Linux Desktop ve Güvenlik

12.12.2007

Okuyucu : 898
G�nl�k Okuyucu : 17,6

Bildi�iniz gibi ben güvenlik i�i yap�yorum, konu güvenlik i�i olunca Linux piyasan�n lideri, her ne kadar son 1-2 y�lda MacOS piyasay� de�i�tirmeye ba�lad�ysa bile.

Özetle benden ba�ka hemen hemen tüm tan�d��m güvenlikçiler ana sistem olarak ya Linux ya FreeBSD ya da MacOS kullan�yorlar. Dolays�yla benim de onlar� ve genel kullan�m davran��lar�n� analiz etme �ans�m oluyor.

Ben genelde personal firewall diye bilinen ama ana i�lerinin process kontrolü olan yap�lar� çok seviyorum ve bu yaz�l�mlar�n büyük bir destekçisiyim, komik olan ise hemen hemen hiç bir linux kullan�c�s�n� bu tip yaz�l�mlar� normal �artlar alt�nda kullanm�yor olmas�. Genelde bahaneleri �unlardan biri :

Linux' ta Windows gibi çok malware yok o yüzden gerek olmuyor
iptables var
Aktif kullan�c� zaten root olmad��ndan sorun yok

Hemen nacizane cevap vereyim :

Windows kullan�p bilgisayar�na malware sokmay� beceren ki�iler zaten bu konu d��nda. E�er kendinizi o kadar korumay� beceremiyorsan�z daha ciddi sorunlar�n�z var demektir. Buradaki konu daha ileri seviye ataklar, rasgele gelen 3 ay önce yamanm�� IE exploitleri de�il.
iptables bahsetti�imiz konu de�il zaten, iptables statik filtreleme yapar. Dolay�s�yla outbound 80 aç�ksa o interface için aç�kt�r. Dolay�s�yla X yaz�l�m� outbound 80 yapt��nda çal��acakt�r. Ayn� sistemde bir taray�c� kulland��n�z� dü�ünürseniz outbound 80 aç�k olacakt�r ve revese shell vs. kolayca çal��acakt�r.
Aktif kullan�c�n�z�n Firefox profile' �n�za eri�imi var m�? Evet var, Demek ki di�er çal��an kodun da oraya eri�imi var ve yazd��n�z her�eye ve sizin aktif kullan�c�n�z�n yetkisi olan her�eye. Nedense insanlar bunu sunucu güvenli�i ile kar��t�r�yor, bu bir sunucu de�il bu sizin bilgisayar�n�z. Sizin datan�z sizin kullan�c�n�z taraf�ndan eri�ilebilirdir, dolay�s�yla di�er kodda bunlara eri�ecektir. Sonuç olarak root olup olmaman�z çok az �ey de�i�tiriyor.

Burada anlatmak istedi�im Linux verdi�i genel ekstra güvenlik rahatl��ndan dolay� bu tip bir güvenlik kademesini kullanmamak büyük bir hata ve neredeyse "False sense of security" ye girmekte.

Özetle çal��t��n�z i�letim sistemi önemli de�il, kendinizi koruyun. Bu tarz çözümleri X için sunan uygulamalar var, benim hiç birini deneme f�rsat�m olmad�. E�er aran�zda kullananlar varsa dinlemekteyiz.

Yorumlar

Bu makalenin yorumlar�n� RSS ile takip et!

Merhaba Ferruh,

Yazdiklarini duzenli olarak takip ediyorum ve cokta keyif aliyorum, bozma lutfen. Lakin bir duzeltme yapmadan gecemeyecegim, iptables çok basarili bir güvenlik duvaridir ve Linux çekirdeginde yer alan Netfilter uzantilarini kullanir. Linux üzerindeki kisisel güvenlik duvari teknolojileri de bu çekirdek uzantilarini kullanirlar, kisisel güvenlik duvari kullandiktan sonra iptables -L ile o an yazilimlar tarafindan verilen geçerli kurallari da görebilirsin. Iptables'in yeteneklerine gelince, modern ve ticari guvenlik duvari teknolojilerinin sagladiklarinin neredeyse tamamini sunar. Oturum takibi, oturumsuz protokollerde takip (ICMP/UDP vb.), tasima katmani secenekleri, veri icerigine gore denetim veya iproute2 (QOS kullanimi ile) bant genisligi yonetimi ilk aklima gelen yetenekleridir, Linux cekirdek derleme ekrani uzerinden moduller, man sayfalarindan ise kullanimi konusunda detayli bilgi alinabilir.

Benim koruma yontemim ise Mac OS X kullandigim icin normalden biraz farkli, yine de guvenlik duvarinin kullaniminin tensel hassasiyetleri oldurdugu kanaatindeyim. Yapilacak denetimlerde cokca hatali sonuc almamak adina cogu zaman guvenlik duvari kullanmiyorum, izleme ozellikleri daha onemli kanaatindeyim.

