Linux S�kerhets HOWTO
 Kevin Fenzi, [email protected] & Dave Wreski, [email protected].
 Svensk �vers�ttning av Tomas Carlsson
 [email protected]
 v0.9.11, 1 May 1998. Svensk version Augusti 1998

 Detta dokument �r en allm�n �versikt av de s�kerhetsaspekter som en
 administrat�r av ett Linuxsystem st�ter p�. Det t�cker allm�n s�ker�
 hetsfilosofi och ett antal specifika  exempel p� hur du kan g�ra ditt
 Linuxsystem s�krare mot inkr�ktare. Det h�nvisas �ven till annat
 s�kerhetsrelaterat material och program.  OBS: Detta �r en betaversion
 av detta dokument. F�rb�ttringar, konstruktiv kritik, till�gg och
 r�ttningar tas tacksamt emot. Var v�nlig skicka din feedback till b�da
 f�rfattarna per e-post. Se till att ha med "Linux", "security" eller
 "HOWTO" i �mnesraden i ditt meddelande f�r att undvika spammningsfil�
 ter och f�r att ditt meddelande skall uppm�rksammas snabbt av f�rfat�
 tarna.
 ______________________________________________________________________

 Inneh�llsf�rteckning














































 1. Introduktion

    1.1 Nya versioner av detta dokument
    1.2 Feedback
    1.3 Disclaimer
    1.4 Information om kopieringsr�tt
       1.4.1 Svensk �vers�ttning
       1.4.2 Engelsk version (denna g�ller)

 2. �versikt

    2.1 Varf�r beh�ver vi s�kerhet?
    2.2 Hur s�kert �r s�kert?
    2.3 Vad f�rs�ker du att skydda?
    2.4 Utveckla en s�kerhetspolicy
    2.5 M�jligheter att s�kra din sajt
       2.5.1 Dators�kerhet
       2.5.2 N�tverkss�kerhet
       2.5.3 S�kerhet genom m�rkl�ggning
    2.6 Organisation av detta dokument

 3. Fysisk s�kerhet

    3.1 Datorl�s
    3.2 BIOS-s�kerhet
    3.3 Boot-laddars�kerhet
    3.4 xlock och vlock
    3.5 Uppt�cka �ventyrande av fysisk s�kerhet

 4. Lokal s�kerhet

    4.1 Skapa nya anv�ndarkonton
    4.2 Root-s�kerhet

 5. S�kerhet i filer och filsystem

    5.1 Umask-inst�llningar
    5.2 Filr�ttigheter
    5.3 Integritetskontroll med Tripwire
    5.4 Trojanska h�star

 6. L�senordss�kerhet och kryptering

    6.1 PGP och Public Key kryptografi
    6.2 SSL, S-HTTP, HTTPS och S/MIME
    6.3 Linux x-kernel IPSEC implementering
    6.4 SSH (Secure Shell), stelnet
    6.5 PAM - Pluggable Authentication Modules
    6.6 Kryptografisk IP inkapsling (CIPE)
    6.7 Kerberos
    6.8 Skuggade l�senord
    6.9 Crack och John the Ripper
    6.10 CFS - kryptografiskt filsystem och TCFS - transparent kryptografiskt filsystem
    6.11 X11-, SVGA- och displays�kerhet
       6.11.1 X11
       6.11.2 SVGA
       6.11.3 GGI (Generella Grafikgr�nssnittsprojektet)

 7. K�rnans s�kerhet

    7.1 Kompileringsval f�r k�rnan
    7.2 Enheter i k�rnan

 8. N�tverkss�kerhet

    8.1 Paketsniffare
    8.2 Systemtj�nster och tcp_wrappers
    8.3 Verifiera din DNS-information
    8.4 identd
    8.5 SATAN, ISS och andra N�tverksscannare
    8.6 Sendmail, qmail och MTAs
    8.7 Nekande-av-tj�nst attacker
    8.8 NFS-s�kerhet (Network File System)
    8.9 NIS (Network Information Service) (tidigare YP).
    8.10 Brandv�ggar

 9. S�kerhetsf�rberedelser (innan du kopplar upp dig)

    9.1 G�r en fullst�ndig s�kerhetskopia av din maskin
    9.2 V�lj ett bra schema f�r s�kerhetskopiering
    9.3 S�kerhetskopiera din RPM eller Debian fildatabas
    9.4 H�ll reda p� systemloggarna
    9.5 L�gg till alla nya systemuppdateringar

 10. Att g�ra efter en attack

    10.1 S�kerhetsbrott p� g�ng
    10.2 S�kerhetsbrott har redan intr�ffat
       10.2.1 St�nga h�let
       10.2.2 Ta reda p� hur mycket skada som har skett
       10.2.3 S�kerhetskopior, S�kerhetskopior, S�kerhetskopior!
       10.2.4 Sp�ra inkr�ktaren

 11. S�kerhetsk�llor

    11.1 FTP-sajter
    11.2 Webb-sajter
    11.3 E-postlistor
    11.4 B�cker - Tryckt L�smaterial
    11.5 Terminologi

 12. Ofta fr�gade fr�gor (FAQ)

 13. Slutsats

 14. Tack till



 ______________________________________________________________________




 1.  Introduktion

 Detta dokument t�cker n�gra av de huvudsakliga s�kerhetsaspekter som
 p�verkar s�kerheten i Linux. Generell filosofi och "n�tf�dda" resurser
 diskuteras.

 Ett antal andra HOWTO-dokument �verlappar med dessa s�kerhetsaspekter
 och det har h�nvisats till dessa d�r s� �r fallet.

 Det �r INTE meningen att detta dokument skall vara ett f�rskt dokument
 om olika attacker som kan f�rekomma. Ett stort antal nya attacker
 f�rekommer st�ndigt. Detta dokument talar om var man kan leta efter
 s�dan f�rsk information, och n�gra allm�na metoder f�r att f�rebygga
 att s�dana attacker �ger rum.




 1.1.  Nya versioner av detta dokument

 Nya versioner av detta dokument kommer periodvis att postas till
 diskussionsgruppen comp.os.linux.answers. De kommer �ven att finnas p�
 de olika anonyma FTP-sajter som arkiverar s�dan information,
 inklusive:

 ftp://sunsite.unc.edu/pub/Linux/docs/HOWTO

 Dessutom s� b�r du vanligtvis kunna hitta detta dokument p� Linux
 WorldWideWeb hemsidan via:

 http://sunsite.unc.edu/mdw/linux.html

 Till sist, den allra senaste versionen av detta dokument b�r ocks�
 finnas tillg�ngligt i olika format fr�n:

 http://scrye.com/~kevin/lsh/



 1.2.  Feedback

 Alla kommentarer, felrapporter, ytterligare information och kritik av
 alla de slag skall skickas till:

 [email protected]

 och

 [email protected]

 OBS: Var v�nlig och skicka din feedback till _b�da_ f�rfattarna. Se
 �ven till att ha med "Linux", "security" eller "HOWTO" i din �mnesrad
 f�r att undvika Kevins spammningsfilter.




 1.3.  Disclaimer

 Inget ansvar f�r inneh�llet i detta dokument kan accepteras. Anv�nd
 principer, exempel och annat inneh�ll p� egen risk. Dessutom, detta �r
 en tidig version med m�nga m�jligheter f�r oriktigheter och fel.

 Ett antal av exemplen och beskrivningarna anv�nder uppl�gg och
 systemkonfiguration fr�n distributionen RedHat(tm). Anv�ndbarheten kan
 variera.

 S� l�ngt som vi vet s� beskrivs endast program som under s�rskilda
 villkor kan anv�ndas eller utv�rderas i personligt syfte. De flesta av
 programmen �r tillg�ngliga med komplett k�llkod under GNU-lika
 villkor.



 1.4.  Information om kopieringsr�tt


 1.4.1.  Svensk �vers�ttning

 Denna svenska �vers�ttning skall inte betraktas som juridiskt
 bindande. Det �r originalversionen p� engelska som g�ller, se n�sta
 rubrik.


 Detta dokument �r kopieringsr�ttsskyddat (c)1998 Kevin Fenzi och Dave
 Wreski, och distribueras under f�ljande villkor:


 �  Linux HOWTO-dokument f�r reproduceras och distribueras i sin helhet
    eller i delar, i vilket fysiskt eller elektroniskt medium som
    helst, s� l�nge som denna kopieringsr�tts notis inkluderas
    of�r�ndrad p� alla kopior. Kommersiell distribution �r till�ten och
    uppmuntras; men, f�rfattarna vill g�rna bli informerade om alla
    s�dana distributioner.

 �  Alla �vers�ttningar, h�rledda arbeten eller f�renade arbeten som
    inf�rlivar n�got Linux HOWTO-dokument m�ste t�ckas under denna
    kopieringsr�ttsnotis. Det vill s�ga, du f�r inte producera ett
    h�rlett arbete fr�n en HOWTO och sedan l�gga till ytterligare
    restriktioner f�r dess distribution. Undantag f�r dessa regler kan
    till�tas under speciella f�rh�llanden; var v�nlig kontakta
    koordinatorn f�r Linux HOWTOs p� adressen som ges nedan.

 �  Om du har n�gra fr�gor var v�nlig kontakta Tim Bynum, koordinatorn
    f�r Linux HOWTOs p�:

 [email protected]


 1.4.2.  Engelsk version (denna g�ller)

 This document is copyrighted (c)1998 Kevin Fenzi and Dave Wreski, and
 distributed under the following terms:



 �  Linux HOWTO documents may be reproduced and distributed in whole or
    in part, in any medium physical or electronic, as long as this
    copyright notice is retained on all copies. Commercial
    redistribution is allowed and encouraged; however, the authors
    would like to be notified of any such distributions.

 �  All translations, derivative works, or aggregate works
    incorporating any Linux HOWTO documents must be covered under this
    copyright notice.  That is, you may not produce a derivative work
    from a HOWTO and impose additional restrictions on its
    distribution. Exceptions to these rules may be granted under
    certain conditions; please contact the Linux HOWTO coordinator at
    the address given below.

 �  If you have questions, please contact Tim Bynum, the Linux HOWTO
    coordinator, at

 [email protected]




 2.  �versikt

 Detta dokument f�rs�ker f�rklara n�gra tillv�gag�ngss�tt och vanligt
 f�rekommande mjukvara som kan hj�lpa ditt Linuxsystem att bli s�krare.
 Det �r viktigt att diskutera n�gra av de grundl�ggande principerna
 f�rst, och skapa en stomme f�r s�kerheten innan vi s�tter ig�ng.






 2.1.  Varf�r beh�ver vi s�kerhet?

 S�kerhet blir en allt viktigare aspekt i den st�ndigt f�rnyande
 v�rlden av global datakommunikation, billiga Internetanslutningar och
 snabb mjukvaruutveckling. S�kerhet �r numer ett grundl�ggande krav
 eftersom global data�verf�ring �r os�ker till sin natur. N�r din data
 g�r fr�n punkt A till punkt B p� Internet, till exempel, kan det
 passera genom flera andra punkter p� v�gen. Detta ger andra anv�ndare
 m�jligheten att snappa upp, och till och med �ndra, din data. �ven
 andra anv�ndare p� ditt system kan illvilligt f�r�ndradin data till
 n�got som du inte alls hade t�nkt. Otill�ten access till ditt system
 kan f�s av inkr�ktare, �ven k�nda som "crackers", som sedan anv�nder
 avancerad kunskap f�r attimitera dig, stj�la information fr�n dig
 eller till och med neka dig access till dina egna resurser. Om du
 fortfarande undrar vad det �r f�r skillnad mellan en "Hacker" och en
 "Cracker" s� b�r du l�sa Eric Raymonds dokument, "How to Become A
 Hacker", tillg�ngligt p� http://sagan.earthspace.net/~esr/faqs/hacker-
 howto.html. (Det finns �ven en svensk version tillg�nglig som
 "inofficiell" HOWTO p� samma st�lle som _detta_ dokument).




 2.2.  Hur s�kert �r s�kert?

 F�rst och fr�mst, kom ih�g att inget datorsystem kan n�gonsin vara
 "helt och h�llet s�kert". Allt du kan g�ra �r att g�ra det sv�rare f�r
 n�gon att �ventyra s�kerheten p� ditt system. F�r den normale
 hemanv�ndaren av Linux s� kr�vs det inte mycket f�r att h�lla en
 planl�s cracker p� avst�nd. F�r h�gprofilanv�ndare av Linux (banker,
 telekommunikationsf�retag, etc) s� kr�vs mycket mer arbete.

 En annan faktor at ta med i ber�kningarna �r att ju s�krare ditt
 system �r desto mer st�rande blir s�kerheten. Du m�ste avg�ra i denna
 balansg�ng ditt system fortfarande �ranv�ndbart och fortfarande s�kert
 f�r dina syften. Till exempel, du kan kr�va att alla som ringer in
 till ditt system anv�nder ett "callback" modem som ringer upp
 respektive anv�ndare p� deras hemnummer. Detta �r s�krare, men om
 n�gon inte �r hemma s� blir det sv�rt f�r dem att logga in. Du kan
 ocks� konfigurera ditt system utan n�tverksanslutningar till Internet,
 men detta g�r det sv�rare att surfa p� webben.

 Om du har en stor till medelstor sajt s� b�r du st�lla upp en
 "S�kerhetspolicy" som s�ger hur mycket s�kerhet som kr�vs av din sajt
 och vilken granskning som beh�vs f�r att kolla den. Du kan hitta ett
 v�lk�nt exempel p� en s�kerhetspolicy p�
 http://ds.internic.net/rfc/rfc2196.txt. Den har nyss blivit uppdaterad
 och inneh�ller ett bra ramverk f�r en s�kerhetspolicy �t ditt f�retag.





 2.3.  Vad f�rs�ker du att skydda?

 Innan du f�rs�ker s�kra ditt system s� b�r du sl� fast vilken niv� av
 hot du m�ste skydda dig emot, vilka risker du b�r eller inte b�r ta
 och hur s�rbart ditt system �r som resultat. Du b�r analysera ditt
 system f�r att veta vad du skyddar, varf�r du skyddar det, vilket
 v�rde det har och vem som har ansvaret f�r din data och andra
 tillg�ngar.


 �  Risken finns att en inkr�ktare kan lyckas med ett f�rs�k att f�
    tillg�ng till din dator. Kan en inkr�ktare l�sa, skriva filer eller
    exekvera program som kan g�ra skada? Kan de radera kritisk data?
    Kan de hindra dig eller ditt f�retag fr�n att g�ra viktigt arbete?
    Gl�m inte att n�gon som f�r tillg�ng till ditt anv�ndarkonto eller
    system kan ocks� imitera dig.

    Dessutom, att ha ett os�kert anv�ndarkonto p� ditt system kan
    resultera i att hela ditt n�tverk kan �ventyras. Genom att ge en
    ensam anv�ndare till�telse att logga in genom en rhosts-fil, eller
    genom att till�ta anv�ndning av en os�ker tj�nst, som tftp,
    riskerar du att en inkr�ktare anv�nder detta f�r "f� in en fot
    genom d�rren". N�r v�l inkr�ktaren har ett anv�ndarkonto p� ditt
    system, eller n�gon annans system, s� kan det anv�ndas f�r att f�
    access till ett annat system eller ett annat anv�ndarkonto.


 �  Typiska hot kommer fr�n n�gon med motivation att f� otill�ten
    access till ditt n�tverk eller dator. Du m�ste avg�ra vem du kan
    lita p� som kan ha tillg�ng till ditt system och vilka hot de kan
    inf�ra.

    Det finns flera sorters inkr�ktare och det �r anv�ndbart att komma
    ih�g de karakteristiken f�r de olika n�r du s�krar ditt system.


 �  Den Nyfikne - Denna typ av inkr�ktare �r huvudsakligen intresserad
    av att f� reda p� vilket typ av system och data du har.

 �  Den Illvillige - Denna typ av inkr�ktare �r antingen ute efter att
    s�nka ditt system, eller att �ndra utseendet p� din webbplats,
    eller p� n�got annat s�tt f� dig att �dsla tid och pengar p� att
    �terst�lla det.

 �  H�gprofilinkr�ktaren - Denna typ av inkr�ktare f�rs�ker anv�nda
    ditt system f�r att bli popul�r och ber�md. Han kan anv�nda ditt
    h�gprofilsystem f�r att annonsera sina kunskaper.

 �  T�vlingsinkr�ktaren - Denna typ av inkr�ktare �r intresserad av vad
    du har f�r data p� ditt system. Det kan vara n�gon som tror att du
    har n�got som som kan fr�mja honom ekonomiskt eller p� n�got annat
    s�tt.


 �  S�rbarhet beskriver hur bra skyddad din dator �r fr�n ett annat
    n�tverk, och potentialen f�r att n�gon skall kunna f� otill�ten
    tillg�ng.

    Vad �r det som st�r p� spel om n�gon bryter sig in i ditt system?
    Sj�lvklart �r intressena hos en dynamisk PPP-hemanv�ndare
    annorlunda fr�n dem hos ett f�retag som ansluter sin maskin till
    Internet, eller n�got annat stort n�tverk.

    Hur mycket tid skulle det ta att �terf�/�terskapa n�gon data som
    f�rsvann? En f�rsta investering i tid nu kan spara tio g�nger mer
    tid senare om du m�ste �terskapa data som f�rsvann. Har du kollat
    din backupstrategi och verifierat din data p� senare tid?




 2.4.  Utveckla en s�kerhetspolicy

 Skapa en enkel, allm�n policy f�r ditt system som dina anv�ndare kan
 f�rst� och f�lja. Den b�r skydda den data som du skyddar, s�v�l som
 anv�ndarnas integritet. Vissa saker som man kan t�nka sig att l�gga
 till �r vem som har access till systemet (F�r min kompis anv�nda mitt
 anv�ndarkonto?), vem f�r installera mjukvara p� systemet, vem �ger
 vilken data, �terst�llning efter katastrof och korrekt anv�ndning av
 systemet.

 En allm�nt accepterad s�kerhetspolicy b�rjar med frasen:


                   "Det som inte �r till�tet �r f�rbjudet"


 Detta betyder att om du inte ger en anv�ndare access till en tj�nst s�
 skall den anv�ndaren inte anv�nda tj�nsten f�rr�n du ger access. Se
 till att policyn fungerar p� ditt normala anv�ndarkonto. Att s�ga,
 "Ah, jag kan inte lista ut problemen med r�ttigheterna h�r, jag g�r
 det som root", kan leda till s�kerhetsl�ckor som �r v�ldigt sj�lvklara
 och till och med s�dana som inte har uppt�ckts �n.




 2.5.  M�jligheter att s�kra din sajt

 Detta dokument kommer att diskutera olika m�jligheter p� vilka du kan
 s�kra dina tillg�ngar som du har jobbat h�rt f�r: din lokala maskin,
 data, anv�ndare, n�tverk och till och med ditt rykte. Vad skulle h�nda
 med ditt rykte ifall en inkr�ktare raderade dina anv�ndares data?
 Eller gjorde om din webbplats? Eller publicerade ditt f�retags interna
 projektplan f�r n�sta kvartal? Om du planerar en n�tverksinstallation
 s� finns det m�nga faktorer som du m�ste ta med i ber�kningarna innan
 du ansluter en enda maskin till ditt n�tverk.

 �ven om du har en enda uppringd PPP-f�rbindelse, eller bara en liten
 sajt s� betyder inte det att inkr�ktare inte �r intresserade i dina
 system. Det �r inte bara stora, h�gprofilsajter som �r potentiella
 m�l, m�nga inkr�ktare vill bara attackera s� m�nga sajter som m�jligt,
 oavsett storlek. Dessutom, s� kan de anv�nda ett s�kerhetsh�l p� din
 sajt f�r att f� access till andra sajter som du �r ansluten till.

 Inkr�ktare har mycket tid att spilla och kan undvika att gissa hur du
 har blottat ditt system genom att helt enkelt testa alla m�jligheter.
 Det finns ocks� flera anledningar till varf�r en inkr�ktare kan vara
 intresserad av dina system, vilka vi diskuterar senare.




 2.5.1.  Dators�kerhet

 Den kanske st�rsta anstr�ngningen med s�kerhet g�rs p� datorbaserad
 s�kerhet. Detta handlar vanligtvis om att se till att ditt eget system
 �r s�kert, och hoppas p� att alla andra p� ditt n�tverk g�r detsammma.
 Att v�lja bra l�senord, s�kra din dators lokala n�tverkstj�nster, ha
 bra loggningsm�jligheter och uppgradera program med k�nda
 s�kerhetsl�ckor ing�r bland de saker som den lokala
 s�kerhetsadministrat�ren har ansvar f�r att g�ra. �ven att detta �r
 absolut n�dv�ndigt s� kan det bli en skr�mmande uppgift n�r ditt
 n�tverk av makiner blir st�rre.




 2.5.2.  N�tverkss�kerhet

 N�tverkss�kerhet �r lika n�dv�ndigt som lokal dators�kerhet. Med ditt
 system, eller ett distribuerat datan�tverk, Internet eller hundratals,
 om inte tusentals datorer p� samma n�tverk, s� kan du inte lita till
 att alla de systemen �r s�kra. Se till att endast till�tna anv�ndare
 kan anv�nda dina n�tverksresurser, bygga brandv�ggar, anv�nda stark
 kryptering och se till att det inte finns n�gra "skurkaktiga" eller
 os�kra maskiner p� ditt n�tverk ing�r i �taganden f�r en administrat�r
 f�r n�tverkss�kerhet.

 Detta dokument kommer att diskutera n�gra av de tekniker som kan
 anv�ndas f�r att s�kra din sajt, och f�rhoppningsvis visa dig n�gra av
 de s�tt som finns f�r att f�rhindra en inkr�ktare fr�n att f� tillg�ng
 till det du f�rs�ker skydda.




 2.5.3.  S�kerhet genom m�rkl�ggning

 En typ av s�kerhet som m�ste diskuteras �r "s�kerhet genom
 m�rkl�ggning". Detta betyder att g�ra n�got som till exempel byta
 loginnamn fr�n "root" till "toor" f�r att f�rhindra n�gon att bryta
 sig in i ditt system som root �r bara en falsk k�nsla av s�kerhet, och
 kommer att reslutera i v�ldigt otrevliga konsekvenser. Lita p� att en
 som attackerar ditt system snabbt kommer att se igenom s�dana tomma
 s�kerhetstilltag. Bara f�r att du har en liten sajt eller relativt l�g
 profil betyder inte att en inkr�ktare inte �r intresserad av vad du
 har. Vi kommer att diskutera vad du skyddar i f�ljande avsnitt.




