id: Гость   вход   регистрация
текущее время 23:27 28/03/2024
создать
просмотр
ссылки

Выбор и настройка дистрибутива для десктопа

Господа, с Вашего позволения открою еще одну, важную для меня тему.
Не холивара ради, а просветления для.
В общем в кратчайшие сроки планирую перейти на Linux окончательно.
Стоит задача – установить на десктоп Linux. Интересующие вопросы:
1. Как проходит разграничение прав пользователей (к примеру муж-жена), первый профиль – ориентированный на анонимность и безопасность в целом, второй – обычное общение, просмотр фильмов и хранение личной ценной не приватной информации.
2. Сделать общий раздел, к которому будет доступ из обоих профилей, на котором хранится личная ценная, но не приватная информация. Возможно ли такое?
3. Профиль, ориентированный на безопасность – полностью защищен, кроме штатных средств дистрибутива. Что-то в духе TrueCrypt, но на уровне профиля.
4. Если я установлю и настрою Privoxy на своем профиле, он будет распространятся на другой профиль?
5. Какие могут возникнуть проблемы с хранением информации, т.е. если в винде слетает MBR – я его восстанавливаю и все, или переустанавливаю систему, не форматируя диск – тем самым сохраняя данные. Как быть в подобной ситуации в Linux, о бекапах не забываю, но тем не менее.
6. Как происходит "откат" системы в случае косяка.
И самое главное – какой дистрибутив выбрать. Gentoo сразу отбросил, т.к. неделю настраивать и компилировать – это через чур накладно по времени.
Ну пока собственно все. Хотел бы услышать не теоретические мнения, и не ссылки на книги и оф.мануалы, а свои личные практические советы, за которые был бы очень признателен.
Спасибо за внимание.
З.Ы. Опыт маленький, только в использовании Ubuntu, Mint и компиляции Liberte.


 
На страницу: 1, 2, 3, 4, 5 След.
Комментарии
— unknown (14/02/2013 14:31, исправлен 14/02/2013 14:49)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664

Попользуйтесь Linux'ом просто так, годик хотя бы. Без каких-либо конкретных целей в области безопасности/анонимности.


  1. Нету штатно такого. Организовать можно по разному. Все эти варианты нестандартны. Даже разработчики тора мало что понимают, если им начать говорить об использовании разных профилей на одной системе с целью разделения их по степени безопасности/анонимности. Т.е. даже среди гиков этим не пользуется практически никто.
  2. Можно, но см. п.1.
  3. Только полнодисковое шифрование всей системы. Другие слои шифрования — можно сделать внутри, но исходить из того, что несанкционированный доступ противника (с повышением привилегий) к любом уровню (вне или внутри одного (шифро)раздела) == компрометации всей системы. Потому что шифрование и разграничение прав доступа — это концептуально разные вещи, невзаимозаменяемые и настраиваемые естественно по-разному.
  4. Это системный демон. Никогда не ставил системные демоны в пользовательские профили и не хотел бы так делать. Хватит уже одного TBB, где почти принудительно сделали такое безобразие, от которого приходиться избавляться.
  5. Если умеете собрать систему с нуля или быстро разобраться, как это сделать, то выкрутитесь из всех подобных ситуаций. Надо знать устройство GRUB, initrd, схему разбиения LVM, набор стандартных утилит. Многое отличается в разных дистрах.
  6. Штатно — никак. Можно удалить систему практически в ноль из под этой работающей же системы и она продолжит работать до первого ребута. Настраиваются — бэкапы, рейды, снэпшоты.

Вообще, в хорошей системе много "придуманных как пользователю лучше" удобств предусмотрено быть не должно. Он сам ставит, что ему нужно и настраивает под себя.

хотел бы услышать не теоретические мнения, и не ссылки на книги и оф.мануалы, а свои личные практические советы

Все практические результаты были достигнуты на изучении теории. В области безопасности практика без теории не имеет смысла. Не все практические советы публикуются, т.к. делаются аd hoc, не учитывая все возможные универсальные случаи, часто являются заглушкой под конкретную конфигурацию или недопиленным и не очень красивым компромиссом.

— SATtva (14/02/2013 14:50)   профиль/связь   <#>
комментариев: 11558   документов: 1036   редакций: 4118
Если я установлю и настрою Privoxy на своем профиле, он будет распространятся на другой профиль?

Это системный демон. Никогда не ставил системные демоны в пользовательские профили и не хотел бы так делать.

Да, но всё-таки будем иметь в виду, что если у какого-то пользователя переадресация из браузера на Privoxy не задана, то он там использоваться и не будет.

Какие могут возникнуть проблемы с хранением информации, т.е. если в винде слетает MBR – я его восстанавливаю и все, или переустанавливаю систему, не форматируя диск – тем самым сохраняя данные. Как быть в подобной ситуации в Linux, о бекапах не забываю, но тем не менее.

Винда рядом с Линуксом по живучести даже не валялась.
— Гость (14/02/2013 15:22)   <#>
Только полнодисковое шифрование всей системы.

Писали, что в новых версиях Debian можно (или уже?) будет включить при инсталляции, достаточно отметить пункт в меню.
— Кеша (14/02/2013 15:40)   профиль/связь   <#>
комментариев: 71   документов: 5   редакций: 1
unknown
. Т.е. даже среди гиков этим не пользуется практически никто.

Соответственно выход один – делать всю систему безопасной – полное шифрование и тд. Там уже делать два профиля. А свою личную ценную, но не приватную информацию хранить на сторонних носителях.
И как сказал SATva – в одном из профилей делать переадресацию браузера на Privoxy, который в свою очередь настроен на торификацию всего трафа и ресурсов .onion, ну и .i2p соответственно. Правильно?

SATva
Винда рядом с Линуксом по живучести даже не валялась.

Спасибо, прочитал

Господа, а как на счет самого дистрибутива? Или здесь тоже дело вкуса и перепробовать надо все?
Я не ИТшник и не хотел бы тратить много времени на это, как вышло с Liberte.
И да – согласен, что много всякой приблуды в системе никчему.
Короче, я делаю вывод – что один "общий" домашний комп лучше не трогать – пусть он и будет своеобразным медиацентром, а все свои "подвиги", где нужна безопасность совершать с LiveUSB, где будет (надеюсь) уже кошерно настроенная система, наверное на упомянутом Liberte, т.к. лень разбираться с еще одним дистром.
— Гость (14/02/2013 15:45)   <#>
З.Ы. Опыт маленький, только в использовании Ubuntu, Mint и компиляции Liberte.
Попробуйте Debian.
— SATtva (14/02/2013 15:48)   профиль/связь   <#>
комментариев: 11558   документов: 1036   редакций: 4118
Господа, а как на счет самого дистрибутива? Или здесь тоже дело вкуса и перепробовать надо все?

В большей степени. Что можно сделать под одним дистрибутивом, практически всегда можно сделать и под другим. Некоторые нюансы есть только в размещении, виде и настройках системных скриптов. Различия также обычно есть на уровне ядра в плане поддержки различных продвинутых систем безопасности — у какого-то дистра может просто не быть мэйнтейнеров, занимающихся такими вещами. Так что при выборе дистрибутива желательно озаботиться security-функционалом и почитать на сайте дистра, что предлагается "из коробки".
— Гость (14/02/2013 15:49)   <#>
Как проходит разграничение прав пользователей (к примеру муж-жена)
Говрят, что путь линуксоида для разграничения прав — убить жену. Райзер согласился бы.
— unknown (14/02/2013 16:01, исправлен 14/02/2013 16:01)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664
в новых версиях Debian можно (или уже?) будет включить при инсталляции, достаточно отметить пункт в меню.

Давно уже. Правда этот выбор при инсталляции не очень удобен. Но зато, вручную даже ничего не надо делать. Можно только аккуратно улучшить.


Соответственно выход один – делать всю систему безопасной – полное шифрование и тд.

Это ортогонально поставленной вами задаче. Ну или как дополнение к ней. Например, вы из под рута решили скопировать ссылку, текстовый файл, ещё что-то из одного профиля в другой. Оба зашифрованы. А текстовый редактор, которым вы временно открывали этот файл, оставил его копию на незашифрованной части системы. Тоже касается утечек при разном редактировании документов, через общесистемные логи и пр. Поэтому шифрование имеет смысл только для всей системы целиком. А далее, как вы уже верно отметили, м.б. и дополнительные слои шифрования и разделение профилей разными способами.


в одном из профилей делать переадресацию браузера на Privoxy

Который уже давно не рекомендуется использовать для этих целей и с которым вы будете выделяться среди других пользователей, облегчяя своё вычисление атаками профилирования. Privoxy устарел и не нужен. В крайнем случае для одновременной работы с разными профилями, есть прозрачная торификация несвязываемых анонимных профилей. Что также является лишь потенциальной возможностью и никем массово не одобренным экспериментом.

— Кеша (14/02/2013 16:01, исправлен 14/02/2013 16:02)   профиль/связь   <#>
комментариев: 71   документов: 5   редакций: 1
Попробуйте Debian.

Да, наверное так и сделаю, чтобы не тратить время, либо перейду на Дебиан, либо останусь на Mint. Есть за ней косяки или минусы? Если есть таковые аргументы – прошу озвучить, сразу забью на нее.
SATva

Так что при выборе дистрибутива желательно озаботиться security-функционалом и почитать на сайте дистра, что предлагается "из коробки".

Это главное для меня!


Говрят, что путь линуксоида для разграничения прав — убить жену. Райзер согласился бы.

Могу тебе лишь посочувствовать. Ну и конечно тем женам, чьи мужья задротствуют перед мониторами круглосуточно. (Не относится к тем, у кого это часть работы)
У меня это хобби, но я не могу отдавать ему много времени, тем более – каждый день.

— unknown (14/02/2013 16:13, исправлен 14/02/2013 16:13)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664

Отсутствие (само)иронии — первый шаг на пути к этому.

— Кеша (14/02/2013 16:31)   профиль/связь   <#>
комментариев: 71   документов: 5   редакций: 1
На пути к чему?)
— unknown (14/02/2013 16:54)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664
К убийству жены. Или задротству )
— Кеша (14/02/2013 17:17)   профиль/связь   <#>
комментариев: 71   документов: 5   редакций: 1
Жжжестите, батенька))
Ну может быть, на счет чувства юмора – да, соглашусь, без него нельзя.
— Гость (15/02/2013 01:25)   <#>
Как проходит разграничение прав пользователей (к примеру муж-жена), первый профиль – ориентированный на анонимность и безопасность в целом, второй – обычное общение, просмотр фильмов и хранение личной ценной не приватной информации.

Использование виртуалок (Xen/kvm), где анонимный профиль — одна гостевая ОС, а неанонимный профиль — другая. Вход в разные виртуалки совершать от разных пользователей на основной (host) ОС.

Сделать общий раздел, к которому будет доступ из обоих профилей, на котором хранится личная ценная, но не приватная информация. Возможно ли такое?

Не надо давать доступ к сверхсекретной информации неанонимному пользователю вообще. При желании можно, конечно, расшарить по сети файлы/директории одной из гостевых ОС перед файлами из другой гостевой ОС.

И ещё: для работы с особо секретной информацией рекомендуется использовать не одну, а две разных анонимных виртуалки, где первая вообще не будет иметь доступа в интернет, а вторая, ориентированная на выход вовне, каждый раз при запуске будет откатываться к исходному состоянию (все скачанные из интернета файлы из второй виртуалки перед завершением её работы и после отключения её от интернета надо будет скидывать на первую виртуалку безопасным способом, т.е. напрямую в процессе работы одна виртуалка не должна мочь ходить на файлы второй).

Если я установлю и настрою Privoxy на своем профиле, он будет распространятся на другой профиль?

Вообще, да. Если вы под анонимным пользователем в какой-то ОС открыли адрес:порт 127.0.0.1:8118 на прослушивание, то туда может отправлять пакеты кто угодно, в том числе неанонимный пользователь. Чтобы такого безобразия не творилось, надо запрещать средствами iptables так делать, фильтруя по опции --owner.

Какие могут возникнуть проблемы с хранением информации, т.е. если в винде слетает MBR – я его восстанавливаю и все, или переустанавливаю систему, не форматируя диск – тем самым сохраняя данные. Как быть в подобной ситуации в Linux, о бекапах не забываю, но тем не менее.

Если слетел только MBR, то всё решается одной командой, которая прописывает MBR (гуглить по install mbr).

Как происходит "откат" системы в случае косяка.

Штатных средств нет, но можно поставить допсофт, который это будет делать. Есть даже снапшоты для файловых систем, где поддерживается откат к предыдущему состоянию (ZFS, писали, умеет такое).

Хотел бы услышать не теоретические мнения, и не ссылки на книги и оф.мануалы, а свои личные практические советы, за которые был бы очень признателен.

Есть несколько старых баянов: например, такой и вот такой.

Не все практические советы публикуются, т.к. делаются аd hoc, не учитывая все возможные универсальные случаи, часто являются заглушкой под конкретную конфигурацию или недопиленным и не очень красивым компромиссом.

Помимо этого, не все практические советы публикуются, чтобы сильно не облегчать и так лёгкую жизнь форензиков.

в одном из профилей делать переадресацию браузера на Privoxy, который в свою очередь настроен на торификацию всего трафа и ресурсов .onion, ну и .i2p соответственно. Правильно?

Правльно, только i2p тут совсем ни при чём. Во всяком случае, чтобы privoxy разводил i2p и tor, его надо специально настраивать, а готовых инструкций, на надёжность которых можно положиться, не видел. Лично я бы предпочёл для tor и i2p использовать минимум разные браузеры, если не вообще разные профили.

Или здесь тоже дело вкуса и перепробовать надо все?

Помимо дел вкуса, есть одна особенность. Имеется большое множество окололинукоидов, которые ставят дистр, у них там чего-то не работает или чего-то не нравится, они его сносят, ставят другой, им там тоже что-то не нравится, они его тоже сносят, ставят третий и т.д. При всём этом причиной смены дистра часто является либо тривиально решаемая проблема, либо желание «посмотреть всех». Но линукс — не панель, поэтому вместо повышения своего сексуального опыта пользователь его понижает, т.к. ни с чем толком не разбирается, не концентрируется и т.д. Мысль была озвучена здесь.

Что можно сделать под одним дистрибутивом, практически всегда можно сделать и под другим.

Никто не беспокоится о создании списка privacy-undriendly- и security-unfriendly-фич/опций каждого дистрибутива, включенных по умолчанию. Считается, что если вам это так критично, вы возьмёте профессиональный дистр, откуда не надо будет выпиливать всё такое говно ввиду его отсутствия. Что-то ранее уже озвучивалось, типа /comment57968 и /comment58024, но списки ни разу не претендуют на полноту. Ещё есть тонкость в использовании su: надо писать "su -l root" или "su -" вместо просто su, иначе при похаке профиля, откуда выполняется su, злоумышленник легко получит и рута, подменив параметры переменных.

Например, вы из под рута решили скопировать ссылку, текстовый файл, ещё что-то из одного профиля в другой. Оба зашифрованы. А текстовый редактор, которым вы временно открывали этот файл, оставил его копию на незашифрованной части системы.

Есть и другие утечки, в /var в том числе. Очень тяжело гарантировать их отсутствие, поэтому, если в ОС есть неанонимные профили, это небезопасно. Чтобы защититься, используют отдельные ОС или разные гостевые ОС в одной виртуальной машине, где одна гостевая ОС = один профиль.

либо останусь на Mint. Есть за ней косяки или минусы? Если есть таковые аргументы – прошу озвучить, сразу забью на нее.

См. ссылки выше. Они писались под Ubuntu, но и Mint-а, уверен, большая их часть касается. Debian — это хорошо, но список претензий к нему тоже есть [см. комментарии к топику], хоть он и несравним с убунтовским.

У меня это хобби, но я не могу отдавать ему много времени, тем более – каждый день.

Жены нет, а ReiserFS есть, поди ещё и по умолчанию в ядре сейчас поддерживается. Многие линуксоиды сказали Райзеру спасибо. Либо жена, либо ReiserFS — что-то одно из двух. Ладно, я шучу, просто человек (Райзер), похоже, просто с ума сошёл, так что ничего страшного. Главное — не переусердствуйте в освоении Linux'а. :)

Попользуйтесь Linux'ом просто так, годик хотя бы. Без каких-либо конкретных целей в области безопасности/анонимности.

Тоже хотел это сказать. Можете, конечно, сразу в хардкор пускаться, но тогда готовьтесь к тому, что первые полгода всё ваше свободное время уйдёт на освоение Linux. А если ещё и гуру под рукой нет, и спросить некого, то совсем туго будет, хотя выжить можно.
— Славянин (15/02/2013 02:34)   <#>
Кеша, лучше взять сразу http://www.qubes-os.org
Усё равно усе упомянутые дистрибы или рядом не валялись, или содержат лишь частичное решение вопроса. Примерно так же, как прикрывание фиговым листочком одного места.

Да и в конце концов, можно брать обычную windows с виртуальной машиной в том же VirtualBox'е. Грязные дела завершил – откатил виртуальную эту машину до снапшота. И держать её в шифрованном виде TrueCrypt'ом, хоть на диске, хоть на флешке. Туда же можно запихнуть и portable-вариант VirtualBox'а.

И жена довольна, что на компе винда привычная и у тебя на этой виртуальной машине сегодня одна ось, завтра другая.
На страницу: 1, 2, 3, 4, 5 След.
Ваша оценка документа [показать результаты]
-3-2-1 0+1+2+3