110.2 Einen Rechner absichern

Transkript

1 LPI-Zertifizierung Einen Rechner absichern Copyright ( ) by Dr. Walter Kicherer. This work is licensed under the Creative Commons Attribution- Noncommercial-Share Alike 2.0 Germany License. To view a copy of this license, visit or send a letter to Creative Commons, 543 Howard Street, 5th Floor, San Francisco, California, 94105, USA.

2 passwd und shadow Passwort eines users ändern passwd ACCOUNT Verhindern, dass sich User anmelden können Anlegen von /etc/nologin Dem anmeldenden User wird die Textdatei /etc/nologin gezeigt und dann abgewiesen. Benutzerverwaltung In /etc/passwd stehen die User des Systems (Rechte: rw-r--r--) In /etc/shadow stehen die Passwörter der User (Rechte: rw-r-----)

3 (x)inetd Es gibt 2 Möglichkeiten Netzwerkdienste unter Linux zu betreiben: Der Netzwerkdienst läuft ständig als eigener Deamon (z.b. Mail, Apache, Samba) Vorteil: Dienst ist sofort verfügbar Nachteil: Dienst verwendet dauernd Rechnerresourcen Der Netzwerkdienst wird nur gestartet, wenn er angefordert wird (z.b. echo, telnet, ftp) Vorteil: Dienst verwendet nur Rechnerresourcen wenn nötig. Nachteil: Es dauert einen Moment, bis der Dienst startet, Rechner beim Starten belastet. Um einen Dienst nur bei Bedarf zu starten wird der inetd (bzw. xinetd) verwendet.

4 Konfiguration inetd Konfiguration des inetd über /etc/inetd.conf: #Name Typ Proto Flags User Programm Parameter #echo stream tcp nowait root internal #echo dgram udp wait root internal ftp stream tcp nowait root /usr/sbin/tcpd /usr/sbin/in.ftpd Name Typ Proto Flags User Programm Parameter Namen des Dienstes (siehe /etc/services, dort auch Ports) stream (Datenstrom, d.h. mehrere Pakete) oder dgram (einzelne Pakete) Transportprotokoll (tcp, udp) nur für dgram (Stream ist immer nowait): wait single threaded server; nowait multi threaded server Unter welchem Account soll der Dienst gestartet werden Welches Programm kümmert sich um den Dienst Parameter für das Programm

5 TCP-Wrapper Wird in der inetd.conf das Programm /usr/sbin/tcpd aufgerufen, so startet der TCP-Wrapper. Der TCP-Wrapper überprüft die Dateien /etc/hosts.allow und /etc/hosts.deny. Beispiel: #Programm : Clientliste: Option in.ftpd : xyz.foo.bar abc.foo.bar.irgenwo.de: ALLOW ALL : ALL : DENY Wildcards: ALL Alle LOCAL lokale Rechner, d.h. in der selben Domain EXCEPT z.b. ALL EXECPT abc.foo.bar spawn Prog startet das Programm Prog, mit z.b. %a wird die IP des Aufrufers übergeben siehe auch man-page: hosts_options, hosts_access

6 TCP-Wrapper Reihenfolge der Bearbeitung: 1. /etc/hosts.allow 2. /etc/hosts.deny 3. Zugriff erlauben Die Dateien werden in obiger Reihenfolge Zeilenweise abgearbeitet. Bei einem Treffer bricht die Abarbeitung ab, so dass nachfolgende Einträge nicht mehr überprüft werden! Nach einer Änderung an der Konfiguration kann diese mit dem Signal HUP neu geladen werden. kill -HUP pid

7 xinetd Der xinetd ist die neuere Form des Internet Super Servers : TCP-Wrapper wird immer unterstützt Abhängigkeit von der Tageszeit Starten eines Dienstes abhängig vom Client Möglichkeit der Weiterleitung Verbesserte LOG-Möglichkeiten Schutz vor Denial of Service Angriffen Standardkonfiguration in /etc/xinetd.conf, für jeden Dienst existiert in /etc/xinetd.d/ eine eigene Konfigurationsdatei.

8 xinetd Konfiguration In /etc/xinetd.conf stehen die Default-Werte: defaults { instances = 60 log_type = SYSLOG authpriv info log_on_success = HOST PID log_on_failure = HOST cps = } includedir /etc/xinetd.d #cps => max. 25 Dienste/sec starten, dann 30 sec warten

9 xinetd Konfiguration Im Verzeichnis /etc/xinetd.d/ steht für jeden Dienst eine Datei. Z.B. für imap (Servicename muss mit /etc/services übereinstimmen): service imap2 { socket_type = stream wait = no user = root instances = 10 server = /usr/sbin/imapd log_on_success += DURATION USERID disable = no only_from = /16 access_time = 7:00-12:30 13:30-21:00 nice = 10 } #+= => wie defaults, aber zusätzlich mit #= => nur diese #-= => wie defaults, aber ohne

10 Aufgaben Ändern Sie das Passwort eines Benutzer und sehen Sie sich davor und danach den entsprechenden Eintrag in der Datei /etc/shadow an. Läuft in Ihrem System der inetd oder xinetd? Wenn nicht, starten Sie einen von beiden. Welche Dienste startet Ihr (x)inetd? Konfigurieren Sie den (x)inetd so, dass ftp nur von Ihrem Nachbarrechner möglich ist. Wie lautet die Meldung in der syslog-datei, bei erfolgreichem/erfolglosem einloggen in den FTP- Server?