 2.6.  Organisation av detta dokument

 Detta dokument har delats in i ett antal avsnitt. De t�cker ett
 flertal typer av s�kerhetsaspekter. Det f�rsta, fysisk s�kerhet,
 behandlar hur du beh�ver skydda din fysiska maskin fr�n manipulation.
 Det andra beskriver hur du skyddar ditt system fr�n att bli
 manipulerat av lokala anv�ndare. Det tredje, filer och
 filsystems�kerhet, visar hur du b�r s�tta upp dina filsystem och
 r�ttigheter p� dina filer. N�sta avsnitt, l�senords�kerhet och
 kryptering, behandlar hur du kan anv�nda kryptering f�r att s�kra din
 maskin och ditt n�tverk. S�kerhet i k�rnan behandlar hur behandlar
 vilka parametrar du b�r s�tta eller k�nna till f�r en s�krare maskin.
 N�tverkss�kerhet beskriver hur du s�krar ditt Linuxsystem fr�n
 n�tverksattacker. S�kerhetsf�rberedning behandlar hur du f�rbereder
 dina maskiner innan du kopplar in dem. N�sta avsnitt behandlar vad man
 kan g�ra n�r man uppt�cker ett intr�ng �r p� g�ng eller nyss har
 intr�ffat. Sedan f�ljer l�nkar till andra s�kerhetsresurser och
 slutligen lite fr�gor och svar och n�gra avslutande ord.

 De tv� huvudaspekterna att inse n�r du l�ser detta dokument �r:


 �  K�nn till ditt system. Kolla systemloggar som /var/log/messages och
    h�ll ett �ga p� ditt system, och

 �  H�ll ditt system uppdaterat genom att se till att du har
    installerat de senaste versionerna av mjukvaran och har uppgraderat
    efter uppgifter om s�kerhetsrisker. Endast detta hj�lper dig att
    h�lla ditt system betydligt mer s�kert.




 3.  Fysisk s�kerhet

 Det f�rsta "lagret" av s�kerhet som du m�ste ta med i ber�kningarna �r
 den fysiska s�kerheten f�r ditt datorsystem. Vem har direkt fysisk
 access till din maskin? B�r de ha det? Kan du skydda din maskin fr�n
 deras mixtrande? B�r du det?
 Hur mycket fysisk s�kerhet du beh�ver f�r ditt system beror v�ldigt
 mycket p� din situation och/eller budget.

 Om du �r en hemanv�ndare s� beh�ver du antagligen inte g�ra s� mycket
 (�ven om du kanske m�ste skydda din maskin fr�n kl�fingriga barn eller
 sl�ktingar). Om du �r i en labmilj� s� beh�ver du n�mnv�rt mer, men
 anv�ndarna m�ste fortfarande kunna arbeta med maskinerna. M�nga av de
 avsnitt som f�ljer kommer att hj�lpa dig. Om du jobbar p� ett kontor
 s� m�ste du kanske eller kanske inte s�kra din maskin n�r du inte �r
 d�r. P� vissa f�retag �r det ett brott som kan straffas med avsked att
 inte s�kra sin maskin n�r man l�mnar den.

 Sj�lvklara fysiska s�kerhetsmetoder som l�s p� d�rrar, kablar, l�sta
 sk�p och video�vervakning �r alla bra, men ligger utanf�r r�ckvidden
 av detta dokument. :)




 3.1.  Datorl�s

 M�nga moderna pc-l�dor inkluderar en l�sfunktion. Vanligtvis �r detta
 ett l�s p� framsidan av l�dan d�r du kan l�sa eller l�sa upp med en
 medf�ljande nyckel. Dessa l�s kan hj�lpa till att f�rebygga att n�gon
 stj�l din pc, eller �ppnar l�dan och manipulerar/stj�ler din h�rdvara.
 De kan ibland ocks� hindra att n�gon �terstartar din dator p� sin egen
 diskett eller annan h�rdvara.

 Dessa l�s g�r olika saker beroende p� vad som st�ds av moderkortet och
 hur l�dan �r konstruerad. P� m�nga pc's m�ste du f�rst�ra l�dan f�r
 att kunna �ppna den. P� vissa andra kan man inte koppla in nya
 tangentbord eller m�ss. Se i instruktionerna till ditt moderkort eller
 l�da f�r mer information. Detta kan ofta vara en anv�ndbar egenskap,
 men l�sen �r ofta av d�lig kvalitet och kan l�tt forceras av en attack
 med dyrkar.

 Vissa l�dor (mest sparc och mac) har en bygel p� baksidan s� att om du
 tr�r en kabel igenom den s� m�ste attackerare klippa av kabeln eller
 f�rst�ra l�dan f�r att komma in i den. Att endast s�tta ett h�ngl�s
 eller kombinationsl�s igenom dessa kan f�rhindra att n�gon stj�l din
 maskin.




 3.2.  BIOS-s�kerhet

 BIOS �r den l�gsta niv�n av mjukvara som konfigurerar eller
 manipulerar din x86-baserade h�rdvara. LILO och andra uppstartsmetoder
 f�r Linux anv�nder BIOS f�r att f� reda p� hur de skall starta upp din
 Linuxmaskin. Annan h�rdvara som Linux k�rs p� har liknande mjukvara
 (OpenFirmware p� mac och nya sun, sun boot prom, osv...). Du kan
 anv�nda ditt BIOS f�r att hindra attackerare att �terstarta din maskin
 och manipulera ditt Linuxsystem.

 Under Linux/x86 till�ter m�nga pc BIOS att du kan anv�nda ett
 "boot"-l�senord. Detta tillhandah�ller inte s� v�rst mycket s�kerhet
 (BIOS kan nollst�llas, eller tas bort om n�gon kan �ppna l�dan), men
 det kan vara ett bra avskr�ckningsmedel (dvs det tar tid och l�mnar
 sp�r av mixtring).

 M�nga x86 BIOS till�ter �ven att du specificerar diverse andra bra
 s�kerhetsinst�llningar. Titta i din manual f�r BIOS eller titta i det
 n�sta g�ng du startar upp. N�gra exempel �r: till�t inte uppstart fr�n
 diskett och l�senord f�r att f� tillg�ng till vissa BIOS-egenskaper.

 P� Linux/Sparc kan ditt SPARC EEPROM st�llas in f�r att kr�va ett
 l�senord f�r uppstart. Detta kan sakta ner attackerare lite granna.

 OBS: Om du har en servermaskin och du st�ller in ett l�senord f�r
 uppstart s� kan din maskin inte startas upp utan att n�gon finns d�r.
 Kom ih�g att du m�ste g� dit och skriva in l�senordet �ven om det har
 varit str�mavbrott. ;(




 3.3.  Boot-laddars�kerhet

 De olika boot-laddarna som finns f�r Linux kan ocks� st�llas in f�r
 att kr�va ett l�senord. Med lilo kan du titta p� inst�llningarna
 "restricted" och "password". "password" l�ter dig st�lla in ett
 l�senord f�r uppstart. Med "restricted" s� startas maskinen upp som
 vanligt _om inte_ n�gon specificerar n�gra parametrar till lilo-
 prompten (som "single").

 Kom ih�g att n�r du st�ller in alla dessa l�senord s� m�ste du �ven
 komma ih�g dem. :) Kom ocks� ih�g att l�senord saktar endast ner en
 beslutsam attackerare. Detta hindrar ingen fr�n att starta fr�n en
 diskett och montera din rootpartition. Om du anv�nder s�kerhet i
 samband med en boot-laddare, s� kan du likav�l neka uppstart fr�n
 diskett i ditt BIOS, s�v�l som att l�senordsskydda ditt BIOS.

 Om n�gon har s�kerhetsrelaterad information fr�n en annan boot-
 laddare, s� vill vi g�rna h�ra den. (grub, silo, milo, linload, etc).

 OBS: Om du har en servermaskin och du st�ller in ett l�senord f�r
 uppstart s� kan din maskin inte startas upp utan att n�gon finns d�r.
 Kom ih�g att du m�ste g� dit och skriva in l�senordet �ven om det har
 varit str�mavbrott. ;(




 3.4.  xlock och vlock

 Om du g�r iv�g fr�n din maskin d� och d�, s� kan det vara trevligt att
 "l�sa" din konsoll s� att ingen mixtrar eller tittar p� ditt arbete.
 Tv� program som g�r detta �r: xlock och vlock.

 Xlock l�ser din X-sk�rm. Den b�r finnas i alla Linux-distributioner
 som st�djer X. Titta p� manualbladet f�r det f�r mer valm�jligheter,
 men generellt kan du k�ra xlock fr�n en xterm p� din konsoll och det
 l�ser sk�rmen och kr�ver ditt l�senord f�r att l�sa upp.

 vlock �r ett enkelt litet program som l�ter dig l�sa vissa eller alla
 virtuella konsoller p� din Linuxburk. Du kan l�sa den du arbetar i
 eller allihopa. Om du bara l�ser en s� kan andra komma och anv�nda
 konsollen, de kommer bara inte kunna anv�nda din vty f�rr�n du l�ser
 upp den. Vlock finns i RedHat Linux, men din lycka kan variera.

 N�r du l�ser din konsoll s� hindrar det att n�gon mixtrar med ditt
 arbete, men det hindrar inte att n�gon startar om din maskin eller p�
 annat s�tt avbryter ditt arbete. Det hindrar inte heller att n�gon
 skapar problem genom att mixtra med din maskin via n�tverket.







 3.5.  Uppt�cka �ventyrande av fysisk s�kerhet

 Den f�rsta saken att alltid kolla upp �r n�r din maskin blev
 �terstartad. Eftersom Linux �r ett robust och stabilt operativsystem,
 s� �r de enda g�nger din maskin skall �terstartas n�r DU tar ner den
 f�r uppgradering av operativsystem, utbyte av h�rdvara eller liknande.
 Om din maskin har �terstartats utan att du har gjort det, s� skall
 varningslampan t�ndas. M�nga av de s�tt p� vilka din maskins s�kerhet
 kan �ventyras kr�ver att inkr�ktaren startar om eller st�nger av din
 maskin.

 Titta efter tecken p� att n�gon mixtrat med l�dan och datoromr�det.
 �ven om m�nga inkr�ktare st�dar undan alla sp�r av deras n�rvaro fr�n
 systemloggar, s� �r det en bra ide att titta igenom allihop och notera
 alla avvikelser.

 N�gra saker att titta efter i dina loggar:

 �  Korta eller inkompletta loggar.

 �  Loggar som inneh�ller konstiga tidmarkeringar.

 �  Loggar med inkorrekta r�ttigheter eller �gare.

 �  Meddelanden om �terstart av system eller tj�nster.

 �  Saknade loggar.

 �  Rader med su eller inloggning fr�n konstiga platser.

 Vi behandlar data fr�n systemloggar senare i denna HOWTO.




 4.  Lokal s�kerhet

 N�sta sak att titta p� �r s�kerheten i ditt system mot attacker fr�n
 lokala anv�ndare. Sade vi just _lokala_ anv�ndare? Ja.

 Att f� tillg�ng till en lokal anv�ndares anv�ndarkonto �r en av de
 f�rsta saker som en inkr�ktare f�rs�ker med p� sin v�g f�r att komma
 �t root-anv�ndarkontot. Med avsaknad av lokal s�kerhet s� kan de
 "uppgradera" sin normala anv�ndaracceess till rootaccess genom att
 anv�nda sig av en m�ngd buggar och d�ligt inst�llda lokala tj�nster.
 Om du ser till att din lokala s�kerhet �r sn�v, s� har inkr�ktaren
 ytterligare ett hinder att g� f�rbi.

 Lokala anv�ndare kan ocks� skapa mycket trubbel med ditt system �ven
 (s�rskilt) om de verkligen �r de de s�ger att de �r. Att ge
 anv�ndarkonton till personer som du inte k�nner eller inte har n�gon
 information om �r en v�ldigt d�lig ide.




 4.1.  Skapa nya anv�ndarkonton

 Du b�r se till att endast ge de minimala r�ttigheter till ett
 anv�ndarkonto som kr�vs f�r dess uppgifter. Om du vill ge din son
 (�lder 10) ett anv�ndarkonto s� kanske du bara vill att han skall ha
 tillg�ng till en ordbehandlare och ett ritprogram, men inte kunna
 radera data som inte �r hans.

 Flera bra tumregler n�r du skall ge andra personer tillg�ng till din
 Linuxmaskin:
 �  Ge dem minimalt med r�ttigheter.

 �  Ha kontroll p� n�r och var de loggar in ifr�n, eller b�r logga in
    ifr�n.

 �  Se till att ta bort deras anv�ndarkonto n�r de inte l�ngre beh�ver
    det.

 M�nga lokala anv�ndarkonton som anv�nds i nedbrytning av s�kerhet �r
 s�dana som inte har anv�nts p� flera m�nader eller �r. Eftersom ingen
 anv�nder dem s� �r de det ideala s�ttet att g�ra en attack med.




 4.2.  Root-s�kerhet

 Det mest efters�kta anv�ndarkontot p� din maskin �r anv�ndarkontot f�r
 "superuser". Detta anv�ndarkonto har auktoritet �ver hela maskinen,
 vilket �ven kan inkludera auktoritet �ver andra maskiner p� n�tverket.
 Kom ih�g att du endast skall anv�nda root-anv�ndarkontot f�r v�ldigt
 korta specifika uppgifter och skall mestadels k�ra som en normal
 anv�ndare. Att k�ra som root hela tiden �r en v�ldigt v�ldigt v�ldigt
 d�lig ide.

 Flera trix f�r att undvika att st�ka till i din egen burk som root:

 �  N�r du skall g�ra ett komplext kommando, f�rs�k f�rst med att k�ra
    det p� ett ickedestruktivt s�tt...s�rskilt kommandon med mycket
    utskrifter: dvs, du �r p� v�g att g�ra en "rm foo*.bak", men
    ist�llet g�r du f�rst "ls foo*.bak" och ser till att du �r p� v�g
    att radera de filer du har t�nkt. Att anv�nda echo ist�llet f�r
    destruktiva kommandon kan ocks� fungera ibland.

 �  Vissa personer anv�nder "touch /-i" p� sina system. Detta g�r att
    kommandon som "rm -rf *" fr�gar om du verkligen vill ta bort alla
    filerna. (Det g�r detta genom att ditt shell l�ser upp "-i" filen
    f�rst, och behandlar den som -i parametern till rm.) Detta hj�lper
    dock inte med rm kommandon utan * i sig. ;(

 �  Bli endast root f�r att g�ra enstaka specifika uppgifter. Om du
    m�rker att du h�ller p� att lista ut hur man g�r en viss sak, g�
    tillbaka till normal anv�ndare tills du �r s�ker p� vad som beh�ver
    g�ras som root.

 �  S�kv�gen f�r kommandon f�r root-anv�ndaren �r v�ldigt viktig.
    Kommandot path, eller omgivningsvariabeln PATH, definierar var
    shellet skall s�ka efter program. F�rs�k att minimera s�kv�gen f�r
    root-anv�ndaren s� mycket som m�jligt, och anv�nd aldrig ".",
    vilket betyder "aktuell katalog" i din PATH. Dessutom s� skall du
    aldrig ha skrivbara kataloger i s�kv�gen, eftersom detta kan
    till�ta attackerare att placera nya bin�rfiler i din s�kv�g och
    l�ter dem k�ra som root n�sta g�ng du k�r det kommandot.

 �  Anv�nd aldrig rlogin/rsh/rexec (kallas r-programmen) sviten av
    verktyg som root. De �r f�rem�l f�r m�nga typer av attacker, och �r
    riktigt farliga om de k�rs som root. Skapa aldrig en .rhosts-fil
    f�r root.

 �  Filen /etc/securetty inneh�ller en lista p� terminaler som root kan
    logga in fr�n. Som standard (i RedHat Linux) �r detta satt endast
    till de lokala virtuella konsollerna (vtys). Var v�ldigt f�rsiktig
    med att l�gga till n�got annat i denna filen. Du b�r kunna logga in
    fr�n ett annat system som en normal anv�ndare och sedan g�ra "su"
    om du beh�ver (f�rhoppningsvis via ssh eller n�gon annan krypterad
    kanal), s� det finns ingen anlednig att kunna logga in direkt som
    root.

