Προστασία από κακόβουλο λογισμικό στο GNU/Linux

[logari81]

Συχνά αναφέρουμε ότι στο GNU/Linux πρακτικά δεν υπάρχει κίνδυνος από ιούς. Αυτήν είναι η σύντομη απάντηση σε κάποιον που μας ρωτάει αν θα πρέπει να εγκαταστησει κάποιο λογισμικό προστασίας στο Ubuntu του. Υπάρχει όμως και μία εκτενέστερη απάντηση την οποία θα ήθελα να αναπτυξω.

Καταρχην να ξεκαθαρίσουμε ότι όταν μιλάμε για ασφάλεια πρέπει να έχουμε στο νου ότι κανένα σύστημα δεν είναι ούτε και θα είναι άτρωτο, θα πρέπει λοιπόν όταν αναφερόμαστε στον όρο ασφάλεια να αναφερόμαστε σε συγκεκριμένους κινδύνους κι όχι σε ασφάλεια "εφ όλης της ύλης".

Προσωπικά διακρίνω δυο κύριες κατηγορίες κινδύνων σε ένα λειτουργικό σύστημα:

1. Στοχευμένη επίθεση: Κάποιος cracker μας έχει βάλει στο μάτι (π.χ. θελει κάτι που έχουμε στο δίσκο μας) κι ασχολειται με τον υπολογιστη μας ψάχνωντας τρόπο να επιτύχει τον στόχο του.

2. Γενικό κακόβουλο λογισμικο. Κακόβουλο λογισμικό το οποίο είναι σχεδιασμένο να τρέχει σε όσο το δυνατόν περισσότερους υπολογιστές και να διαδίδεται αυτόματα απο υπολογιστη σε υπολογιστη. Θα το διακρίνω σε 2 περαιτέρω κατηγοριες:
α. Λογισμικό το οποίο κάνει μία συγκερκιμένη δουλεία (π.χ. συλλεγει κι αποστέλει πληροφοριες) και το οποίο προσπαθει να μεινει όσο το δυνατόν απαρατήρητο.
β. Λογισμικό το οποίο η μονη δουλεια που κανει είναι να κανει πολυ φασαρία γύρω απο την ύπαρξη του (χωρις να έχει βρεί ακόμα το νόημα της ζωής του). Τέτοιο λογισμικό προσπαθεί συνήθως να κανει τον βίο του χρήστη αβίωτο ή να κανει ζημια στο σύστημα.

Για την κατηγορία 1, όλα τα σύγχρονα συστήματα διατρέχουν λίγο πολύ τους ίδιους κινδύνους. Πιστεύω ότι το Linux ειναι λιγο πιο ασφαλές σε σχέση με τα windows γιατι:
- Σε μία default εγκατασταση τρέχουνε λιγότερα services που μπορούν να προσπελαστουν μέσω του δικτύου απότι σε μια εγκατασταση windows.
- Τα vulnerabilities που θα θελήσει να εκμεταλευτει ένας cracker διορθώνονται πιο άμεσα από την στιγμή που εντοπίζονται.
- Το μη γραφικό κομμάτι του Linux ειναι αρκετά τεσταρισμένο σε τέτοιο είδους επιθέσεων/vulnerabilities λόγω της ευρείας χρησης του σε διακομιστές. Ο cracker θα ψάξει να βρει κάποιο δρόμο κυρίως μέσα απο το γραφικό κομμάτι ή τις ιδιαιτερότητες της διανομής μας.

