Prelazak na Linux

[TingoL]

@Sale KG, virusi za linux postoje ali u toliko malom broju da ja nikad, koristeci linux nisam video, ni kod sebe ni kod drugih nijedan primer malicioznog softvera tako da sto se toga tice moze da bude miran.

 

[nenad_l]

Najbolje za početnika je da se sam pomuči, da instalira, čačka i pokvari sistem, da sam kopa po netu rešenja za probleme i da na kraju sam vidi šta je prava stvar za njega.

Ne može ti niko reći šta je dobro za tebe. Ima isuviše distribucija i svaka ima prednosti i mane...

I ako ne uspeš da bootuješ sa usb-a nabavi rw.

I nemoj da pridaješ mnogo značaja utisku kod testiranja live sistema. Po meni, dosta se razlikuje live i instaliran sistem.

 

[salac]

Ti zaista veruješ u ovo što si napisao?

Da ne radis u nekoj AV kompaniji?

Naime, vec godinama unazad AV proizvodjaci najavljuju da na linux tek sto nije stigla kataklizma, posast, roj virusa itd itd itd - a u praksi nista od toga se do sada nije desilo.

Desavalo se da linux serveri 'padnu' na istu foru (napr web serveri i rupe u joomli ili necem slicnom), ali windowsolikih virusa, koji se sire gotovo bez ikakve akcije korisnika, nema.

Ako imas neka druga saznanja, bilo bi interesantno da cujemo o cemu se radi.

poz.

 

[Sale KG]

Ne radim u AV kompaniji ali izjave tog tipa su netačne pa sam zbog toga pitao da li zaista veruje u to što je napisao.

Ne prizivam kataklizmu Linux-a , niti mi je to bila namera. Linux jeste dosta bezbedniji od Windowsa ali to ne znači da je savršeno bezbedan.

 

[salac]

Izjava koju pominjes ('na linuxu nema virusa') strogo govoreci jeste netacna, ali ako se bavis problematikom trebao bi da znas da se broj virusa za linux moze prebrojati na prstima obe ruke (moja licna odokativna procena) a sasvim sigurno ne prelazi brojku 100. Sa druge strane, prosecan windows AV pqrogram sadrzi koliko definicija za viruse? 500K? Milion?

Vecina linux virusa pravljena je kao 'proof of concept' da bi se, jelte, dokazalo da je to moguce izvesti na linuxu, a mozes mi verovati na rec da nijedan od tih virusa danas linuxu ne moze ama bas nista - nije potreban nikakav AV softver da bi bio 99.999999999% siguran. Cak se secam i tragikomicnih situacija da su ljudi namerno pokusavali da zaraze svoje linux masine takvim virusima, zabave radi, ali im nije bas polazilo za rukom.

Ova prica, naravno, nema veze sa sigurnosnim propustima koji se javljaju u softveru koji se vrti na linuxu kao serverskom sistemu, a na sta si ti, moze biti, i ciljao. Najpoznatiji primeri su web aplikacije (vec pomenuta joomla je neko vreme bila notorno ozloglasena). Medjutim, to nisu klasicni virusi - ukoliko web aplikacija ima security bag, jedino sto zlonamerna individua moze da uradi je brisanje sadrzaja web sajta i (eventualno) pripadajuce baze; ostatak sistema ostaje netaknut; takodje nema 'automatizovanog sirenja zaraze' na druge racunare/servere.

Prethodni pasus sam napisao pominjuci linux servere ali se generalno odnosi i na windows - i tamo nevesto pisane asp/asp.net/php/whatever aplikacije imaju slican ucinak. Medjutim, to ko slabo primecuje obzirom da jadni windows i dalje muku muci sa stotinama hiljada virusa koji napadaju obicne korisnike, te ovi prefinjeniji problemi prakticno nikad ne dodju do izrazaja.

 

[Sale KG]

Nebitno, sa stanovišta nauke (kojom se inače bavim) je dovoljan i jedan slučaj (u našem primeru jedan virus) pa da izrečena fraza ne bude tačna. Složićemo se da se ovde ne radi samo o jednom slučaju, ako se ne ograničimo samo na viruse već na bezbednosne rizike.

Nije to ni toliko bitno, koliko činjenica da se laicima i "regular" korisnicima podmeće "kukavičje jaje" da Linux platforma ne poznaje viruse, rootkit-ove, trapdoor-ove itd. Sto puta ponovljena neistina ima tendenciju da preraste u istinu. Hiljadu puta ponovljena već zvuči kao istia a istina se pretvara u laž. Kome to ide u prilog ne znam ali trendovi su takvi (u svetu, mi smo samo jedno zrnce peska u Sahari).

