Na blogu LogicSupply.com vyšel návod na sestavení linuxového desktopu, který poběží jako read-only. Je několik způsobů jak vytvořit linuxový systém pouze pro čtení. Bohužel většinou nejde prostě používat normální souborový systém, připojený jen pro čtení. Mnoho aplikací vyžaduje místo, kam mohou zapisovat a může se stát, že pokud ho mít nebudou, nebudou fungovat korektně nebo vůbec. Tento návod vysvětluje, jak se s tímto problém vypořádat podobným způsobem, jako to dělají Live distribuce.
Read-only linuxový systém
30. 1. 2009
32
nových názorů
-
treebeard (neregistrovaný)Pýtam sa seriózne, nejde mi o flame :-)
Kedysi som si myslel, že trebárs je absolútne bezpečné surfovať len z Linuxu, pretože partície NTFS mám "read only" a teda môj pracovný OS je v bezpečí. Tne Linux v prípade nehody preinštalujem. Ale jeden kamarát, dovolím si povedať expert, mi povedal, že naozaj zákerný malvare by si s tým hravo poradil, na tie partície by niečo zapísal a tým vlastne partície zničil. Z tohto by som vydzoval, že naozaj bezpečný Read-only OS je len ten, ktorý je na skutočných read-only médiách. -
treebeard (neregistrovaný)to som si myslel aj ja. teda ja som dokonca predpokladal, že ani root práva by nestačili, pretože vtedy bolo treba podporu pre zápis na NTFS doinštalovať. Ale ten kamarát mi tvrdil iné.
-
treebeard (neregistrovaný)tou podporou? Nie, vtedy sa ešte podpora NTFS považovala za chybovú a tak väčšina distier ju mala iba read-only. RH (patentové problémy) ju nemal vôbec a musel sa sťahovať nejaký balíček z neoficiálneho zdroja.
Ale ten kamarát asi myslel čosi ako parted. Každý OS v podstate dokáže z diskom spraviť hocičo, aj z časťami,z ktorými oficiálne robiť nič nevie a nesmie.
Q: Aký veľký by vlastne musel byť malvare typu parted bez užívateľského rozhrania. Len niečo, čo by sa spustilo v RAM, kašľalo na práva a prepísalo trebárs aspoň MBR? -
maros (neregistrovaný)Otazka do dalsej diskusie: a co virtualizacia? Na poskusanie/posurfovanie to vyzera ako idealne riesenie. Aj ked... Aj tam predsa moze byt diera, nie? Ale je to pre utocnika minimalne o stupen zlozitejsie - utocnik sa potrebuje dostat z guest systemu do host systemu, a aj ked sa mu to podari stale este nemoze zapisat kam chce.
Navrhovane riesenie:
Virtualizovany stroj 1 (VM1) - pouziva sa iba na stahovanie bezpecnostnych zaplat.
No a na skusanie/surfovanie pouzit VM2, ktory je "snapshot" nasho zaplatovaneho VM1, avsak bez pripadnej havede nachytanej pri predoslych pokusoch. Po poskusani vymazat a vytvorit novy snapshot.
A aby to bolo zlozitejsie, host by mohol pouzivat iny system ako guest - napriklad nejake *BSD. Co vy nato? -
disk je zařízení s možností zápisu... pro provedení zápisu není třeba vědět o aktuálním souborovém systému na zařízení, na disk lze zapsat i přímo z příkazové řádky například:
#ls /dev/hda
#brw-rw---- 1 root disk 8, 0 2009-01-18 19:06 /dev/hda
//tedy mohu zapisovat bud jako root, nebo jako clen skupiny disk
#head -c 20 /dev/hda
---- kouknu se čím disk začíná
#echo "ahojky" > /dev/hda
---- pošlu na začátek něco pěkného
#head -c 20 /dev/hda
---- kouknu se jestli to mělo úspěch
//(raději nezkoušejte, ani já to nezkoušel :) )
Toto ovšem nemůžete jako normální uživatel (všimněte si že dokonce nemůžete ani přímo číst z toho zařízení ;) ) Takže domněnka, že pokud linux nezná NTFS, tak jej nemůže zničit je mylná ;) -
To je taková filozofická otázka :D.
No předně, pokud máte read-only, pak dokud někdo nezíská uživatele root, tak nemůže zapisovat.
Pokud jej získá je otázkou jak nízko je to "read-only" implementované. Pokud přímo něco zablokujete v jádře či modulech je možné předpokládat, že pokud nebude útočník dostatečně šikovný tak neuspěje (rozuměj tohle už by asi malware sám osobně nezvládl) (předpokládám musel by pracovat přímo s jádrem nataženým do paměti), ale v zásadě lze řici, že root je konečná (pokud jej mám lze "vše").
Z druhé strany, pokud máte Read-only filesystém pak vězte, že i vám se budou záplaty na OS implemnetovat hůře (prostě nebudete záplatovat (kdo by pravidelně restartoval do speciálního režimu, kdy je možné záplatovat, aplikoval záplatu a zpět se přebootoval do pracovního prostředí, nedej bože něco komplikovanějšího))... tím se vystavujete většímu riziku (je možné že se objeví chyba která umožní získat oprávnění root a vy jí nebudete mít záplatovánu).
Být read-only má své výhody a nevýhody. Výhodou je, že můžete bootovat z média které je read-only a OS to nevadí a pracuje jak má (live-cd na desktop, router, server...), jakákoliv chyba běhu (uživatel se překlepne, program/os zkolabuje) se pak lehce vyřeší restartem.
Nevýhoda je krkolomnost aktualizací (například výměna média u routerů při zásadnější rekonfiguraci).
V zásadě bych nebral read-only jako ochranu před úmyslným zničením dat média principiálně přepisovatelného (že to neumí uživatel neznamená že to nezvládne útočník). -
Tecik (neregistrovaný)Ahoj,
zkus o tom uvazovat jinak:
FileSystem muzes z RO premountovat na RW (paklize to zvlada system, vim ze kdysi u ntfs RW prace byla problem).
Paklize by se ten SW mel snazit hrabat na samotne fyzicke zarizeni, tak by s sebou musel nest kod, ktery by dokazal obsluhovat FS na disku. De-facto by to byla aplikace, ktera dokaze hrabat jen na to a to - da se rict ze ovladac pro FS ;-) Takze primy pristup asik neni realny ;-) Joooo cat /dev/urandom > /dev/sdNX jo ;-) Ale co tam bude je vec jina ;-)
A ted, spousteni aplikaci (napr. z prohlizece), a nasledne oddeleni od rodicovskeho procesu (prohlizece), a eskalace prav tak, aby dokazal bezet s ID=0, no nevim nevim ;-) Ale bez tohoto je prace s diskem/mountouvani nerealna ;-) Tedy pokud v fstabu nemas nastavena konkretni prava pro praci s partitionou.
Takze zaverem to co popisujes se mi zda jako nerealne, ale ne nerealizovatelne ;-)
Autor zprávičky
-
- Specialista podpory pro Marketplace
- IT specialista/tka – operátor/ka
- vedoucí Oddělení Architektury a strategie ICT
- Dátový inžinier(ka)
- Reporting specialista se zaměřením na Power BI
- Správce infrastruktury - pracoviště kybernetické bezpečnosti
-
- Microsoft Planner: Projekty v pohodě
- Zkrácená historie etikety a proč se jí zabývat
- Anglická frázová slovesa I
- Zvládání ega: jak si udržet zdravé sebevědomí
- Human-Centered Design: Design zaměřený na člověka
- Jak se stát autoritou
-
- Specialista podpory pro Marketplace
- IT specialista/ka
- IT specialista/tka – operátor/ka
- Logistika-podpora obchodu
- Reporting specialista se zaměřením na Power BI
- Správce infrastruktury - pracoviště kybernetické bezpečnosti
-
- Microsoft Planner: Projekty v pohodě
- Obecně o funkcích v Excel
- Vyjednávání III: Pokročilé strategie a techniky
- Přesvědčte a dohodněte se!
- Zkrácená historie etikety a proč se jí zabývat
- Průvodce pracovním právem pro každého
ČLÁNKY DO MAILU