Security (Magyar)
Ez a cikk a következőkre vonatkozó ajánlásokat és bevált gyakorlatokat tartalmazza biztonságosabb (hardening) Arch Linux rendszerért.
Fogalmak
- Lehetséges olyan mértékben szigorítani a biztonságot, hogy használhatatlanná tegye a rendszerét. A trükk az, hogy biztosítsa túlzás nélkül.
- Sok más dolog tehető a biztonság fokozása érdekében, de a legnagyobb veszélyt a felhasználó jelenti és mindig is az lesz. Ha a biztonságra gondolsz akkor rétegekre kell gondolnod. Ha az egyik réteget megtörik, egy másiknak le kell állítania a támadást. De soha nem tudja 100% -osan biztonságossá tenni a rendszert kivéve ha kihúzza a gépet az összes hálózatból és bezárja egy széfbe és soha nem használja.
- Legyen egy kicsit paranoiás. Segít. Légyegy kicsit gyanakvó. Ha valami túl jól hangzik ahhoz, hogy igaz legyen, akkor valószínűleg az is!
- A legkevesebb kiváltság elve: A rendszer minden részének csak ahhoz kell hozzáférnie ami a rendszer használatához szükséges és semmi máshoz.
Jelszavak
A jelszavak kulcsfontosságúak a biztonságos Linux rendszerhez. Biztosítják az önét felhasználói fiókok, titosított fájlrendszerek, és SSH/GPG kulcsok. Ezek a fő szabályok annak, hogy a számítógép úgy dönt, hogy bízik az általa használt személynek így a biztonság nagy része csak a biztonságos jelszavak kiválasztásáról és védelméről szól.
Biztonságos jelszavak kiválasztása
A jelszavaknak elég összetettnek kell lenniük ahhoz, hogy ne legyenek könnyen kitalálhatók, pl. személyes adatok, vagy jelszó törés olyan módszerekkel, mint a szociális mérnöki vagy a brutális erő támadások. Az erős jelszavak tételei a "hosszúság" és a "véletlenszerűség" alapján vannak. A kriptográfiában a jelszó minősége a első szintű biztonság.
A nem biztonságosnak itélt jelszavak közé tartoznak azok amelyek:
- Személyesen azonosítható információk (például a kutya neve, születési dátuma, körzetszám, neve, kedvenc videojáték)
- Egyszerű karakter helyettesítés a szavakon (pl.,
k1araj0hns0n), mivel a modern szótár támadások könnyen működhetnek ezekkel a "szavakkal" vagy a szokásos karakterláncokkal, amelyeket hozzáadott számok, szimbólumok vagy karakterek követnek (pl.,DG091101%) - Gyakori mondatok vagy szótár szavak (pl.
photocopyhauntbranchexpose) többek között karakterpótlással (pl.Ph0toc0pyh4uN7br@nch3xp*se) - Bármelyik leggyakoribb jelszavak
A legjobb választás a jelszóhoz valami hosszú (minnél hosszabb, annál jobb), és véletlenszerű legyen. Fontos, hogy hosszú jelszót használjon. A gyenge hash algoritmusok lehetővé teszik a 8 karakteres jelszó kivonatának megfejtését néhány óra alatt.
Néhány eszköz, mint pwgen vagy apgAUR véletlenszerű jelszót tudnak generálni. Ezeket a jelszavakat azonban nehéz megjegyezni. Az egyik memorizálási technika (a gyakran gépeltek számára) hosszú jelszó létrehozása és minimálisan biztonságos karakterek memorizálása ideiglenesen a teljes generált karakterlánc felírása. Idővel növelje a beírt karakterek számát - mindaddig, amíg a jelszó be nem épül az izommemóriájába, és nem kell emlékezni rá. Ez a technika nehezebb, de biztos lehet abban, hogy ez a jelszó nem jelenik meg a szavakat és a helyettesítő karaktereket ötvöző "intelligens" szótáralapú és nyers erő(bruteforce) támadásokban.
A jelszó memorizálására szolgáló technika egy mnemonikus(memoriter) fázis használata, ahol a fázis minden szó emlékeztet a jelszó következő karakterére.
Nézzük egy példán keresztűl “a lány esős utcán sétál” lefordíthatjuk úgy a6!lEuS5 vagy másképp @&6!lEuSkiLLR,18.
Ez a megközelítés megkönnyítheti a jelszó megjegyzését, de vegye figyelembe, hogy különböző betűk legyenek a szavak elején (Wikipedia:Letter frequency).
Egy másik hatékony technika az lehet, hogy véletlenszerűen generált jelszavakat írnak le és tárolnak „biztonságos” helyen, például pénztárcában, erszényben vagy dokumentumszéfben. A legtöbb ember általában jó munkát végez, hogy megvédje fizikai értékeit a támadásoktól, és a legtöbb ember könnyebben megérti a fizikai biztonsággal kapcsolatos problémakat, mint a digitális biztonsággal kapcsolatos problémákat.
Bruce Schneier támogatta ezt a problémát.
Nagyon hatékony a mnemonikus és a véletlenszerű technika kombinálása is, ha hosszú véletlenszerűen generált jelszavakat mentünk a jelszó kezelőbe, amelyet viszont egy emlékezetes "fő jelszóval" lehet elérni, amelyet csak arra a célra szabad használni. A fő jelszót meg kell jegyezni és soha nem szabad elmenteni. Ehhez a jelszókezelőt egy rendszerre kell telepíteni, hogy könnyen hozzáférhessen a jelszóhoz (ami a helyzettől függően kellemetlenségnek vagy biztonsági szolgáltatásnak tekinthető). Néhány jelszókezelő rendelkezik okostelefonos alkalmazásokkal is, amelyek segítségével jelszavakat jeleníthet meg kézi bevitelre a rendszereken anélkül, hogy a jelszókezelő telepítve lett volna. Vegye figyelembe, hogy a jelszókezelő egyetlen hibapontot vezet be, ha valaha elfelejti a fő jelszót.