Για την κατηγορία 2 παρατηρούμε πρακτικά παντελή έλλειψη περιστατικών στο GNU/Linux. Οι λόγοι για αυτήν την έλλειψη δεν είναι μονο τεχνικοί. Από τεχνικής απόψεως είναι δυνατόν να γίνει το GNU/Linux όπως και κάθε σύστημα στοχος τέτοιου είδους κακόβουλου λογισμικου. Θα ήθελα λοιπόν να απαριθμήσω τους λόγους για τους οποίους πιστεύω ότι δεν παρατηρουμε αυτό το φαινόμενο στο GNU/Linux:
- Ελάχιστη διάδωση πειρατικού λογισμικού.
- Μικρότερο ποσοστό χρησης του Linux.
- Ξεκάθαρος διαχωρισμός super user / normal user ενώ στα windows ο διαχωρισμός αυτός εξαρτάται από την ρύθμιση του UAC.
- Πιο συνειδητοποιημένο προφίλ των χρηστών GNU/Linux. Π.χ. πάντοτε αποτρέπουμε εναν νεο χρήστη από το να απενεργοποιησει τον κωδικό superuser. Αντιθέτως υπάρχουν πολλοί χρήστες windows που απενεργοποιούν το UAC.
- Έλλειψη κινήτρου ανάπτυξης κακόβουλου λογισμικου της κατηγορίας 2β. Οι χρήστες GNU/Linux δεν θα πάνε να αγοράσουν π.χ. το Kaspersky για να προστατευτουν. Θα ζητήσουν από την διανομή τους να τους προστατέψει λύνοντας το ουσιαστικό προβλημα ασφάλειας κι όχι βάζοντας χωροφύλακες.
- Έλλειψη σε usb sticks λειτουργίας αντίστοιχης του autorun.inf στα windows.
- Οι διανομές GNU/Linux δεν ειναι τόσο επιρεπείς σε λογικές του στυλ "ο πελάτης (χρηστης) έχει πάντα δίκιο" οπότε αν αυτος θέλει να μην μπαινει η ασφάλεια στα ποδια του εμείς θα κατεβάσουμε το επίπεδο της ασφάλειας. Στο GNU/Linux αν ο χρηστης πρέπει να κανει συμβιβασμους για την ασφάλεια του θα μάθει να τους κάνει.
- Πολυμορφία των διανομών GNU/Linux που κυκλοφορούν.

Κάτι άλλο που θα πρέπει να έχουμε στον νου είναι ότι δεν μπορει να υπάρχει ασφάλεια χωρίς να ενοχλείται κατα κάποιον τρόπο ο χρήστης απο τα μέτρα ασφάλειας. Ειτε κάποιος κωδικός θα είναι απαραίτητος είτε κάποια επιβεβαίωση για διάφορες ενέργειες του χρήστη.
Τέλος το θέμα της ασφάλειας ενός συστήματος σήμερα πιστευω ότι ειναι περισσότερο θέμα ρυθμίσεων παρά θέμα υποδομών κι εργαλείων. Όλα τα σύγχρονα λειτουργικα συστηματα έχουν τις υποδομές για να γινουν αποδεκτά ασφαλή.

Προστασία απο κινδύνους κι αντιμετώπιση σε GNU/Linux:
- Για την περίπτωση 1 μπορούμε να ρυθμισουμε το προεγκατεστημένο firewall σύμφωνα με τις αναγκες μας, μπορουμε να χρησιμοποιούμε κρυπτογραφημένα συστηματα αρχείων και να αποφεύγουμε την εγκατάσταση περιττών services. Καλό είναι να αλλάζουμε συχνά τους κωδικούς μας.
- Για την περίπτωση 2 το βασικό για εναν απλό χρήστη είναι να μην εγκαθιστά λογισμικό εκτός των επισημων αποθετηρίων κι αυτό ειναι που προωθούμε οι περισσότεροι σε αυτο εδώ το φόρουμ.
- Εάν έχουμε την τύχη να είμαστε οι πρωτοι που θα εντοπίσουμε κακόβουλο λογισμικό στο Ubuntu μας, κανουμε ενα σχετικό bug report στο Launchpad. Το πιθανοτερο θα είναι μέσα σε λίγες ώρες να συγκεντρώσουμε το ενδιαφέρον χιλιαδων μελών που θα θέλουν να μελετήσουν και να λύσουν το πρόβλημα. Προσωπικά δεν θα προσπαθούσα να εξοντόσω το λογισμικό γιατι σίγουρα θα έχει τεχνικο ενδιαφέρον και θα βοηθησει στην επίλυση του προβλήματος. Η οριστική επίλυση του προβληματος θα γίνει με κάποιο update το οποίο είτε θα διορθωνει κάποιο vulnerability είτε θα αλλάζει κάποια ρύθμιση/στρατηγική του συστήματός μας που επιτρέπει στο κακόβουλο λογισμικό να διεισδήσει. Η λύση του προβλήματος ΔΕΝ θα έχει την μορφή κάποιου Antivirus.

Κάποια σενάρια:
1. Επίθεση μέσω Firefox εγκατάσταση κάποιου κακόβουλου λογισμικου στο home το οποίο θα προσπαθει να κανει phishing το password του χρήστη είτε να το υποκλεψει με άλλον τρόπο, είτε να το μαντέψει.
Τρόποι επίλυσης: Διόρθωση σχετικής vulnerability του Fireforx, Sandboxing του Firefox π.χ. με το AppArmor ή το SElinux

2. Επίθεση μέσω mail. Αποσυμπιέζουμε κάποιο αρχειο που λαβαμε μεσω mail και το οποίο περιέχει έναν desktop launcher. Οι desktop launchers ειναι αρχεία που έχουν την δυνατότητα να εκτελούν κώδικα και να φαίνονται στο γραφικό περιβάλλον ως αρχεία με διαφορετική εμφανιση.
Τρόποι επίλυσης: Περαιτερω αυστηροποίηση της λογικής των desktop launcher.

Γενικά οποιοδηποτε υπαρκτό σενάριο έχει και μία λυση εντός του συστήματος και χωρίς την ανάγκη ενός χωροφύλακα που θα καταναλώνει πόρους συνεχώς. Γιαυτο υποστηρίζω την άποψη ΜΗΝ βαζετε Antivirus σε Linux ούτε τωρα ούτε στο μέλλον.

Τέλος το ερωτημα για μένα δεν ειναι το εαν, γιατι και κατα πόσο είναι ασφαλές το GNU/Linux αλλα γιατί δεν είναι ιδιαίτερα ασφαλείς οι διάφορες εκδόσεις των windows. Εντάξει τα XP δεν είχαν ιδιαίτερες υποδομές για να είναι ασφαλή, αλλά τα Vista και τα 7 θα μπορουσαν να γίνουν αποδεκτά ασφαλή χωρίς να απαιτουν από τον χρήστη να προσλάβει χωροφύλακες. Ο λογος για τον οποίο δεν είναι, ειναι ότι δίνουν και τα κίνητρα και κάποιες στοιχειώδεις δυνατότητες για την δημιουργία κι εξάπλωση κακόβουλου λογισμικού όντας εγκλωβισμένα στο δικό τους μοντέλο ανάπτυξης και χρήσης.

Υ.Γ. Για όσους αναφέρουν το παραδειγμα του unrealircd ως αντιπροσωπευτικό δείγμα ΕΛΛΑΚ ας διαβάσουν το σχολιό μου εδώ:
viewtopic.php?f=4&t=12684

[mathpoet]

1. Αν ανοίξει κάποιος τη wikipedia βλέπει αυτό: http://en.wikipedia.org/wiki/Linux_malware#Threats
(Μην μου υπενθυμίσετε ότι η αντίστοιχη λίστα για windows είναι κάτι gigabyte, το γνωρίζω )

Κάτι άλλο που θα πρέπει να έχουμε στον νου είναι ότι δεν μπορει να υπάρχει ασφάλεια χωρίς να ενοχλείται κατα κάποιον τρόπο ο χρήστης απο τα μέτρα ασφάλειας. Ειτε κάποιος κωδικός θα είναι απαραίτητος είτε κάποια επιβεβαίωση για διάφορες ενέργειες του χρήστη.

Αν εννοείς ότι σε κάθε περιστατικό θα ενημερωθεί με οποιονδήποτε τρόπο ο χρήστης, κάνεις λάθος. Δες τι είναι ένα worm, πως διαδίδεται και πως εγκαθίσταται. Για linux worms δες το 1. Αν εννοείς κάτι άλλο, αγνόησε το σχόλιο μου.

