Részletek

Írta: Török Árpád

Készült: 2018. február 20

Módosítás: 2018. február 20

Subgraph: biztonság-központú disztró, a rosszindulatú programok legrosszabb rémálma

Megjelent: Linux.com-on, 2018. február 26-án – Jack Wallen tollából

 

Subgraph OS

Kialakítása miatt a Linux nagyon biztonságos operációs rendszer. Valóban, 20 év használat során én egyetlen alkalommal találkoztam olyannal, hogy egy linuxos gépet feltörtek. Akkor egy szervert támadtak meg rootkit-tel. Asztali gépeknél még nem tapasztaltam semmiféle támadást. Ez nem jelenti azt, hogy Linuxon exploitok és támadások nem léteznének. Vannak. Gondoljunk csak a Heartbleed-re és a Wannacry-ra, hogy tudjuk, a Linux nem legyőzhetetlen.

Olvasmány: Linux Malware on the Rise: A Look at Recent Threats (Linux malware-k szaporodnak…)

Ahogy a Linux asztali népszerűsége növekszik, biztos lehetsz benne, hogy szaporodni fognak a male- és ransomware-támadások is. Ez annyit tesz, hogy a Linux-felhasználóknak, akik évekig nem törődtek az ilyen veszélyekkel, számítaniuk kell a választott rendszerük elleni támadásra.

 

Mit tegyél?

Ha asztali Linuxot használsz, elgondolkodhatsz egy Subgraph-hoz hasonló disztribúció alkalmazásán. A Subgraph asztali számítástechnikai és kommunikációs platform, amit úgy alakítottak ki, hogy ellenálljon a hálózati alapú exploit- és malware/ransomware-támadásoknak. Ám ellentétben a többi, e magasztos célokat elérni kívánó platformmal, a Subgraph mindezt úgy teszi, hogy felhasználóbarát marad. A GNOME-nak hála a Subgraph bámulatosan könnyen használható.

 

Mi az, amit a Subgraph másképpen csinál?

Az egész az operációs rendszer magjával kezdődik. A Subgraph kernelje grsecurity/PaX-szal (rendszerszinten javított exploit és jogosultságnövelés ellen) és RAP-pal (amit a napjaink exploit-technikájának, a manipulált kódon alapuló támadások elkerülésére terveztek) készült. A Subgraph kerneléről további információkat a Github-on, a Subgraph kernelkonfigurációjánál találsz.

Emellett, a Subgraph a védtelen és sérülékeny alkalmazásokat OZ nevű, egyedi környezetben futtatja. Az OZ-t az alkalmazások egymástól elválasztására tervezték és azok csak a szükséges erőforrásokhoz férnek hozzá. Az OZ által alkalmazott technológiák:

• Linux névterek (namespaces);

• korlátozott fájlrendszeri környezet;

• asztal-izoláció;

• Seccomp (https://en.wikipedia.org/wiki/Seccomp) és Berkeley csomagszűrő (bpf) https://en.wikipedia.org/wiki/Berkeley_Packet_Filter.

 További biztonsági jellemzők: 

• a Subgraph egyedi kódjának java a memória-biztos Golang-(https://golang.org/) nyelven íródott;

• AppArmor profilok, amik lefednek számos rendszereszközt és -alkalmazást;

• biztonsági esemény-figyelő;

• asztali értesítések (hamarosan lesz);

• Rolfcoptor, tor portszűrési szolgáltatás-vezérlő. https://github.com/subgraph/roflcoptor

 

A Subgraph telepítése

Fontos figyelembe venni, hogy a Subgraph alfa kiadású, tehát ne tekintsük napi használatra való platformnak. Mivel alfa, van néhány érdekes bökkenő a telepítését tekintve. Az első furcsaság, amibe belefutottam, hogy a Subgraph-ot nem lehet VirtulBox-os virtuális gépként telepíteni. Bármit kipróbálhatsz, nem fog működni. Ez egy ismert hiba és remélhetően megoldják a fejlesztők.

