LINUX.ORG.RU
ФорумTalks

Власти решили взять под контроль шифрованный интернет-трафик

 , , ,


0

0

Национальный антитеррористический комитет России (НАК) по поручению Совета безопасности РФ создал рабочую группу для обсуждения вопросов регулирования шифрованного трафика. Возглавил её лично руководитель Роскомнадзора Александр Жаров.

В рабочую группу вошли представители всех силовых ведомств, Минэкономразвития, Минкомсвязи и отраслевые эксперты из Российской ассоциации электронных коммуникаций (РАЭК). Эти специалисты должны подготовить свои рекомендации по регулированию шифрованного трафика в интернете и представить свои рекомендации Совбезу до 1 июля 2016 года.

По оценке Роскомнадзора, доля шифрованного трафика в России в 2015 году составила порядка 15%, а в 2016-м может превысить 20% (По данным «Ростелекома», доля шифрованного трафика в его сети составляет около 50%). Это угрожает возможностям государства по эффективному контролю коммуникаций в Сети.

Особое беспокойство у регуляторов вызывает end-to-end шифрование мессенджеров, которые к тому же отказываются ставить на своих серверах оборудование типа СОРМ и сотрудничать с ФСБ. «Мессенджеры работают на той же коммерческой «поляне», что и традиционные операторы связи. Но они абсолютно «пиратским» способом «отъедают» у них аудиторию. Можно назвать это недобросовестной конкуренцией. Никто не говорит о чтении переписки граждан в мессенджерах, но для них должны быть выработаны правила существования в России», — говорил в феврале Александр Жаров.

Кроме того, рабочая группа «прорабатывает вопрос» работы с анонимайзерами и Tor. «Речь идёт о шифрованном трафике, роль которого нарастает, о сжатии трафика, как легальном, которое применяется в браузерах и других программах, [так и нелегальном] в иных самодельных способах обхода блокировок: прокси-серверах, анонимайзерах и т.д.», — сказал Жаров.

Он упомянул о необходимости введения некоей «единой системы шифрования, чтобы понимать, что происходит внутри шифрованного трафика».

Рабочая группа предложит меры, что «можно сделать с различными средствами шифрования, которые применяются: сертифицировать их, лицензировать, ограничить количество схем шифрования». Некая немецкая компания уже представила на рассмотрение рабочей группы систему «по аналогии с глубокой фильтрацией пакетов DPI», но только «на уровне шифрованного трафика».

Кроме того, Жаров упомянул об угрозе P2P-мессенджеров в mesh-сети вроде FireChat, которые могут обмениваться сообщениями напрямую, без интернета. Такие приложения, в частности, использовались для коммуникации демонстрантов во время политических волнений в Гонконге: «По сути дела, вне сети сайта идет обмен пакетами информации. Это проблема, потому что таким образом будут продаваться наркотики, распространяться детская порнография и так далее. С этим тоже надо что-то делать», — сказал Жаров.

Независимые эксперты с сомнением смотрят на инициативу НАК: «Сама постановка вопроса о контроле шифрования на сетях связи — на грани нарушения конституционного права граждан на тайну связи», — сказал источник в одном из операторов связи в комментарии для РБК.

Национальный антитеррористический комитет — коллегиальный орган, координирующий и организующий антитеррористическую деятельность органов государственной власти на федеральном уровне, на уровне субъектов РФ и органов местного самоуправления. Образован 15 февраля 2006 года. Председателем комитета является директор ФСБ.

http://www.rbc.ru/technology_and_media/19/04/2016/57163a459a79472b3512770d

https://geektimes.ru/post/274584/

Ой-вей.

Честным людям нечего скрывать.

★★

Последнее исправление: user42 (всего исправлений: 1)
Ответ на: комментарий от sanyock

вот тут утверждается, что MITM для SSH с ассиметричными ключами не работает, по крайне мере, если я правильно понял суть статьи:

«To detect man-in-the-middle attacks SSH clients are supposed to check the host key of the server, for example by comparing it with a known good key

а чтобы втихую ничего не меняя у меня и не зная хотя бы клиентского закрытого ключа перехватить содержимое сессии, а вот с этим то как раз обломс в плане использования типового MITM SSH

Так никто не делает. Через бровзер, при заходе на некий сайт, подправят твой новн_хост и следующий раз при заходе сделают MitM. Современное шифрование в лоб никто не ломает.

