[security] livello di sicurezza chroot?

Tiro · l33t Joined: 14 Feb 2003 Posts: 752 Location: italy

ciao a tutti,
mi chiedevo che livello di sicurezza ci sia in un ambiente chroot dove girano dei server. Nel mi caso specifico ssh e mldonkey. A breve anche apache2 . Il chroot NON è su una partizione separata bensì su /mnt/qualcosa all'interno della partizione principale.
Lo stage adoperato per questo chroot è uno stage3-hardened (privo di su, ps, modprobe, ecc...). All'occorrenza vengono montate /usr/portage, /dev e /proc con:

.:chrome:.

di documenti, riguardo all'evasione da chroot, ce ne sono parecchi, e di certo ti forniranno informazioni migliori di quelle che potresti trovare in questo forum.
considera che, in generale, puoi aumentare la sicureza mediante aggeggi come GRSecurity o il solo PaX.
e soprattutto CONSIDERA CHE ESEGUIRE PROGRAMMI E SERVIZI CON PRIVILEGI DI ROOT È PERICOLOSISSIMO E SBAGLIATO

CLod · Apprentice Joined: 23 Nov 2004 Posts: 280

direi livelli non altissimi di sicurezza ma cmq un "qualcosa in +"

tieni conto che con un semplicissimo programma in C riesci ad uscire dalla jail
_________________
http://clod.gruppoimi.it -> my personal site
new zealand immigration...

shev

Cazzantonio

Il criterio da usare per chroot sarebbe quello di lasciare nella prigione solo i file essenziali per l'esecuzione dei demoni "imprigionati"... da quanto ho capito utilizzi uno stage vero e proprio (ovvero un'installazione pressoché completa) nella prigione di chroot.... in questo modo la prigione è "quasi" inutile...
Ti consiglio di creare prigioni che contengono solo le librerie utilizzate dai programmi imprigionati ed eventualmente i programmi che si appoggiano su di queste
inoltre MAI lanciare un demone di rete come root (a meno che non ti interessi un livello di sicurezza minimo)

per chrootare mldonkey ti consiglio questo tip
https://forums.gentoo.org/viewtopic-t-185310-highlight-chroot+mldonkey.html
_________________
Any mans death diminishes me, because I am involved in Mankinde; and therefore never send to know for whom the bell tolls; It tolls for thee.
-John Donne

Tiro · l33t Joined: 14 Feb 2003 Posts: 752 Location: italy

Cazzantonio · Posted: Fri Apr 29, 2005 3:07 pm Post subject:

per mldonkey e ssh puoi anche fare a mano con uno script simile a quello che ti ho segnalato...
P.S. a cosa serve mettere sshd in chroot? ssh serve per accedere al sistema dall'esterno... ti interessa accedere al sistema chrootato?
_________________
Any mans death diminishes me, because I am involved in Mankinde; and therefore never send to know for whom the bell tolls; It tolls for thee.
-John Donne

fabius · Guru Joined: 29 Nov 2004 Posts: 525

Cazzantonio · Posted: Fri Apr 29, 2005 4:42 pm Post subject:

fabius · Guru Joined: 29 Nov 2004 Posts: 525

stefanonafets · l33t Joined: 10 Feb 2003 Posts: 644

Oppure un server ssh fuori dalla chroot che risponde solo alla 127.0.0.1 (penso che cmq non sia una cosa troppo utile, cmq certo non "pulita", imho) ...
_________________
registered Linux user number #411324
sed 's/ke/che/g'

<The Deployment Slave is initializing>

.:chrome:. · Posted: Fri Apr 29, 2005 6:05 pm Post subject:

Tiro · l33t Joined: 14 Feb 2003 Posts: 752 Location: italy

no, sshd mi serve semplicemente per riavviare il servizio da remoto in caso di problemi...

Cazzantonio · Posted: Mon May 02, 2005 12:57 pm Post subject:

puoi riavviarlo anche se ti connetti fuori dal chroot :wink:

Con lo script che ti ho postato puoi facilmente lanciare mldonkey in ambiente chroot semplicemente con un comando, per apache ci sono una quantità di howto a giro che hai solo l'imbarazzo della scelta :wink:

_________________
Any mans death diminishes me, because I am involved in Mankinde; and therefore never send to know for whom the bell tolls; It tolls for thee.
-John Donne

Tiro · l33t Joined: 14 Feb 2003 Posts: 752 Location: italy

Cazzantonio · Posted: Mon May 02, 2005 4:56 pm Post subject:

.:chrome:.

ma... al di là di tutto...
come mai questa scelta di mettere in chroot il mondo intero?
per esperienza, guarda che non è mai una scelta felice. il server in chroot te lo devi fare te a mano, e ovviamente non si aggiorna con il sistema, e quando c'è da aggiornare ti garantisco che sono c@**i che spuntano dalla sedia, perché è molto facile che non funzioni più... e se hai più server in diverse chroot è anche peggio... inizi a ritrovarti in giro per il sistema versioni diverse della stessa libreria e non sai più a chi appartengono...

ci sono altre soluzioni, che garantiscono uguale sicurezza, ma che non rischiedono tutto quel lavoro. prova a farci un pensierino

Ic3M4n · Posted: Tue May 03, 2005 7:37 am Post subject:

Tiro · l33t Joined: 14 Feb 2003 Posts: 752 Location: italy

meglio usare il pacchetto jail?? o ci sono altre soluzioni per il chroot che intendete voi??

Ic3M4n · Posted: Tue May 03, 2005 10:39 am Post subject:

dai un'occhiata a questo. http://www.gentoo.org/doc/it/uml.xml
in ogni caso si sta parlando molto di questa caratteristica di linux.
mi spiace ma non so dirti niente di approfondito perchè per pigrizia e per tempo non ho ancora avuto tempo/voglia di farlo.

Tiro · l33t Joined: 14 Feb 2003 Posts: 752 Location: italy

si ho già provato l'uml col kernel 2.6 ma non va una cippa...non finisce manco di compilare...ad ogni modo avevo provato jail ma non mi faceva chrootare...ad ogni modo appena avrò sotto mano il computer affronterò il problema in modo più legittimo

Ic3M4n · Posted: Tue May 03, 2005 11:30 am Post subject:

Tiro · l33t Joined: 14 Feb 2003 Posts: 752 Location: italy

Ic3M4n · Posted: Tue May 03, 2005 11:48 am Post subject:

non lo so non l'ho provato, come ho scritto poco sopra. almeno, non ancora. però se una cosa funziona in una distro non vedo il perchè non debba funzionare in un altra. alla fine dopotutto... sempre linux è.
in più non vedo perchè non debba funzionare con gentoo visto che siamo arrivati ad avere anche un how-to ufficiale in italiano.
va beh prometto che appena riesco gli do un'occhiata. a questo punto la storia inizia ad incuriosirmi.

Tiro · l33t Joined: 14 Feb 2003 Posts: 752 Location: italy

mi riferisco al fatto che uml con gentoo devi necessariamente compilarlo, con altre distro installi i binari. Con il kernel 2.6 ho incontrato difficoltà nell'emergerlo. Probabilmente funziona meglio col kernel 2.4...