Newsgroup: it.comp.os.linux.iniziare
Titolo: Aiutino

Ciao a tutto il NG.
Sono un nuovo utente di ubuntu, non so se e' unabuona notizia :), e
sto cercando di mettere in sicurezza il sistema. Una guida online mi
consiglia di limitare gli accessi con le seguenti istruzioni:
sudo chown root:admin /bin/su sudo
chmod 04750 /bin/su
quando le eseguo ottengo la seguente risposta:
- per la prima riga, chown: cannot access 'sudo': no such file o
directory
- per la seconda, chmod: changing permission of '/bin/su': Operation
not permitted
Come posso fare in modo che ubuntu mi accetti i comandi?
Se puo' servire, ho installato ubuntu 8.04.
grazie
-- 
Mico
Visita il mio Negozio:
www.domatecno.it

Mico ha scritto:

le righe in realtà sono:
sudo chown root:admin /bin/su
sudo chmod 04750 /bin/su
;)

 chmod 04750 /bin/su
Ok, con calma.
Premetto che non uso *buntu, ne' Debian, quindi non entro in merito al
dettaglio delle operazioni che descrivi.
Voglio perň suggerirti di fermarti un attimo e riflettere bene su quello
che stai facendo, perchč quando si va a paciugare con i file di sistema e
le relative permission č un lampo a combinare casini.
Mi sembra di capire da quanto scrivi che hai un sistema da hardenizzare,
ma che hai limitata esperienza come amministratore di macchine linux.
Corretto?
Dal tipo di domanda che poni mi permetto di dedurre che non hai esperienza
nemmeno nella gestione di altri unix oltre a linux.
La prima domanda che ti faccio, ma soprattutto che ti invito a porti, č:
perchč? Nel senso: cosa esattamente vuoi ottenere?
Di che genere di macchina stiamo parlando? E' il classico pc casalingo uso
desktop-navigazione-emule-office-mediaplayer connesso costantemente ad
internet via *DSL? Oppure si tratta di una macchina piů "professionale",
che so, un web server o simili? Oppure ancora č una macchina meno esposta?
Lo chiedo perchč, sembrerŕ banale, prima di risolvere un problema č meglio
sapere di che problema si tratta...
Vuoi limitare gli accessi come root?
Fantastico, ubuntu si appoggia nativamente al sudo; sistema il file
sudoers consentendo solo a pochissimi eletti di modificarlo e di
intraprendere azioni come root; raccomando di pensare una lista piů
ristretta possibile di comandi che necessariamente devono girare come root
ed assegnarli ad una lista piů ristretta possibile di utenti. Il resto,
picche.
Vuoi chiudere i servizi non necessari?
Fai un "netstat -lntup" e spaventati.
Poi armati di falce e cesoia e comincia a sfrondare quello che non ti
interessa. Ma attenzione a non cancellare cose che invece servono.
La tendenza della maggior parte delle distribuzioni č quella di fornire
una massa ENORME di software, tanto č gratis, in mezzo a cui poi l'utente
(magari niubbo) deve scegliere. Finisce sempre che l'utente medio installa
tutto o quasi, tanto č gratis, e poi si ritrova il PC intasato da
programmi che non userŕ mai, servizi di rete mal configurati aperti a
pigs&dogs, etc etc.
E' una scelta che disapprovo completamente.
Preferisco di gran lunga l'approccio minimalista di OpenBSD e Zenwalk, che
infatti ho adottato definitivamente, dove l'installazione base ti fornisce
un sistema con il minimo sindacale per lavorare. Da li in avanti l'utente
installa quello che gli serve, e solo quello che gli serve. In questo modo
č molto piů facile controllare cosa c'č a bordo del tuo sistema ed
eventualmente quali servizi girano.
Parafrasando Henry Ford, "quel che non c'č non č un buco di sicurezza".
Prima di cominciare, quindi, č opportuno avere qualche indicazione
sull'obiettivo che ti proponi di ottenere. Poi leggi, studia e chiedi,
anche qui; nei limiti del possibile siamo qui per dare una mano.
Buon lavoro,
Bud
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

