Newsgroup: it.comp.os.linux.mandrake
Titolo: Sicurezza Mdk 10.1 usata come desktop

Ciao a tutti,
utilizzo linux da un paio d'anni, e con la release 10.1 mi sono deciso a
lasciare windows definitivamente. Mi sono posto più volte il problema della
sicurezza. Uso la mandrake 10.1 official, regolarmente aggiornata. Ho letto
un mare di articoli, tutorials e faq su riviste e in rete. Ma mi pare che
siano tutti orientati a rendere più sicuro un sistema usato come server.
Parecchi consigli mi paiono eccessivi per una distro da usare come sistema
desktop, ancorchè connesso a internet 24/24h (fastweb).
Mi domandavo se queste misure possono essere sufficienti :
- firewall iptables, magari settato con shorewall
- disattivazione dei servizi non utilizzati (anche se ancora sto cercando di 
scoprire quali servono veramente e quali possono essere disattivati)
- crittografare i dati più sensibili ? (ho un mare di dati a pc, e non mi va
che siano accessibili anche da chi magari usa ogni tanto il mio pc per
guardare un sito...un parente che viene a casa o amici, ecc.- non mi
andrebbe di creare un account guest per 10 minuti di navigazione)
- spamassassin per filtrare lo spam
- generale pulizia di log e cache per la privacy (vedi sopra)
Altre cose tipo compilare un kernel monolitico disattivando moduli, o
tecniche di difesa da rootkit tipo md5sum e simili mi paiono esagerate per
un desktop.
Voi che ne pensate ? Chi più esperto di me quali misure usa per proteggere
un desktop privo di server in esecuzione ?
Ciao
Bart Simpson

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Bart Simpson wrote:
| Mi domandavo se queste misure possono essere sufficienti :
| - firewall iptables, magari settato con shorewall
Se configurato bene è un buon inizio.
| - disattivazione dei servizi non utilizzati (anche se ancora sto
cercando di
| scoprire quali servono veramente e quali possono essere disattivati)
A meno che tu non abbia installato server durante la fase di
installazione tutto quello che è in esecuzione dovrebbe essere più o
meno necessario. Cerca comunque informazioni online su quello che hai in
esecuzione ed elimina tutto ciò che non serve (al limite puoi sempre
riavviarli a mano).
| - crittografare i dati più sensibili ? (ho un mare di dati a pc, e non
mi va
| che siano accessibili anche da chi magari usa ogni tanto il mio pc per
| guardare un sito...un parente che viene a casa o amici, ecc.- non mi
| andrebbe di creare un account guest per 10 minuti di navigazione)
In "install software" dovresti avere "mountloop" che ti permette di
creare e montare come utente normale dischi crittografati in AES256,
praticamente inespugnabile (usa password di almeno 20 caratteri).
| - spamassassin per filtrare lo spam
Spamassassin è utile, ma thunderbird ha già integrato un ottimo filtro
per lo spam quindi forse spamassassin non ti serve, inoltre ha poco a
che fare con la sicurezza.
| - generale pulizia di log e cache per la privacy (vedi sopra)
Non ne vedo ragione. I log ti possono tornare utili per esempio per
capire se qualcuno è entrato nel tuo PC, cancellarli mi sembra quindi
controproducente.
| Voi che ne pensate ? Chi più esperto di me quali misure usa per proteggere
| un desktop privo di server in esecuzione ?
Ricordati di non installare MAI un server Telnet, ma preferischi invece SSH.
Se usi SSH assicurati di usare password complesse (numeri e lettere),
non ovvie e più lunghe sono e meglio è.
Inoltre, se il server SSH è attivo (per permetterti il login da remoto)
assicurati di tenerlo sempre aggiornato poiché potrebbero sfruttare dei
nuovi exploit per prendere possesso del tuo PC. Se lo tieni sempre
aggiornato non dovresti avere problemi di sorta.
Ciao,
~  Luca
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (GNU/Linux)
Comment: Using GnuPG with MultiZilla - 
http://enigmail.mozdev.org
iD8DBQFB1qDMliez+Z59f3URArM0AKCFvT6dEmJO8BceeaaQsuvT9CfN1QCfboze
S7i/68/9kG7ccxBvPDftKjo=
=Dlyk
-----END PGP SIGNATURE-----