Sa stanovišta bezbednosti niko ne spori da je Linux bezbedniji od Windowsa, što zbog samog sistema, što zbog manjeg procenta zastupljenosti među korisnicima a samim tim i manjeg broja "gamadi" za iste.

Bezbednost bilo kog sistema zavisi od toga koliko je bezbedna i sigurna najslabija karika u tom lancu bezbednosnih mera. Najslabija karika u svakom lancu bezbednosti je čovek, a tu mu neće pomoći ni Linux, ni AV, ni firewall, ni..., ako je on rešio da klikne na button YES ili izvrši komanu SU.

 

[salac]

Racunarski virusi su jedno, a rootkit i backdoor-ovi su drugo, iako spadaju u istu kategoriju racunarskog koda (malicious tj. zlonamerni kod). Svaka od ovih kategorija ima svoje specificnosti i (posto vec volis preciznost ) nije ispravno sve ih trpati u isti kos. Slazemo se da doticni softver postoji na bilo kojoj softverskoj platformi, a takodje se slazemo i da je brzina i lakoca njegove propagacije to sto odvaja windows od ostatka operativnih sistema.

Najveca opasnost masovne zaraze na linux racunarima lezi u necemo sto nisi spomenuo a to su - networking worms. To ja licno vidim kao jedini nacin da se napravi velika steta a bez gotovo nikakvog (ili nikakvog) uplitanja korisnika. Odavno nismo imali ovako nesto, u stvari gotovo pa od prapocetaka interneta (poznati slucaj Morisovog worma). Na windowsu je bilo i toga - recimo Red Code worm koji je pocetkom milenijuma harao windows serverima sa podignutim IIS-om, a najpoznatiji slucajevi su svakako blaster i sasser worm-ovi koji su bili enormno zastupljeni, toliko da i dan-danas nezakrpljeni windows racunar sa javnom IP adresom biva zarazen u roku od par minuta.

A sto se tice virusa, posto se bavis naukom izvedi empirijsku vezbu - downloaduj neki od tih desetak linux virusa i probaj da zarazis racunar startovanjem izvrsnog fajla. Isto to ponovi i sa bilo kojim virusom koji postoji za windows, namerno startuj inficirani izvrsni fajl.

 

[Sale KG]

Nije mi bila namera da bilo šta dokazujem, sem činjenice da ona izjava nije tačna, pogotovo ne sa tim javnim i poznatim virusima.

Mašiš poentu, ja nisam poredio dve OS platforme, niti sam rekao da je jedna bolja od druge, niti da je Linux loš, niti sam nabrajao mane istih, već sam želeo da ukažem na činjenicu da se sve češće uotrebljavaju izrazi i fraze vezane za Linux platformu koje nisu tačne.

Zamisli da učitelj pogrešno nauči decu tablicu množenja. To je bezazlena stvar reći će neko i deca će to kasnije da nauče ponovo i tačno, ali to nije baš tako bezazleno ako se udubiš u problematiku. Koliko dece će to ponovo da nauči na ispravan način i da li će to prihvatiti? Koliko te dece će kasnije to svoje pogrešno saznanje preneti na druge koji tek uče? Itd. da ne ulazimo u ove aspekte. Stvari treba od samog početka postaviti na pravo mesto.

Napredni korisnik Windows sistema je jednako bezbedan kao i bilo koji Linux korisnik. Za široke narodne mase Linux je bezbednija platforma i treba ljude upućivati na ovu platformu, ali ne treba ih u startu pogrešno učiti.

 

[TingoL]

To jednostavno nije tacno. Nema teoretske sanse da mozes da izjednacis Linux i Windows po pitanju sigurnosti... Poredjenje sa tablicom mnozenja je pogresno na toliko nacina da ne znam ni gde da pocnem... Pokusao si da ispadnes superioran naspram pocetnika a onda sa glupim argumentima pokusavas da ostanes u pravu u raspravi sa nekim ko ocigledno zna vise od tebe. Ovaj forum sluzi za pomaganje pocetnika i ohrabrivanje istih da zakorace u svet otvorenog sotvera (jer im moze ustedeti gomilu novca nekad u zivotu ako nista drugo), a ako bas moras da ispravljas novajlije uradi to kulturno i objasni im detaljno. Po tvom komentaru rekao bi covek da ce se gadno iznenaditi sa gomilom virusa koje ga cekaju u linux svetu a u realnom radu GARANTUJEM nece se susresti ni sa jednim.

 

[Sale KG]

Ti čitaš površno ono što ja pišem ili ne čitaš uopšte već vadiš reči iz konteksta.

 

[yooyo]

@SleKG:
Cak i da inficiras neki program u Linuxu taj ne moze nista da uradi van user accounta iz koga je pokrenuta zaraza, pa cak ni da napadne druge programe dostupne drugim korisnicima. Tako da.. tvoja izjva je vise netacna nego tacna.

 

[ivan90BG]

Au kolika rasprava zbog jedne moje izjave. Dobro možda sam preterao, trebalo je samo da kažem da na Linux-u ne postoji opasnost. Znači, ako nije instaliran nikakav antivirus to je sasvim u redu.

TingoL: Ne znam zašto ti se činim kao početnik? Nisam na ovom forumu uopšte postavljao pitanja o Linux-u.

A mogu da vam kažem da na faksu imamo desetak Linux mašina sve sa javnim statičkim IP adresama i URL-ovima i sve bez antivirusne zaštite i nije im ništa (dobro imaju denyhosts, ali ništa više osim toga).

yooyo: E baš u tome je stvar. Sve aplikacije instalirane preko paket menadžera imaju dozvole da ih modofikuje samo root, tako da virusi ne mogu kao na Windows-u da se šire kroz izvršne fajlove aplikacija.

 

[Sale KG]

Šta ste se uhvatili za virus?

Što se tiče virusa, zaključili smo da postoje. Nismo diskutovali o tome šta oni rade i na koji način. Znači yooyo, bio sam ipak u pravu.

Salac i ja smo nenamerno proširili diskusiju na bezbednosne rizike. Još u prvoj rečenici sam rekao:

Složićemo se da se ovde ne radi samo o jednom slučaju, ako se ne ograničimo samo na viruse već na bezbednosne rizike.

E sad što su neki ostrašćeni po ovom pitanju, pa na vide šta im piše pred očima je druga stvar. U svakom postu sam naglasio da je Linux bezbednije rešenje iz tih i tih razloga ali uvek se nađe neko da izvrće reči.

 

[e6111]

Ako kazemo da je princip korisnickih prava kod linux-a i nacin distribuiranja softvera preko repo-a, jedan od glavnih razloga za teze sirenje malicioznog koda, to je tacno, ali je svejedno nedavno bilo slucajeva da se maliciozni kod ubaci u repoe nekih distribucija, a bilo je i sigurnosnih propusta linux kernela koji se ticu eskalacije korisnickih prava. Ostale nacine sirenja, gde se zahteva direktna intervencija korisnika za pokretanje nekog koda, je suvisno za pricu, i primenljivo je na svakoj platformi.
I zato je prilicno naivno reci da nema ili da je nemoguce.

 

[Deleted member 9456]

@SleKG:
Cak i da inficiras neki program u Linuxu taj ne moze nista da uradi van user accounta iz koga je pokrenuta zaraza, pa cak ni da napadne druge programe dostupne drugim korisnicima. Tako da.. tvoja izjva je vise netacna nego tacna.

A u cemu je problem kad je maliciozni program ubacen da cuci i ceka neku sudo naredbu i da pokupi password, cim to pokupi moze da raz*ebe ceo sistem.

 

[dulsrules]

Mislis nesto kao keylogger ?

 

[yooyo]

@lega:
Pa ne moze bilo koji program da cuci i ceka sudo jer nema privilegije da se hookuje na tako nesto. Ne mozes u Linuxu napraviti prog koji ce da pauzira app, hookuje se i injectuje dll (.so) pa da je odpauzira i prati sta se desava.
Jedino da se otkrije neki propust u kernelu koji narusava prava i privilegije, ali to je malo verovatno jer bi takav propust bio ogranicen samo na odredjene verzie kernela. Novi kerneli izlaze skoro svaki dan. Gadjati slabost jednog kernela ne omogucava sirenje malicioznog programa.

AV programi za Linux se uglavnom koriste na mail serverima da skeniraju postu i ciste windows viruse iz attachmenta.

Cak i da koristis keylogger (ima ih nekoliko) potrebno ga je pokrenuti sa sudo.

 

[OA5599]

Novi kerneli izlaze skoro svaki dan. Gadjati slabost jednog kernela ne omogucava sirenje malicioznog programa..

Eno ti exploitdb pun skripti za busne kernele - glavna fora je sto neki sys admin namesti jednom server i bole ga patka da radi update kernela....

 

[salac]

Ako vec pricamo o serverima i ranjivim kernelima - prakticno svi linux kernel exploiti su lokalni. Drugim recima, potrebno je prvo nekako se ulogovati na server pa onda krenuti dalje. To nije nimalo lako obzirom da su mail/ftp/whatever useri uglavnom virtuelni useri koji se cuvaju po bazama pa i nemaju shell. Ili da se nadje busni daemon koji se vrti pod root privilegijama a ni to nije uopste lako obzirom da se 99% daemona vrti pod ogranicenim userima (prakticno ostaje jedino ssh daemon i eventualno bind koga neke distribucije i dalje po defaultu drze van chroot jaila).

Ukoliko je administrator dovoljno krsten da ssh zauzda preko iptablesa/denyhosta i koristi fail2ban za sprecavanje brute force napada, jednom instaliran server se prakticno moze drzati bez update-a neverovatno dugo, bukvalno godinama.

 

[yooyo]

@OA5599:
Ovde smo govorili o klasicnom korisniku racunara koji bi koristio Ubuntu/Mint/PCLinuxOS ili neku slicnu distribuciju za desktop korisnike. Ubuntu updejtuje kernel svakih par nedelja. Za servere ti je salac odgovorio.

 

[The Stig]

Kakva je situacija sa Fedorom, da li je stabilnija od Ubuntua, da li podržava dovoljno programa, drajvera, kakva je dakle u poređenju sa Ubuntuom za Linux početnika?

 

[e6111]

Ako vec pricamo o serverima i ranjivim kernelima - prakticno svi linux kernel exploiti su lokalni. Drugim recima, potrebno je prvo nekako se ulogovati na server pa onda krenuti dalje. To nije nimalo lako obzirom da su mail/ftp/whatever useri uglavnom virtuelni useri koji se cuvaju po bazama pa i nemaju shell. Ili da se nadje busni daemon koji se vrti pod root privilegijama a ni to nije uopste lako obzirom da se 99% daemona vrti pod ogranicenim userima (prakticno ostaje jedino ssh daemon i eventualno bind koga neke distribucije i dalje po defaultu drze van chroot jaila).

Ukoliko je administrator dovoljno krsten da ssh zauzda preko iptablesa/denyhosta i koristi fail2ban za sprecavanje brute force napada, jednom instaliran server se prakticno moze drzati bez update-a neverovatno dugo, bukvalno godinama.

pa ako vec nadjes busni daemon koji se vrti pod root, onda ti kernel propusti nisu ni potrebni, jer si vec tu gde bi trebao biti.
u slucaju da nadjes busni daemon koji ima manje privilegije onda mozes koristiti kernel propuste da povecas svoje privilegije.

 

[salac]

Da ako je daemon busan tako da mozes da dobijes shell. Nekad moze, nekad ne moze, a vecina daemon exploita nisu takvi ('smaracke' stvari vezane za DoS/DDoS, eventualni pristup nekim fajlovima kojima ne sme da se pristupa i sl).

Zadnji opak exploit bio je proslogodisnji za exim4 (koji je relativno popularan MTA) narocito ozbiljan za debian sisteme jer tamo instalacija exima dize po defaultu i jos je defaultno setovanje bilo ranjivo na exploit (cak ni sve exim4 instalacije nisu bile podlozne exploitu). Tu se dobijao shell sa modemnull userom (ili kako vec bese) i kasnije root shell zato sto je exim4 po defaultu bio stavljen da radi u privilegovanom modu. Zasto je tako bio podesen, pojma nemam (verovatno lenjost lika koji odrzava exim package za debian). I bez toga je ovo neprijatna situacija jer moze da dovede posredno do lokalnog exploita.

Dakle, nije bas svaka rupa fatalna, cak i onda kada moze da posluzi klincima sa skriptama da se lepo zabave.

 

[OA5599]

Kakva je situacija sa Fedorom, da li je stabilnija od Ubuntua, da li podržava dovoljno programa, drajvera, kakva je dakle u poređenju sa Ubuntuom za Linux početnika?

Ako si bas pocetnik uzmi Ubuntu - na Fedori je eto jedino malo "teze" namestiti mp3 i kodeke, sve ostalo ide normalno i sto je najbitnije - uvek su bleeding edge...U nekim slucajevima ispred Archa po tome....

@OA5599:
Ovde smo govorili o klasicnom korisniku racunara koji bi koristio Ubuntu/Mint/PCLinuxOS ili neku slicnu distribuciju za desktop korisnike. Ubuntu updejtuje kernel svakih par nedelja. Za servere ti je salac odgovorio.

Sve je to lepo divno ali govoriti da je kernel u potpunosti siguran i ne exploitabilan je preterivanje.... Cak su i njhov sajt skoro haknuli.... Sva sreca te imaju dobrru sigurnosnu praksu pa nije napravljena velika steta...
Takodje ima i slucajeva kada je linux ekipa *****ala stvar kao onda sa generisanjem ssh predvidljivih kljuceva i ubacenih malicioznih programa u repo-e koji su cucali tamo vise meseci....

 

[salac]

Sve je to lepo divno ali govoriti da je kernel u potpunosti siguran i ne exploitabilan je preterivanje.... Cak su i njhov sajt skoro haknuli.... Sva sreca te imaju dobrru sigurnosnu praksu pa nije napravljena velika steta...
Takodje ima i slucajeva kada je linux ekipa *****ala stvar kao onda sa generisanjem ssh predvidljivih kljuceva i ubacenih malicioznih programa u repo-e koji su cucali tamo vise meseci....

Nista nije 100% sigurno niti ce ikada da bude. Ako se na tebe nameraci hakerski genije ima da te s*ebe pa makar servere cuvala ceta sysadmina i vod specijalaca.

Ranjivost koju pominjes u generisanju openssh kljuceva je verovatno ona koja se opet odnosi na debian. Jos jednom greska lenjih developera i iskljucivo je bila vezana za debian (iz nekog razloga ssh kljucevi su generisani tako sto se preskakao RNG generator vec se koristio broj procesa). Ovu ranjivost nije tako lako iskoristiti i dolazila je do izrazaja samo na sistemima sa 'passwordless' ssh pristupom. Zato je i proslo skoro dve godine (pisem po secanju, mozda je i vise, mozda je i manje) dok problem nije uocen. Ovaj napad u potpunosti zaustavlja iptables ili denyhost.

Repozitorijume nije bas tako lako zaraziti zbog toga sto se forsira MD5 checksum i paketski menadzeri standardno odbijaju da instaliraju pakete gde postoji checksum mismatch (osim ako se eksplicitno ne dozvoli drugacije). Obzirom da se 99% softvera na linuxu i instalira iz zvanicnih repozitorijuma, rizik instalacije paketa sa backdoor-om je zaista mali. Ne kazem da ne postoji niti da je nemoguce uraditi tako nesto, sve je moguce.

 

[Sale KG]

Ovo već prevazilazi moje znanje vezano za Linux, ali ono što znam je da je MD5 heš funkcija odavno probijena, tj. potvrđeno je da nije otporna na kolizije i ako je ovo jedina sigurnosna mera bojim se da nije dovoljna. Ako mogu da falsifikujem digitalni potpis u kome je korišćen ovaj algoritam za heširanje onda mogu i repozitorijum.

Ne znam kakav je stav Linux zajednice po pitanju NIST-ovih heš funkcija, ali SHA-224 ... SHA-512 su daleko bezbedniji algoritmi (namerno sam izostavio SHA-1 jer ovoj funkciji "ističe rok").

Naravno u komercijalnoj upotrebi dozvoljeno je mnogo toga, pa MD5 (mnogo manje) i SHA-1 još uvek imaju široku primenu.

 

[salac]

Teorijski nista nije nemoguce, cak i da se inficira globalni windows update 'repozitorijum'.

Ne znam za svaku distribuciju ponaosob, ali kod debijana MD5 hash nije jedini mehanizam zastite vec se uz to dodaje i gpg sig za svaki repozitorijum koji se koristi; opet cu da pricam po secanju - cini mi se da je ovaj mehanizam u zivotu jos od 2003. god.

edit: evo i linka - http://wiki.debian.org/SecureApt#All_about_secure_apt

SHA-2 se po defaultu koristi za generisanje SSL kljuceva i vec dugo unazad i sam ssh daemon koristi ovaj tip enkripcionih funkcija (otkad je zaziveo ssh v2 sto ce reci ima sigurno vise od pola decenije), a i sistemski passwordi se enkriptuju sa SHA-512 (sto moze da se vidi kad se pogleda /etc/passwd pa ako kod password 'kobaje' stoji na pocetku $5 ili $6 onda je SHA-256 ili SHA-512).

 

[KAMIKAZE]

OT - jeste li vi svi studenti informatike or what? :type:

 

[Sale KG]

Ja sam agent CIA, a salac KGB-a (koji se inače nije raspao već je prešao u ilegalu).

 

[dulsrules]

Jedno pitanje. Treba sestri da instaliram Mint preko vec urnisanog xp-a. Pa me zanima, dal je mreza i izlaz na net omogucen odmah po zavrsetku instalacije ? Ili mora da se cacka po opcijama ? I dal je problem da se u lanu ispodesava razmena fajlova sa Windows 7 masinama ?