Ovaj dokument pokušava objasniti neke postupke i često korištene programe koji vaš Linux čine sigurnijim. Važno je da prvo razjasnimo neke osnovne stvari, da steknete temeljna znanja iz sigurnosti prije nego počnemo.
U promijenjivom svijetu globalnih podatkovnih komunikacija, jeftinih veza na Internet i vrlo brzog razvoja softvera, sigurnost postaje sve važnija. Sigurnost je sada osnovna potreba jer je globalno računalstvo po prirodi nesigurno. Na primjer, dok vaši podaci idu iz točke A u točku B na Internetu, možda će usput proći kroz nekoliko drugih točaka, dajući drugim korisnicima priliku da presreću, i čak mijenjaju, vaše podatke. Čak i drugi korisnici na vašem sustavu mogu zloćudno pretvarati vaše podatke u nešto neželjeno. Neodobreni pristup vašem sustavu mogu dobiti uljezi, takozvani crackeri, koji zatim koriste svoje napredne vještine u imitiranju vas, u krađi podataka od vas, ili čak onemogućavanju pristupa vašim vlastitim resursima. Ako se još uvijek pitate koja je razlika između hackera i crackera, pročitajte How to Become A Hacker (kako postati haker) Erica S. Raymonda na http://sagan.earthspace.net/~esr/faqs/hacker-howto.html.
Najprije, imajte na umu da nijedan računalni sustav nikad ne može biti "potpuno siguran". Sve što možete je otežati kompromitiranje vašeg sustava. Za prosječnog kućnog korisnika Linuxa, ne treba puno da obični kreker ostane na lancu. Za velike Linux korisnike (banke, telekomunikacijske tvrtke, itd.) potrebno je mnogo više posla.
Drugi faktor kojeg treba uzeti u obzir je da, što je vaš sustav sigurniji, sigurnost vam sve više smeta. U tom balansiranju trebate naći točku gdje je vaš sustav moguće koristiti, ali je još siguran za vaše potrebe. Na primjer, mogli biste od svih koji se na vaš sustav spajaju telefonskom vezom tražiti da vaš sustav nazove njih na njihov kućni broj. To jest sigurnije, ali ako netko nije kod kuće, teško će se logirati. Također biste mogli svoj Linux sustav ostaviti bez mreže ili veze na Internet, ali to vrlo otežava surfanje WWW-om.
Ako ste sustav veće ili srednje veličine, trebali bi razviti "Sigurnosnu politiku" o tome koliko sigurnosti vaš sustav zahtijeva i kojim se postupkom ona provjerava. Dobro poznati primjer sigurnosne politike možete naći na http://ds.internic.net/rfc/rfc2196.txt. Nedavno je osvježen i sadrži izvrsnu podlogu za sigurnosnu politiku vaše tvrtke.
Prije nego pokušate osigurati svoj sustav, trebate odlučiti kolika je prijetnja protiv koje se morate zaštititi, koje rizike biste ili ne biste trebali podnijeti i koliko će na kraju vaš sustav biti ranjiv. Proučite svoj sustav i saznajte što i zašto štitite, koliko je to vrijedno i tko je odgovoran za vaše podatke i drugo vlasništvo.
rhosts datoteke, ili nesigurna usluga, kao što je tftp,
rizik je koji uljezu omogućava da "prođe kroz vrata". Kada uljez jednom
dobije korisnički račun na vašem sustavu ili sustavu nekog drugog, može ga
koristiti za dobivanje pristupa drugom sustavu, ili drugom računu.
Ovu vrstu uljeza zapravo zanima koju vrstu sustava i podataka imate.
Ova vrsta uljeza želi ili srušiti vaše sustave, ili unakaziti vašu WWW stranicu, ili vam drukčije oduzeti vrijeme i novac za oporavak.
Ova vrsta uljeza pokušava preko vašeg sustava doći do popularnosti ili slave. Može vaš važan sustav koristiti za razglašavanje svoje sposobnosti.
Ove uljeze zanima koje podatke imate na sustavu. Možda misle da imate nešto što bi im dobro došlo financijski ili drugačije.
Napravite jednostavnu, općenitu politiku za svoj sustav, koju vaši korisnici mogu lako razumjeti i poštovati. Ona treba zaštititi podatke koje čuvate, kao i privatnost korisnika. Neke stvari koje biste mogli dodati je tko ima pristup sustavu (može li moj prijatelj koristiti moj račun?), kome je dozvoljeno da na sustav instalira softver, tko posjeduje koje podatke, oporavljanje od katastrofe i prikladno korištenje sustava.
Opće prihvaćena sigurnosna politika počinje frazom:
Što nije dozvoljeno zabranjeno je.