;)
mi vergogno come ...
hanno funzionato, grazie ;)
P.S. Se puoi/potete consigliarmi una buona guida per impostare la
sicurezza del sistema, segnalatemela, grazie



ovviamente, mi consigli qualche link?
tante grazie :)


 forse era altro che dovevo vedere? 
be', a me dà un'output diverso, non capisco perché (forse perché sono 
dietro un router con firewall?):
root@darkstar:/home/r# netstat -lntup
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address 
State       PID/Program name
tcp        0      0 
0.0.0.0:65000
           0.0.0.0:* 
LISTEN      3016/amule
tcp        0      0 
0.0.0.0:3551
            0.0.0.0:* 
LISTEN      2728/apcupsd
udp        0      0 
0.0.0.0:68
              0.0.0.0:* 
         2949/dhcpcd
udp        0      0 
0.0.0.0:65100
           0.0.0.0:* 
         3016/amule
cmq l'hai lanciato con sudo?
r
-- 
Presidente Berlusconi, siamo con Lei, non si preoccupi noi la conosciamo 
questa sessantottina zitella inacidita, questo emerge pure dalla 
foto.[commento di actarus100 dopo la condanna di Mills]
Un Minuto Per Favore:
Home Page, The Pentangle, I Salon di Baudelaire: 
http://www.umpf.net

 sudo chmod 04750 /bin/su
Anche di questa non vedo l'utilitą.

 tante grazie :)
Mi intrometto per darti un consiglio:
se ti interessa arrivare ad avere una comprensione un po' più profonda 
di come funziona un sistema linux sicuramente dovrai smazzarti taaanta 
documentazione, non si scappa. Sicuramente la curva di apprendimento è 
ripida, a prescindere dalla distribuzione che usi. A questo riguardo 
però con la Ubuntu ti trovi una valanga di software disponibile pronto 
all'uso, configurato anche di solito molto bene. Il problema con la 
Ubuntu sta appunto in questo: un neofita nei file di configurazione 
della ubuntu vede cose che non sono ovvie e che richiedono conoscenze un 
po' approfondite per essere comprese nel perché e nel percome sono lì.
Ci sono distribuzioni più «crude» come la Gentoo (quella che uso io a 
casa per tutto: server e client) che ti permettono o meglio ti obbligano 
a vedere i meccanismi, a configurarteli e quindi a capire un po' meglio 
cosa stai facendo e perché.
In breve: se vuoi una distro didattica ci sono Gentoo, linuxFromScratch 
e altre. Se vuoi una distro pronta vai sulle varie ubuntu (l'edizione 
server è ben fatta)
Se vuoi una ubuntu per ribaltarla come un calzino vai incontro a difficoltà
My 2 cents
P.S.
Gentoo è *forse* la distro con più documentazione in assoluto: per me è 
stata un ottimo punto di partenza per imparare qualcosa.
Siamo anche una comunità molto attiva, se vuoi iniziare e ti serve aiuto 
chiedi :)

 In ubuntu /bin/su è root:root e non vedo il motivo di fare questa modifica.
neanch'io;
credo che in tutte le distro /bin appartenga a root;
si può avere il link del sito della guida?


 
forse è questa:
http://www.itsecurity.com/features/ubuntu-secure-install-resource/
ma non dice il perchè

 ma non dice il perchè
be', lo dice:
Limiting access to the "su" program
ma gli sfugge che i file in questione sono già a posto;
penso dovrebbe chiarire che invece conviene o attivare root limitando i 
poteri dell'user di default o manternelo ma usarlo come se fosse root e 
creare un nuovo utente con poteri sudeschi limitati da usare normalmente ;


ma non dice il perchè
bravo, e' proprio questa la fonte.
Visto che ci siamo, potrei impostare i permessi di tutti i file 700?
e sarebbe possibile dire ad ubuntu che tutti i nuovi file e cartelle
dovranno avere quei permessi?


r
niente, ache con sudo ho la stessa risposta. Se metto la i maiuscola
come da te riportato, invece ottengo l'help del comando netstat ...
strano!


chiedi :)
ho letto e decido di proseguire con ubuntu perche' la mia intenzione
e' vivere il sistema come utente.
Grazie a te e tutti per la disponibilita', mi rileggerete presto :)


 dovranno avere quei permessi? 
forse, ma è più semplice settare quei permessi alla directory (tranne 
quello di esecuzione, se non ricordo male non si può): i files che 
andrai a metterci li prenderanno automaticamente;
un suggerimento: visto che sei intenzionato a capire/usare bene Linux, 
come hanno fatto altri ti consiglio anch'io di passare a un'altra 
distro, direi Debian, visto che Ubuntu deriva da essa;


 distro, direi Debian, visto che Ubuntu deriva da essa;
avrei giurato che avresti scritto Slackware :)

 strano!
è una elle minuscola;
r
-- 
Banana, nirvana, mañana (you know)
Banana, nirvana, mañana (I know)
Banana, nirvana, mañana (we know)
[Daevid Allen: Radio Gnome Invisible]
Ramapage: 
http://umpf.net/

 avrei giurato che avresti scritto Slackware :)
no, ormai sarà un apt-dipendente;




in "netstat -lntup" dove è la i maiuscola? (ma anche quella minuscola...)