MITM невозможен если по надёжному каналу, перед установкой сессии, прошел обмен открытыми ключами или их отпечатками, а при установки сессии идёт строгая и надёжная проверка этих ключей или их отпечатков!

multihead
()
Ответ на: комментарий от multihead

Так никто не делает.

ну почему же, для HTTPS без клиентского серта как раз так и делается и сначала для SSH когда использовались только пароли - был рай для любителей MITM

Через бровзер, при заходе на некий сайт, подправят твой новн_хост и следующий раз при заходе сделают MitM.

броузер в залоченной виртуалке под ограниченным пользователем,
соединения разрешены только через прокси, с которого нет доступа к хосту гипервизора - он же рабочая станция даже для попыток побрутить, да и SSH на хосте отключен, файрвол включен, единственное что он разрешает виртуалке - исходящие на удаленный прокси, так что и брутить то особо нечего

виртуалкой, наверно, может быть LXC контейнер запущенный тоже под ограниченным пользователем, которому почти ничего не разрешено, кроме как отправлять пакеты на удаленный прокси


как добраться до ключей?
наверно, нужен потайной апи в виртуалке для opensource браузера


Современное шифрование в лоб никто не ломает.

я бы не был так уверен, по крайне мере за NSA и тех, кто ими управляет

sanyock ★★
()
Последнее исправление: sanyock (всего исправлений: 3)
Ответ на: комментарий от multihead

MITM невозможен если по надёжному каналу, перед установкой сессии, прошел обмен открытыми ключами или их отпечатками, а при установки сессии идёт строгая и надёжная проверка этих ключей или их отпечатков!


можно проверять ключи скриптом типа такого:

http://pastebin.com/eEBpg2aa


если конечно создатели MITM не умудрятся сделать модификатор сессии, что мне кажется, пока маловероятно, да и всяко вычислить можно, если подумать как, что содержимое сессии подменяется, чексуммами вывода в неожиданных местах и т.п.

sanyock ★★
()
Последнее исправление: sanyock (всего исправлений: 2)
Ответ на: комментарий от sanyock

уже не помню как там в SSH хэндшей проходит, надо перечитать

так то по идее, при знании открытых ключей действительно можно шифровать сообщения при установлении сессии, что они будут нормально расшифровываться на обоих хостах

sanyock ★★
()
Ответ на: комментарий от sanyock

вот тут:
http://www.gremwell.com/ssh-mitm-public-key-authentication

утверждается, что SSH session id разный на каналах до и после MITM узла, так это или нет, я не знаю, надо подробнее про него читать

если это действительно так, то во время выработки сессионного ключа при подписании сообщения закрытым ключом клиента от клиента по направлению к серверу будет отправлено сообщение, которое MITM узел не сможет правильно переподписать, потому что ему неизвестен закрытый ключ клиента

поэтому процесс выработки сессионного ключа будет прерван, сессия НЕ установится, даже если атакующий сопрет все ключи с сервера, а именно оба открытых ключа и закрытый ключ сервера

sanyock ★★
()
Последнее исправление: sanyock (всего исправлений: 1)
Ответ на: комментарий от sanyock

https://utcc.utoronto.ca/~cks/space/blog/tech/SshAndMitM?showcomments#comments

Once the transport is running, SSH attempts public key authentication in the traditional way: it assembles a known block of data, signs it with the private key, and sends the signature to the server to be verified. Note that the client does not send the block of data, just the signature. This known block of data includes the session identifier. Thus, in order to pass user authentication with the server, you need a signature that uses the session ID of your connection to the server. Unless you know the victim's private key (not just their public key), you need to somehow force the client's connection to you to wind up with the same session ID as your connection to the server so that you can simply relay the client's user authentication message to you on to the server.

sanyock ★★
()
Ответ на: комментарий от sanyock

а вот тут про SSL похожую мысль пишут:
https://stackoverflow.com/questions/4529530/is-man-in-the-middle-attack-a-sec...

