FreeBSD

V dnešním zavírajícím dílu našeho seriálu si povíme o vylepšeních ovládání jailu, která přináší nová, pátá řada FreeBSD. Dále si ukážeme pár technik, jakým způsobem můžete uzavřít do jailu jednotlivé démony, a dáme tip na zajímavý program SCPonly.

Jestliže někdo získá na unixovém stroji práva roota, představuje to bezpečnostní problém. Jednou z možností, kterou můžeme využít v opevnění našeho systému, je jail na FreeBSD. Jedná se o vylepšenou koncepci chrootu, která je někde na pomezí mezi starým chrootem, jemuž jsou dokázány bezpečnostní slabiny, a skutečnou virtualizací systému. O tom tedy bude tento díl.

Pátá řada FreeBSD bude obsahovat mimo jiné i novinky v síťování. Jelikož se nám blíží vydání první stabilní verze této řady, popíšeme si implementované novinky v následujícím článku.

V minulém dílu jsme si řekli o základech IPFilteru. Naše pravidla však nebyla optimální. Dnes si řekneme o optimalizování pravidel pomocí skupin, nastavení NAT, přesměrování, logování atd. Dále zmíníme výhody PF - paketového filtru z OpenBSD, který byl importován do verze 5.

V předchozích dvou dílech jste si určitě nainstalovali kupu síťových démonů, kteří nyní čekají na příchozí spojení. Samozřejmě si je již umíte vypsat, ale ještě jsme si neřekli nic o pravidlech síťového provozu, filtrování paketů neboli o IPFW, IPFilteru a nově i PF.

První stabilní beta verze z 5.x řady - FreeBSD 5.3 - před několika dny přešla do stádia beta testů. Zůčastněte se jejího testování i vy.

Minule jsme nakousli instalaci a odinstalaci software třetích stran na FreeBSD. Dnes se podíváme na pokročilou správu portů/packages - jejich upgrade a kontrolu jejich bezpečnosti.

Po více jak čtyřech letech vývoje bude 3. října (October 3rd) konečně uvolněno první RELEASE ze stabilní řady 5. To znamená, že bude konečně doporučeno používat řadu 5 na produkčních strojích. V důsledku některých okolností první stabilní RELEASE nebude 5.0, ale 5.3. To je ovšem důležité snad jen z estetického hlediska, mnohem důležitější jsou novinky a změny v této nové řadě.

V minulém dílu jsme probrali upgrade FreeBSD. Dnes probereme různé metody instalace software třetích stran na FreeBSD a zmíníme se i o možnosti dodatečné ochrany před instalováním bugového software. Dále si řekneme, do jakých emailových konferencí o bezpečnosti se přihlásit, abyste byli stále informováni o případných bezpečnostních chybách.

V dnešním dílu se konečně s naším systémem připojíme na síť a řekneme si něco o verzích FreeBSD, errata, upgradu a instalaci dodatečného software.

Při správě unixového systému je důležité znát nástroje, které vám usnadní práci při hledání nějaké chyby či zvláštní činnosti systému (nástroje pro práci s logy) a nástroje, které vám zjednoduší život tím, že některé často prováděné kroky budou za vás dělat automaticky v předem nastavené době.

Klasická přístupová práva definují, kdo a jaké operace může vykonávat. BSD systémy dále přinášejí příznaky souborů, se kterými můžete ještě zvýšit bezpečnost systému. Mezi další možnosti, které můžeme využít k lepšímu zabezpečení, patří volby připojení souborových systémů nebo nastavení kvót.

Operační systém FreeBSD je přímým pokračovatelem původního UNIXu. Je to volně šiřitelný OS, k němuž jsou k dispozici zdrojové kódy (free software? open-source? pořád si to pletu ;)). To zní podobně jako například u Linuxu (který je rovněž volně šiřitelný a zdrojové kódy jsou též k dispozici), nicméně tyto dva OS se nesmírně liší ve způsobu, jakým je systém vyvíjen.

Bezpečnost unixových systémů stojí mimo jiné hlavně na přístupových právech. Dnes tedy povinně projdeme výkladem tradičních unixových. Rovněž si nastíníme pár triků, kterých při špatně nastavených právech útočníci využívají k udržení přístupu do systému.

Jsme tu opět s naším seriálem pro začínající a pokročilejší uživatele, kteří chtějí poznat FreeBSD a bezpečně jej i zvládnout. V minulém dílu jsme se věnovali základům. Dnes se podíváme na to, jak se na FreeBSD vytvářejí, odstraňují a modifikují uživatelské účty. Také se podíváme, jak takové účty případně blokovat.

Patrně jste někde narazili na informaci, že FreeBSD je skvělý síťový operační systém. Na druhou stranu jste asi patrně slyšeli i narážky určitých lidí, že je to "fakt hardcore" nebo že se BSD špatně spravuje. Ani omylem! FreeBSD je skutečně user-friendly a my si v našem seriálu ukážeme, jak jej spravovat s ohledem na bezpečnost. Seriál je vhodný pro začátečníky i pokročilé. Požadována je jen znalost základních unixových příkazů.

Každý někdy narazil na situaci, že nenašel ve své distribuci nabalíčkovaný program, který nutně potřeboval. Pokud příslušný balíček nedodává ani výrobce, nastávají tu dvě možnosti. Buďto si to můžeme nabalíčkovat sami, nebo můžeme program přeložit a nainstalovat nezávisle na balíčkovacím systému použitém v distribuci.

V závěrečném dílu seriálu se podíváme na implementace asynchronního IO, a to nejen u našich dvou systémů, ale i u několika dalších.

V předposledním dílu srovnávacího seriálu se podíváme, jak zkoumané systémy implementují rozhraní mezi procesy a jádrem.

Minule jsem instaloval FreeBSD 5.2. Nyní jsem přikročil k další části testu - ověření, zda je FreeBSD opravdu výkonnější než Linux, jak někteří tvrdí. Druhotným cílem bylo ověřit, zda je kernel 2.6 opravdu výkonnější než kernel 2.4. Provedl jsem tedy malý test WWW serveru, který popisuji v tomto článku.

V dnešním dílu seriálu se podíváme na implementaci síťového stacku, dostaneme se i k různým rozšířením TCP/IP a povíme si, která z nich naše zkoumané systémy podporují.

V poslední době se začaly množit výkřiky BSDčkářů, že Linux je na nic, že BSD má to a ono implementováno lépe, a vůbec, že správný hacker (v původním slova smyslu) nepoužívá nic jiného než BSD. Je pravda, že po začátku vydávání seriálu "Porovnání systémů Linux a FreeBSD" tyto výkřiky znatelně utichly. Přesto jsem se ale rozhodl, že si (Free)BSD vyzkouším a o své zkušenosti se s vámi podělím.