 �  Var alltid l�ngsam och genomt�nkt n�r du k�r som root. Ditt
    agerande kan p�verka m�nga saker. T�nk innan du skriver!

 Om du absolut m�ste l�ta n�gon (f�rhoppnigsvis en som du litar p�) f�
 "superuser" access till din maskin, s� finns det n�gra verktyg som kan
 hj�lpa till. Sudo l�ter anv�ndare anv�nda sitt l�senord f�r att f�
 tillg�ng till ett begr�nsat antal kommandon som root. Med detta kan
 du, till exempel, l�ta en anv�ndare mata ut och montera flyttningsbar
 media p� din Linuxburk, men inte ha n�gra andra root-privilegier. Sudo
 loggar alla lyckade och misslyckade sudo-f�rs�k, vilket l�ter dig
 sp�ra vem som anv�nde vilket kommando f�r att g�ra vad. Av denna
 anledningen s� fungerar sudo bra �ven p� platser d�r ett antal
 personer har root-access, men anv�nd sudo s� att du kan h�lla reda p�
 �ndringar som g�rs.

 �ven om sudo kan anv�ndas f�r att ge specifika anv�ndare specifika
 privilegier f�r specifika uppgifter, s� har det flera nackdelar. Det
 skall enbart anv�ndas f�r ett begr�nsat antal uppgifter, som att
 starta om en server, eller l�gga till nya anv�ndare. Alla program som
 tillhandah�ller att man kan hoppa ut i shellet kommer att ge
 anv�ndaren root-access. Detta inkluderar de flesta editorer, till
 exempel. Dessutom, ett s� oskyldigt program som /bin/cat kan anv�ndas
 f�r att skriva �ver filer, vilket kan g�ra att root blir attackerat.
 T�nk p� sudo som ett hj�lpmedel f�r att ha kontroll, och f�rv�nta dig
 inte att det skall ers�tta root-anv�ndaren och dessutom vara s�kert.




 5.  S�kerhet i filer och filsystem

 N�gra minuters f�rberedelse och planering innann du kopplar upp ditt
 system kan hj�lpa till att skydda ditt system och den data som finns
 lagrad p� det.

 �  Det b�r aldrig finnas n�gon anledning att anv�ndarnas hemkataloger
    skall till�ta att SUID/SGID-program k�rs ifr�n dem. Anv�nd
    parametern "nosuid" i /etc/fstab f�r partitioner som �r skrivbara
    av andra �n root. Du kanske �ven b�r anv�nda "nodev" och "noexec"
    p� anv�ndarnas hempartitioner, s�v�l som p� /var. Detta f�rbjuder
    exekvering av program, och att man skapar blockenheter, vilket
    aldrig skall vara n�dv�ndigt �nd�.

 �  Om du exporterar filsystem via NFS, se till att du konfigurerar
    /etc/exports med de mest restriktiva r�ttigheterna som g�r. Detta
    betyder att inte anv�nda jokrar, inte till�ta root-skrivaccess, och
    montera "readonly" n�r det �r m�jligt.

 �  Konfigurera dina anv�ndares umask f�r filskapning till att vara s�
    restriktiv som m�jligt. Vanliga inst�llningar �r 022, 033 och den
    mest restriktiva 077, och l�ggs i /etc/profile.

 �  S�tt gr�nser f�r filsystemen ist�llet f�r att till�ta "obegr�nsad"
    som �r standard. Du kan kontrollera begr�nsningar per-anv�ndare
    genom att anv�nda PAM-modulen f�r resursbegr�nsningar och
    /etc/pam.d/imits.conf. Till exempel, gr�nserna f�r gruppen "users"
    kan se ut s� h�r:



                      @users     hard  core    0
                      @users     hard  nproc   50
                      @users     hard  rss     5000

 Detta s�ger att det �r f�rbjudet att skapa core-filer, begr�nsar
 antalet processer till 50, och begr�nsar minnesanv�ndningen per
 anv�ndare till 5Mb.


 �  Filerna /var/log/wtmp och /var/run/utmp inneh�ller logininformation
    om alla anv�ndare p� ditt system. Dess integritet m�ste bibeh�llas
    eftersom de kan anv�ndas f�r att avg�ra n�r och varifr�n en
    anv�ndare (eller en potentiell inkr�ktare) har kommit in i ditt
    system. Dessa filerna b�r ocks� ha r�ttigheterna 644, utan att
    p�verka normal systemoperation.


 �  Biten f�r "icke-�ndringsbar" kan anv�ndas f�r att f�rhindra att
    n�gon av misstag raderar eller skriver �ver en fil som m�ste vara
    skyddad. Det f�rhindrar �ven att n�gon skapar en symbolisk l�nk
    till den filen, vilket har varit grunden till attacker som handlat
    om att radera /etc/passwd eller /etc/shadow. Se manualbladet f�r
    chattr(1) f�r mer information biten f�r "icke-�ndringsbar".


 �  Alla SUID och SGID filer p� ditt system �r potentiella
    s�kerhetsrisker, och skall kollas noga. Eftersom dessa program ger
    speciella privilegier till anv�ndaren som k�r dem, s� �r det
    n�dv�ndigt att vara s�ker p� att inga os�kra program installeras.
    Ett favorittrix f�rcrackers �r att attackera SUID "root" program,
    och sedan l�mna ett SUID-program som bakd�rr f�r att komma in n�sta
    g�ng, �ven om det ursprungliga h�let �r igenpluggat.

    Hitta alla SUID/SGID-program p� ditt system, och h�ll reda p� vad
    de g�r, s� att du �r medveten om alla �ndringar som tyder p� en
    potentiell inkr�ktare. Anv�nd f�ljande kommando f�r att hitta alla
    SUID/SGID-program p� ditt system:



               root#  find / -type f \( -perm -04000 -o -perm -02000 \)




 Du kan ta bort SUID eller SGID r�ttigheterna p� ett misst�nkt program
 med chmod(1), sedan �ndra tillbaka om tycker att det �r absolut
 n�dv�ndigt.


 �  Filer som �r skrivbara f�r alla, s�rskilt systemfiler, kan vara en
    s�kerhetsrisk om en cracker f�r access till ditt system och �ndrar
    dem. Dessutom �r det farligt med kataloger som �r skrivbara f�r
    alla eftersom de l�ter en cracker skriva och radera filer som han
    vill. F�r att lokalisera alla filer som �r skrivbara f�r alla,
    anv�nd f�ljande kommando:



               root# find / -perm -2 -print




 och se till att du varf�r de filerna �r skrivbara. I normal operation
 s� �r flera filer  skrivbara, inklusive n�gra fr�n /dev och symboliska
 l�nkar.

 �

    Filer utan �gare kan ocks� vara en indikation att en inkr�ktare har
    haft tillg�ng till ditt system. Du kan hitta filer som inte har
    n�gon �gare eller inte tillh�r n�gon grupp med kommandot:



               root# find / -nouser -o -nogroup -print






 �  Att hitta .rhosts-filer b�r vara en del av dina vardagliga
    uppgifter som systemadministrat�r, eftersom dessa filer inte skall
    f� existera p� ditt system. Kom ih�g att en cracker bara beh�ver
    ett os�kert anv�ndarkonto f�r att f� access till hela ditt n�tverk.
    Du kan hitta alla .rhosts-filer p� ditt system med f�ljande
    kommando:


               root# find /home -name .rhosts -print







 �  Till sist, innan du �ndrar r�ttigheter p� n�gra systemfiler, se
    till att du f�rst�r vad du g�r. �ndra aldrig r�ttigheterna p� en
    fil f�r att det verkar vara ett l�tt s�tt att f� saker och ting att
    fungera. Kontrollera alltid varf�r en fil har vissa r�ttigheter
    innan du �ndrar dem.