Interesting. This is similar to using client certificates with SSL/TLS: there's a Certificate Verify message at the end of the handshake, signing the whole handshake so far. The server and the client wouldn't have the same handshake data with a MITM. – Bruno Nov 27 '12 at 17:58

но тут я вообще сам ниче не знаю, даже не пытался изучать подробнее и мне это неинтересно, достаточно одного надежного канала типа SSH

sanyock ★★
()
Последнее исправление: sanyock (всего исправлений: 1)
Ответ на: комментарий от sanyock

удалили соседнюю тему про отключение интернета

мне кажется, существует такое мнение:

трактор - это в первую очередь интерес иностранных банкиров епотечников

причем тут власти РФ?

ну если только не брать в расчет ту часть, которая русофобством занимается и экспортом людей на запад

если отключат, то только на границе,
потому как очень много сейчас внутри страны зависит от интернет

госуслуги, интернет банки, сайты компаний

вероятность исчезновения сети внутри страны очень низкая

значит в случае отключения от внешнего интернета
тут же появится черный рынок со шлюзами куда захочешь
от них достаточно совсем маленького исходящего трафика

входящий пойдет через обычные дешевые однонаправленные тарелки

через тарелки обычно используются ассиметричные OpenVPN туннели,

а из эфира снимать такой трафик наверно еще менее приятно, чем с провода

sanyock ★★
()
Последнее исправление: sanyock (всего исправлений: 2)
Ответ на: комментарий от sanyock

ну почему же, для HTTPS без клиентского серта как раз так и делается

Я 100500 раз писал уже как делается для HTTPS! Смотри мои посты выше.

и сначала для SSH когда использовались только пароли - был рай для любителей MITM

Сегодня - стырить и подменить ключ клиента для кражи пароля использовать кейлогер.

броузер в залоченной виртуалке под ограниченным пользователем...

поверь, добратся до ключа намного проще им дешевле чем попытка расшифровки.

я бы не был так уверен, по крайне мере за NSA и тех, кто ими управляет

Они не идиоты, сильные шифры не ломают, денег и ресурсов понапрасну, для измерения энтропии VPN и прочей херни не тратят.

Они нагибают удостоверяющие центры, взламывают компы пользователей. Подкупают программистов на внесение бекдоров и прочего в шифровальное ПО. Поддерживают кучу стандартов шифров для запутывания пользователей и надеяться на ошибку выбора.

Вот, к примеру, шифрование в TOX определено однозначно и сильно! АНБ и другие *Б соснут энтропии :)

multihead
()
Ответ на: комментарий от multihead

Сегодня - стырить и подменить ключ клиента для кражи пароля использовать кейлогер.

а как быть с многоуровневой аутентификацией?

поверь, добратся до ключа намного проще им дешевле чем попытка расшифровки.

например, хотябы если при открытии хранителя паролей нужны одноразовые криптостойкие пины, генерируемые другими устройствами, которые не подключены к интернет?

sanyock ★★
()
Последнее исправление: sanyock (всего исправлений: 1)
Ответ на: комментарий от sanyock

Речь идёт в первую очередь о НАДЁЖНОМ канале обмена публичными ключами или отпечатками ключей и последующем их НАДЁЖНОМ хранении.

Если этого не будет, то при любом проверяющем скрипте возможна подмена и MitM.

multihead
()
Ответ на: комментарий от multihead

взламывают компы пользователей.

Подкупают программистов на внесение бекдоров и прочего в шифровальное ПО

вот это более правдоподобно

OpenSource ные дистры кто-нибудь аудитит, есть ли более безопасные, чем остальные?

или если прошли аудит от АНБ, значит закладки работают нормально

тогда SELinux - спасение от всех напастей :)



может какой-нибудь другой фонд аудиты проводит? все ставят свои закладки?

sanyock ★★
()
Последнее исправление: sanyock (всего исправлений: 2)
Ответ на: комментарий от sanyock

а как быть с многоуровневой аутентификацией?

Смотри тему топика. Брать за яйца её изготовителя, чтобы всё «шифрованное» можно было просмотреть. Правда у них аналитика нулячая и они пока не видят что другой конец палки скоро ударит уже по их яйцах.

