http://wiki.linuxformat.ru/wiki/index.php?action=history&feed=atom&title=LXF115%3ASafetyRules 2026-05-13T17:49:15Z История изменений этой страницы в вики MediaWiki 1.19.20+dfsg-0+deb7u3 http://wiki.linuxformat.ru/wiki/index.php?title=LXF115:SafetyRules&diff=10122&oldid=prev 2010-04-27T07:14:20Z

<p>викификация, оформление</p> <p><b>Новая страница</b></p><div>==10 лучших советов по безопасности Linux==<br /> <br /> : Заприте вашу машину на замок с помощью списка '''Грэма Моррисона''', укрепляющего безопасность вашей системы. Нарушители, прочь!<br /> <br /> Большая часть статей по безопасности в Linux уходят корнями в испытанные временем практики Unix. Поэтому все они бьют в одну и ту же точку: запереть<br /> сеть, минимизировать риск для системы ограничением<br /> доступа только теми, кому он действительно нужен. Потом делается вывод, сводимый к старому афоризму: «лучше перебдеть,<br /> чем недобдеть».<br /> <br /> Такие технологии не то что бесполезны, но нередко неприменимы к типовой установке. Мы вдохнем новую жизнь в старую<br /> идею с помощью списка советов, подходящих всем. Благодаря<br /> им, ваша жизнь станет во много раз безопаснее. Пусть даже вы и<br /> не учтете все пункты – отказ от хотя бы одной плохой привычки<br /> будет добрым делом.<br /> <br /> ===Без паники!===<br /> <br /> Главная проблема безопасности, с которой сталкиваемся мы,<br /> типичные пользователи, это наша собственная неуместная уверенность, что неприятностей не будет – мы стали нечувствительны к риску. Мы притерпелись к бессчетным обещаниям надвигающихся бедствий, вплоть до того, что куда ни зайдешь в Интернете,<br /> везде каркают о неминучей катастрофе. А поскольку покамест<br /> ничего не произошло, возникает ложное чувство безопасности.<br /> Однако границы онлайн-мира расширяются, не все их участки<br /> сразу же обретают защиту, и если вы не пали жертвой атаки, это<br /> только вопрос времени. К счастью, вы уже предприняли важный<br /> шаг по улучшению безопасности вашей системы – перешли на<br /> Linux. Худо ли, хорошо ли, но Linux не столь популярная мишень,<br /> как, например, Windows XP. Увы, в Linux столько приложений для<br /> мирового господства, лакомых для хакеров – и готовых, и доступных через менеджер пакетов – что риск все равно остается.<br /> <br /> Ваша безопасность зависит от способа применения вашего<br /> компьютера. Если вы владелец сервера, вы под большей угрозой, чем обычный пользователь настольной системы. Если вы по<br /> случаю сели за ''Tetris'' на 486DX ваших родителей, вы, вероятно, в<br /> безопасности. Но это не значит, что пользователям настольной<br /> Linux-системы можно почивать на лаврах. Многие из нас освоили<br /> компьютеры в давние времена, еще до прихода широкополосной<br /> связи, и это делает нас уязвимыми для угроз, которые мы недооцениваем. Пока вы всего лишь сбрасываете почту через медлен-<br /> ный телефонный модем, ваш компьютер находится почти в пол-<br /> ной сохранности, но если машина всю ночь подключена к 8-МБит<br /> широкополосной сети – это совсем другое дело.<br /> <br /> Безопасность системы немного похожа на оборону средневекового замка. Имея один вход, защищенный рвом (IP-адрес),<br /> подъемной решеткой (брандмауэр) и прочными воротами (механизм аутентификации), замок очень надежен. Но если вы приметесь пробивать другие ворота, держать решетку поднятой и допускать пересыхание рва, вы сильно снизите сопротивляемость замка любому потенциальному захватчику.<br /> <br /> ===Системный администратор===<br /> <br /> ====Работает ли брандмауэр?====<br /> <br /> Пять лет назад выход в Сеть без брандмауэра считался глупостью,<br /> но сейчас некоторые дистрибутивы (например, Ubuntu), даже не<br /> включают его по умолчанию. Почему? Так ведь брандмауэр умеет<br /> только блокировать доступ из Интернета к опасным службам на<br /> вашем компьютере. Широкополосные маршрутизаторы обычно снабжены брандмауэром, а в стандартной установке Ubuntu<br /> отсутствуют интернет-службы, и брандмауэру делать нечего. Но<br /> вовсе не сложно поменять настройки или что-нибудь установить,<br /> и возникает уязвимость. В частности, рискованным представляется совместное использование файлов с Windows через ''Samba'', а<br /> порты, отведенные LAN-протоколу, не должны быть достижимы<br /> из Иинтернета. Тут уж брандмауэр необходим.<br /> <br /> К счастью, для его установки достаточно пары щелчков мыши.<br /> В ядре Linux функция брандмауэра есть по умолчанию, так что по<br /> сути добавляется лишь графическая оболочка. Наша любимая<br /> зовется ''ufw''. Это утилита командной строки; в системах Ubuntu<br /> она установлена, но не активирована. Для запуска брандмауэра и<br /> блокирования всех входящих соединений введите ''sudo ufw enable'',<br /> затем ''sudo ufw default deny''. Потом сделайте исключения для нужных вам служб. Например, если у вас сервер ''SSH'', для разрешения<br /> подключений к порту '''22''' (вариант по умолчанию) введите ''sudo ufw allow ssh''. Интерфейс ''Gufw'' упрощает настройку.<br /> <br /> '''ЭФФЕКТИВНОСТЬ: 7/10'''<br /> <br /> ====Включите WPA на маршрутизаторе====<br /> <br /> Сейчас многие пользуются беспроводной сетью. Но стандартная схема безопасности, бывшая в ходу пару лет, легко<br /> взламывается. По мере передачи достаточного объема данных любая машина сумеет распознать ключи, используемые<br /> в сети с WEP, примерно за час. Если вы живете на хуторе<br /> Большие Грязи, проблемы вряд ли возникнут, но в густонаселенном городе это уже не так. Чем больше людей находится в радиусе действия вашей точки доступа, тем больше вероятность, что кому-то из них захочется взломать вашу<br /> систему. Это делается практически анонимно, и вы в жизни<br /> не отследите местонахождение злоумышленника.<br /> <br /> Исправления на скорую руку, типа запрета на вещание<br /> имени вашей точки доступа или фильтрация MAC-адресов,<br /> здесь не помогут – перехватчик все равно извлечет эту<br /> информацию из ваших данных. Полностью защитить их сможет только шифрование на вашем маршрутизаторе, и если<br /> он не поддерживает ничего получше WEP, задумайтесь о покупке нового. Ищите модель, поддерживающую WPA, или,<br /> в идеальном случае, WPA2 – в любом из этих случаев ваши<br /> подключения будут куда безопаснее, чем с WEP. Большая<br /> часть современных маршрутизаторов поддерживает WPA2,<br /> но придется поменять на WPA также и клиентское оборудование. Единственное известное нам устройство без поддержки WPA – Nintendo DS.<br /> <br /> '''ЭФФЕКТИВНОСТЬ: 8/10'''<br /> <br /> ===Обслуживание===<br /> <br /> ====Ваша система обновлена?====<br /> <br /> Безопасность – это в общем-то здравый смысл, и легко додуматься, что самое очевидное – вести систему в ногу со временем.<br /> Однако этим легко пренебречь, если вы не понимаете, зачем нужны обновления. Проблема в том, что рядовая установка обычно<br /> содержит сотни программ и приложений, каждое из которых не<br /> свободно от ошибок. Если уязвимость критична, хакер проложит<br /> через нее дорожку к вашей системе.<br /> <br /> Именно поэтому следует как можно скорее добывать исправленные версии скомпрометированных приложений, и практически любой серьезный дистрибутив Linux содержит утилиту для быстрого скачивания исправлений и имеет срок жизни, который истекает, когда разработчики уже не в состоянии выпускать обновления. Например, Ubuntu 8.10 будет исправляться до 2010 года, а версии с долгосрочной поддержкой (LTS) имеют в запасе еще год. У Mandriva, Fedora и<br /> OpenSUSE также есть сроки поддержки, и их программы автоматического обновления делают этот процесс по возможности безболезненным. Немедля запустите свою!<br /> <br /> '''ЭФФЕКТИВНОСТЬ: 9/10'''<br /> <br /> ====Не делать из-под root все====<br /> <br /> Одно из определяющих отличий Linux от Windows состоит в<br /> том, что пользователям со стандартными учетными записями не удастся нарушить целостность операционной системы – для этого надо войти в нее от имени администратора. Хотя можно регулярно использовать учетную запись '''root'''<br /> для задач системного администрирования, важно, чтобы эти<br /> задачи выполнялись отдельно от каждодневной рутины и от<br /> задач управления рабочим столом.<br /> <br /> Некоторых бесит постоянный поток запросов на пароль, сопровождающий каждую задачу системного администрирования, и они решают постоянно подключаться от имени '''root'''. Это все равно что снять заземление музыкального оборудования ради устранения помех от грунта: проблема-то<br /> отпадет, однако вас может убить. Чем больше времени вы проводите '''под root'''’ом, тем больше вероятность совершить<br /> ошибку; то же относится к постоянному пребыванию под '''root''' в командной строке. Единственное решение – не уступать соблазну запускать все подряд из-под '''root'''.<br /> <br /> '''ЭФФЕКТИВНОСТЬ: 6/10''' ''Странное мнение автора, я бы поставил '''10/10'''''<br /> <br /> ====Проверяйте неиспользуемые учетные записи====<br /> <br /> Если вы уже давно пользуетесь вашей системой, у вас, скорее всего, есть несколько учетных записей. Они создаются,<br /> скажем, для удобства других пользователей вашего компьютера, или для соответствия требованиям некоторых приложений: так, утилита потокового мультимедиа ''SqueezeCenter'' запускается только из-под отдельной учетной записи. Это<br /> и хорошо, и плохо. Конечно, это гарантия, что программы<br /> типа ''SqueezeCenter'' получат полный контроль над своими<br /> файлами и процессами, а случись что, навредят только сами<br /> себе. Однако в такой обстановке легко забыть, сколько у вас<br /> пользователей, а ведь каждая запись дает некий доступ к<br /> вашей системе.<br /> <br /> Например, если у вас запущен сервер ''SSH'', хакер имеет<br /> шанс подключиться к учетной записи ''SqueezeCenter'', а вы<br /> будете не в курсе. Многие дистрибутивы содержат утилиты<br /> управления пользователями. Любителям OpenSUSE следует<br /> искать их в ''Yast'', а Mandriva – в ''Центре управления''. Ubuntu<br /> прячет '''Пользователей и группы''' в меню '''Администрирование'''.<br /> Удалите всех лишних, но будьте внимательны: не грохните<br /> тех, что требуются системным процессам.<br /> <br /> '''ЭФФЕКТИВНОСТЬ: 4/10'''<br /> <br /> ====Используйте группы и права доступа====<br /> <br /> Группы и права доступа – это технический аспект файловой<br /> системы, унаследованный от Unix, но они все еще полезны.<br /> Каждый пользователь может состоять в любом числе групп,<br /> а группа – просто разновидность пользователя. Многие дистрибутивы используют группы для ограничения доступа к<br /> конкретному оборудованию: этим самым доступом управляют<br /> права на файл, каталог или устройство. Чтобы посмотреть<br /> права доступа, щелкните правой кнопкой по файлу в обозревателе и выберите '''Свойства'''. Затем поменяйте параметры,<br /> чтобы ограничить доступ к ключевым файлам и устройствам.<br /> <br /> '''ЭФФЕКТИВНОСТЬ: 7/10'''<br /> <br /> ===Программы===<br /> <br /> ====Запускайте антивирус====<br /> <br /> В природе нет вирусов, способных навредить вашей системе, а<br /> появись такие, права доступа пользователей ограничат возможный ущерб вашими личными данными. Это плохие новости для<br /> тех, кто давно не делал резервных копий, и все же это намного лучше, чем если бы вирус превратил машину в бесполезный<br /> металлолом.<br /> <br /> По этой причине настоятельно рекомендуем вам поставить<br /> антивирусный сканер. Использовать его достаточно при обращении или пересылке файлов, способных повредить менее устойчивым ОС. Потрясающее открытое антивирусное ПО – ''ClamAV''. Добровольцы постоянно следят за свежестью вирусной базы<br /> данных, и ''ClamAV'' проще использовать, установив графический<br /> интерфейс к основной программе, работающей в командной строке. Мы бы посоветовали ''KlamAV'' для пользователей KDE и ''ClamTK''<br /> для всех остальных. Оба позволяют обновлять вирусную базу<br /> данных и выбирать файлы и папки для сканирования, равно как<br /> проверять ZIP-архивы, документы и изображения. Если ''ClamAV''<br /> обнаружит нечто подозрительное, он сообщит вам, а затем поместит файл во временное хранилище, называемое '''Карантином''' [Quarantine]. Таким образом, вы всегда сможете вернуть данные, если файл окажется важным.<br /> <br /> '''ЭФФЕКТИВНОСТЬ: 5/10'''<br /> <br /> ====Сколько лет резервной копии?====<br /> <br /> Вот что вам реально следует сделать, так это резервную<br /> копию своих данных. Слишком легко махнуть на нее рукой,<br /> но даже просто переброску пары файлов на Gmail или на<br /> внешний диск стоит сделать прямо сейчас.<br /> <br /> Если вам нужна ультрасовременная утилита, которая<br /> пробудит вашу пытливость, почему бы не попробовать<br /> ''TimeVault''? Она разработана Canonical и находится в бетастадии, но в корне меняет представление о резервировании<br /> данных. Откат на прежнее состояние ваших файлов и папок<br /> делается через серию снимков системы, содержащихся на<br /> удаленном устройстве хранения. ''TimeVault'' аккуратно копирует туда помеченные файлы и каталоги, пока вы заняты<br /> работой, и не нужно заботиться о планировании резервирования. Единственный недостаток ''TimeVault'' – она устанавливается легко только на Ubuntu.