Блог об openSUSE » Безопасность http://sapfeer.ru Блог по созданию и настройке openSUSE безопасного хамелеона Sat, 22 Sep 2012 12:43:48 +0000 ru-RU hourly 1 http://wordpress.org/?v=3.4.2 Антивирус для openSUSE http://sapfeer.ru/2010/04/02/601 http://sapfeer.ru/2010/04/02/601#comments Fri, 02 Apr 2010 06:17:53 +0000 SuSEuser http://sapfeer.ru/?p=601 Avira - антивирус для openSUSE Поскольку я учусь на компьютерной безопасности, то хочу пора бы затронуть эту тему и рассказать об антивирусе. Да, об антивирусе, как это не странно звучит. Многие думают, что раз они пользуются линуксом, то они защищены от вирусов. Это глубокое заблуждение! Уже сейчас известно около сотни вирусов для линукса. А сколько руткитов? Эксплоитов? Ведь отсутствие вирусов для линукса не достижение разработчиков... Их нет, только потому, что писать вирусы для линукса не выгодно. Как только линукс станет достаточно распространненым вирусы не заставят себя ждать. Но, мы не будем дожидаться этого момента! :) Пора все-таки задуматься о безопасности и установить хоть какой-нибудь из антивирусов для вашей системы. Для начала я предлагаю остановится на Avira Antivir. Тем более, что для openSUSE он идет прямо в стандартном репозитории.
Устанавливаем:

user@notebook:~> sudo zypper install antivir

После установки, вам необходимо обновить антивирусные базы, хотя у avir'ы есть GUI я предпочел делать это через консоль:

sudo antivir --update

Если, вдруг, avira выдает вам ошибку, что лицензия устарела, то вам нужно сделать следущее:
1) Перейти по адрес http://www.freeav.com/ru/download/download_servers.php
2) Скачать ключ ("Файл лицензии для Avira AntiVir Personal")
3) Скаченный ключ положить в каталог /usr/lib/AntiVir/ , заменив при этом тот ключ, который там уже имелся.

Можно запустить GUI версию Avira:

su -c antivir

Настроек у антивирусного сканера не много, поэтому не вижу смысла их описывать, тем более они стандартные для каждого антивируса. В на этом установка завершена и вы можете использовать Avir'у как сканер. К сожалению, данная лицензия не позволяет использовать avir'у как демон для server'a. Раньше можно было запросить лицензию зарегестрировавшись у них на сайте, сейчас видимо, эту возможность прикрыли. Однако можно попробовать взять триальный ключ или запустить avir'у в режиме workstation. Для этого нужно:
1) Отредактировать /etc/avguard.conf и расскомментировать следующие строчки:

GuiSupport yes
GuiCAFile /usr/lib/AntiVir/gui/cert/cacert.pem
GuiCertFile /usr/lib/AntiVir/gui/cert/server.pem
GuiCertPass antivir_default

Желательно сгенерировать свои ключи, вместо дефолтных
2) Отредактировать /etc/sysconfing/antivir:

AVGUARD_TYPE="workstation"

3) Запустить демон:

/etc/init.d/avguard start

Взаимодействие с GUI у авиры происходит через сеть, это конечно неудобно и медленно, но хотя бы так :)
И, напоследок - всегда помните и будьте уверены в своей безопасности!

]]>
http://sapfeer.ru/2010/04/02/601/feed 5
Модуль limitipconn для apache http://sapfeer.ru/2010/02/15/570 http://sapfeer.ru/2010/02/15/570#comments Mon, 15 Feb 2010 06:59:57 +0000 Сергей http://sapfeer.ru/570/ Все-таки я нашел время чтобы написать в блог, сегодня хочу сделать небольшую заметку о том. как ограничить себя от умников, которые практикуются в DOS на apache. Генерируется огромное количество запросов с 1го айпи, которые заставляет apache отфутболивать лигитимных пользователей. Конечно, можно с этим бороться и в файрволле, но как мне кажется - наиболее разумным решением будет использование возможностей самого apache. Я сразу же нашел в интернете специальный модуль, ограничивающий подключение к apache по ip. Он называется mod_limitipconn. Конечно, готовый RPM есть уже для openSUSE(прим. спасибо родному BuildService). Практически все модули вы сможете найти здесь:
http://download.opensuse.org/repositories/Apache:/Modules/. Добавляем репозиторий для вашего дистрибутива и устанавливаем пакет:

user@linuxserver:~> zypper install apache2-mod_limitipconn

После установки подключаем его к apache:

user@linuxserver:~> a2enmod mod_limitipconn

Ну и заключительный шаг - добавляем его в apache, модуль limitipconn привязывается к определенному виртуальному хосту и позволяет ограничить доступ к любой части вашего сайта. Вот пример подключения:


# Относительный путь от корня сайта
MaxConnPerIP 8 # Количество максимальных подключений с одного айпи
NoIPLimit image/* # Снимаем ограничение на загрузку изображений


Модуль можно настроить также, например, на ограничение только по определенному типу запрашиваемого контента. Вобщем, для меня этот модуль оказался крайне полезным и нужным.

]]>
http://sapfeer.ru/2010/02/15/570/feed 0
Генератор безопасных паролей в openSUSE http://sapfeer.ru/2009/10/07/323 http://sapfeer.ru/2009/10/07/323#comments Wed, 07 Oct 2009 05:30:44 +0000 Сергей http://sapfeer.ru/?p=323 Сейчас очень важным вопросом безопасности являются пароли юзеров. Простые пароли очень легко подобрать перебором, а длинные из нескольких слов вполне можно угадать атакой по словарю. Поэтому все эксперты компьютерной безопасности советуют для каждого сайта иметь отдельный пароль и, чтобы этот пароль по-возможности представлял собой последовательность случайных труднозапоминаемых символов. Обычно я пользуюсь встроенным генератором в менеджере паролей KeePassX, однако я наткнулся на интересный пример использования bash в openSUSE по созданию паролей.

Генератор криптостойких паролей
Итак, открываем для редактирования ваш bashrc:

mcedit ~/.bashrc

И в него вписываем следующий код:

genpasswd() {
local l=$1
[ "$1" == "" ] && l=20
tr -dc A-Za-z0-9-_~!@#$%^&*()`+[{]}|;:",<.>/?= < /dev/urandom | head -c ${l} | xargs -0
}

Все, после этого запускаем bash заново и теперь у вас есть генератор паролей прям в консоли. Чтобы сгенерировать пароль достаточно набрать в косноли genpasswd длина_пароля, пример:

_empty@suse-laptop:/> genpasswd 15
WP>Z,mu,Z=MIPX0

Очень порадовал этот интересный и нестандартный пример использования bash в openSUSE.

]]>
http://sapfeer.ru/2009/10/07/323/feed 1
Cуммарный недельный отчет по безопасности SuSE http://sapfeer.ru/2009/09/16/192 http://sapfeer.ru/2009/09/16/192#comments Wed, 16 Sep 2009 09:24:25 +0000 Сергей http://sapfeer.ru/?p=192 Список уязвимостей: CVE-2008-4405, CVE-2009-0200, CVE-2009-0201, CVE-2009-1234, CVE-2009-2059, CVE-2009-2063, CVE-2009-2067, CVE-2009-2070, CVE-2009-2406, CVE-2009-2407, CVE-2009-2414, CVE-2009-2416, CVE-2009-2692, CVE-2009-2707, CVE-2009-2730, CVE-2009-3024

Содержание отчета:
Исправленны уязвимости в:
- OpenOffice_org
- OpenOffice_org-math
- dnsmasq
- gnutls
- gnutls
- ia32el
- ib-bonding-kmp-rt/kernel-rt
- libxml
- opera
- perl-IO-Socket-SSL
- xen

Исправленные уязвимости безопасности

Чтобы избежать флуда в списках рассылки SUSE Security Announcements в ответах на простых вопросы, SUSE Security выпускает еженедельные отчеты по некритическим устранненым уязвимостям. Сводные отчеты SUSE Security не содержат списки со ссылками на патчи, как в отчетах SUSE Security Announcements, выпускаемых для более серьезных уязвимостей.
Все исправления для следующих програмных продуктов уже доступны на нашем ФТП сервере и через YaST Online Update.