например, хотябы если при открытии хранителя паролей нужны одноразовые криптостойкие пины, генерируемые другими устройствами, которые не подключены к интернет?

Я не люблю сложностей. В целом идея укрепления защиты и безопасности компа очень правильна. Относительно методов их стоит классифицировать по (эффективность+защищаемый диапазон)/(сложность+цена внедрения и поддержки)

multihead
()
Ответ на: комментарий от sanyock

OpenSource ные дистры кто-нибудь аудитит, есть ли более безопасные, чем остальные?

Есть возможность изучения кода и алгоритмов любому желающему. При подозрениях любой может модифицировать или внести закладки.

или если прошли аудит от АНБ, значит закладки работают нормально

Да, в САШ есть закон запрещающий экспорт любых безопасных ИТ технологий. Если дистрибутив распространяют из САШ значит безопасности там нет.

тогда SELinux - спасение от всех напастей :)

Это была шутка? Я пользуюсь gradm от grsecurity.net они со стран Европы где законы не запрещают экспорт безопасных ИТ технологий.

может какой-нибудь другой фонд аудиты проводит?

Если дают сертификат о отсутствии НДВ то значит аудиты проводят.

Сами Разрабы смотрят что другие коммитят.

все ставят свои закладки?

нет, большинство хороших, но и виновников данной темы тоже хватает.

multihead
()
Ответ на: комментарий от multihead

Смотри тему топика. Брать за яйца её изготовителя, чтобы всё «шифрованное» можно было просмотреть. Правда у них аналитика нулячая и они пока не видят что другой конец палки скоро ударит уже по их яйцах.

ну вот к примеру, есть девайс с дисплеем без подключения к интернет, Android, J2ME или еще что-то

на нем запускается opensource программа, исходник которой несколько сотен строк, в котором даже студент или школьник разберется достаточно быстро

программулина в интернет не подключается, да его и физически нет в упомянутом девайсе
все, что она делает - генерит новые криптостойкие пины,

как влиять на ее разработчика, если он даже и не занимается ей давно?

без этих пинов остается только брутфорсить (по крайне мере если втихую)?

аналогично, прога, которая использует пины на компе тоже OpenSource и ее наверняка многие проверяют, потому как она очень популярна

sanyock ★★
()
Последнее исправление: sanyock (всего исправлений: 9)
Ответ на: комментарий от sanyock

аналогично, прога, которая использует пины на компе

Вот с этим компом и займутся.

Безопасность это не прога с пинами, а система в целом! В первую очередь безопасность начинается с ядра Linux, компилятора gcc, системной С библиотеки glibc и системных утилит binutils. Все эти четыре компонента настолько критичны для безопасности, что пины пароли и шифры могут попросту оказаться не нужными.

Пользуетесь ли вы безопасной операционной системой?

Что касается НДВ, то лично беру исходники проектов которые мне кажутся надёжными, сверяю по хешах или подписях и компилю для себя сам. Примерные опции сборки. Кто знает что производитель дистра в бинари понасоберал.

multihead
()
Ответ на: комментарий от sanyock

Начни укрепление безопасности с этого сайта https://grsecurity.net/

SELinux забуть и неупоминай в приличном обществе. Используй патчи ядра grsecurity и gradm для RSBAC.

А шифрование потом приложится...

multihead
()
Ответ на: комментарий от multihead

Вот с этим компом и займутся.

ну если это древняя железяка еще времен дружной глобализации

как ей можно незаметно заняться? ее уже давно не разрабатывают
можно купить БУ

и как незаметно с ней что-то сделать?

только стащить ее хотя бы ненадолго и быстро скопировать с нее?

sanyock ★★
()
Ответ на: комментарий от sanyock

еще времен дружной глобализации

Я помню только времена войны. Никогда никакой «дружной глобализации» не было. По нас *уярили, *уярят, и будут *уярить, просто слепым поводырям бразги крови казались дождиком.

как ей можно незаметно заняться?

В сеть воткнута, тогда через сеть. Не в сети, тогда через флешку.

multihead
()
Ответ на: комментарий от multihead

В сеть воткнута, тогда через сеть. Не в сети, тогда через флешку.