To znači da ako korisniku ne date pristup usluzi, on je ne smije koristiti dok pristup ne dobije. Provjerite da li to funkcionira na vašem običnom korisničkom računu -- reći "ma ne mogu shvatiti ovaj problem s dozvolama, idem jednostavno biti root" može dovesti do vrlo očitih sigurnosnih rupa, čak i dosad nepoznatih.
Ovaj dokument će govoriti o raznim sredstvima osiguravanja stvari za koje ste toliko radili: vaše lokalno računalo, podatke, korisnike, mrežu, čak i vaš ugled. Što će se dogoditi s vašim ugledom ako uljez obriše podatke nekog vašeg korisnika? Ili vam unakazi WWW stranice? Ili objavi poslovne planove vaše tvrke za slijedeći kvartal? Ako planirate mrežnu instalaciju, mnogo faktora treba uzeti u obzir prije dodavanja ijednog računala.
Čak i ako imate jednostavan PPP račun ili malen sustav, to ne znači da uljeze ne zanimate. Veliki, istaknuti sustavi nisu jedine mete -- mnogi uljezi jednostavno žele iskoristiti što više sustava bez obzira na njihovu veličinu. Također mogu koristiti sigurnosnu rupu u vašem sustavu za pristup drugim sustavima kojima ste spojeni.
Uljezi imaju mnogo vremena i mogu izbjeći pogađanje načina na koji ste osigurali sustav jednostavnim isprobavanjem svih mogućnosti. Ima još nekoliko razloga zbog kojih bi se uljez mogao zanimati za vaše sustave o kojima ćemo govoriti poslije.
Možda se najviše brige za sigurnost troši na pojedina računala. To obično znači provjeravanje sigurnosti vašeg sustava uz nadu da svi ostali na mreži rade isto. Odabir dobrih lozinki, osiguravanje usluga lokalne mreže vašeg poslužitelja, pažljivo održavanje korisničkih računa i nadogradnja programa s poznatim sigurnosnim rupama dio su odgovornosti lokalnog sigurnosnog administratora. Iako je to potpuno nužno, postaje težak zadatak ako vaša mreža računala postane veća.
Sigurnost mreže potrebna je koliko i sigurnost lokalnog računala. Uz vaš sustav, ili distribuiranu računalnu mrežu, Internet, ili stotine, ako ne i tisuće računala na istoj mreži ne možete računati na sigurnost svakog od njih. Provjeravanje dozvola samo provjerenim korisnicima za korištenje vaših mrežnih resursa, građenje firewalla, korištenje jake enkripcije i provjere da nema izloženih ili nesigurnih računala na vašoj mreži sve su dio dužnosti mrežnog sigurnosnog administratora.
Ovaj će dokument govoriti o nekim tehnikama za osiguravanje vašeg sustava u nadi da vam pokaže neke načine sprečavanja pristupanja uljeza u ono što pokušavate zaštititi.
Jedna vrsta sigurnosti koju je potrebno raspraviti je "sigurnost preko opskurnosti". To se odnosi na stvari poput mijenjanja imena 'root' u 'toor' kako bi se otežala provala u vaš sustav kao root -- osjećaj sigurnosti je lažan i dovest će do vrlo neugodnih posljedica. Budite sigurni da će svaki napadač na sustav brzo progledati kroz takve prazne sigurnosne mjere. To što imate malen sustav ili niste istaknuti ne znači da se uljezi neće zanimati za ono što imate. U slijedećim dijelovima govorit ćemo o onome što štitite.
Ovaj dokument podijeljen je na više dijelova. Oni pokrivaju razne vrste sigurnosnih problema. Prvi, o fizičkoj sigurnosti, govori o zaštiti vašeg računala od fizičkog petljanja. Drugi opisuje kako zaštititi vaš sustav od petljanja lokalnih korisnika. Treći, o datotekama i sigurnosti datotečnog sustava, pokazuje kako namjestiti datotečne sustave i dozvole na vašim datotekama. Slijedeći, o sigurnosti preko lozinki i enkripcije, govori o korištenju enkripcije za bolju sigurnost vašeg računala i mreže. Sigurnost kernela govori o mogućnostima kernela koje biste trebali koristiti ili biti svjesni za sigurniji stroj. Sigurnost mreže opisuje kako bolje osigurati svoj Linux sustav od napada s mreže. Sigurnosne pripreme govori o pripremanju vašeg/ih računala prije nego što ih umrežite. Slijedeći dio govori što poduzeti kada otkrijete provalu sustava u toku ili koja se nedavno dogodila. Zatim su nabrojeni drugi izvori informacija o sigurnosti, a na kraju su neka pitanja i odgovori i nekoliko završnih riječi.
Dvije važne stvari koje trebate shvatiti čitajući ovaj dokument su: