.tar secret.tar
Αν το αποτέλεσμα δεν είναι ακριβώς το ίδιο, κάτι δεν πήγε
καλά. Αν το checksum όμως είναι το ίδιο, μπορούμε να
σβήσουμε τον κατάλογο με τα ευαίσθητα αρχεία
$ rm -r secret/
και να αποκρυπτογραφήσουμε/αποσυμπιέσουμε ξανά τα
περιεχόμενά του όποτε τα χρειαστούμε με τις εντολές
$ gpg -d -o secret.tar secret.tar.gpg
$ tar xvf secret.tar
Αν τα παραπάνω σας φαίνονται υπερβολικά, θυμηθείτε ότι
υπάρχουν εργαστήρια που διαβάζουν δεδομένα χωρίς κανένα
πρόβλημα από καμένους
υπολογιστές, συσκευές που διαβάζουν
οθόνες πίσω από τοίχους και κυβερνήσεις που θεωρούν
σκόπιμο το
ψήσιμο των CD που θέλουν να αποσύρουν...
Επόμενο Περιεχόμενα