ну к примеру, это может быть сотовый телефон из которого
«напильником» выкорчевана антенна и даже часть GSM тракта

в нем есть только внутренняя память без внешних слотов и капроновый шнур, которым он пристегнут к джинсам

еще кабель для обмена данными с компом, который использовался только один раз для заливки апплета

т.е. такой девайс никогда никуда не подключается, только одноразовые пароли всегда разные на экране показывает

sanyock ★★
()
Ответ на: комментарий от multihead

Вот с этим компом и займутся.

перепутал комп с генератором паролей в нескольких последних сообщениях

да, если прога - хранитель паролей окажется скомпроментированной, т.е. если она будет сливать пароли мимо моего желания хотя бы после ввода пина, то от этого конечно не легче

sanyock ★★
()
Ответ на: комментарий от multihead

Начни укрепление безопасности с этого сайта https://grsecurity.net/

очень интересно,
спасибо за ссылку

SELinux забуть и неупоминай в приличном обществе. Используй патчи ядра grsecurity и gradm для RSBAC.

у меня сразу подозрения были по поводу SELinux в связи c так сказать его происхождением

sanyock ★★
()
Ответ на: комментарий от sanyock

да, если прога - хранитель паролей окажется скомпроментированной, т.е. если она будет сливать пароли мимо моего желания хотя бы после ввода пина, то от этого конечно не легче

Это хрень, выбрось пины и не используй! В упор не вижу как, хоть теоретически они могут усилить безопасность. Только церебральный секс с какими-то кодами и тормоза с их вводом.

multihead
()
Ответ на: комментарий от multihead

Это хрень, выбрось пины и не используй! В упор не вижу как, хоть теоретически они могут усилить безопасность. Только церебральный секс с какими-то кодами и тормоза с их вводом.

допустим, набираешь пароль хранителя остальных паролей, его читают через ПЭМИ

потом незаметно тырят базу с паролями

но увы без одноразовых паролей она не открывается

sanyock ★★
()
Последнее исправление: sanyock (всего исправлений: 2)
Ответ на: комментарий от multihead

Ты поищи дистрибутивы которые полностью интегрировали все возможности Grsecurity и PAX.

в Debian идут работы в SID

и еще есть какие-то сайты с ядрами и мануалы по самостоятельной сборке

sanyock ★★
()
Ответ на: комментарий от sanyock

Я не пользуюсь мастер паролями и инструментами хранения паролей.

Для хранения секретной информации можно просто шифровать файл:

Хоть простым gpg, создаёшь секретный, запароленый ключ на флешке. Потом им шифруешь-расшифровываешь файл. Из минусов пропадёт всё если забудешь пароль или потеряешь флешку. Также данная технология не спасает если система уже взломанная или имеет слабую защиту.

multihead
()
Ответ на: комментарий от multihead

Для хранения секретной информации можно просто шифровать файл:

неудобно, некомфортно

Хоть простым gpg, создаёшь секретный, запароленый ключ на флешке.

спереть через троян запароленный ключ на флэшке все же проще, чем ключ, который в расшифрованном виде кратковременно появляется только в оперативке и потом сразу же исчезает

кроме того, пароль к ключу на флэшке утечет по ПЭМИ,

а пины всегда разные, ПЭМИ тут никак не поможет

sanyock ★★
()
Последнее исправление: sanyock (всего исправлений: 3)
Ответ на: комментарий от sanyock

неудобно, некомфортно

Почему? Шифрование GPG просто и железобетонно надёжно. Попробуй..

спереть через троян

Я потому и склонил разговор в сторону PAX & Grsecurity. В первую очередь безопасность системы в целом, потом уже шифрование.

multihead
()
Ответ на: комментарий от multihead

Hardened Gentoo и кучи его дочерных сборок, клонов Alpine, ...

интересная штуковина, наверно хороша для гипервизора text mode only - получилось бы близко к идеалу
а в некоторых виртуалках уже можно крутить что-то более удобное типа Debian, пусть и более дырявое

на форумах упоминают, что в иксах якобы куча специально сделанных дыр

sanyock ★★
()
Ответ на: комментарий от multihead

Почему? Шифрование GPG просто и железобетонно надёжно. Попробуй..

да я же не спорю, что шифрование GPG - хорошее
вопрос в другом, как защитить ключ от атаки через ПЭМИ?

и тут GPG навряд ли чем то поможет или у них есть плагин для HOTP пинов?

sanyock ★★
()
Ответ на: комментарий от sanyock

Hardened Gentoo хорош и для десктопа и для сервера. Некоторые классические дыры в Х он закрывает.

wayland в кедах уже пригоден для использования. В нём кейлогер тежелей всунуть.

multihead
()
Ответ на: комментарий от multihead

Я потому и склонил разговор в сторону PAX & Grsecurity. В первую очередь безопасность системы в целом, потом уже шифрование.

так то я на дистрах deb привык работать

очень нравится SystemRescueCD (на базе gentoo), но это LiveCD, на нем заранее много полезного собрано и установлено, не надо ничего компилировать

хотя возможно Gentoo как раз тем и лучше, что можно сверять чек суммы его исходников в его пакетах с оригинальными например на github?

у меня даже на обновления Debian систем уходит достаточно много времени, вообще не представляю во сколько раз больше ушло бы на Gentoo с учетом необходимости перекомпилировать

а нет ли дистра типа Gentoo, где были бы готовые сборки как Sabayon, но чтобы можно было легко верифицировать контрольные суммы исходников при желании

т.е. например запускаем некий скрипт, он тихонечко пересобирает список критически важных пакетов и сравнивает результирующие сборки с теми, что установились из репов уже собранные заранее

или нынче бинарники получаются сильно разные в разных условиях? нельзя задать какие-то определенные параметры для повторяемой сборки из сорцов

сам то я кроме make install особо не разбирался со сборкой из исходников

в Debian ведь тоже есть сорцовые репы, может они как раз для таких проверок и предназначены

sanyock ★★
()
Последнее исправление: sanyock (всего исправлений: 2)
Ответ на: комментарий от sanyock

Применяют общие техники защиты, которые закрывают целые классы уязвимостей: https://en.wikibooks.org/wiki/Grsecurity/Appendix/Grsecurity_and_PaX_Configur...

Список технологий пополняется и усовершенствуется https://www.opennet.ru/opennews/art.shtml?num=44320 закрывая новые теоретические уязвимости.

Если ты хочешь чтобы я рассмотрел какой-то конкретный вид атаки в конкретном случае опиши его, кратко но понятно и без аббревиатур. Постараюсь указать список техник защиты для его предотвращения.

multihead
()
Ответ на: комментарий от multihead

мне бы:

1) научиться автоматически проверять не добавил ли маинтейнер пакета новых закладок, желательно в debian

часть левых троянов, наверно, можно найти простой сверкой чексум файлов установленных пакетом, а как быть если троян уже в пакете, хотя на github его не было?

2) выбрать удобный Gentoo based дистр в котором есть grsecurity и в то же время пакеты собраны уже заранее, т.е. на надо компилять

sanyock ★★
()
Ответ на: комментарий от sanyock

т.е. например запускаем некий скрипт, он тихонечко пересобирает список критически важных пакетов и сравнивает результирующие сборки с теми, что установились из репов уже собранные заранее

Это очень дорого, для Дебиана точно разрабатывалась эталонная система сборки, как раз для верификации бинарников и зборки пакетов. Ищи в инете.

Для директоров и юристов есть понятие сертификации, вызывающая доверие фирма (ФСБ, МО РФ, ФСТЭК) проводит проверки по своим стандартам и выдаёт сертификат НДВ, которому можно доверять.

или нынче бинарники получаются сильно разные в разных условиях? нельзя задать какие-то определенные параметры для повторяемой сборки из сорцов

Надо эталонную систему и конечно опции configure и сами исходные тексты должны совпадать.

multihead
()
Ответ на: комментарий от multihead

Для директоров и юристов есть понятие сертификации, вызывающая доверие фирма (ФСБ, МО РФ, ФСТЭК) проводит проверки по своим стандартам и выдаёт сертификат НДВ, которому можно доверять.

AstraLinux Community Edition содержит подмножество пакетов из Special Edition? т.е. пакеты один в один с теми же чек суммами или хотябы их исходники?

