Onur Hocam tekrar selamlar, Verdigin yanit icin oncelikle tesekkurler. Yazdiklarina katiliyorum. Yine de, bu sekilde sistemi kurup, sosyal muhendislik yapip saldiri yapacak biri olmasi, eger Pardus'un kullanim orani yuksek olursa, oldukca muhtemel diyebiliriz. Windows sistemlerde sIklIkla gorulen bir durum bu.
Pisi'nin calisma mantigini bilmiyorum ama en basidinden (ki saldiracak kisi cok daha gelismis bir sekilde yapacaktir bunu) makro gibi bile dusunsek, bi sekilde pisiyi calistirip, penceresini gizleyip, bir repo eklemek sorun olmasa gerek. Repo eklendiginde sadece disk aktivitesi olacaktir onu da kullanci farketmez bence. Indirecegi pakedin boyutunun da oldukca kucuk olacagini dusunursek, network aktivitesini de farketmek olasi olmayacaktir (arkada calisan olasi onca P2P arasinda). Bir oneri ama belki sistemi kuran kullanicilari (onlarin guvenlik bilgisine sahip, sosyal muhendisligi yemeyecek kullanicilar olmalarini dusunmek yanlis olur), YALI'da esas olarak dusuk seviyede tutup, kurulum esnasinda yuksek seviyeye gecmek ister misin diye sorduktan sonra bu hale getirmek daha dogru olabilir. Windows Vista'da ornegin, diger Windows'lardan farkli olarak kullanici normalde yetkisiz olarak calisiyor, herhangi bir yetki gerektiginde bir butona tiklamasi gerekiyor. Bu oldukca can sIkIcI olabiliyor ve isterseniz bu ozeligi kapatabiliyorsunuz, ama "default" olarak dusuk yetkili olarak geliyor sistem. Pardus'ta da boyle kullanilmasi belki daha dogru olabilir. Selamlar, Emre On 4/3/07, Onur Küçük <onur at pardus.org.tr> wrote: > > > Asagidaki gibi bir senaryo kursak, guvenlik modelinde bir eksiklik var > > diyebilir miyiz? > > Evet bu senaryoda bir güvenlik açýðý var. Güvenlik modelinde kullanýcý > güvenlik ile ilgili dikkatli davranmýyor, kendine yollanan ne olduðunu > bilmediði dosyayý çalýþtýrýyor. Bence güvenlik açýðý klavye ile sandalye > arasýnda :) > > Þaka bir yana güvenliðin bence en önemli iki þartý "fiziksel güvenlik" > ve "sosyal güvenlik", yani bilinçlendirilmiþ kullanýcýdýr. Bu ikisindeki > herhangi bir açýk, yazýlým tarafýnda aldýðýnýz hemen her önlemi alt > edecektir. > > Unutulmamasý gereken bir þey, fiþi taktýðýnýz andan itibaren "asla" > %100 güvenli bir sistem oluþturamazsýnýz. Her açýdan yazýlýmlarýnýz > süper güvenli bile olsa (ki olmaz) güvenliði etkileyen baþka > bileþenlerden (iletiþim, kullanýcý vb.) ötürü sisteminiz güvensizleþir. > Güvenlik adýna yapabileceðiniz sadece güvenlik problemi daha az bir > sistem oluþturmaktýr (dikkat edin daha güvenli demiyorum, > sisteminizdeki bir kritik açýk diðer bütün önlemleri geçebilir). Bu > iþlemi yaparken de alacaðýnýz önlemler sizi kullanýþlýlýk ve paranoya > arasýnda seçime zorlar, sisteminizi tasarlarken aradaki dengeyi > saðlamak zorunda kalýrsýnýz. > > Masaüstü sistemlerde kullanýþlýlýk bizim için kullanýcýya her iþ > yaptýðýnda pencere çýkartýp (bir kaðýda yazacaðý ya da 12345 olarak > yazacaðý) bir parola sormaktan daha önemli. Bunun yanýnda güvenlik > ile ilgili çalýþmalarýmýzý daha ortada Çomar'ýn, Pisi'nin sadece adý > varken yaptýðýmýzý, bu durum için yýllardýr tabiri caizse "kafa > patlattýðýmýzý" hatýrlatýrým. Pardus'un güvenlik konusuna verdiði önemi > güvenlik güncellemelerini yapma hýzýmýza ve bizim açýklarý kapatmamýz > ile diðer daðýtýmlarýn kapatmasý arasýndaki aylara varan zaman farkýna > bakarak da görebilirsiniz. > > Bu güvenlik hikayesinde anlaþýlmayan bir nokta var. Bir kullanýcýnýn > pardus üzerinde iþlem yaparken parola girmeden yapabilmesi demek, root > yetkilerine sahip olduðu anlamýna gelmiyor. Çomar üzerinden yapýlan > bütün iþlemler yine Çomar'ýn obje modelinde tanýmlanmýþ olan > iþlemlerdir ve sadece o iþlem için yetkilendirilmiþ kullanýcý > tarafýndan yapýlabilir. Aslýnda paket konusu en uç nokta, ama mesela > pnp aygýtlarý yönetebilen birinin yetkisi yoksa að ayarlarýný > deðiþtirebilmesi bir yazýlým hatasý olmadýðý sürece (ki henüz böyle bir > durumla karþýlaþmadýk) mümkün deðildir. > > > > Mumkun mudur? Eger kullancinin bu script'i calistirmasini saglamayi > > basarabilirsek, bu bir guvenlik eksigi olur mu? Ubuntu gibi bir > > linux'ta, yeni bir repo eklenmeye calisildiginda sifre isteyecek ve > > kullanici noluyor yaw