Chroot czy jail

[tomii 0]

Właśnie planuje się zając zabezpieczeniem mojego skromnego serwerka i stąd moje pytanie czy lepiej użyć chroot do uruchamiania takich usług jak serwer www i mysql czy lepiej jail.

Co z użytkownikami posiadającymi konta shell - w stosunku do nich też użyć takiego zabezpieczenia?

Prosiłbym też o jakieś obszerniejsze materiały na ten temat, bo to co znalazłem było bardzo skrótowe.

 

PS. jak wy dbacie o bezpieczeństwo na waszych serwerach?

[p 3]

PS. jak wy dbacie o bezpieczeństwo na waszych serwerach?

Używamy jedynego słusznego systemu operacyjnego

[Mescam 0]

Jak dla mnie to najlepiej jail i jądro z łatami grsecurity.

[tomii 0]

a co wg Ciebie jest ważniejsze w pierwszej kolejności?

[Gość patrick]

Stawiamy vps'y

[Mescam 0]

Grsecurity wprowadza nam już ładne środowisko do wspóldzielenia. Mówię tu o przykładzie, gdzie udostępniamy konta shell. Przykładowo user ma dostęp do informacji z proc tylko jeżeli dany proces dotyczy bezpośrednio jego. Taki htop wyświetla tylko jego procesy.

 

Jeżeli źle mówię - poprawcie

[malu 460]

Również istnieje takie coś jak rsbac, ale najprościej to pewnie chroot.

rsbac - podchodzi z grsec.

 

//edit

a może to był rbac? Nie pamiętam juz xD

[ksk 67]

W sumie sam zainstaluje sobie albo ktoś mi grsecurity jak wróce bo z tego co czytam o tym dobre to jest

[malu 460]

Miłego kompilowania kernela kisiek

[ksk 67]

W 40 minut tego nie zrobię a za niedługo mam samolot więc Nydyrydy dzisiaj . Zapewne złapie patricka na gg i jakoś się z nim dogadam

[malu 460]

W takim razie miłej podróży xD

[beliq 442]

Używamy jedynego słusznego systemu operacyjnego™

jesteś niereformowalny

 

w gwoli wyjaśnienia:

 

jail to system separacji procesów z systemów UNIX

chroot to jego uproszczona wersja ( nie pytajcie już, nie pamiętam w czym uboższa)

dla systemów Linux

 

używanie jakichkolwiek patchy na jądro ( GRSecurity, OpenWall, LIDS etc.),

chroot'owanie daemonów, używanie systemów audytu wywołań ( RBAC, SELinux)

bez przestudiowania manuala grozi fałszywym poczuciem bezpieczeństwa

i nie kiedy totalną bezużytecznością systemu

wszystkim polecam poeksperymentować, ale na Boga, nie na produkcyjnych

serwerach z poczuciem "wow, mam coś fajnego i zrobię super security w 5 minut"

[jarek 4]

@bell

Ty to zawsze musisz nam zepsuć humor

i poczucie, że jesteśmy pr0...

 

'rzal i bul' ( )

[beliq 442]

Ty to zawsze musisz nam zepsuć humor

i poczucie, że jesteśmy pr0...

wręcz przeciwnie, ja wam w tym pomagam i przestrzegam was

przed mało rozważnymi poczynaniami,

by was nie spotkało to co mnie kiedyś...

 

choć i tak wiem, że to g**** da takie moje pisanie,

bo jak raz się człowiek nie przekona na własnej skórze,

że robienie "na szybkiego" jest bee, nie zarwie kilka razy

nocy przez serwer, który powinien działać, a funkcjonować nie chce,

to i tak będzie robił po staremu...

[jarek 4]

ok masta

Będę wykonywał all pomału i z manuala nie żadnego tam howto

[beliq 442]

Będę wykonywał all pomału i z manuala nie żadnego tam howto

łżesz, jutro na wht będzie wątek pt.:

"dlaczego jak włączę wszystkie opcje GRSecurity na raz to mi się pojawia permission denied przy próbie zalogowania na root'a?"