 5.1.  Umask-inst�llningar

 Kommandot umask kan anv�ndas f�r att best�mma/ta reda p� vilka
 r�ttigheter som skapade filer skall f� som standard p� ditt system.
 Det �r det oktala komplementet till filr�ttigheterna. Om filer skapas
 utan h�nsysn till r�ttigheter s� kan en anv�ndare oavsiktligt ge l�s
 eller skrivr�ttigheter till n�gon som inte borde ha det. Typiska
 umask-inst�llningar �r 022, 027 och 077 (vilket �r det mest
 restriktiva). Normalt s�tts umask i /etc/profile s� det g�ller alla
 anv�ndare p� systemet. Du kan till exempel ha en rad som ser ut s�
 h�r:



               # Set the user's default umask
               umask 033




 Se till att umask f�r root �r 077, vilket sl�r av l�s-, skriv- och
 exekverar�ttigheterna f�r andra anv�ndare om det inte explicit �ndras
 med chmod(1).

 Om du anv�nder RedHat, och anv�nder deras s�tt att skapa anv�ndare och
 grupper (User Private Groups), s� r�cker det att anv�nda 002 som
 umask. Detta f�r att standardkonfigurationen �r en anv�ndare per
 grupp. (�tminstonde versionerna 1.3 och 2.0 av Debian g�r ocks�
 detta!(Sv�))




 5.2.  Filr�ttigheter

 Det �r viktigt att du f�rs�krar dig om att dina systemfiler inte �r
 �ppna f�r slapph�nt modifiering av anv�ndare och grupper som inte
 borde ut�va s�dant systemunderh�ll.

 UNIX delar upp accesskontroll p� filer och kataloger i tre kategorier:
 �gare, grupp och andra. Det finns alltid exakt en anv�ndare, hur m�nga
 medlemmar av gruppen som helst och alla andra.

 En snabb f�rklaring av r�ttigheter i UNIX:


 �  �garskap - Vilken/vilka anv�ndare och grupper har kontroll �ver
    r�ttigheterna f�r noden och nodens f�r�lder.


 �  R�ttigheter - Bitar som antingen �r p� eller av f�r att till�ta
    vissa typer av access till noden. R�ttigheter f�r kataloger kan ha
    annan betydelse �n samma r�ttigheter f�r en fil.


 �  Read


 �  Att kunna titta p� inneh�llet i en fil.


 �  Att kunna l�sa en katalog




 �  Write


 �  Att kunna l�gga till eller �ndra en fil.


 �  Att kunna radera eller flytta filer i en katalog.




 �  Execute


 �  Att kunna exekvera ett bin�rprogram eller shellskript.


 �  Att kunna s�ka i en katalog, tillsammans med l�sr�ttigheter.




 �

    Save Text Attribute (f�r kataloger)
       Den "klibbiga" (sticky) biten har ocks� olika betydelse n�r den
       finns p� kataloger. Om den �r satt p� en katalog s� f�r en
       anv�ndare endast radera filer som anv�ndaren �ger eller filer
       d�r han har explicit skrivr�ttighet, �ven om han har
       skrivr�ttighet till katalogen. Detta �r gjort f�r kataloger som
       /tmp, vilken �r skrivbar f�r alla, men det kanske inte �r
       �nskv�rt att en anv�ndare kan ta bort filer som han vill. Denna
       biten ses som ett 't' i en l�ng kataloglistning.



 �

    SUID Attribut (f�r filer)
       Detta beskriver s�tt-anv�ndar-id r�ttigheter f�r filen. N�r SUID
       �r satt i �garr�ttigheterna, och filen �r exekverbar, s� f�r
       processer som k�r den tillg�ng till systemresurser baserat p�
       anv�ndaren som startade processen. Detta �r anledningen till
       m�nga "buffer overflow"-attacker.



 �

    SGID Attribut (f�r filer)
       Om detta �r satt i gruppr�ttigheterna s� kontrollerar denna
       biten s�tt-grupp-id statusen f�r en fil. Detta beter sig p�
       samma s�tt som SUID, f�rutom att gruppen p�verkas ist�llet.
       Filen m�ste �ven vara exekverbar f�r att det skall ha n�gon
       effekt.



 �

    SGID Attribut (f�r kataloger)
       Om du s�tter SGID biten f�r en katalog (med "chmod g+s
       katalognamn"), s� kommer filer som skapas i den katalogen att ha
       sin grupp satt till katalogens grupp.

 Du       - �garen av filen

 Grupp    - Gruppen du tillh�r

 Alla     - Vem som helst p� systemet som inte �r �gare eller medlem i
 gruppen.


 Filexempel:



          -rw-r--r--  1 kevin  users         114 Aug 28  1997 .zlogin
          1st bit - katalog?               (nej)
           2nd bit - l�sbar f�r �garen?     (ja, f�r kevin)
            3rd bit - skrivbar f�r �garen?   (ja, f�r kevin)
             4th bit - exekverbar f�r �garen? (nej)
              5th bit - l�sbar f�r gruppen?    (ja, f�r users)
               6th bit - skrivbar f�r gruppen?  (nej)
                7th bit - exekverbar f�r gruppen?(nej)
                 8th bit - l�sbar f�r alla?       (ja, f�r alla)
                  9th bit - skrivbar f�r alla?     (nej)
                   10th bit - exekverbar f�r alla?  (nej)




 F�ljande rader �r exempel p� de minimala r�ttigheter som kr�vs f�r att
 kunna utf�ra den access som beskrivs. Du kanske vill ge mer
 r�ttigheter �n vad som listas, men detta b�r beskriva vad de minimala
 r�ttigheterna p� filer g�r:




      -r--------  Till�t l�sacces til filen f�r �garen.
      --w-------  Till�ter �garen att �ndra eller radera filen.
      ---x------  �garen kan exekvera detta program, men inte shellskript
                  d�r �ven l�sr�ttigheter kr�vs.
      ---s------  Kommer att exekvera med anv�ndar-id = �gare.
      -------s--  Kommer att exekvera med anv�ndar-id = grupp.
      -rw------T  Ingen uppdatering av "sista modifieringstid". Vanligtvis
                  f�r swapfiler.
      ---t------  Ingen effekt. (f�re detta "sticky bit")




 Katalogexempel:


          drwxr-xr-x  3 kevin  users         512 Sep 19 13:47 .public_html/
          1st bit - katalog?              (ja, den kan inneh�lla filer)
           2nd bit - l�sbar f�r �gare?     (ja, f�r kevin)
            3rd bit - skrivbar f�r �gare?   (ja, f�r kevin)
             4th bit - exekverbar f�r �gare? (ja, f�r kevin)
              5th bit - l�sbar f�r grupp?     (ja, f�r users)
               6th bit - skrivbar f�r grupp?   (nej)
                7th bit - exekverbar f�r grupp? (ja, f�r users)
                 8th bit - l�sbar f�r alla?      (ja, f�r alla)
                  9th bit - skrivbar f�r alla?    (nej)
                   10th bit - exekverbar f�r alla? (ja, f�r alla)




 F�ljande rader �r exempel p� de minimala r�ttigheter som kr�vs f�r att
 kunna utf�ra den access som beskrivs. Du kanske vill ge mer
 r�ttigheter �n vad som listas, men detta b�r beskriva vad de minimala
 r�ttigheterna p� kataloger g�r:





      dr--------  Inneh�llet kan listas men filattributen kan inte l�sas.
      d--x------  Man kan g� in i katalogen och den kan anv�ndas i fulla
                  exekveringss�kv�gar.
      dr-x------  Filattribut kan nu l�sas av �garen.
      d-wx------  Filer kan nu skapas/raderas, �ven om katalogen inte �r
                  den aktuella.
      d------x-t  F�rhindrar att filer kan raderas av andra med
                  skrivr�ttigheter. Anv�nds p� /tmp
      d---s--s--  Ingen effekt.