A második dolog, hogy a Subgraph telepítése USB-eszközről elég trükkös. A Unetbootin, vagy a Multiboot nem használható a boot-olható flash-meghajtó készítésére. A GNOME Disks-kel készíthetsz USB-meghajtót, de a legjobb a dd parancs használata. Töltsd le az ISO-képet, helyezd be az USB-eszközt és nyiss terminált, majd keresd meg az újonnan beillesztett USB-eszközt (erre az lsblk parancs jól használható). Végül írd ki az ISO-képet az USB-eszközre a következő paranccsal:

dd bs=4M if=subgraph-os-alpha_XXX.iso of=/dev/SDX status=progress && sync

ahol az XXX a Subgraph verziószáma, az SDX pedig az USB-eszközöd neve.

Ahogy a parancs lefutott, újraindíthatod a gépet és telepítheted a Subgraphot. A telepítési folyamat elég egyértelmű, néhány kivételtől eltekintve. Az első, hogy a telepítés az egész lemezt teljesen letörli mielőtt települne. Ez egy biztonsági lépés, amit nem lehet kikerülni. A folyamat elég időigényes (1. kép), tehát hagyjuk, hogy tegye a dolgát és addig csináljunk valami mást.

1. kép - A Subgraph telepítésének része a meghajtó teljes törlése.

Ezután készítened kell egy jelszót a meghajtó titkosításához (2. kép).

2. kép - Lemeztitkosító jelszó létrehozása

Ezt a jelszót használja a berendezés boot-olásához. A jelszó elvesztése (vagy elfelejtése) esetén nem tudsz belépni a Subgraph-ba. A jelszó egyben az adataidhoz hozzáférni kívánkozók elleni védelem első vonala, amennyiben valaki el akarná lopni az adataidat … tehát körültekintően válassz.

Az utolsó eltérés a Subgraph és a többi disztribúció között, hogy nem kínálja fel felhasználónév létrehozását. Felhasználói jelszót készítesz, ami az alapbeállítás szerinti user nevű felhasználóra vonatkozik. Bármikor létrehozhatsz felhasználót (ha már a rendszer települt) akár parancssorból, akár a GNOME beállító eszközével.

Amikor a Subgraph települt, a rendszered újraindul és kérni fogja a lemeztitkosító jelszót. Sikeres azonosítás esetén a Subgraph elindul és a GNOME bejelentkező képernyője jelenik meg. Jelentkezz be a user felhasználónévvel és a telepítés során kitalált jelszóval.

 

Használat

A Subgraph használata során két fontos dolgot kell figyelembe venni. Először, ahogy azt korábban említettem, ez egy alfa állapotú disztribúció, vagyis lesznek hibák. Másodszor, hogy minden alkalmazás „homokozóban” fut és az hálózatot a Tor kezeli, vagyis a megszokottnál lassabb alkalmazás-indulást és hálózati kapcsolatot tapasztalsz.

Meglepetéssel tapasztaltam, hogy a Tor böngésző (az alap – és egyetlen telepített – böngésző) alapból nem kerül fel. Helyette a GNOME asztalán van egy indító, ami az első futtatáskor letölti a legfrissebb verziót. Ez rendben van és jó, de a letöltés és a telepítés nálam kétszer mondott csődöt. Amennyiben szokásos hálózati kapcsolaton dolgoztam volna, akkor nem okozott volna ennyi fejfájást. Ám, mivel a Subgraph Tor-on keresztül dolgozik, a hálózati kapcsolat fájóan lassú volt, azaz a Tor böngésző (26,8 MB) letöltése, ellenőrzése és telepítése úgy 20 percet vett igénybe. Ez persze nem a Subgraph hibája, hanem a Tor-hálózaté, amihez kapcsolódom. Amíg a Tor böngésző még nem települt és futott, a Subgraph a működési lehetőségeket tekintve elég korlátozott volt. A Tor böngésző letöltése és futása az elvártnak megfelelően működött.