 

pamiętam tak z 7-10 lat temu, gdy pierwszy raz dorwałem płytkę z FreeBSD,

to się 3 dni męczyłem nim odkryłem, że "security level ustawione na 2"

(a brzmiało tak bajerancko i cudownie, do dziś mnie takie stwierdzenia kręcą )

nie pozwala zrobić kldload ( insmod w Linuxie )...

ma się te wspomnienia

[lazy 33]

jesteś niereformowalny

 

w gwoli wyjaśnienia:

 

jail to system separacji procesów z systemów UNIX

chroot to jego uproszczona wersja ( nie pytajcie już, nie pamiętam w czym uboższa)

dla systemów Linux

 

chroot wystepuje chyba we wszystkich unixach jest mniej wiecej identyczny i standardowy, nie byl pomyslany jako mechanizm zapewniajcy bezpieczenstwo, a mimo to byl za taki uznawany mimo to ze bez np. grsecurity mozna z takiego chroota dosc prosto w wielu sytuacjach uciec albo siac zniszczenie z wewnatrz

nie jest to zatem uproszczona wersja niczego

 

a tu jest ciekawa wymiana zdan z lkm nt. zekomych bugow w linuxowym chroot(2)

http://kerneltrap.org/mailarchive/linux-ke...007/9/19/263398

 

*bsd jail tak jak piszesz zapewnia juz realna separacje procesow na podobnym albo i wyzszym niz odpowednio skonfigurowany grsec na linuxie

 

--

Lazy

[beliq 442]

a tu jest ciekawa wymiana zdan z lkm nt. zekomych bugow w linuxowym chroot(2)

http://kerneltrap.org/mailarchive/linux-ke...007/9/19/263398

przeczytałem całą dyskusję, w sumie niczego nowego się nie dowiedziałem z niej,

nie mnie jedna strasznie spodobało mi się jedno stwierdzenie,

które tam w tej wymianie zdań padło: Oh, for fsck sake...

*bsd jail tak jak piszesz zapewnia juz realna separacje procesow na podobnym albo i wyzszym niz odpowednio skonfigurowany grsec na linuxie

jail'e rządzą - szkoda, tylko, że na ich knawie nie można budować

quasi VPSów limitując zasoby per taki sandbox wygodnie w rc.conf

[tomii 0]

Czy można powiedzieć że system z dobrze skonfigurowanym jail i grsecurity (i programami) jest bezpieczny na tyle żeby stał na nim nieduży-średni serwis serwis?

[merloy 0]

Czy można powiedzieć że system z dobrze skonfigurowanym jail i grsecurity (i programami) jest bezpieczny na tyle żeby stał na nim nieduży-średni serwis serwis?

 

Oczywiście że nie. Czy masz zabezpieczone również usługi, z których korzysta twój serwis?

[tomii 0]

narazie nie, chodzi mi określenie pewnego standardu zabezpieczeń.

 

Tzn jeżeli, jak wspomniałem, system z dobrze skonfigurowanym jail i grsecurity, usługi też są zabezpieczone przez skonfigurowany jail i grsecurity. Czy to oznacza że jestem względnie bezpieczny?

 

Np. jeśli stawiacie dedyka na średni serwis to co stosujecie?

[malu 460]

narazie nie, chodzi mi określenie pewnego standardu zabezpieczeń.

 

Tzn jeżeli, jak wspomniałem, system z dobrze skonfigurowanym jail i grsecurity, usługi też są zabezpieczone przez skonfigurowany jail i grsecurity. Czy to oznacza że jestem względnie bezpieczny?

 

Np. jeśli stawiacie dedyka na średni serwis to co stosujecie?

 

Trzymajcie mnie

Wiesz o czym Ty w ogóle mówisz kotek?

[tomii 0]

nieznam się zbytnio na tematyce bezpieczeństwa, więc przepraszam jeżeli coś źle napisałem.

 

Chodzi mi o to od jakich elementów zacząć zabezpieczanie systemu (linux). I jak waszym zdaniem wygląda przyzwoity poziom bezpieczeństwa?

[malu 460]

Odpowiedz sobie na pytanie co chcesz osiągnąć. Bezpieczeństwo, ale jakiego poziomu dostępu do serwera.

Zupełnie inaczej będzie to w przypadku dostępu 1 osoby, a zupełnie inaczej w wypadku serwera do którego będzie miało dostęp naście/set osób.

Jakie usługi będą oddane do dostępu publicznego. Nie da się jednoznacznie tego określić.

[tomii 0]

w przypadku gdy to ma być serwer dla niezbyt dużego serwisu www (serwer www, mysql , ftp) i dostęp dla kilku zaufanych osób przez ssh. Wiem że temat zabezpieczania to temat rzeka, i zastanawiam się co musze zrobić aby spać w miare spokojnie, przechowywane dane określiłbym jako istotne ale nie bezcenne.