<br /> <br /> Зайдите на https://launchpad.net/timevault и щелкните по<br /> ссылке '''Downloads''', затем по самой верхней ссылке на скачивание. Передайте управление инсталлятору и нажмите на кнопку<br /> '''Установить пакет'''. Введите пароль '''root''', и файлы установятся.<br /> ''TimeVault'' произведет свои настройки, и вам надо будет выйти<br /> и зайти в систему опять. ''TimeVault'' теперь содержится в меню<br /> '''Приложения &gt; Система'''. Запустите ее, и в разделе апплетов на<br /> панели задач появится новый значок. Щелкните по нему правой кнопкой и выберите '''Preferences''' [Настройки]. В этом окне<br /> поменяйте каталог '''Snapshots root''' [Путь к снимкам] на устройство хранения и добавьте ваш домашний каталог в список<br /> '''Include''' [Включить]. Во вкладке '''Expire''' [Срок действия] также<br /> можно настроить способ сбора данных, после чего оставьте<br /> ''TimeVault'' работать в фоновом режиме – добавьте задачу в<br /> менеджер сеанса, чтобы процесс запускался автоматически<br /> при входе в систему. Когда придет пора восстановить данные,<br /> откройте '''Snapshot Browser''' [Обозреватель снимков] из значка<br /> ''TimeVault'' и выберите пункты, которые вы хотите восстановить<br /> на указанные дату и время.<br /> <br /> '''ЭФФЕКТИВНОСТЬ: 9/10'''<br /> <br /> ====Силен ли ваш пароль?====<br /> <br /> Нас частенько спрашивают про пароли; но уделяем ли мы им достаточно внимания? Пароли ныне означают много больше, чем преграждение доступа на рабочий стол: они стали ключом к опознанию вас в Сети. Одинаковые пароли для случайного форума и для банковского счета<br /> используют разве самые пропащие люди. Следует разделить службы на важнейшие для вашего онлайн-здоровья<br /> и на временные и незначительные. Рекомендуем иметь несколько паролей и использовать их для разных уровней<br /> безопасности. На самом верхнем уровне пароли должны<br /> быть надежными и уникальными.<br /> <br /> Лучший способ этого добиться – применить настольный менеджер паролей. Обычно он запоминает все ваши<br /> пароли, автоматически заполняет онлайн-формы и содержит данные в безопасности с помощью суперпароля. Идея<br /> с виду не очень удачная, но доступ могут получить только<br /> лица, зашедшие на ваш рабочий стол. Наиболее известны<br /> ''KWallet'' для KDE и ''Password Manager'' от Figaro для Gnome.<br /> Для сайтов предлагаем использовать менеджер паролей ''Firefox'' и включение мастер-пароля со страницы '''Параметры &gt; Безопасность.'''<br /> <br /> '''ЭФФЕКТИВНОСТЬ: 8/10'''<br /> <br /> ====У вас надежные данные?====<br /> <br /> При пересылке данных по небезопасной сети всегда есть возможность перехвата. Ответом служит шифрование: в этом случае,<br /> даже стянув ваши данные, вор ничего с них не поимеет.<br /> <br /> Существуют десятки свободных утилит для шифрования, и<br /> многие основаны на GNU ''Privacy Guard'', или сокращенно ''GnuPG''.<br /> Это схема с открытым и закрытым ключом; и те, и другие можно<br /> создать внутри программы. Для шифрования и хранения данных<br /> можно завести собственные ключи, а вот файлы, зашифрованные с помощью открытых ключей других людей, расшифровываются только при помощи их закрытого ключа. Аналогично, файлы, зашифрованные с помощью вашего закрытого ключа, могут<br /> быть расшифрованы только с помощью вашего открытого ключа.<br /> Последний метод применяется для верификации источников данных, и им часто пользуются, подписывая электронную почту.<br /> <br /> Самый популярный интерфейс для ''GnuPG'' называется ''Seahorse'', а его KDE-эквивалент носит имя ''KGPG''. Оба позволяют создавать<br /> ключи и интегрируются с почтовыми клиентами. Это проще, чем кажется. В ''Seahorse'' нажмите '''New''', а затем '''PGP Key'''. Введите ваше<br /> имя и адрес электронной почты, а затем пароль. После этого сгенерируется ключ (''GnuPG'' также принимает открытые ключи<br /> из ваших доверенных контактов). Теперь можете шифровать и дешифровать файлы в вашем файловом менеджере ''Nautilus'', просто щелкнув по ним правой кнопкой мыши.<br /> <br /> '''ЭФФЕКТИВНОСТЬ: 7/10'''<br /> <br /> '''LXF'''</div>

Crazy Rebel