Comments on: Podstawowy hardening instalacji Linuksa

By: XANi

XANi — Fri, 01 Jan 2010 14:11:54 +0000

Dużo rzeczy “być powinno”, rzeczywistość jest inna ;]. W większości serwerów jak skończy się liczba wątków/procesów to trzyma sobie w accept queue (tzn nie one tylko system bo wywołują listen() z bardzo dużym backlogiem).

Oprócz tego, SYN/ACK nie generuje aplikacja, tylko kernel, tzn. dopiero jak klient odpowie na syn/ack to kernel przekazuje do appa że jest nowe połączenie, więc autor appa może co najwyżej zabezpieczać się przed nadmierną ilością otwartych połączeń, a nie “półotwartych”

Poza tym dropowanie zamiast słania RST blokuje możliwość używania kompa do idle scana ( -sI w nmapie) chociaż to akurat małe zmartwienie ;]

By: r.

r. — Fri, 01 Jan 2010 08:01:45 +0000

Dobrze napisany serwer usługi X powinien, po przekroczeniu limitu połączeń, zrzucać następne z RST.

By: XANi

XANi — Thu, 31 Dec 2009 01:17:25 +0000

Tak aaaaleee ;] atakujący może po prostu floodować otwarty port, efekt ten sam (może nawet lepszy jak serwer odpowie ACKiem bo będzie dłużej wisieć w tablicy) ;]

By: r.

r. — Thu, 31 Dec 2009 00:51:46 +0000

>@r Sam tej opcji raczej nie używam (w końcu jak ktoś chce to sobie zeskanuje). Ale w przypadku ataku wole żeby zapychał się RAM routerów operatora a nie żeby zżerało bandwidth za który zapłaciłem ;]. Poza tym mówimy o portach closed, nie różni to się niczym od zrobienia DROP na firewallu, nikt nie będzie przecież DoSował zamkniętego portu.

A o jakiej przepustowości chcesz mówić, gdy routery klękają i zaczynają zrzucać połączenia lub nie chcą puszczać nowych? Szczególnie, gdy zarżnięty router postanowi zrzucić np. sesję BGP? ;)))

Właśnie cała idea cichego upuszczania pakietów na podłogę jest co najmniej niemądra: nie obsługujesz czegoś, to mówisz ,,nie obsługuję”. A DoS w oparciu o flood na maszynę, która nie odsyła RST/ICMP DestUnreach raczej nie jest wymierzony w maszynę, ile właśnie w routery.

By: XANi

XANi — Tue, 29 Dec 2009 14:51:06 +0000

Jeżeli dostaje się debilne rozkazy od szefostwa trzeba się przed takimi ewentualnościami zabezpieczyć ;].

@r Sam tej opcji raczej nie używam (w końcu jak ktoś chce to sobie zeskanuje). Ale w przypadku ataku wole żeby zapychał się RAM routerów operatora a nie żeby zżerało bandwidth za który zapłaciłem ;]. Poza tym mówimy o portach closed, nie różni to się niczym od zrobienia DROP na firewallu, nikt nie będzie przecież DoSował zamkniętego portu.

By: r.

r. — Tue, 29 Dec 2009 11:30:49 +0000

>Ten blackhole to po prostu “nie wysyłaj pakietów mówiących że nie da się połączyć” jak TCP RST czy ICMP unreachable. Jak się mają zapchać to sądzę że i tak to zrobią, z włączonym blackhole czy nie.

Oczywiście, że się nie zapchają, bo widząc wracające RST/ICMP(4) będą usuwać stany z tablic.

Kiedyś, jeszcze za czasów paczy Solara sam się tą funkcją trzepałem. Po latach uważam ją za bezsensowe gówniarstwo — nie dość że jest to security through obscurity, to jeszcze cierpi na tym infrastruktura pośrednia.

By: Łukasz Jagiełło

Łukasz Jagiełło — Tue, 29 Dec 2009 09:38:12 +0000

Odnoszę wrażenie, że czasy dawania shell-a ludziom którzy mogą coś zepsuć poprzez odpalenie exploitów już minęły. Albo ktoś kupuje maszynę i ma wtedy dostęp do root-a, albo ktoś kupuje hosting i ma dostęp do ftp.

Osoby które mają konta shellowe to albo pracownicy i nikt tu nie będzie exploitów uruchamiał, bo takie rzeczy inaczej się rozwiązuje, albo są to osoby które są w kręgu zaufania czy jak kto chce to nazwać i nie będą takich rzeczy robić.

Osobie obcej dostępu do żadnej maszyny bym nie dał.

By: XANi

XANi — Tue, 29 Dec 2009 00:05:01 +0000

Ten blackhole to po prostu “nie wysyłaj pakietów mówiących że nie da się połączyć” jak TCP RST czy ICMP unreachable. Jak się mają zapchać to sądzę że i tak to zrobią, z włączonym blackhole czy nie.
Co do noexeca, niby taaaak aaaleee jak jakiś “script kiddie” wywali sie na tym to da sobie spokój z dalszym grzebaniem ;]. Głównie po to że jak już musimy dawać komuś shella to żeby sobie nie instalował u siebie co mu się podoba ;]

By: r.

r. — Mon, 28 Dec 2009 23:19:38 +0000

> Oprócz tego jest TCP/UDP blackhole który w skrócie powoduje że porty closed wyglądają jak filtered.

Jeśli to jest to, o czym myślę, to jest to bardzo mądre rozwiązanie. Przy byle konkretniejszym floodzie na takie porty maszyna radośnie upuszcza pakiety na podłogę, a tymczasem wszystkie routery po drodze, łącznie z naszymi… robią bokami, bo im się tablice stanów kończą.

Noexec to tylko taka głupia flaga, która mówi, że z danego fs-u nie powinno się odpalać binarek (bo jest to np. zasób podmontowany po NFS-ie z serwera o innej architekturze). Może w połączeniu z WielkąPytąBradaSpenglera (programistą może i koleś jest niezłym, ale przy okazji jest dupkiem sto razy większym od Theo) ma to jakiś sens, ale skoro grsecu jest RBAC, to jest to tylko PITA. (a jak obejść noexec Lcamtuf pisał już wieki temu).

A po przedarciu się przez RHCE śmiem twierdzić, że SELinux z dopracowanymi politykami też jest całkiem zjadliwy.

By: XANi

XANi — Mon, 28 Dec 2009 13:56:29 +0000

1.Sftp wymaga tylko jednego portu otwartego, z FTPem niektóre rotuerki sie walą
2. To że jest TLS nie znaczy że user będzie go używać ;]. Może np. używać windowsowego explorera z tym.
Oprócz tego część NATów jest mało kompatybilna z tym (bo nawet jak potrafi otworzyć dodatkowy port na dane, to gdy kanał jest zaszyfrowany już tego nie może robić
3. To jest dodatkowa usługa do administracji, podczas gdy sshd jest na serwerze anyway