 navigazione.
Ok.
Diciamo quindi che l'obiettivo è un sistema ragionevolmente corazzato, che
non eroga alcun servizio via rete, cui accede tipicamente un solo utente
(giusto?) o comunque una manciata di utenti per applicazioni di tipo
"desktop".
Visto che non parliamo di una macchina di produzione, esposta
costantemente ad internet, che eroga servizi al mondo, il livello di
hardenizzazione standard di linux dovrebbe bastare; non credo tu abbia
bisogno di cose sofisticate tipo SELinux o simili.
Direi quindi che il "blocco" di root tramite sudo (che hai già di default)
e la chiusura dei servizi di rete può bastare; in aggiunta ti raccomando
di installare un interfaccia per iptables (il firewall nativo di linux),
un antivirus (argomento controverso, poi ti do le mie ragioni) e
un'utility tipo chkrootkit.
Andiamo con ordine.
-1- Servizi di rete
Come ti ho già suggerito, lancia un "netstat -lntup" (come root, o con
sudo).
In breve, questo comando ti da l'elenco delle porte TCP (opzione t) ed UDP
(opzione u) sulle quali la tua macchina è in listen (opzione l) e, per
ciascuna, ti viene detto qual è il processo che la tiene aperta (opzione
p).
Ad esempio, il mio porCatile aziendale mostra:
manuel@vega:~# sudo netstat -lntup
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State 
     PID/Program name
tcp        0      0 
0.0.0.0:6000
            0.0.0.0:*               LISTEN
     2540/X          
tcp        0      0 
0.0.0.0:21
              0.0.0.0:*               LISTEN
     2538/vsftpd     
tcp        0      0 
0.0.0.0:22
              0.0.0.0:*               LISTEN
     2408/sshd       
tcp        0      0 
127.0.0.1:631
           0.0.0.0:*               LISTEN
     2411/cupsd      
udp        0      0 
0.0.0.0:631
             0.0.0.0:*                     
     2411/cupsd      
manuel@vega:~# 
Quindi ho in ascolto
X sulla porta tcp 6000 (il server grafico)
vsftpd sulla porta tcp 21 (server FTP)
sshd sulla porta tcp 22 (server SSH)
cupsd sulla porta tcp 631 (server di stampa)
Questo perchè per una serie di motivi mi interessa rendere pubblici questi
servizi sulla rete di casa e dell'ufficio.
Nel tuo caso, ad esempio, nessuno di questi servizi deve essere
pubblicato, poichè nessuno ti serve per l'uso "desktop" del PC. Procederei
quindi a disabilitarli secondo il metodo usato da *buntu (tool grafico?
script in /etc/rc?.d ?).
-2- accesso diretto come root
Fossi in te non mi metterei a pasticciare con sudo e le relative
permission; credo che la configurazione di default sia accettabile per le
esigenze di sicurezza dell'utente standard. Eventualmente, studiati bene
il file sudoers (che contiene le configurazioni di sudo) e prova a
realizzarti una configurazione più restrittiva.
Un consiglio: crea un secondo utente non privilegiato e pasticcia con
quello; un eventuale errore, anche tragico, nella configurazione
dell'utente frallocco può sempre essere rimediata accedendo al sistema con
l'utente "vero", i cui diritti io non manometterei finchè non sono sicuro
di cosa sto facendo.
-3- personal firewall
In teoria a questo punto è inutile, se di una macchina chiudi
sistematicamente tutti i servizi, questa non offre punti di accesso ed un
firewall diventa ridondante, uno spreco di risorse.
Esso può essere visto come un'alternativa alla chiusura tout-cour (scusa
se l'ho scritto male) dei servizi... anche perchè è già compreso nel
prezzo :-)
iptables si può configurare da linea di comando; non è difficile, ma ti
devi imparare un po' di cose. Alternativamente puoi usare una interfaccia
grafica come Firestarter o fwbuilder.
Personalmente ti consiglio la prima: è molto molto semplice e ti permette
di sfruttare solo una piccolissima parte delle capacità di iptables, ma
per mettere su un personal firewall tipo "tutti escono, nessuno entra" con
l'aggiunta eventuale di un paio di regole per aprire ad esempio le porte
di amule firestarter basta e avanza.
Se poi l'argomento ti incuriosisce e vuoi approfondire, allora raccomando
di giocare duro e puro e imparare a gestire iptables tramite CLI.
-4- antivirus
Questo è un punto controverso.
Linux soffre per i virus come windows?
Sicuramente molto meno, ma chi ti dice che linux è completamente immune da
questo genere di attacchi è nella migliore delle ipotesi un ingenuo
ottimista. E si sa che noi sysadmin siamo invece dei paranoici del cazzo.
:-)
Assumiamo anche che linux sia completamente immune da qualunque forma di
virus; resta il fatto che se scarichi un file infetto e lo giri ad un
amico, non ci fai 'sta gran figura. Men che meno se invece di un amico si
tratta di un cliente...
Quindi io l'antivirus ce lo metterei, schedulando una scansione dei dati
ogni qualche giorno, magari di notte, quando non da fastidio a nessuno.
Personalmente uso clamav, con l'interfaccia klamav per KDE. Lo aggiorno
grossomodo una volta alla settimana, immediatamente prima di lanciare la
scansione della partizione dei dati. Non so se clamav sia il migliore e
sinceramente non mi importa; è una soluzione semplice che, con zero soldi
e poco sbattito, mi da un ragionevole livello di sicurezza.
-5- chkrootkit
Se non sai cosa è un rootkit ti basteranno 30 secondi su google per
fartene un'idea precisa, quindi non te lo sto a spiegare. chkrootkit è uno
dei tool che scansionano il sistema per verificare se esso è stato
infettato da rootkit. Raccomando vivamente di scaricarlo e farlo girare
ogni tot giorni, diciamo una volta alla settimana. Anche in questo caso,
non costa niente ed aggiunge un livello di protezione in più alla tua
macchina.
Direi che questo è tutto, almeno in prima battuta.
Vedila così: blindare un PC non è diverso dallo scegliere un antifurto per
l'auto. L'antifurto perfetto non esiste, se la macchina te la vogliono
rubare te la rubano comunque. Allo stesso modo, per quanto tu ti ingegni a
"chiudere" il tuo PC ci sarà sempre qualcuno più bravo di te che, volendo,
riuscirà ad aprirlo.
Si tratta sempre di trovare il giusto mezzo, una soluzione che dia un
ragionevole livello di sicurezza ma che non richieda uno sforzo eccessivo
per la sua configurazione e manutenzione.
In breve, la tua macchina non deve essere inespugnabile, ma quel tanto
blindata da renderla una preda poco appetibile rispetto a tante altre che
circolano nel web senza alcuna protezione, o quasi.
In ogni caso, come si dice, tipicamente il bug peggiore di ogni sistema
operativo riguarda la parte che sta tra la sedia e la tastiera.
Il sistema meglio hardenizzato non ha speranza se chi lo usa non prende le
più elementari precauzioni durante l'accesso a internet, come scegliere
una password robusta e cambiarla regolarmente, evitare di aprire allegati
sospetti alle mail, evitare di accedere a pagine "poco chiare", etc etc,
tutte cose che sicuramente hai già letto molte volte.
Detto questo, buon lavoro e, soprattutto, buon divertimento!


