Linux Desktop ve Güvenlik - Yorumlar

Tevfik

Tevfik — Çar, 09 Oca 2008 12:11:51 +0200

Öncelikle selamlar.. Bende sürekli olmasada ayda en az 3-4 kere siteyi takip ediyorum. Güvenlik konusunda bilgi edinmeye çalisiyorum.

Bu makalede anlatilani anlamaya çalistim. Fakat bu konuda pek basarili olamadigimi düsünüyorum. Makalede bir güvenlik açigindan bahsedilmis-yanlis anlamadiysam tabi- Bu açik hakkinda ama inanin hiç bir sey anlamadim.

Ciddi ataklar kismi sanirim kafami karistirdi.

Bende bir linux kullanicisiyim. Bu ciddi ataklarlarla bilgilerimizi, girilen form bilgilerini almalari mümkünmüdür? Mümkünse önlemi nasil alinir?
Bu sorumu cevaplarsaniz çok sevinirim.
Kolay gelsin.

Evren

Evren — Cum, 14 Ara 2007 13:40:52 +0200

Sanirim burada Ferruh'un asil vurgulamaya calistigi sey kullanicinin, "Nasil olsa Linux kullaniyorum, bana birsey olmaz" edasiyla herhangi bir firewall, anti-virus, vb. kullanmamasi..

Firewall bir yana, kac kisi Linux'de anti-virus yada anti-spyware kullaniyor ki..

Ferruh Mavituna

Ferruh Mavituna — Per, 13 Ara 2007 14:52:31 +0200

Senin yazdigin dedigim gibi bu konudaki insanlardan aldigim klasik cevaplardan ve yukarida neden ayni konudan bahsetmedigimizi anlatmaya calistim, asagida koplyaliyorum :

iptables bahsettigimiz konu degil zaten, iptables statik filtreleme yapar. Dolayisiyla outbound 80 açiksa o interface için açiktir. Dolayisiyla X yazilimi outbound 80 yaptiginda çalisacaktir. Ayni sistemde bir tarayici kullandiginizi düsünürseniz outbound 80 açik olacaktir ve revese shell vs. kolayca çalisacaktir.

Umarim yukaridaki yeterince aciklayicidir eger degilse daha detayli sekilde demek istedigimi aciklarim.

Ikinci olarak linux firewall implemantasyonlarindan haberdarim, iptables' a da laf soylemek zaten bana dusmez. iptables' in nelere kadir oldugunu biliyorum

Ama dedigim gibi windows da personal firewall olarak ifade edilen aslinda process leri kontrol eden yazilimlarla bu konsept cok daha farkli. Dolayisiyla statik kurallara dayali ve ek olarak kurallar process bazli degil.

Fatih Ozavci

Fatih Ozavci — Per, 13 Ara 2007 13:05:25 +0200

Inatlasmak amaciyla degil ama sunlari eklemem gerekli; iptables dogru kullanilirsa soylediklerin buyuk olcude yapilabilir. Yani kullanici katmaninda calisan servisler ve protokoller degil, kullanicilar ve yazilimlar gibi sahip temelli istekler de denetime tabi tutulabilir (Bkz. iptables owner match support).

Ha dedigin yazilim temelli guvenlik duvarlarinin bu kadar sureci takip etmesi ve sistemi bu kadar kavramasinin bahsettigin avantajlari disinda, guvenlik duvari olan yazilimin ele gecirilme alanlarinda sayi artisi ve isletim sistemine onemli seviyelerde (bazen cekirdek seviyesinde) ulasmasi sonuclarini doguracaktir. Kisaca olay arti/eksi dengesidir, herkes biraz daha isine geleni tercih edecektir.

Senin kullandigin XSS/Shell ile veya ayni yazilimin zaafiyeti kullanilip, kabuk kodu yerine yazilimin kendisi kullanilarak bahsettigin turden bir guvenlik duvari asilabilir; iptables/netfilter, pf, ipf veya windows temelli guvenlik duvarlari da cekirdek seviyesindeki zaafiyetlerden dogrudan etkilenir (once gelen kernel hook'tur neticede).

Ozunde hepsini asmak mumkundur, onceki gonderimde de anlatmak istedigim; secimleri yargilarken "neyi" kullandiklarini degil, "nasil" kullandiklarini yargilamalisin. Yetersiz gorunen secenekler enteresan kullanimlara sahip olabilir, yeterli olan seceneklerde gorundugu kadar kullanisli olmayabilir.

Fatih Ozavci

Fatih Ozavci — Per, 13 Ara 2007 11:22:55 +0200

Merhaba Ferruh,

Yazdiklarini duzenli olarak takip ediyorum ve cokta keyif aliyorum, bozma lutfen. Lakin bir duzeltme yapmadan gecemeyecegim, iptables çok basarili bir güvenlik duvaridir ve Linux çekirdeginde yer alan Netfilter uzantilarini kullanir. Linux üzerindeki kisisel güvenlik duvari teknolojileri de bu çekirdek uzantilarini kullanirlar, kisisel güvenlik duvari kullandiktan sonra iptables -L ile o an yazilimlar tarafindan verilen geçerli kurallari da görebilirsin. Iptables'in yeteneklerine gelince, modern ve ticari guvenlik duvari teknolojilerinin sagladiklarinin neredeyse tamamini sunar. Oturum takibi, oturumsuz protokollerde takip (ICMP/UDP vb.), tasima katmani secenekleri, veri icerigine gore denetim veya iproute2 (QOS kullanimi ile) bant genisligi yonetimi ilk aklima gelen yetenekleridir, Linux cekirdek derleme ekrani uzerinden moduller, man sayfalarindan ise kullanimi konusunda detayli bilgi alinabilir.

Benim koruma yontemim ise Mac OS X kullandigim icin normalden biraz farkli, yine de guvenlik duvarinin kullaniminin tensel hassasiyetleri oldurdugu kanaatindeyim. Yapilacak denetimlerde cokca hatali sonuc almamak adina cogu zaman guvenlik duvari kullanmiyorum, izleme ozellikleri daha onemli kanaatindeyim.

Ezcumle, herkes farkli koruma yontemleri secer ama daha guvenlisi yoktur. Iptables ta iyi birseydir, cumleden cikan anlam kisitli bilgiye sahip kullanicilari yaniltabilir.

Not: Genelde blog'lara yorum yazmam, yazdiklarimi da cemkirme olarak algimazsan sevinirim.