On Sun, 29 Dec 2002, Mircea Ciocan wrote: > O revista foarte interesanta si cred ca cea mai veche "pe domeniu" ;) > care a supravietuit.
Yeah, seen it on slashdot.org too > Din p.d.v. al Linux aici se afla in sfarsit in public discutia care > face muci frumos, documentat si cu exemple teoria precum ca un kernel > monolitic compilat cu toate in el e MUUUUULT mai sigur decat unul > compilat modular, chestie care m-a stresat de 2 ani de cand un > "inteligent" a scris un how-to si o tarla de alti asemenea se repezeau > si primu lucru care il faceau era sa beleasca kernelul distributiei si > compileze unu' "ciumeg de la mama lui" ;) cu toate inghesuite inauntru, > evident lasand pe afara si chestii utile dar care nu mai incapeau :(. Acu depinde ce intelegi tu prin "MUUUUULT mai sigur". E clar ca un kernel compilat monolitic este mai sigur decat unul modular acceptand urmatoarea idee "ca un sistem care nu are nici un SUID root este mai sigur decat unul cu asemenea executabile". Pt ca putem aveam frumos procese ruland ca root care pot fi "pacalite" si deci securitatea obtinuta prin eliminarea SUID-urile "dispare". De asemenea discutand de securitate mai avem un principiu "securitatea unui sistem este egala cu a celei mai slabe verigi din el". Deci daca ai facut tot sa securizezi un sistem ajunge sa fi uitat un daemon exploatabil aiurea ca securitatea sistemului devine egala cu 0. Asta in teorie (si sunt de acord cu ea, in teorie). Dar in practica cum nu putem niciodata sa obtinem acea securitate teoretica buna, facem compromisuri. Mai ales ca ne bazam pe principiul ca si haxorii sunt oameni ca si noi si ca sa sparga nu se folosesc de principii teoretice ci de metode _practice_. Ori tocmai contra acestor metode practice facem (lista nu se doreste a fi completa ci mai degraba exemplu): - minimizam SUID-urile din sistem - minimizam daemon-ii ce ruleaza - folosim firewall-uri pe sistem si inaintea lui - IDS-uri si NIDS-uri - loguri remote si analiza lor (automata si manuala) - si nu in ultimul rand kernel monolitic (fac o mica paranteza, studentii de la cursurile de sisteme de operare s-ar putea sa rada de noi, din cate stiu eu LINUX-ul ESTE monolitic ca sistem de operare, fie ca are module sau nu, right ?) Deci faptul ca iti faci un kernel monolitic, faci sa opresti problema modulelor care in acest moment este destul de importanta deoarece orice kid are acces la tool-uri ce lucreaza kernel level cu module. Asa cum scotand SUID root de pe executabilele unui sistem este important deoarece rezolvi probleme de viitor cu buffer overflow-uri sau alte probleme in aceste executabile. Sunt de acord ca nu e o solutie catusi de completa si ca in anumite situatii avantajele aduse de un kernel monolitic pot fi mult mai mici decat cele ale unui sistem modular. Sunt de acord ca in jurul acestor probleme "kernel monolitic"/"kernel modular" exista mult FUD si mit si ca de multe ori se iau decizii sau se fac afirmatii gresite. PS: solutia prezentata de ei cu modificarea imaginii de kernel este foarte putin importanta in problema discutata deoarece daca imi booteaza vre-un server aiurea imediat are loc aducerea lui offline si rularea unui IDS ce verifica integritatea fisierelor (nu bootez cu kernelul de pe sistem ci altul extern - cdrom); mai degraba imi fac griji de altele (/dev/mem, dma programming :) ) ---------------------------- Mihai RUSU Disclaimer: Any views or opinions presented within this e-mail are solely those of the author and do not necessarily represent those of any company, unless otherwise specifically stated. --- Pentru dezabonare, trimiteti mail la [EMAIL PROTECTED] cu subiectul 'unsubscribe rlug'. REGULI, arhive si alte informatii: http://www.lug.ro/mlist/
