Re: Kann man Partitionen sicherer Mounten?
Hallo
Tauber, Mathias HDP (<Tauber@hdpnet.de>) wrote:
> ich betreue diverse Debian 3.0r2 Server und
> habe auch die Aufgabe, diese nach bestem Wissen
> und Gewissen abzusichern (wie so manch anderer
> hier ;O).
>
> Ich habe mal gelesen, dass es sinnvoll ist
> diverse Teile des Dateisystems auf separate
> Partitionen zu packen (siehe OpenBSD Dokus).
>
> Ich benutze die Standardvorgaben bei der
> Debianinstallation, daher sieht dann meine
> /etc/fstab folgendermaßen aus:
> /boot,/home,/usr,/var mit defaults eingehängt
> Ich erinnere mich gelesen zu haben, dass man
> nach einer solche Aufteilung diverse Partitionen
> z.B. als Read-Only mounten kann. Ich erinnere
> mich auch wage an sowas wie no-suid, bin mir
> hier aber nicht mehr ganz sicher.
Ja das geht. Read-Only ist zum Beispiel für /boot oder /usr sinnvoll,
damit dürfte sich die Wahrscheinlichkeit verringern, daß das
Dateisystem kapputt geht oder etwas aus Versehen was gelöscht wird.
Mehr Informationen darüber, auch dazu, wie Du apt beibringst, die
Partitionen bei Paketinstallationen vorübergehend wieder rw einzuhängen
und eine Menge mehr findest Du im Securing Debian Howto, Paket
harden-doc oder auf der Debian-Homepage.
> Wenn man solche Restriktionen benutzt, macht
> das hier wahrscheinlich auch keinen Sinn mehr:
>
> <--schnip-->
> server01:~# ls -lah /bin/mount
> -rwsr-xr-x 1 root root 71k Dec 24 2002 /bin/mount
> <--schnap-->
>
> Wäre hier nicht ein 'chmod 700 /bin/mount'
> angebracht?
Normalerweise akzeptiert mount ohnehin Aufrufe von Benutzern nur dann,
wenn das Dateisystem mit der Option "user" in /etc/fstab eingetragen
ist, und auch dann kann der Benutzer soweit ich weiß die Optionen für
das Dateisystem aus der fstab nicht übergehen. Damit sollte es normalen
Benutzern nicht möglich sein, etwas an den Dateisystemeinstllungen zu
drehen, es sei denn, mount hätte eine Sicherheitslücke. Aber wenn
ohnehin auf Deinen Rechnern keine normalen Benutzer Dateisysteme
mounten können sollen, dann schadet es auch nichts, die Rechte
restriktiver zu setzen.
Grüße
Andreas Janssen
--
Andreas Janssen
andreas.janssen@bigfoot.com
PGP-Key-ID: 0xDC801674
Registered Linux User #267976
Reply to: