Default installation

0
HoLY
Open source sistemlerin güvenlik bakımından kişiye daha bi güven verdiği tartışmasız. Gerçi geçen sene içinde *nix ve türevlerinde bulunan güvenlik açıkları sayısının Windowsa oranla baya bi fazla olmasına rağmen biz genede *nix diyoruz.:)Konuya gireyim,Default installation yapılmış bir sistem internet üstünde ne kadar süre sizce hacklenmeden kalabilir.Süreleri görünce gerçekten şaşırdım, adamlar boş durmuyor. Test amaçlı 4 tane redhat 6.2 sistemi default olarak yükleyip üstündeki aktiviteleri gözlemlemişler.Makinelerden birisinin hacklenme süresi 26 dakika, sistemlere yükledikleri bash key stroke loggerlar sayesinde de ne gibi faliyetlerde bulunulduğunu incelemişler.Konuyla ilgili ayrıntılı bilgi bu linkte. http://www.lucidic.net

Görüşler

0
tongucyumruk
Doğru özellikle linux sistemler default kurulumda birçok server (en azından smtp server) kuruyorlar. Ancak testte RedHat kullanılması bence özellikle hatalı. Zira RedHat genelde güvenlik açıkları konusunda neredeyse MS sistemleri kadar zayıftır. (Özellikle Nessus seminerine gelmiş olanlar sunumda gösterilen grafiklerden hatırlayacaklardır) Bunun sebebi RedHat'in bir sürüm çıkarırken bulunan en yeni paketleri kullanmasıdır. Henüz güvenliği yeterince test edilmemiş paketler default olarak kurulunca da tabiiki 26 dakikada kırılabilen bir sistem elde edersiniz. Örneğin Caldera gibi bir dağıtım kullanmanız halinde default kurulum çok daha güvenli olacaktır zira Caldera en son paketleri değil en stable paketleri kullanmaya özen gösterir.

Tabii bunun yanında keşke BSD serisinden de denemeler yapsalardı diyorum. Sonuçta bence RedHat gibi güvenlik konusunda pekte iyi bir şöhrete sahip olmayan bir dağıtımın genel olarak Unix sistemlerin güvenliği konusunda referans alınması yanlış olur kanaatindeyim ben.
0
sundance
Valla RedHat 6.2 resmen kotu unlu bir dagitim. Direkt icindeki Wu-FTP`den itibaren (Wu-FTP; serving you root since 1996 :) bir cok exploite sahip ve Bastille kurulmadan ustune kullanilmasi cok tehlikeli.

Ote yandan gecen sene bir guvenlik urununun ozelliklerini okumustum. Program, ustunde bulundugu isletim sistemi ne olursa olsun, nasil exploitler olursa olsun, devamli hareketleri inceleyip, root bile ters bir sey yaparsa onu devre disi birakiyordu. Ve dolayisiyla default full install bir RedHat 6.2'i bile acaip guvenli hale getiriyordu. Bulursam yollarim linkini

0
conan
OK ama wuftpd konusunda burada bir sorun var. Cunku Redhat 6.2`nin release tarihi Mart 2000, en meshur wuftpd format string hatasinin bulunus tarihi Haziran 2000. RedHat`in guvenligini wuftpd ile olcmek yanlis bir yontem olabilir.

Ayrica bugun bircok linux dagitimi (nedense) finger telnet rpc gibi servisleri dogrudan (x)inetd icerisinden acik olarak bilgisayara kuruyorlar. Bence bu oldukca yanlis bir secim. Zaten de holynin haberindeki paper da bunu dogrular sonuclara variyor. Bence dunya uzerindeki linux kurulumlarinin ancak %10unun bu tip servislere ihtiyaci var. O %10un adminleri de eminim bu sistemleri nasil calistiracaklarini biliyorlar. Dolayisiyla eve gelen Linux dagitiminin daha farkli bir ayarla gelmesi gerekli.
0
sundance
Tabi ki deðil. Bunun yanýnda default kurulum denen olayýn zaten açýkcasý çok güvenlikle alakasý yok. FreeBSD, OpenBSD Linux`a büyük fark atýyorlar default kurulumda ama zaten bilen adam için çok da önemli þeyler deðil bunlar. Öte yandan hatýrladýðým kadarýla RedHat 6.2`nin en büyük exploiti zaten Wu-Root deðil, bir baþka exploitti. Galiba PAM modülüyle ilgiliydi yanlis hatirlamiyorsam, bir default password olayiydi ama. Neyse, Bastille iyidir sonuçta :)
Görüş belirtmek için giriş yapın...

İlgili Yazılar

Gizli anahtarlarınızı gizleyemezsiniz!

tongucyumruk

İngiliz ulusal güvenlik ajansı Home Office, 2000 yılında çıkan RIPA adlı yasanın üçüncü bölümündeki bugüne kadar kullanmaya başlamadğı hakkını kullanmak yönünde hazırlıklara başladı. Sözkonusu yasanın üçüncü bölümü İngiliz polisine ihtiyaç duyması halinde kişilerin açık anahtar tabanlı şifreleme uygulamalarında kullanılan gizli anahtarını isteme hakkını tanıyor. Gizli anahtarını teslim etmeyi reddedenler içinse hapis cezası öngörülüyor.

NetSec Topluluğu Ankara Buluşması - 7 Kasım 2010

anonim

7 Kasım’da Labris Teknoloji sponsorluğunda, Ankara EMO’nun ev sahipliğinde Ankara’lı NetSec üyeleriyle bir buluşma toplantısı düzenliyoruz. Vakti olan ve bu güvenlik dünyasının insanları nasıl şeylermiş diye merak eden tüm herkes davetlidir.

Distributed Denial of Service´a (dDoS) karşı nasıl bakakalınır?

conan

Steve Gibson, Gibson Araştırma merkezinin güvenlikten sorumlu elemanı(Soyadından çıkardığım kadarıyla da kurucusu olabilir), sayfasında 4 Mayıs 2001 günü grc.com sitelerine yaşadıkları dDoS saldırısını en ince ayrıntılarına kadar anlatmış. Bir sistem yöneticisi ve saldırıyı an an yaşayan `güvenlik görevlisi`nin bakış açısından saldırıyı bu linkten okuyabilirsiniz. Bence alınacak ilginç dersler var. Aynı yazıyı pdf formatında da indirebilirsiniz.

Ayrıca Steve'in hackerlara karşı yazdığı açık mektubu da okumanızı tavsiye ederim :)

LKD listeleri yeniden düzenleniyor

rootshell

Linux.org.tr´da Mustafa Akgül hocamızın imzasıyla yayınlanan açıklamaya göre LKD listeleri çıkan bir problem yüzünden yeniden oluşturulmuştur, eski üyeler ve yenileri lütfen müdüriyete ;)

Rootshell´e not: Lütfen bir dahaki sefere metni aldığın yerin urlini yazarsan, haberine müdahale etmek zorunda kalmayız.

Güvenli veya kolay: Birini seçmek zorunda mıyız? (veya: WhatsApp gerçekten güvenli mi?)

tongucyumruk

Geçtiğimiz hafta ortalık The Guardian'ın yayınladığı WhatsApp'taki güvenlik açığı mesajlarınızın dinlenmesini mümkün kılıyor haberi ile çalkalandı. WhatsApp'ın da kullandığı Signal protokolünü geliştiren Open Whisper Systems'tan cevap gelmekte gecikmedi: WhatsApp'ta bir arka kapı yoktur. Peki ne oldu? Gündemi takip edemeyenler için bir TL;DR sunmakta fayda olacağını...