Τέλος το θέμα της ασφάλειας ενός συστήματος σήμερα πιστευω ότι ειναι περισσότερο θέμα ρυθμίσεων παρά θέμα υποδομών κι εργαλείων. Όλα τα σύγχρονα λειτουργικα συστηματα έχουν τις υποδομές για να γινουν αποδεκτά ασφαλή.

Το θέμα της ασφάλειας ενός συστήματος είναι τραγικά πολύπλοκο, γι αυτό υπάρχουν και τόσα πολλά προβλήματα. hint: "Security is a process, not a product" Bruce Schneier

Γενικά οποιοδηποτε υπαρκτό σενάριο έχει και μία λυση εντός του συστήματος και χωρίς την ανάγκη ενός χωροφύλακα που θα καταναλώνει πόρους συνεχώς.

Δυσκολεύομαι να πιστέψω ότι υπάρχει κάποιος που ξέρει όλα τα υπαρκτά σενάρια, αλλά ποτέ δεν ξέρεις...

Υ.Γ. Για όσους αναφέρουν το παραδειγμα του unrealircd ως αντιπροσωπευτικό δείγμα ΕΛΛΑΚ ας διαβάσουν το σχολιό μου εδώ:
viewtopic.php?f=4&t=12684

Δεν πέρασε στο debian, αλλά δυστυχώς πέρασε τουλάχιστον στο Gentoo... http://www.linuxcompatible.org/news/sto ... entoo.html
Και φυσικά σε όσους κατέβασαν το source code από το επίσημο site του project και έκαναν compilation και installation
(το συμβάν του unrealircd το θεωρώ ενδεικτικό και όχι αντιπροσωπευτικό)

[prov83]

Φίλε Mathpoet,
βλέπω πως η εγγραφή σου έγινε το 2008, οπότε είσαι σχετικά παλιός.
Αν και παλιός, δεν έχεις ακολουθήσει την παράκληση των διαχειριστών/συντονιστών και επίτιμων μελών να φτιάξεις την υπογραφή σου(ας είναι και ψευδής) γιατί μπόρει το πρόβλημα(δεν έχω καταλάβει ότι όντως είναι πρόβλημα) σου να είναι το hardware σου(αν όχι του pc σου, σίγουρα του μυαλού σου).
Συγνώμη αν φαίνομαι επιθετικός, αλλά πριν μας μπέρδεψες πολύ, χωρίς να καταλάβουμε απολύτως τίποτα. Έτσι λοιπόν o logari, φαντάζομαι, έγραψε κάποια πράγματα για να μας ξεμπερδέψει, και συ αντί να το σεβαστείς, ξαναέγραψες ανούσια πράγματα.
Νομίζεις ότι δε τα ξέρουμε όλα αυτά?
Έχεις την εντύπωση πως είμαστε εδώ, επειδή φοβόμασταν τους ιούς στα windows?
Και αν μπει σκουλίκι? θα τρομοκρατηθούμε?
Και αν πάρουν τα στοιχεία μας, τα λεφτά μας, τη γυναίκα μας βρε αδερφέ? θα καταρρεύσουμε?

Αν θες να πείς κάτι, απλά πες το! Ξεκάθαρα όμως, ώστε να μπορέσουμε να το επεξεργαστούμε και να το αποθηκεύσουμε(αν μας βοηθάει στον σκληρό, αν δε, ξέρεις που).
Απλά αν γίνεται όχι σε αυτο το θέμα. Γιατί τώρα που τα ξανα-ξεκαθάρισα μέσα μου, δε θα αντέξω άλλα μπερδέματα.
Ευχαριστώ για την κατανόηση σου
Νίκος

[dckar]

Αν κάποιος έχει κολλήσει κάτι στο σύστημά του πως το καταλαβαίνει; Ακόμα και στα windows τα σημάδια δεν είναι, πάντα, εμφανή (άντε το πολύ ότι αργεί λίγο ο υπολογιστής και κρασάρει λίγο συχνότερα), εξαιρούμενες οι περιπτώσεις π.χ που γίνεται χαμός στο λειτουργικό ή στέλνονται μαζικά μειλ-μηνύματα στο msn.