есть ли какое-либо преимущество с точки зрения безопасности от использования Астры Community по сравнению с Debian?

Астру ведь из Debian вроде готовят или раньше готовили? во время ее приготовления нашлись ли бэкдоры в базовом дистре, которые пришлось вычищать разработчикам Астры?

А вообще у нас получается только 2 сертифицированно безопасных дистра в РФ: Астра и МСВС?

sanyock ★★
()
Последнее исправление: sanyock (всего исправлений: 5)
Ответ на: комментарий от sanyock

1) научиться автоматически проверять не добавил ли маинтейнер пакета новых закладок, желательно в debian

Ищи в инете, такой проект точно был и кучу бабла в него вбухали.

часть левых троянов, наверно, можно найти простой сверкой чексум файлов установленных пакетом

Да системы переодической проверки установленных пакетов или при каждом запуске есть и их стоит использовать.

Лучше опции монтирования:

/, /usr - ro

/home, /tmp, /var - noexec

и

echo "kernel.grsecurity.romount_protect = 1" >> /etc/sysctl.conf

Всё что исполняется не должно изменятся, а что изменяется не должно исполнятся!!!

а как быть если троян уже в пакете, хотя на github его не было?

Никак, у тебя на это просто нет ресурсов. Вспоминается прикол с vsftpd, когда во всех дистрах кроме Gentoo он шёл с трояном :)))

2) выбрать удобный Gentoo based дистр в котором есть grsecurity и в то же время пакеты собраны уже заранее, т.е. на надо компилять

Были такие и периодически появляются. Но безопасность требует чуть больших затрат, внимания и прочего... Лично у меня нет на это ресурсов.

multihead
()
Ответ на: комментарий от multihead

во всех дистрах кроме Gentoo он шёл с трояном

это, получается, один и тот же маинтейнер намаинтейниил?

а почему в Gentoo без трояна?

Gentoo разве с сайта разработчика качает при сборке?

Ведь можно и в Gentoo задать другое место для закачки исходника или еще какие-то проверки есть?

sanyock ★★
()
Ответ на: комментарий от multihead

Никак, у тебя на это просто нет ресурсов.

так то я подумываю, что надо бы хотя бы text mode дистр найти, в котором хотя бы SSH, файрвол и другие важные либы совпадают с тем, что было задумано их авторами

наверно, на эту роль Gentoo хорошо подойдет

можно хотя бы роутер и гипервизор сделать менее троянистый, чем в среднем по больнице

sanyock ★★
()
Последнее исправление: sanyock (всего исправлений: 2)
Ответ на: комментарий от sanyock

а почему в Gentoo без трояна?

Сайт разраба был взломан или каким-то другим образом архив релиза был изменён через некторое время.

В gentoo очень строгая проверка по цифровым подписям и разным хешам. Как минимум сверяются три хеш функции SHA256, SHA512 и WHIRLPOOL. В дополнение может учитываться подпись GPG.

Другие дистростроители видать не проверили или не обратили внимание на несоответствие.

multihead
()
Ответ на: комментарий от sanyock

пишут, что у них MAC/RBAC дырявее бесплатных дистров

Не ко мне вопросы!

multihead
()
Ответ на: комментарий от multihead

Сайт разраба был взломан или каким-то другим образом архив
релиза был изменён через некторое время.




если бы архив релиза был изменён до того, как был сформирован хотя бы метапакет gentoo

В gentoo очень строгая проверка по цифровым подписям и разным хешам. Как минимум сверяются три хеш функции SHA256, SHA512 и WHIRLPOOL. В дополнение может учитываться подпись GPG.

то как бы помогли эти проверки? с чем бы они сравнивали?

подмененные исходники с авторского сайта сравнивались бы с чем?

sanyock ★★
()
Последнее исправление: sanyock (всего исправлений: 1)
Ответ на: комментарий от sanyock

Дело было в середине 2000, помню только факт: в gentoo репозиторий vsftpd попал без трояна, а в остальные с трояном.

Надо сверять как минимум хеш сумы и подписи архива с исходниками.

Можно скачать с git и сделать релиз у себя, также скачать архив релиза и сделать diff между ними. Если есть разница в репозиторий залить пакет на основе git.

multihead
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.