Ubuntu ja tietoturva

[reboot]

Perusasetuksilla ohjelman voi ajaa myös kotihakemistosta. Sellainen ohjelma voi tehdä kaikkea mitä sinäkin voit ilman sudottamista.

Eli voi napata salasanan, kun seuraavan kerran käytät sudo:a? Tai lisätä tunnuksellesi esim. cron jobin, joka lähettää keräämänsä datan hämäräveikoille?

[nm]

Heitänpä tähän jatkoksi tyhmän kysymyksen:  Miten on sen .MP3 "exploitin" kanssa, josta on viime aikoina puhuttu?

Tarkoitatko tätä: http://scarybeastsecurity.blogspot.fi/2016/11/0day-exploit-compromising-linux-desktop.html

Kuinka suuri riski tuo on ja mitä se oikeastaan tekee?

Aukko paikattiin Ubuntussa samana päivänä, medium-tason riskinä: http://changelogs.ubuntu.com/changelogs/pool/universe/g/gst-plugins-bad0.10/gst-plugins-bad0.10_0.10.23-7.2ubuntu1.3/changelog

Oletan että mikään antivirus-ohjelma Linuxissa ei tuota blokkaa?

Ei blokkaa. Linuxissa tuollaiset aukot paikataan nopeasti, kun vain pidät järjestelmän päivitettynä. Virustorjuntaa ei tarvita, kun mahdollisten haittaohjelmien käyttämät tietoturva-aukot tukitaan samassa ajassa kuin torjuntaohjelma päivittyisi.

Tässäkin tapauksessa kyseessä oli akateeminen demonstraatio, ei oikea haittaohjelma.

Uskallanko siis käyttää mitä tahansa .MP3-tiedostoja normaaliin tapaan vai en?

No itse en käyttäisi mitään epämääräisistä lähteistä tulevia tiedostoja missään käyttöjärjestelmässä, mutta Linuxissa riskit ovat pienempiä kuin muissa järjestelmissä riippumatta virustorjuntaohjelmista.

Olen niin kyllästynyt Windowsiin, tekisi mieleni siirtyä täysin Linuxiin. Mutta en tiedä uskallanko luottaa siihen paljon mainostettuun turvallisuuteen vai en, varsinkin em. haavoittuvuuksien osalta. Vai onko tuo aukko kenties jo ajat sitten tukittu ja sen voi unohtaa?

En ole tässä 20 vuoden aikana itse törmännyt tai kuullut keneltäkään omakohtaista kokemusta Linuxiin tarttuneesta haittaohjelmasta. Jos käyttää Linuxia työpöydällä (eikä esimerkiksi ylläpidä avoimia verkkopalveluja), ja tietoturvapäivitykset ovat ajan tasalla, riskit ovat hyvin teoreettisia.

[-jh-]

OK, tämä selvensi asiaa ja rauhoitti mieltä Linuxin käytön suhteen. Alanpa harkita pääsääntöisesti siihen siirtymistä.

Kiitos 

[Eesaurus]

Noin yleisesti ottaen ei tarvita mitään antivirusohjelmia, koska käytännössä Ubuntulle ei ole viruksia. --

Väärin. Tästä voi aloittaa asiaan perehtymisen yleisellä tasolla: https://en.m.wikipedia.org/wiki/Linux_malware

Lainaus linkistäsi, kohdasta "Threats":

The following is a partial list of known Linux malware. However, few if any are in the wild, and most have been rendered obsolete by Linux updates or were never a threat.

Juu, tuota kommenttia seuraava lista ei varmastikaan ole täydellisen kattava, ja tilanteet muuttuvat ja kaikkea sellaista, mutta kyllä se ainakin minulle kertoo sen, ettei antivirus -ohjelmille tavallisessa työpöytäkäytössä ole Ubuntussa mitään tarvetta. Ja sitähän tässä ketjun aloittaja kyseli.

Vielä käytännön huomio maanpinnan tasolta, en muista tältäkään foorumilta yhtään tapausta (olen lueskellut juttuja vuodesta 2008 eteenpäin), missä olisi selkeästi todettu jonkun Ubuntu viruksesta tms. saastuneeksi. Muistaako joku muu...? Ei niitä montaa ainakaan ole.

[Tomin]

Vielä käytännön huomio maanpinnan tasolta, en muista tältäkään foorumilta yhtään tapausta (olen lueskellut juttuja vuodesta 2008 eteenpäin), missä olisi selkeästi todettu jonkun Ubuntu viruksesta tms. saastuneeksi. Muistaako joku muu...? Ei niitä montaa ainakaan ole.

Nämä taitavat olla tuota lähimpänä:
https://forum.ubuntu-fi.org/index.php?topic=45860.0
https://forum.ubuntu-fi.org/index.php?topic=46046.0
Kyseessä ei ole varsinaisesti Ubuntuun (tai Linux-jakeluihin) kohdistuva haittaohjelma, vaan Firefox-käyttäjiä huijannut koodinpätkä. Mitään tuota varoitusta vakavampaa tuo ei aiheuttanut.