[Mitsakos]

Ο logari81 είναι ένας πολύ έμπειρος χρήστης πάνω στο λειτουργικό μας και σίγουρα γνωρίζει πιο πολλά από αυτά που αναφέρει και γράφει.
Δεν το αναφέρω για λόγους υποστήριξης ή κάτι παρόμοιο. Αυτό ίσως το ξέρουν, αν όχι τα 5577 (στις 22.27 - 16-06-10) μέλη της κοινότητας, σίγουρα τα πιο ενεργά.
Το μήνυμα, όπως τουλάχιστον εγώ ταπεινά το κατάλαβα, γράφτηκε για να μας εξηγήσει κάποια θέματα ασφαλείας πάνω στη διανομή που χρησιμοποιούμε και υποστηρίζουμε.
Με το να αναφερόμαστε ξανά σε σχόλια ιδίου τύπου όπως σε προηγούμενο νήμα δεν θα βγάλουμε τίποτα, παρά μόνο σελίδες με αντιφάσεις, αερολογίες και ξαφνικά θα χαθεί η ουσία.

Ας σεβαστούμε αυτή τη προσπάθεια που κάποιος έκανε στο να μας ενημερώσει για τη προστασία απο κακόβουλο λογισμικό στο GNU/Linux και ας συνεχίσουμε το νήμα με απόψεις πάνω σε αυτό και όχι σε συγκρίσεις.

Φιλικά,
Δημήτρης

[mangelasakis]

εγώ πάλι θα ήθελα να γίνει ένα νήμα και να αναφέρει ο καθε ένας τις περιπτώσεις και τις προσωπικές εμπειρίες που είχε (αν είχε) με το linux όσον αφορά την ασφάλεια του linux και για τα windows για να δουμε και να συγκρίνουμε πιο λειτουργικό είναι πιο ασφαλές και σε ποια συχνότητα κολάνε virus και worms και άλλα παρόμοια ώστε να γνωρίζουμε και εμείς οι υπόλοιποι πως να το αντιμετωπίσουμε αν έχουμα ανάλογο πρόβλημα... Και για να αποδείξουμε και σε μερικούς μερικούς που δεν θέλουν να βάλουν μυαλό πόσο ασφαλές είναι το linux.... Μια ψηφοφορία για αυτό θα ήταν ότι πρέπει... Αν ήξερα να την κάνω θα την έκανα εγώ....

Υγ:προκαλώ τον @mathpoet που λέει και πιστεύει ότι το linux δεν είναι ασφαλές να εισβάλει στο pc μου και να μου αποδείξει το αντίθετο... αν θέλει του δίνω ότι πληροφορία θέλει για το pc μου...

[tolis_01]

Mε αφορμή αυτό:

εγώ πάλι θα ήθελα να γίνει ένα νήμα και να αναφέρει ο καθε ένας τις περιπτώσεις και τις προσωπικές εμπειρίες που είχε (αν είχε) με το linux όσον αφορά την ασφάλεια του linux και για τα windows για να δουμε και να συγκρίνουμε πιο λειτουργικό είναι πιο ασφαλές και σε ποια συχνότητα κολάνε virus και worms και άλλα παρόμοια ώστε να γνωρίζουμε και εμείς οι υπόλοιποι πως να το αντιμετωπίσουμε αν έχουμα ανάλογο πρόβλημα... Και για να αποδείξουμε και σε μερικούς μερικούς που δεν θέλουν να βάλουν μυαλό πόσο ασφαλές είναι το linux.... Μια ψηφοφορία για αυτό θα ήταν ότι πρέπει... Αν ήξερα να την κάνω θα την έκανα εγώ....