Ezcumle, herkes farkli koruma yontemleri secer ama daha guvenlisi yoktur. Iptables ta iyi birseydir, cumleden cikan anlam kisitli bilgiye sahip kullanicilari yaniltabilir.

Not: Genelde blog'lara yorum yazmam, yazdiklarimi da cemkirme olarak algimazsan sevinirim.

Fatih Ozavci [ # | 13.12.2007 ]

Inatlasmak amaciyla degil ama sunlari eklemem gerekli; iptables dogru kullanilirsa soylediklerin buyuk olcude yapilabilir. Yani kullanici katmaninda calisan servisler ve protokoller degil, kullanicilar ve yazilimlar gibi sahip temelli istekler de denetime tabi tutulabilir (Bkz. iptables owner match support).

Ha dedigin yazilim temelli guvenlik duvarlarinin bu kadar sureci takip etmesi ve sistemi bu kadar kavramasinin bahsettigin avantajlari disinda, guvenlik duvari olan yazilimin ele gecirilme alanlarinda sayi artisi ve isletim sistemine onemli seviyelerde (bazen cekirdek seviyesinde) ulasmasi sonuclarini doguracaktir. Kisaca olay arti/eksi dengesidir, herkes biraz daha isine geleni tercih edecektir.

Senin kullandigin XSS/Shell ile veya ayni yazilimin zaafiyeti kullanilip, kabuk kodu yerine yazilimin kendisi kullanilarak bahsettigin turden bir guvenlik duvari asilabilir; iptables/netfilter, pf, ipf veya windows temelli guvenlik duvarlari da cekirdek seviyesindeki zaafiyetlerden dogrudan etkilenir (once gelen kernel hook'tur neticede).

Ozunde hepsini asmak mumkundur, onceki gonderimde de anlatmak istedigim; secimleri yargilarken "neyi" kullandiklarini degil, "nasil" kullandiklarini yargilamalisin. Yetersiz gorunen secenekler enteresan kullanimlara sahip olabilir, yeterli olan seceneklerde gorundugu kadar kullanisli olmayabilir.

Fatih Ozavci [ # | 13.12.2007 ]

Senin yazdigin dedigim gibi bu konudaki insanlardan aldigim klasik cevaplardan ve yukarida neden ayni konudan bahsetmedigimizi anlatmaya calistim, asagida koplyaliyorum :

iptables bahsettigimiz konu degil zaten, iptables statik filtreleme yapar. Dolayisiyla outbound 80 açiksa o interface için açiktir. Dolayisiyla X yazilimi outbound 80 yaptiginda çalisacaktir. Ayni sistemde bir tarayici kullandiginizi düsünürseniz outbound 80 açik olacaktir ve revese shell vs. kolayca çalisacaktir.

Umarim yukaridaki yeterince aciklayicidir eger degilse daha detayli sekilde demek istedigimi aciklarim.

Ikinci olarak linux firewall implemantasyonlarindan haberdarim, iptables' a da laf soylemek zaten bana dusmez. iptables' in nelere kadir oldugunu biliyorum :)

Ama dedigim gibi windows da personal firewall olarak ifade edilen aslinda process leri kontrol eden yazilimlarla bu konsept cok daha farkli. Dolayisiyla statik kurallara dayali ve ek olarak kurallar process bazli degil.

Ferruh Mavituna [ # | 13.12.2007 ]

Sanirim burada Ferruh'un asil vurgulamaya calistigi sey kullanicinin, "Nasil olsa Linux kullaniyorum, bana birsey olmaz" edasiyla herhangi bir firewall, anti-virus, vb. kullanmamasi..

Firewall bir yana, kac kisi Linux'de anti-virus yada anti-spyware kullaniyor ki..

Evren [ # | 14.12.2007 ]

Öncelikle selamlar.. Bende sürekli olmasada ayda en az 3-4 kere siteyi takip ediyorum. Güvenlik konusunda bilgi edinmeye çalisiyorum.

Bu makalede anlatilani anlamaya çalistim. Fakat bu konuda pek basarili olamadigimi düsünüyorum. Makalede bir güvenlik açigindan bahsedilmis-yanlis anlamadiysam tabi- Bu açik hakkinda ama inanin hiç bir sey anlamadim.

Ciddi ataklar kismi sanirim kafami karistirdi.

Bende bir linux kullanicisiyim. Bu ciddi ataklarlarla bilgilerimizi, girilen form bilgilerini almalari mümkünmüdür? Mümkünse önlemi nasil alinir?
Bu sorumu cevaplarsaniz çok sevinirim.
Kolay gelsin.

Tevfik [ # | 22 g�n, 38 dk ]

Yorum Ekle