[mrl586]

Toisaalta myös eräs tor-verkossa Freedom Hosting -casen yhteydessä levinnyt vakoiluohjelma olisi voinut levitä linux-käyttäjien koneisiin toimivana, jos ko. ohjelman suunnitellut FBI:n alihankkija olisi tehnyt siitä erikseen linux-yhteensopivan. Kyseinen ohjelma toimi kuitenkin vain Windows-koneissa, vaikka JavaScriptin kautta ohjelmabinaari sinällään levisi myös linux-koneisiin, muttei kuitenkaan toiminut niissä.

[Eesaurus]

Vielä käytännön huomio maanpinnan tasolta, en muista tältäkään foorumilta yhtään tapausta (olen lueskellut juttuja vuodesta 2008 eteenpäin), missä olisi selkeästi todettu jonkun Ubuntu viruksesta tms. saastuneeksi. Muistaako joku muu...? Ei niitä montaa ainakaan ole.

Nämä taitavat olla tuota lähimpänä:
https://forum.ubuntu-fi.org/index.php?topic=45860.0
https://forum.ubuntu-fi.org/index.php?topic=46046.0
Kyseessä ei ole varsinaisesti Ubuntuun (tai Linux-jakeluihin) kohdistuva haittaohjelma, vaan Firefox-käyttäjiä huijannut koodinpätkä. Mitään tuota varoitusta vakavampaa tuo ei aiheuttanut.

Joo, jotain tuollaisia minäkin muistelin joitain olleen, mutta siinäpä se taitaakin sitten olla.

Olen itse kaikkina näinä Linux -vuosinani liikkunut internetissä toisinaan hyvinkin rohkeasti, joskus mennyt "tieteen nimissä" ihan tarkoituksella sivulle, josta varoitellaan, enkä ole milloinkaan saanut sitä kautta selainlukitusta kummempaa koneellani aikaan. Tai muutakaan kautta. Jos ei Linuxia pidä riittävän turvallisena, niin lienee syytä pidättäytyä kokonaan koneen käytöstä.

[reboot]

Juu, tuota kommenttia seuraava lista ei varmastikaan ole täydellisen kattava, ja tilanteet muuttuvat ja kaikkea sellaista, mutta kyllä se ainakin minulle kertoo sen, ettei antivirus -ohjelmille tavallisessa työpöytäkäytössä ole Ubuntussa mitään tarvetta. Ja sitähän tässä ketjun aloittaja kyseli.

Kannattaa etsiä googlella hakusanoilla linux, gpu, rootkit - löytyy esim. tämä: https://github.com/x0r1/jellyfish/blob/master/readme.md

Yksi skenaario:
Ubuntu-työpöytäkone tuunattu tietoturvalliseksi ohjeiden mukaan, käytetään maalaisjärjellä nettiä jne. Eli varmasti valveutunut tietokoneen käyttäjä.
Distron repository korkataan, ja vaikka ylläpito huomaisi murron tuntienkin sisällä (eos onko esim. Ubuntulla 24/7 valvonta ja reagointi näihin juttuihin), niin haittaohjelma on jo varmasti ehtinyt levitä eteenpäin osalle käyttäjistä.
Tai: käytetään hyväksi jotain paikkaamatonta 0day reikää, jota kautta saadaan käyttäjän koneelle tarvittava skripti, mikä lataa haitakkeen koneelle jne.
Tai: haitake valuu koneeseen liitetystä kännykästä.

Ei varmasti kovin todennäköistä, mutta _täysin mahdollista_ kenen tahansa työpöytä-linuxinkin käyttäjän kohdalla.

Pointtini on, että on hyvä tiedostaa se tosiasia ettei Linux ole varmasti koskaan ollut mikään korkkaamaton linnake haittaohjelmien suhteen. MOT. Esim. tuo uusi gpu rootkit on tosi mielenkiintoinen aluevaltaus, sen havaitseminen on hankalaa ja gpu:iden laskentatehon vuoksi ihan tavis pc-käyttäjän konekin muuttuu mielekkääksi kohteeksi esim. bitcoinien louhintaa varten.

Tämä on hyvä aihe keskustella ja hyvä myös muistaa pitää mieli avoimena.