βάζω κι εδώ το λινκ που έβαλα στο άλλο τόπικ:
http://www.insomnia.gr/forum/showthread.php?t=316263
Δώσ'τε βάση στα posts του nske

[linuxman]

Το θέμα της ασφάλειας ενός συστήματος είναι τραγικά πολύπλοκο, γι αυτό υπάρχουν και τόσα πολλά προβλήματα. hint: "Security is a process, not a product" Bruce Schneier

Θα σε παρακαλούσα να σταματήσεις να κάνεις troll .
Είτε δεν θέλεις είτε δεν ξέρεις το παραμικρό κομμάτι περί ασφάλεια συστημάτων , αν δεν ξέρεις δεν θα σε κατηγορήσει κάνεις άλλα προσπάθησε να μάθεις πρώτα .
Και όταν θα περάσουν από τα χέρια σου 1000+ ( έχω χάσει το μέτρημα ) μηχανήματα με Παράθυρα που όλα είχανε πρόβλημα και όταν θα κάνεις εγκατάσταση 1000+ ( και εδώ έχω χάσει το μέτρημα ) με GNU/Linux ποιο πολύ Ubuntu και κανένα δεν είχε έως τώρα κανένα πρόβλημα με κακόβουλο λογισμικό στο GNU/Linux τότε θα μπορέσουμε να βγάλουμε άκρη , έως τότε έχεις ακόμα πολύ δρόμο να κάνεις .

[mathpoet]

@linuxman Προσωπικά ξέρω ότι η ασφάλεια συστημάτων ξεκινάει με ανάλυση ρίσκου και καταλήγει σε διαδικασίες περιοδικού ελέγχου των logs, αναφοράς περιστατικών κ.λ.π. Αν έχεις καμιά πιο εύκολη μέθοδο μπορείς να την προτείνεις. Και επιτέλους, αν κάνω trolling μπορείτε να διαγράψετε αυτά που έχω γράψει, δεν θα παρεξηγηθώ καθόλου.

Αν κάποιος έχει κολλήσει κάτι στο σύστημά του πως το καταλαβαίνει; Ακόμα και στα windows τα σημάδια δεν είναι, πάντα, εμφανή (άντε το πολύ ότι αργεί λίγο ο υπολογιστής και κρασάρει λίγο συχνότερα), εξαιρούμενες οι περιπτώσεις π.χ που γίνεται χαμός στο λειτουργικό ή στέλνονται μαζικά μειλ-μηνύματα στο msn.

Ο μόνος σίγουρος τρόπος που γνωρίζω είναι να τρέξεις κάποιο πρόγραμμα που ανιχνεύει το κακόβουλο λογισμικό. Απ΄ ότι έχω δει τα περισσότερα antivirus για linux ανιχνεύουν windows ιούς, οπότε δεν έχει και τόσο νόημα να κάνεις κάτι τέτοιο. Υπάρχουν και προγράμματα που ανιχνεύουν rootkits, αλλά βγάζουν αρκετές προειδοποιήσεις χωρίς να υπάρχει πραγματικό πρόβλημα, οπότε πρέπει να είσαι διατεθειμένος/η να το ψάξεις πολύ.

Ένα σχετικό θέμα βρήκα εδώ: viewtopic.php?f=4&t=2572

edit: Ξέχασα να σου πω κι εγώ ότι με τα σημερινά δεδομένα οι πιθανότητες να έχεις κάτι τείνουν στο μηδέν... ο μεγάλος χαμός έχει γίνει για το τι είναι τεχνικά εφικτό.

[linuxman]

@linuxman Προσωπικά ξέρω ότι η ασφάλεια συστημάτων ξεκινάει με ανάλυση ρίσκου και καταλήγει σε διαδικασίες περιοδικού ελέγχου των logs, αναφοράς περιστατικών κ.λ.π. Αν έχεις καμιά πιο εύκολη μέθοδο μπορείς να την προτείνεις.

Είδες που δεν το ξέρεις το θέμα .
Αυτό είναι μεγάλο θέμα , ανάλογα και σε τι επίπεδο μιλάμε , Εταιρικό , προσωπικό η κάτι άλλο .

Υ.Γ.
Πόσα θα πρέπει να γνωρίζει χρήστης για να το κάνει ποιο ασφαλές . Τι εργαλεία έχει το σύστημα για να γίνει ποιο ασφαλές αν και οπότε χρειάζεται .
Όλα αυτά τα εργαλεία τα διαθέτει GNU/Linux και χωρίς ειδικές γνώσεις μπορεί να το κάνει ακόμα και ποιο απλός χρήστης με μία σωστή καθοδήγηση η έναν σωστά γραμμένο οδηγό .