Newsgroup: it.comp.sicurezza.varie
Titolo: Linux blindato da NSA .. sarà da fidarsi :-) ?

La NSA (National Security Agency) americana ha
rilasciato una versione "blindata" di Linux, questa
versione (a detta di NSA) incorpora tutta una serie
di migliorie atte ad aumentare la sicurezza (sempre
che non abbiano aggiunto qualche backdoor <g>)
http://www.nsa.gov/selinux/
mi chiedo se bastille-linux possa funzionare su tale
distro (
www.bastille-linux.org
) nel caso potrebbe sul
serio permettere di ottenere la massima sicurezza
Qualcuno ha già provato quanto sopra ?

Sgranocchiando il cranio di ObiWan, vi trovai inciso:

E' in giro da parecchio e il codice in kernel space è già stato integrato
nel branch 2.6...
Bastille non conosco, mai usato, quindi non mi pronuncio...
-- 
wash the blood from your hands
bury your secrets in the sand
and forget

 Bastille non conosco, mai usato, quindi non mi pronuncio...
Beh .. in due parole; non è una distro, si tratta di un'insieme
di script che, fatti girare sulla macchina, modificano alcune
impostazioni per "rinforzare" il sistema, l'ho scoperto qualche
anno fa a seguito di un'interessante articolo su LinuxJournal
(non ricordo il numero ma qui 
http://www.linuxjournal.com
 lo
trovi di sicuro) a detta di molti il "bastille" funziona benone
ovvio che, come per tutte le cose "automatiche" un'ulteriore
controllo ... non guasta :-)
Ciao
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
Support and discussions forum
http://ntcanuck.com/net/board
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

> (non ricordo il numero ma qui 
http://www.linuxjournal.com
 lo
Trovato 
http://www.linuxjournal.com/article.php?sid=4547
Ciao

 di script che, fatti girare sulla macchina, modificano alcune
[...]
so che cosa è, ho detto solo che non ho mai usato...


 Hint: "codice sorgente"
Naaaa ekkeppp :-) _NON_ mi stavo
riferendo a coso ... a Bill <g> .. ok beh
a parte gli scherzi .. si, codice open
ma .. hai mai analizzato a fondo _tutto_
il codice del pinguino ?
Io personalmente non l'ho fatto (anche
se una bella occhiata l'ho data) e non
è esattamente una passeggiata (non
fosse altro che per le dimensioni) per
cui ... evita l'assurdo .. grazie :-)
PS:
1) In compenso conosco il codice sorg. di
BIND 9 come le mie tasche e ti posso
dire che il codice originale fa realmente
schifo (buchi, hacks sfigati... non scherzo) !
2) Tanto per chiarire preferisco BSD :-)
se/quando posso, ovviamente capita che
(troppo spesso) il cliente chieda win32 e
ciò nonostante ripetuti tentativi di fargli
cambiare idea


 Qualcuno ha gią provato quanto sopra ?
Per motivi vari ho avuto a che fare con alcune delle piu' conosciute 
patch di sicurezza per linux, quindi ho visto SELinux, RSBAC
GRSecurity e LIDS. (Mi manca openwall, qualcuno puo' illuminarmi?)
Nel kernel 2.6 e' stato introdotto in maniera ufficiale SELinux e LSM.
Cio' ha creato un po' di scontento ai mantainer dei progetti esclusi.
Inoltre pare che LSM non sia poi tutto rose e fiori:
http://www.rsbac.org/lsm.htm
http://www.grsecurity.net/lsm.php
Io personalmente prediligo (ed uso) RSBAC+GRSecurity.
Riguardo alla convivenza con Bastille, l'unico problema e' (IMHO)
i permessi accordati a Bastille. SELinux e simili sono progettati 
anche come contromisure allo strapotere di root e l'obiettivo 
sarebbe di limitare i danni di un'intrusione.
(per esempio impedendo a root di caricare moduli del kernel, 
impostare interfacce di rete in promiscua, "infettare" binari)
A Bastille devono essere accordati privilegi adeguati affinche' 
svolga il suo lavoro.
Finisco con una considerazione sul discorso backdoor, NSA, etc...
Il fatto di essere sponsorizzata da NSA mi preoccupa un po', sebbene
sia distribuito sotto GPL (correggetemi se sbaglio). 
Uno dei problemi e' che ci vorrebbe qualche volontario che faccia 
auditing del codice di SELinux (come diceva whip). 
Io ho preferito RSBAC per i motivi spiegati dai link di cui sopra.
Cmq, giusto per completare il post chilometrico, ci sono state accese
discussioni tra team di sviluppo di NSA, GRSecurity,RSBAC in varie 
mailing lists su quale fosse la "migliore" soluzione.
A colpi di google si trova tutto.
T.