[kx]

Onhan tämäkin mahdollista Ubuntullekin ainakin teoriassa:

https://forum.ubuntu-fi.org/index.php?PHPSESSID=o36f6q96ostnpvdsbg84m97056&topic=50221.0

[kx]

Kannattaako jotain muutoksia tehdä tuohon alla olevaan tiedostoon tietoturvan parantamiseksi? Sellaisia, jotka ei ainakaan huononna nyt helppoa käytettävyyttä. Nythän ne on kaikki kommentoitu pois käytöstä. Alla oleva tiedosto avautuu komennolla:

Koodia: [Valitse]

sudo gedit /etc/sysctl.conf

Koodia: [Valitse]

#
# /etc/sysctl.conf - Configuration file for setting system variables
# See /etc/sysctl.d/ for additional system variables.
# See sysctl.conf (5) for information.
#

#kernel.domainname = example.com

# Uncomment the following to stop low-level messages on console
#kernel.printk = 3 4 1 3

##############################################################3
# Functions previously found in netbase
#

# Uncomment the next two lines to enable Spoof protection (reverse-path filter)
# Turn on Source Address Verification in all interfaces to
# prevent some spoofing attacks
#net.ipv4.conf.default.rp_filter=1
#net.ipv4.conf.all.rp_filter=1

# Uncomment the next line to enable TCP/IP SYN cookies
# See http://lwn.net/Articles/277146/
# Note: This may impact IPv6 TCP sessions too
#net.ipv4.tcp_syncookies=1

# Uncomment the next line to enable packet forwarding for IPv4
#net.ipv4.ip_forward=1

# Uncomment the next line to enable packet forwarding for IPv6
#  Enabling this option disables Stateless Address Autoconfiguration
#  based on Router Advertisements for this host
#net.ipv6.conf.all.forwarding=1


###################################################################
# Additional settings - these settings can improve the network
# security of the host and prevent against some network attacks
# including spoofing attacks and man in the middle attacks through
# redirection. Some network environments, however, require that these
# settings are disabled so review and enable them as needed.
#
# Do not accept ICMP redirects (prevent MITM attacks)
#net.ipv4.conf.all.accept_redirects = 0
#net.ipv6.conf.all.accept_redirects = 0
# _or_
# Accept ICMP redirects only for gateways listed in our default
# gateway list (enabled by default)
# net.ipv4.conf.all.secure_redirects = 1
#
# Do not send ICMP redirects (we are not a router)
#net.ipv4.conf.all.send_redirects = 0
#
# Do not accept IP source route packets (we are not a router)
#net.ipv4.conf.all.accept_source_route = 0
#net.ipv6.conf.all.accept_source_route = 0
#
# Log Martian Packets
#net.ipv4.conf.all.log_martians = 1
#

[reboot]

Kannattaako jotain muutoksia tehdä tuohon alla olevaan tiedostoon tietoturvan parantamiseksi? Sellaisia, jotka ei ainakaan huononna nyt helppoa käytettävyyttä. Nythän ne on kaikki kommentoitu pois käytöstä. Alla oleva tiedosto avautuu komennolla:

Koodia: [Valitse]

sudo gedit /etc/sysctl.conf

Koodia: [Valitse]

#
# /etc/sysctl.conf - Configuration file for setting system variables
# See /etc/sysctl.d/ for additional system variables.
# See sysctl.conf (5) for information.
#

#kernel.domainname = example.com

# Uncomment the following to stop low-level messages on console
#kernel.printk = 3 4 1 3

##############################################################3
# Functions previously found in netbase
#

# Uncomment the next two lines to enable Spoof protection (reverse-path filter)
# Turn on Source Address Verification in all interfaces to
# prevent some spoofing attacks
#net.ipv4.conf.default.rp_filter=1
#net.ipv4.conf.all.rp_filter=1

# Uncomment the next line to enable TCP/IP SYN cookies
# See http://lwn.net/Articles/277146/
# Note: This may impact IPv6 TCP sessions too
#net.ipv4.tcp_syncookies=1

# Uncomment the next line to enable packet forwarding for IPv4
#net.ipv4.ip_forward=1

# Uncomment the next line to enable packet forwarding for IPv6
#  Enabling this option disables Stateless Address Autoconfiguration
#  based on Router Advertisements for this host
#net.ipv6.conf.all.forwarding=1


###################################################################
# Additional settings - these settings can improve the network
# security of the host and prevent against some network attacks
# including spoofing attacks and man in the middle attacks through
# redirection. Some network environments, however, require that these
# settings are disabled so review and enable them as needed.
#
# Do not accept ICMP redirects (prevent MITM attacks)
#net.ipv4.conf.all.accept_redirects = 0
#net.ipv6.conf.all.accept_redirects = 0
# _or_
# Accept ICMP redirects only for gateways listed in our default
# gateway list (enabled by default)
# net.ipv4.conf.all.secure_redirects = 1
#
# Do not send ICMP redirects (we are not a router)
#net.ipv4.conf.all.send_redirects = 0
#
# Do not accept IP source route packets (we are not a router)
#net.ipv4.conf.all.accept_source_route = 0
#net.ipv6.conf.all.accept_source_route = 0
#
# Log Martian Packets
#net.ipv4.conf.all.log_martians = 1
#

Ottamatta kantaa, mitä seikkoja tarkoitat helpolla käytettävyydellä, mutta kannattaa vilkaista mm. alla oleva:
https://github.com/konstruktoid/hardening/blob/master/README.adoc