 ~  Luca
Ciao
Andrea

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Bart Simpson wrote:
| Se parli di buon inizio, quali fasi intendi successivamente ? Mi
bastano un
| paio di indizi, poi me la cavo con Google :-)
In realtà "entrare" o eseguire codice su un computer Linux è molto più
difficile che farlo su Windows... questo naturalmente richiede una certa
attenzione alla scelta dei servizi attivi, alla scelta della password,
all'installazione di un firewall (shorewall va più che bene) e al
continuo mantenimento del proprio PC aggiornato.
Naturalmente richiede anche un po' di buon senso del tipo non eseguire
programmi che arrivano via email (anche se il 99.999999999% sono per
Windows), affidarsi sempre ad RPM provenienti da server sicuri e
correttamente firmati, installare software da sorgente e mai da RPM o
pacchetti precompilati provenienti da server di dubbia fiducia.
| Beh grosso modo ero giunto a questa conclusione. Sto facendo ricerche,
ma mi
| pare che sono all'osso effettivamente...
Si, Mandrake tende ad installare solo quello che le serve. È un
requisito di sicurezza che Linux (e chi fa le distro) ha appreso oramai
da diversi anni.
| Questa proprio non la avevo mai sentita. Ora mi informo...sembra proprio
| quel che serve a me :-) Cripto 1Gb per i miei docs riservati et voilà :-)
Questo è il nome del pacchetto:
[luca@GONDOR luca]$ rpm -q --whatprovides /usr/bin/mountloop
mountloop-0.12.5-4mdk
almeno per la 10.1 Official.
Come ho detto dovresti trovarlo in "Install Software" (io ho il SO in
inglese, comunque... menu stella - System - Configuration - Packaging -
Install Software). Se non c'è aggiungi al Software Media Manager CONTRIB
e MAIN [se hai bisogno di maggiori informazioni riguardo l'aggiunta di
questi repository chiedi pure].
| Qui mi sono spiegato male io. Sto cercando di scrivere uno script che
tutti
| i giorni a orari prestabiliti faccia piazza pulita della cache del browser
| (Firefox) e di eventuali copie cache/backup create in automatico e
lasciate
| in chiaro di doc openoffice o testuali che mi accingo a criptare; (e/o da
| KDE!!)
Bene, allora guarda in queste cartelle:
Per Firefox:
~/.mozilla/firefox/XXXXXX.XXX/Cache
Per KDE:
~/.thumbnails/large
~/.thumbnails/normal
Per konqueror sinceramente non lo so... non lo uso praticamente mai.
Puoi comunque impostare firefox in modo che non usi la cache impostando
la dimensione a 0.
Oppure puoi dire che la cartella ~/.mozilla/firefox/XXXXXX.XXX/Cache
risiede in RAM, in questo modo ad ogni riavvio sarà pulita... ma questo
richiede un minimo di conoscenza di fstab... per maggiori info:
man mount
man fstab
Mi pare che si chiami tmpfs e ramfs, adesso la distinzione fra i due mi
sfugge, cerca con google.
| Concordo, cancellare i log è controproducente. Ora sto cercando di capire
| esattamente quanti log ho sul sistema, e quanto siano o meno accessibili.
| Ma credo che sia sempre necessario essere root per leggerli.
Si, i log di sistema sono leggibili solo da root e si trovano tutti in
/var/log/
| Non necessito, al momento, di login da remoto. Quindi disattivo il server
| SSH.
Bene. Se non hai selezionato server al momento dell'installazione il
server SSH non dovrebbe nemmeno essere installato di default.
| Mi domandavo però...potrebbe essere attivato da remoto da
| maleintenzionati ? Ok siamo nella fantascienza...ma per curiosità...
No.
| Quanto ai famosi attacchi tramite rootkit : mi pare che qui entro nella
| paranoia.
Ti possono installare un rootkit solo se entrano nel tuo PC (o perché
avevi una password banale o sfruttando degli exploit). Non è possibile
installare rootkit in altro modo.
| Se però cerchi la relativa certezza che la tua macchina sia
| "pulita" , meditavo, bisognerebbe prendere in considerazione pure loro.
In CONTRIB (e quindi attraverso "Install Software") è disponibile
"chkrootkit" il cui compito è proprio quello di trovare rootkit
installati nel tuo sistema. Conosce diverse decine di rootkit ed è in
grado di identificarli e segnalartelo.
| O è una ipotesi troppo remota per un semplice desktop di chi non ha mica i
| progetti della bomba atomica in /home/io ?
Non sottovalutare mai il nemico. Solitamente si viene infettati proprio
quando si dice "tanto non c'è interesse a prendere il controllo del mio
PC". L'interesse c'è sempre... se non altro un interesse didattico o di
puro piacere nel farlo.
Ciao,
~  Luca
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (GNU/Linux)
Comment: Using GnuPG with MultiZilla - 
http://enigmail.mozdev.org
iD8DBQFB1sx9liez+Z59f3URAqwrAJ9bhus7zHPt0lixTA1gTdGMS6lOZwCfbo1e
Rs0H6yNX6byslnBZk9vXn3s=
=wH+1
-----END PGP SIGNATURE-----

 
Qualcuno può spiegarmi cosa impostare per utilizzo di:
1) lettura posta-neus
2) scaricare files
3) istant messaging (Kopete)
4) P2P :-)
Potrei usare GuardDog per la config, ma esattamente non ho idea su
quali sono i punti di permissione e gli altri di esclusione.
Di solito appena provo a mettere il FW mi si blocca (forse) tutto.
Mi pare che son duro ad afferrare il concetto :-)
-- 
why do I've to sign here?

 Mi pare che son duro ad afferrare il concetto :-)
Con Guarddog è estremamente semplice e funzionale. Lancia Guarddog.
Se il tuo PC non è un router per altre macchine ma è una workstation per i
fattacci suoi che non deve condividere l'accesso con nessuno puoi lasciare
così come sono i settaggi nel tab Zona.
Vai sul tab Protocollo. Scorri con calma le liste e spunta i servizi che ti
servono. Se x comodità te li spunti tutti è come se in pratica non avessi
firewall... quindi analizza cosa ti serve.
In posta abilita pop3, smtp e nntp per usare mail e news.
In trasferimento file abilita http, https e ftp per navigare. 
Se usi Lopster spunta anche winmx.
Per Kopete devi spuntare i protocolli che usi (icq, msn ecc.)
Poi dai ok o applica e guarddog pensa al resto. 
Se il tuo pc serve da gateway per altre macchine allora devi configurare
anche il tab zona, indicando a guarddog quali sono gli ip delle macchine
sulla tua rete. Ma qui devi sapere tu come hai configurato la rete e che
servizi vuoi fornire.
Ciao
Bart

 
Applicherò piú tardi :-) Letto e salvato ;-)


 Andrea
-- 
Lorenzo "Paulatz" Paulatto
Trieste
Dagli errori di Windows 98:
1070 0x042E Dopo l'avvio, il servizio si è sospeso in uno stato di attesa.
1440 0x05A0 Schermo già bloccato.