- OpenOffice_org
Обновление OpenOffice.org исправляет потенциально возможные ошибки в переполнении буфера в EMF парсере кода (enhwmf.cxx, emfplus.cxx). Дополнительно Secunia сообщает об атаке на целочисленное опустошение буфера(CVE-2009-0200) и переполнение буфера(CVE-2009-0201), которые могут возникнуть при парсинге документов Word.
Так же доступно техническое обновление до версии OpenOffice.org-3.1.1.
Все детали обновления можно найти здесь
Обновления для: openSUSE 10.3-11.1, NLD9, SLE10, SLE11
- dnsmasq
Это обновление фиксирует переполнение буфера в сервере TFTP из dnsmasq.
Пожалуйста, обратите внимание, что сервер TFTP отключен по умолчанию.
Обновления для: openSUSE 10.3-11.1, SLE11
- gnutls
Это обновление gnutls улучшает проверку домена/имени субъекта в SSL сертификате. Баг CVE-2009-2730 обозначает проблему.
Обновление для: openSUSE 10.3-11.1, SLE10, SLE11
- ia32el
32х битные программы на платформе x86 могли привести к сбою Itanium IA64 ядра
в эмуляции Intel 32bit процессора. (CVE-2009-2707)
Обновления для: SLES10
- ib-bonding-kmp-rt/kernel-rt/ofed
Этот патч фиксит ядро SLERT10 SP2 по нескольким вопросам:
- Множественные фиксы и улучшения HR таймера. Полный список изменений доступен в rpm changlog'e
Патч так же исправляет несколько уязвимостей безопасности, некоторые из них критические:
CVE-2009-2692: Отсутсвие проверки указателня на NULL при отправке в socket'e. Функция может быть использована для локального получения привелегий root.
CVE-2009-2406: Переполнение стека ядра при монтировании файловых систем eCryptfs в parse_tag_11_packet () было исправлено. Выполнение кода может быть возможным, если используется ecryptfs.
CVE-2009-2407: Уязвимость переполнения кучи ядра при монтировании файловых систем eCryptfs в parse_tag_3_packet () так же была исправлена. Выполнение кода может быть возможным, если используется ecryptfs.
Обновления для: SLERT10
- libxml
Это обновление libxml не использует указатели после того как из-под них была освобождена память. (CVE-2009-2416)
Так же уязвимость переполнения стека при парсинге секции root XML документа была исправлена. (CVE-2009-2414)
Released for product: openSUSE 10.3-11.1, SLES9, SLE10, SLE11
- opera
Обновления Opera 10 включает в себя несколько фиксов XML DOS багов (CVE-2009-1234) и защиту от подделки SSL запросов("SSL Tampering") (CVE-2009-2059, CVE-2009-2063, CVE-2009-2067, CVE-2009-2070).
Обновления для: openSUSE 10.3-11.1
- perl-IO-Socket-SSL
Это обновление perl-IO-Socket-SSL улучшает проверку хоста в SSL сертификате (CVE-2009-3024)
Обновления для: openSUSE 11.1, SLE11
- xen
xend не надлежащим образом осуществляет контроль доступа к дереву каталогов xenstore, открывая тем самым возможность для гостевой виртуальной машины писать туда. Это может привести к проблемам безопасности, если другие приложения, такие как Libvirt не готовы к непроверенным данным в каталоге xenstore(CVE-2008-4405).
Обновления для: openSUSE 11.0

]]>
http://sapfeer.ru/2009/09/16/192/feed 0