 Il 4.4, free, open, net?
Free ... :-)
A proposito di "advocates" .. la nota non era
intesa per scatenare flames e/o guerre di
religione; era solo un'appunto
Ciao

 maniera clueless, per lo piu', dalla suddetta categoria. ;)
Ah .. ok, nessun problema ... avevo solo paura
di scatenare una guerra di religione .. e visto che
ultimamente di guerre ce ne sono anche troppe
beh .. meglio evitare no :-) ??


 banda (lato attaccante) minima
MMM....
Allora direi che non è un caso che cessati i report su
traffico mydoom
53 udp è finita al primo posto qui!!
http://isc.incidents.org/
Ciao

 (io sono gia' pronto a scommettere, btw. :))
Ovviamente i benchmark fatti in casa sono meglio, pero'
questo potrebbe essere un buon inizio:
http://bulk.fefe.de/scalability/
Anche se sicuramente l'hai gia' visto.
T.

 (io sono gia' pronto a scommettere, btw. :))
più che benchmark per "velocità pura" controlla il carico di
sistema su due macchine identiche (stesso h/w, stesso
traffico di rete) ma che usino l'una BSD e l'altra Linux; quello
che ho osservato è che BSD sembra meno pesante sotto
questo punto di vista, il che significa che (in teoria, non ho
provato) una macchina "sottopotenziata" con BSD potrebbe
(ripeto _non_ ho provato) reggere il carico di una macchina
Linux con hw più carrozzato... ma qui stiamo finendo OT ...
Ciao

 impressionanti, ad esempio:
<snippone>
Ok, scusa lo snip ma .. quello che i benchmark
non dicono (sembra il titolo di una canzone <g>)
è quanto viene caricato il sistema, per esperienza
diretta so che il carico sul sistema è un fattore ....
critico nella progettazione di una soluzione h/w
ed s/w .. ora, come scrivevo nell'altro post, non
ho _mai_ detto che Linux vada male o altro, ma
"sotto carico" il pinguino vuole maggiori risorse
rispetto a BSD (parlo del demonietto) questo imo
è un fattore da tener presente, specialmente oggi
che gli attacchi DoS sono all'ordine del giorno e
sapendo che nel momento in cui esporrai un mail
server su internet potresti ricevere quelle 7..10 mail
al secondo contenenti .. che so .. doom .. :-) ??
Ciao

 Linux con hw più carrozzato... ma qui stiamo finendo OT ...
Io posso dire di avere banchi di macchine che fanno lavori identici,
alcune con freebsd e altre con linux 2.4, e di osservare l'esatto
contrario, ovvero che le linux mi risultano avere un 5-10% circa di spunto
in più (o carico di cpu in meno se preferisci).
Qualche primo timido test su 2.6 e scheduler O(1) porta il divario
parecchio più in su, ad un 15-20% circa.
C'è da dire che l'attività in questione prevede anche operazioni in I/O su
disco, per cui è altamente probabile che molto si guadagni anche in
funzione di migliore supporto all'HW...
cmq, ognuno è libero di farsi del male con gli strumenti che preferisce ;-)


 E sul 2.6...beh...che dire. ;-)
Considera che parlare di freebsd 5.x attualmente è come parlare di kernel
2.7...


 con gli strumenti che preferisce ;-)
... o con quelli che è costretto ad usare ... :-)

 ... o con quelli che è costretto ad usare ... :-)
Posso asserire di avere la fortuna di sceglierli quasi sempre :-D


 Posso asserire di avere la fortuna di sceglierli quasi sempre :-D
evidentemente hai dei clienti comprensivi :-)

 evidentemente hai dei clienti comprensivi :-)
No, è che sono il più affezionato cliente di me stesseo :-D



Attento alle "sole"...
:)guest