diyip uyanabilecektir. Ama Pardus modelinde? > > Örneðe gelecek olursak, teorik olarak yapýlabilirmiþ gibi görünüyor > ancak pratikte geçerliliði yok denecek kadar azdýr (güvenliðin hiç bir > sistemde %100 olamamasý gibi). Bahsettiðiniz senaryoyu yapabilmesi için > birinin oturup öncelikle bütün pardus alt sistemlerini ezbere biliyor > olmasý gerekiyor. Gerekli vakti harcadýktan sonra da hazýrladýðý truva > atýnýn ihtiyaç duyduðu Çomar, Pisi vb. araçlarýn "nokta atýþ" > sürümlerini tutturmasý gerekiyor. Bu sürümleri tutturduktan ve > bahsettiðiniz senaryoyu hazýrladýktan sonra kritik bilgiler içeren bir > bilgisayarýn baþýna dikkatsiz bir kullanýcýnýn oturmasý, bu saldýrganýn > da bu kullanýcýyý bulup yönlendirmesi, "sosyal mühendislik" yapýp > kandýrmasý gerekiyor. Bunlar bana çok akla yatkýn gelmiyor. Hadi > diyelim ki her þey yerli yerine oturdu, saldýrý baþarýlý oldu, bu sefer > de kullanýcýnýn yeni depo eklenmesi, paket kurulmasý gibi iþlemleri, > (ki bu arada pisi GUI sini ele geçirmek gibi bir tarif de mümkün deðil, > bu iþ çok daha farklý ve çok daha karýþýk yapýlmalý), bilgisayarýndaki > istenmeyen/beklenmeyen að trafiði vb. durumlarý fark etmemesi > gerekiyor. Sizin anlayacaðýnýz çook uzun bir yol ve araçlarýmýz sürekli > deðiþtiði için de kalýcý olmasý mümkün olmayan bir yol. > > Böyle bir sistem hazýrlamaya giriþtiyseniz, emek - zaman göz önüne > alarak Pardus'a özel bir þey yapmanýn da bir anlamý yok. Genel olarak > "yetkili kullanýcýyý nasýl kandýrýrým" mantýðýyla herkesi etkileyecek > bir þey hazýrlarsýnýz, hem daha kullanýþlý olur hem de daha kýsa sürede > hazýrlanýr. Örneðin bilgisayara kullanýcý giriþ yaptýðýnda çalýþacak > basit bir keylogger ile güvenlik saðladýðý zannedilen "ben her iþlem > yaptýðýmda ekranda parola soran bir pencere" çýktýðýnda keylogger > parolanýzý kaydeder, saldýrganýn istediði bir yere gerekli bilgileri > ulaþtýrýr, ondan sonra da saldýrgan istediði her iþlemi yapar. Ne > pardus ne X ne Y fark etmez, iþletim sistemi ya da daðýtým ayýrt > etmeden bu yapýlabilir. Hem de daha kolay hazýrlanýr. > > Bence yazýlýmlarýnýzýn daha tasarým aþamasýnda güvenlik göz önüne > alýnarak hazýrlanmasý, akýllýca kodlanmasý, çeþitli güvenlik > incelemelerinden geçmesi, açýkkodlu yani "milyonlarca gözün baktýðý" > bir yerde kaynak kodlarýnýn durmasý gibi kriterler ekrana çýkan bir > parola kutusundan çok daha fazla güvenlik saðlar. Bu parola sorma > meselesi diðer kriterler saðlandýðýnda sadece kullanýcýnýn kendini > güvende hissetmesini, hatta bu sebeple gevþemesini dikkatsizleþmesini > saðlar. Tam Türkçe'ye çeviremediðim "security through obscurity" > terimini araþtýrmanýzý öneririm. > > Peki bahsettiðiniz senaryonun önüne geçebilecek yöntemler yok mu ? > Tabi ki var. Uygulayabileceðiniz bir kaç yöntem; > > - Sisteminde kritik bilgiler saklayýp da bu senaryodaki gibi sosyal > saldýrýlarý fark edemeyecek kullanýcýlara "yetki vermeyin". > > - Kendinizden bile çekiniyorsanýz ve illa parola yazmak istiyorsanýz > kendinize de yetki vermeyin, sistem araçlarýný kdesu ile çalýþtýrýn. > > - Paranoya seviyesinde güvenlik sizin için önemli ise yine depomuzdan > apparmor kurun ve kullanýn, bu ve benzeri pek çok senaryonun mümkün > olmamasýný garanti eder. Sistem takibi ve korumasý adýna çok kapsamlý > ve çok detaylý bir araç setidir. > > Sistem izleyici yetki kýsýtlayýcý daha pek çok baþka yöntem de mevcut, > ama paranoyanýn da sonu yok. Þu an ki sistemimizde yapmak istediðimiz, > henüz oturtamadýðýmýz araçlar, yöntemler vs. mevcut ve bu konular > üzerinde çalýþmalarýmýz sürüyor. Ancak sizin de olmasý gerektiðine > inandýðýnýz deðiþiklikler / iyileþtirmeler varsa hata.pardus.org.tr > adresinden ilgili yazýlýmýn geliþtiricisine bildirebilirsiniz. > > Listenin konusunun çok dýþýna çýktýk ama umarým açýklayýcý olmuþtur. > > -- > Onur Küçük Knowledge speaks, > <onur.--.-.pardus.org.tr> but wisdom listens > > _______________________________________________ > Pardus-kullanicilari mailing list > Pardus-kullanicilari at uludag.org.tr > http://liste.uludag.org.tr/mailman/listinfo/pardus-kullanicilari > Arama: http://liste.uludag.org.tr/arama/ > -- Emre Erenoglu erenoglu at gmail.com emre.erenoglu at erenoglu.com