 

Alkalmazás-homokozók

Nem minden alkalmazásnak kell átesnie az új verzió letöltésének folyamatán az első indulásakor. Valójában, csak a Tor böngésző volt az egyetlen, amivel ilyet tapasztaltam. Amikor egy új alkalmazást nyitsz meg, először elindítja a saját sandbox-át és utána nyílik meg a kérdéses alkalmazás. Amikor az alkalmazás elindult és fut, akkor a felső panelen látható lesz egy lenyíló, ami az éppen működő alkalmazások homokozóit listázza (3. kép).

3. kép - LibreOffice homokozóban fut, miközben a Tor böngésző letöltése is folyik.

Az egyes alkalmazás almenüknél fájlt adhatsz az adott homokozóhoz, vagy becsukhatod a homokozót. A homokozó bezárásával az alkalmazást ténylegesen bezáródik. Ám nem ez a módja, ahogy az alkalmazásokat be kell zárni. Ehelyett az alkalmazást úgy zárd be, ahogy azt rendesen tennéd, és utána, ha már nem akarsz tovább dolgozni az alkalmazással, kézzel zárd be a homokozót (a lenyíló segítségével). Ha mondjuk megnyitod a LibreOffice-t és a homokozó bezárásával zárod azt be, adatvesztést kockáztatsz.

Mivel minden egyes alkalmazás saját homokozóban nyílik meg, nem indulnak olyan gyorsan, mint ahogy egyébként tennék. Ez az ára a Subgraph és a sandbox-ok használatának. Azok számára, akik az asztali biztonságából a legtöbbet szeretnék kihozni, ez elfogadható ár.

 

Egy nagyon ígéretes disztribúció

Mindazoknak, akik a legtöbbet remélnek kihozni a egy asztali gép biztonságából, a Subgraph komoly reményekkel kecsegtető disztribúció. Noha, számos alfa hiányossággal küzd, a Subgraph láthatóan komoly hullámot kelthet az asztali gépek körében – különösen, ha figyelembe vesszük, milyen elterjedtek lettek a mal- és ransomware-k. Sőt mi több, a Subgraph könnyen válhat azzá a biztonságközpontú disztribúció, amit bárki (tudásától függetlenül) képes lesz használni. Nagy jövőt jósolok a Subgraph-nak, ennek az egyedi Linuxnak, ha majd egyszer kikerül az alfa-állapotból.

 

Részletek

Írta: Török Árpád

Készült: 2017. június 17

Módosítás: 2017. június 17

A GoboLinux újragondolja a Linux fájlrendszer felépítését

 

JACK WALLEN – linux.com, 2017. június 16

 

GoboLinux

Az új felhasználók egy része arról panaszkodik, hogy a Linux-fájlrendszer felépítése zavaros. Végül is, a végrehajtható programokat miért a /usr/bin tartalmazza és mi a /home? Azok számára, akik hozzászoktak a Linuxhoz, nem értik a problémát. Ugyanakkor, ha veszed a fáradtságot és egy kicsit hátralépsz és szemügyre veszed, talán újragondolod a dolgot. Éppen emiatt tették a GoboLinux fejlesztői azt, amit tettek, teljesen újragondolták a fájlrendszer hierarchiáját.

Részletek

Írta: Török Árpád

Készült: 2017. június 08

Módosítás: 2017. június 08

Személyes kulcsok biztonsága Linux Sysadmin munkaállomásán

 

Írta: Konstantin Ryabitsev – 2017. június 7-én – Linux.com-on

Linux adminisztrátoroknak szóló sorozatunk ezen cikkében kifejtünk néhány javaslatot arról, hogyan gondoskodjunk a személyes kulcsunk (private key) biztonságáról. Ha más biztonsági javaslatok és további olvasmány-források (a Linux biztonságának rejtelmeiről) is érdekelnek, akkor javaslom, hogy töltsd le a „free security guide for sysadmins" könyvünket.