Re: gruppi di default in debian jessie
Piviul writes:
> saint@eng.it scrisse in data 13/12/2013 10:42:
> > Lo so. Ma so pure che appena ci saranno in giro un numero sufficiente
> > di macchine Linux desktop da rendere la cosa remunerativa, qualcuno
> > scriverà un attacco _anche_ per questa caratteristica di sudo, a naso
> > all'interno di una di quelle azioni che puntano a colpire quante più
> > macchine possibili in modo da riuscire alla fin fine a colpire
> > quella/quelle che interessano in modo indiretto.
> Sai che non ho capito perché dici che sudo è più pericoloso di un su -c?
Perché di default sudo fa il caching delle credenziali: con la
configurazione di default, per alcuni minuti sudo non chiede
nuovamente l'autenticazione (su -c non lo fa mai).
La cache delle credenziali non è di per se negativa, meglio usare 3
sudo verso programmi binari che far eseguire tutto uno script con l'id
0:0 (parlo dell'id utente), sarebbe meglio avere un'opzione per dire
"da qui tieni le credenziali in cache" e oltre a quella già presente
"annulla la cache delle credenziali" in modo da controllare il campo
di esistenza della transazione.
A questo aggiungi che la configurazione di default di Debian e Ubuntu
prevede che il primo utente creato compaia in /etc/sudoers come "primo
ALL=(ALL) ALL", in pratica fa diventare sudo una copia di su che non
richiede di conoscere la password di root.
Terzo punto (non tecnico): la gente tende ad usare il proprio account
con meno "consapevolezza per la sicurezza" rispetto ad un account
amministrativo anche quando "si fa delle pare" nel momento in cui usa
un account amministrativo.
> A me sembra che il problema principale sia che bisogna stare molto
> attenti ad eseguire programmi da root sia che essi siano eseguiti
> utilizzando sudo che utilizzando direttamente l'utente root.
Ottima cosa che tu abbia la consapevolezza di ciò.
Ma ci hai mai pensato che è il tuo il più usato account amministrativo
e che quindi lo devi difendere con tenacia pari a quella che usi per
proteggere l'account di root? Tu si probabilmente, ma appartieni ad
una minoranza illuminata.
Se invece usi il tuo account "con liberalità" cominciano a presentarsi
problemi potenziali.
Beninteso, sarebbe questa la forza di GNU/Linux contro i virus,
permettere ad un utente di essere compromesso senza compromettere il
sistema.
Ma il primo utente creato può usare sudo con qualsiasi comando.
E le sue credenziali rimangono valide per un certo periodo di tempo.
Supponiamo adesso che ci sia una base sufficientemente ampia di utenti
Ubuntu/Debian/Fedora (hanno tutte lo stesso comportamento con sudo) da
rendere economicamente profittevole fare un piccolo cavallo di troia
che si metta in attesa del momento in cui vede che la cache delle
credenziali sia attiva per poi iniettare codice malevolo sfruttando
sudo e la configurazione 'utente ALL=(ALL)ALL'.
Abbiamo un sistema che permette col tempo di crearsi una base di
macchine compromesse utili per vari scopi, dalle attività con reddito
immediato (le botnet) a cose un po' più fetenti e di ampio respiro.
Che so, infettare abbastanza macchine via rete, dispositivi rimovibili
come le pennette USB e, perché no, il device audio (ci sono già
malaware che usano gli ultrasuoni per comunicare a breve raggio)
colpendo indiscriminatamente tutte le macchine possibili fintanto che
se ne trova una con le caratteristiche che la fanno riconoscere come
bersaglio principale.
Fantascienza? Utopia? Paranoia? No. Attacco già avvenuto ai danni
dell'Iran, dove sono riusciti a metter fuori uso molte centrifughe per
la raffinazione dei materiali radioattivi con un programma chiamato
stuxnet.
Ergo, visto che i creatori di malaware comunque sono bravi, almeno non
facciamogli trovare la pappa pronta ma facciamoli sudare quanto più
possibile.
> IMHO invece è molto più pericoloso avere l'abitudine ad entrare come
> root per fare attività amministrative così come è molto più
> intrinsecamente insicuro un sistema di cui un potenziale cracker conosce
> già il nome utente dell'utente con i privilegi più elevati...
Falsa credenza. C'era chi cambiava il nome degli account
amministrativi sentendosi più sicuro. Costa molto di più indovinare
una password che aggirarla, e se riesco a sniffare la password riesco
pure a sniffare l'username per cui viene usata...
In compenso, controllare che grep 0:0 /etc/passwd dia un solo
risultato non è così paranoico :)
Per la cronaca: non sono un esperto di sicurezza o un black hat,
ho ritenuto più utile fare altre cose coi computer.
Ma una ventina di anni fa ho avuto la mia dose di divertimento ed ho
imparato a pensare male...
--
/\ ___ Ubuntu: ancient
/___/\_|_|\_|__|___Gian Uberto Lauri_____ African word
//--\| | \| | Integralista GNUslamico meaning "I can
\/ coltivatore diretto di software not install
già sistemista a tempo (altrui) perso... Debian"
Warning: gnome-config-daemon considered more dangerous than GOTO
Reply to: