Защита от взлома
Всем привет! Я не новичёк, но и не спец, так что прошу строго не судить. Есть компьютер, который выходит в сеть через тор, больше ни для каких целей не используется. Установлен линукс, все стандартные правила безопасности соблюдены: нет простых паролей, iptables настроен на пропуск только тор-трафика, все лишние компоненты отрезаны, сам тор запускается в chroot. Стоит патч GRsecurity. Но есть некоторые вещи, которые меня смущают. Мне нужен очень высокий уровень безопасности, так что шутки про неуловимого Джо будут неуместны. Сейчас я работаю над освоением SELinux, чтобы максимально усложнить противнику задачу, но в этом нелёгком процессе у меня возникла крамольная мысль, что я что-то упустил. Порылся на этом форуме, но хочется конкретики. Оправдано ли использование такой архитектуры, как например в Whonix? (2 виртуальные машины, на одной запущен Тор и через неё выход в интернет, вторая через внутреннюю сеть соединяется с первой). Сам Whonix использовать не хочу, так как не знаю, что туда запихнули, но самому организовать такое не составит труда для меня, стоит ли такое делать перед Selinux? И ещё, как влияет на безопасность установка suid бита на Xorg? Можно ли избежать этого? И наконец, сам Тор недостаточно защищён на мой взгляд. Уверен, такое проделывалось до меня, но всё-таки прошу совета. Реально ли запустить ботнет, в котором каждая машина будет превращена в прокси-сервер и с помощью такого ботнета ходить в сеть? Какие минусы у такого способа? Может, есть какие-то дополнительные советы по поводу безопасности на Linux?
2) стоит ли такое делать перед Selinux?
3) как влияет на безопасность установка suid бита на Xorg?
4) Можно ли избежать этого?
5) Реально ли запустить ботнет, в котором каждая машина будет превращена в прокси-сервер и с помощью такого ботнета ходить в сеть?
6) Какие минусы у такого способа?
7) Может, есть какие-то дополнительные советы по поводу безопасности на Linux?
Хороший вопрос! Емкий. SATtva и unknown спешат на помощь ...
Это чё? Местные авторитеты? Что=то их не видно.
А как иначе изолировать информацию, доступную ОС, о железе, на котором она запущена?
Это правильно.
Использовать виртуалки было бы гибко и неплохо.
Мне сложно к этому что-то добавить. Есть способ запуска иксовых приложений без иксов (через framebuffer). Недостаки, минусы и ограничения этого метода известны.
Если вы об этом.
Дорого, сложно, небезопасно, противозаконно. Обсуждение нарушает правила сайта.
Есть по Tor'у, по отрицаемому шифрованию, по удалению данных [1], [2], [3], по работе с паролями, например.
Я подозревал об этом, извиняюсь и закрюгляю данное обсуждение.
Насчёт виртуальных машин и xorg разорался. Как раз этот метод с виртуалками и есть таблетка, или я чего-то недопонимаю и даже если xorg будет запущен в виртуалке, которая ходит в сеть через другую виртуалку (на которой уже xorga не будет в принципе), то это будет недостаточно секбюрно и нужно смотреть в сторону консольных браузеров (w3m, links, lynx и т.д.)?
Ещё раз большое спасибо за ответ.
Но не стоит об этом кричать.
Tablet PC? При чём тут он?
Конечно, при прочих равных лучше вообще не держать иксов, но если для роутеров это нормальная оправданная практика, то, что касается десктопных ОС, понятно же, что мы не можем отказаться от всего этого (видео, фото, pdf- и прочие документы, работа с графиками и т.д.).
Для себя я этот вопрос толком не изучил, чтобы понятно объяснить другим, но итог, если исходить из моего текущего неполного понимания, примерно такой:
Технически это выглядит примерно так: вы запускаете X-сервер в той ОС, которая имеет прямой доступ к видеокарте, логинитесь в неё под каким-то юзером, а потом от него запускаете VNC client. Последний открывает какое-то окно, которое и будет отрисовывать всю ту графику, которая нужна конкретной удалённой (доступной только по сети) ОС.
Понятно, что для разных удалённых ОС и юзеров на них можно открыть разные VNC-клиенты под одним и тем же юзером на основной ОС (имющей доступ к видеокарте). Понятно, что к разные VNC-клиенты для пущей безопасности можно запускать под разными иксами. Наверняка есть, в том числе, и способ сделать так, чтобы вместо xdm или иного login manager'а на соответствующем дисплее (Ctrl+Alt+Fn) сразу запускался VNC-клиент к нужной удалённой ОС и т.д.
Обрывочно это всё обсуждалось, включая проброс разных PCI-устройств [1], [2], [3], [4], [5], но без деталей.
Пожалуйста.