Korábban hatékony volt a nem kapcsolódó szavak emlékezetes hosszú sorozatának használata jelszóként. Az elmélet az, hogy ha kellően hosszú kifejezést használnak, akkor a jelszó hosszából nyert entrópia ellensúlyozhatja a szótár szavainak használatából adódó elveszett entrópiát. Ez XKCD comic bemutatja ennek a módszernek az entrópia-kompromisszumát. A jelszó-feltörők azonban megragadták ezt a trükköt, és szójegyzékeket állítanak elő, amelyek milliárd permutációt és szótári szavak változatát tartalmazzák, csökkentve ezzel a jelszó tényleges entrópiáját.
Lásd Bruce Schneier által írt cikket válasszunk biztonságos jelszót, a jelszó FAQ vagy Wikipedia:Password strength további részlethez.
Jelszavak karbantartása
Miután kiválasztott egy erős jelszót, mindenképpen tartsa biztonságban. Vigyázz a billentyű leütés naplozó(keylogger) (szoftveres és hardveres), képernyőkép gyűjtő, pszichológiai befolyásolás, kifigyelés, és kerülje a jelszavak újrafelhasználását. Így a nem biztonságos szerverek nem szivárogtathatnak a kelleténél több információt. jelszó kezelők segíthet nagyszámú összetett jelszó kezelésében: ha a tárolt jelszavakat másolja be a jelszó kezelőből azoknak az alkalmazásoknak, amelyekre szüksége van akkor győződjön meg arról, hogy minden alkalommal törölje a másolási puffert, és győződjön meg arról, hogy azokat nem menti semmilyen napló (pl. ne illessze be sima terminál parancsokba, mert az egy sima szövegként lesz mentve .bash_history innen könnyen kinyerhető).
Általános szabály, hogy ne válasszon gyenge jelszavakat csak azért, mert a biztonságosakat nehezebb megjegyezni. Jobb ha van egy titkosított biztonságos jelszavakból álló adatbázis amelyet kulcs és egy erős fő jelszó mögött őrzünk, mint sok hasonló és gyenge jelszavak. A jelszavak leírása talán ugyanolyan hatékony [1], a szoftveres megoldások potenciális sebezhetőségének elkerülése esetében a fizikai biztonságra kell oda figyelni Ne ragaszuk ki a jelszót (pl. monitorunkra, asztalunkra) vagy más feltüntő helyre.
A jelszó erősségének másik aspektusa, hogy nem lehet könnyen visszaállítani más helyekről.
Ha ugyanazt a jelszót használja a lemez titkosításához, mint amelyet a bejelentkezési jelszavához használ (pl. a titkosított partíció vagy mappa automatikus csatlakoztatásához a bejelentkezéskor), győződjön meg arról, hogy /etc/shadow egy titkosított partícióra kerül, vagy erős hash algoritmust használ (pl. sha512/bcrypt, és nem az md5) a tárolt jelszó kivonatához (lásd SHA jelszó kivonatokat több részletért).
Ha biztonsági másolatot készít a jelszó adatbázisáról győződjön meg arról, hogy minden példányt nem tárolnak más jelszavak mögött, amelyek viszont benne vannak tárolva, pl. titkosított meghajtót vagy hitelesített távoli tárolási szolgáltatást, különben szükség esetén nem fogja tudni elérni; Hasznos trükk az, hogy megvédjük azokat a meghajtókat vagy fiókokat, ahol az adatbázisról biztonsági másolatot készítenek a fő jelszó egyszerű kriptográfiai kivonatával. Tartson egy listát az összes biztonsági másolat helyéről: ha egy nap arra ébred, hogy kompromittálódhatott a fő jelszava akkor azt azonnal meg kell változtatnia az összes adatbázis biztonsági másolatán és a fő jelszóból levezetett kulcsokkal a védett helyeken.
Az adatbázis biztonságos vezérlése bonyolult lehet: ha ezt választja, akkor módja van frissíteni az összes adatbázis-verzió fő jelszavát. Előfordulhat, hogy a fő jelszó kiszivárogtatása nem mindig egyértelmű azonnal: annak kockázatának csökkentése érdekében, hogy valaki más felfedezze a jelszavát mielőtt rájönne, hogy az kiszivárgott dönthet úgy, hogy időközönként megváltoztatja. Ha attól tart, hogy elvesztette az irányítást az adatbázis másolata felett akkor az abban szereplő összes jelszót meg kell változtatnia minnél hamarabb!
Jelszó kivonatok
Alapértelmezés szerint az Arch a kivonatolt felhasználói jelszavakat a gyökérben olvashatóan tárolja /etc/shadow elválasztva a többi felhasználói paramétertől /etc/passwd fájlban, lásd Users and groups#User database. További részletek Security#Restricting root.
Jelszavakat a passwd paranccsal modosítható, melyik stretches őket a crypt funkciót, majd elmenti őket /etc/shadow. További részletekért SHA password hashes. Jelszavakat sózással(salted) lehet elérni, hogy jobban védjük szivárvány táblás(rainbow table) támadásoktól.
További részletek How are passwords stored in Linux (Understanding hashing with shadow utils)[dead link 2021-11-19 ⓘ].