Wirusy – dotychczas spotykaliśmy się z twierdzeniem, że Linuksom nic nie zagraża, możemy spać bezpiecznie. Jednak, czy w razie potencjalnych ataków jesteśmy bezpieczni?
Copyme na swoim blogu opublikował kolejną część testu antywirusów dla Linuksa. Do testów zostały wybrane jedynie aplikacje dla przeciętnych zjadaczy chleba, posiadające interfejs graficzny. Tym razem są to Bitdefender, F-Prot oraz kilka nierozwijanych już projektów.
A ja myślę, że to bezpieczeństwem Linuksa to trochę mit, który powstał dlatego, że po prostu mało kto pisze wirusy itp. na Linuksa. Jeśli instaluję programy z zaufanych repozytoriów to w zasadzie jestem bezpieczny ale jest jeszcze przecież złośliwe oprogramowanie, które wykorzystuje luki w programach i rozprzestrzenia się w plikach ze zdjęciami, filmami albo przez strony html. I nawet jeśli uruchamiają się te programy z ograniczonymi prawami to mogą narobić sporo szkód np: szpiegować.
No tak myślę, ale z góry zastrzegam, że za bardzo się na tym nie znam. Ale może ktoś zrobiłby rzetelną analizę zagrożeń jakie czyhają na użytkownika Linuksa i jak się przed nimi bronić.
Właśnie sobie przypomniałem i zaraz ustawię partycji home opcję noexec. Tak na wszelki wypadek.
Co daje opcja noexec?
pewnie to co znaczy – no execution
ustaw jeszcze nosuid i tak samo na /tmp i /var/tmp.
/ zamontuj jako ro (po kilku zmianach w skryptach startowych), a kluczowym plikom (/etc/passwd /etc/shadow ..) daj chattr +i
Kernel najlepiej pozbawic mozliwosci ladowania modulow. Na dokladke policz sumy md5 wszystkich plikow w systemie (pomijajac uzytkownika) i co jakis czas automatycznie sprawdzaj z ich zapisem zamontowanym tez w trybie tylko do odczytu. Jak wykryje anomalie niech wygeneruje raport i wrzuci do lokalnej skrzynki pocztowej. Mozesz tez pokusic sie o openwall czy grsecurity, libsafe i inne wynalazki – pytanie tylko po co? Czy nie prosciej powylaczac obsluge js, flasha, javy i innych potencjalnie groznych funkcji przegladarki i zadbac o jej bezpieczenstwo? Osobiscie milo by bylo miec opcje uruchamiania dowolnego programu z dostepem tylko do wybranego katalogu i jego podkatalogow (chcoby przegladarka, ktora bedzie miala dostep tylko do katalogu z konfiguracja i cachem) bez koniecznosci uzywania dodatkowego konta uzytkownika.
jeśli nawet mit – to sytuację można bardzo łatwo naprawić. Architektura systemu, mechanizmy podziału uprawnień, kultura używania systemu i domyślne mechanizmy bezpieczeństwa, dają duże możliwości wprowadzania kolejnych zabezpieczeń. jak na razie systemy unix/linux były kierowane do bardziej zaawansowanych administratorów, którzy w razie potrzeby potrafili zadbać o ich i ich użytkowników bezpieczeństwo. W dotychczasowym środowisku sieciowym nie było większego ryzyka, jeśli zachowywało się podstawowe środki bezpieczeństwa. W miarę wzrostu zagrożenia – wzrośnie też świadomość adminów i odpowiednio zmodyfikuje się model dystrybucji oprogramowania, jego testowania i definiowania bezpiecznych warunków korzystania z sieci. System, który w pewnym sensie cierpi na brak sterowników dla produktów o krótkim czasie życia – opiera się na solidnych zasadach bezpieczeństwa, bez większych błędów projektowych (nie mówię o błędach w implementacji). Moim zdaniem, nawet w obliczu napływu nowych zagrożeń, nie zabraknie możliwości by w porę się przed nimi obronić i zminimalizować szkody.