 chiedi :)
tutto giusto , ma per spaccare il capello in 4 direi che la distro piu'
documentata potrebbe essere debian.
ciao, a presto
-- 
--------------------------------
linux slackware
tutto il resto e' inutile
--------------------------------

 
infatti è proprio pensando a quella che ho messo il *forse* :)

 partenza per imparare qualcosa.
Confermo che pur usando slackware ormai da tempo, spesso quando
mi occorre mettere mano a documentazione inerente soprattutto a
compilazioni varie di programmi e altro, arrivo presto o tardi al
wiki di gentoo. Ben fatto e spesso contenete informazioni
generalizzabili anche ad altre distribuzioni.
Prima oppoi voglio provarla anche io, ma ho un po' poco HD almeno
per adesso.


ahah ... effettivamente e' una delle prime cose che ho imparato ...
cerco di usare al massimo il terminale, credo che sia la cosa migliore
per questo SO.
Da quel che ho visto, i permessi 700 dovrebbero essere una sicurezza
nel senso che sarebbero leggibili, scrivibile ed eseguibili solo dal
proprietario. Pensi che non sia cosi'?
Solo che ancora non ho ben chiaro dove vanno a finire tutte le cose
che salvo/installo nel HD ... penso che andranno nella home, ma non ne
sono sicuro.


in "netstat -lntup" dove è la i maiuscola? (ma anche quella minuscola...)
sta nel mio occhio di non vedente :)
Era una 'elle', abbiate pazienza ... ottengo solo 4 porte aperte in
ascolto, direi che va bene.


 sono sicuro.
Dipende: se installi i pacchetti con apt vanno nelle directory
predefinite. Le configurazioni utente vanno nella tua home (nascoste).
-- 
Fa freddo nello scriptorium, il pollice mi duole. Lascio questa
scrittura, non so per chi, non so più intorno a che cosa...
U. Eco

 ha
scritto:
chiedo scusa a tutti quelli che mi stanno aiutando ad avvicinarmi al
mondo di ubuntu. Attualmente, per motivi di lavoro, non trovo il tempo
per riprendere il discorso, ma lo faro' presto.
Grazie di nuovo a tutti e a presto



grazie tante, sei stato gentilissimo e utilissimo per indicare la via
che seguiro' ;)


onde scoraggiare l'uso improprio del superuser.
effettivamene hai ragione, riconosco l'inutilita'.