 Filer f�r systemkonfiguration (vanligtvis i /etc) har oftast
 r�ttigheterna 640 (-rw-r-----) och �gs av root. Beroende p�
 s�kerhetskraven p� din sajt, s� kanske du vill  �ndra detta. L�t
 aldrig systemfiler vara skrivbara f�r en grupp eller f�r alla. Vissa
 konfigurationsfiler, som /etc/shadow, b�r endast vara l�sbara f�r
 root. Kataloger i /etc b�r �tminstonde inte vara tillg�ngliga f�r
 alla.
    SUID shellskript
       Shellskript med SUID-biten satt �r en allvarlig s�kerhetsrisk,
       av denna anledningen s� till�ter inte kerneln s�dana. Oavsett
       hur s�kert du tycker att skriptet �r, s� kan det attackeras f�r
       att ge en cracker ett root-shell.



 5.3.  Integritetskontroll med Tripwire

 Ett annat bra s�tt att uppt�cka lokala attacker (och �ven fr�n
 n�tverket) mot ditt system, �r att k�ra en integritetskontrollerare
 som Tripwire. Tripwire k�r ett antal checksummor p� alladina viktiga
 bin�rfiler och konfigurationsfiler och j�mf�r dem med en databas med
 tidigare v�rden som man vet �r korrekta. Vilket betyder att �ndringar
 i filer noteras.

 Det �r en bra ide att installera Tripwire p� en diskett, och sedan
 fysiskt skrivskydda disketten. Nu kan inkr�ktare inte mixtra med
 sj�lva Tripwire eller �ndra i databasen. N�r du v�l har installerat
 Tripwire s� �r det en bra ide att k�ra det som en del av ditt
 normalasystemunderh�ll f�r att se om n�got har �ndrats.

 Du kan till och med l�gga till en post i crontab f�r att k�ra Tripwire
 fr�n din diskett varje natt och sedan e-posta dig resultaten p�
 morgonen. N�got som:


               # set mailto
               MAILTO=kevin
               # run tripwire
               15 05 * * * root /usr/local/adm/tcheck/tripwire




 kommer att ge dig en rapport varje morgon klockan 05:15.

 Tripwire kan vara en gudag�va f�r att uppt�cka inkr�ktare tidigare �n
 du hade gjort annars. Eftersom det �r m�nga filer som �ndras p� ett
 normalt system, s� m�ste du vara f�rsiktig med vad som �r
 crackeraktivitet och vad du sj�lv g�r.




 5.4.  Trojanska h�star

 Trojanska h�star ben�mns efter Homeros bra litteratur. Iden �r att du
 l�gger upp ett program eller bin�r som verkar j�ttebra, och f�r andra
 personer att ladda ner det och k�ra det som root. Sedan, kan du
 �ventyra deras system medans de inte �r uppm�rksamma. Medans de tror
 att bin�ren som de laddade ner g�r en sak (som den mycket v�l kan
 g�ra), s� �ventyrar den samtidigt deras s�kerhet.

 Du skall vara nogrann med vilka program som du installerar p� din
 maskin. RedHat tillhandah�ller MD5-summor och PGP-signaturer f�r RPM-
 filer s� du kan verifiera att du installerar r�tt program. Andra
 distributioner har liknande metoder. Du skall aldrig k�ra en bin�rfil
 som du inte har k�llkoden till eller som inte �r v�lk�nd som root. F�
 attackerare �r villiga att sl�ppa k�llkoden till allm�nheten.

 �ven om det kan vara komplext, se till att du h�mtar k�llkoden f�r
 program fr�n dess riktiga distributionssajt. Om programmet skall k�ra
 som root, se till att antingen du eller n�gon du litar p� tittar
 igenom k�llkoden och verifierar den.
 6.  L�senordss�kerhet och kryptering

 En av de viktigaste s�kerhetsegenskaperna som anv�nds nuf�rtiden �r
 l�senord. Det �r viktigt f�r b�de dig och dina anv�ndare att ha s�kra,
 icke gissningsbara l�senord. De flesta nyare Linuxdistributioner
 inneh�ller "passwd"-program som inte till�ter f�r l�tta l�senord. Se
 till att ditt "passwd"-program �r uppdaterat och har dessa egenskaper.

 Djup diskussion om kryptering �r utanf�r r�ckvidden av detta dokument,
 men en introduktion �r p� sin plats. Kryptering �r v�ldigt anv�ndbart
 och till och med n�dv�ndigt nuf�rtiden. Det finns alla m�jliga olika
 metoder f�r att kryptera data, var och en med sina egna egenskaper.

 De flesta unixar (och Linux �r inget undantag) anv�nder i huvudsak en
 env�gs krypteringsalgoritm, som heter DES (Data Encryption Standard),
 f�r att kryptera l�senorden. Det krypterade l�senordet lagras sedan i
 (vanligtvis) /etc/passwd eller (mer s�llan) /etc/shadow. N�r du
 f�rs�ker att logga in s� krypteras det du skriver in och j�mf�rs sedan
 med posten i den fil som lagrar l�senorden. Om det st�mmer, s� m�ste
 det vara r�tt l�senord, och du f�r tillg�ng till systemet. �ven om DES
 �r en tv�v�gs krypteringsalgoritm (du kan kryptera och dekryptera ett
 meddelande, givet att du har r�tt nycklar.), s� �r varianten som de
 flesta unixar anv�nder env�gs. Detta betyder att det inte skall vara
 m�jligt att g�ra krypteringen bakl�nges f�r att f� fram l�senord i
 klartext fr�n /etc/passwd (eller /etc/shadow).

 R�styrke-attacker (brute force), s�som "Crack" eller "John the Ripper"
 (se nedan) kan ofta gissa l�senord om l�senorden inte �r tillr�ckligt
 slumpartat. PAM-moduler (se nedan) l�ter dig anv�nda en annan
 krypteringsalgoritm till dina l�senord (som MD5 eller liknande).

 Du kan g� till http://consult.cern.ch/writeup/security/security_3.html
 f�r mer information om hur du v�ljer ett bra l�senord.




 6.1.  PGP och Public Key kryptografi


 Public key kryptografi, s� som den som anv�nds f�r PGP, handlar om
 kryptografi som anv�nder en nyckel f�r kryptering och en annan nyckel
 f�r dekryptering. Traditionellt s� har kryptografi anv�nt samma nyckel
 f�r kryptering och dekryptering. Denna "privata" nyckel m�ste vara
 k�nd av b�da parter, och p� n�got s�tt transporteras fr�n en till en
 annan p� ett s�kert s�tt.

 Public key kryptering upph�ver behovet att s�kert transportera nyckeln
 som beh�vs f�r dekryptering genom att anv�nda tv� skilda nycklar, en
 publik nyckel och en privat nyckel. Varje persons publika nyckel �r
 tillg�nglig f�r vem som helst och anv�nds f�r krypteringen, samtidigt
 s� har varje person sin privata nyckel som han kan anv�nda f�r att
 dekryptera meddelanden som har krypterats med den r�tta publika
 nyckeln.

 Det finns f�rdelar b�de med Public Key och Private Key kryptering, och
 du kan l�sa om dessa skillnader i RSA Cryptography FAQ, vars adress
 listas i slutet av denna sektion.

 PGP (Pretty Good Privacy) st�ds bra i Linux. Det �r k�nt att
 versionerna 2.6.2 och 5.0 fungerar bra. F�r en bra grund om PGP och
 hur man anv�nder det, titta p� PGP FAQ.
 http://www.pgp.com/service/export/faq/55faq.cgi Se till att anv�nda
 den versionen som passar f�r ditt land, eftersom exportrestriktioner
 av den amerikanska regeringen g�r att stark kryptering anses vara ett
 milit�rt vapen och inte f�r f�ras ut ur landet i elektronisk form.
 Det finns �ven en steg-f�r-steg guide f�r att konfigurera PGP p� Linux
 p�:
 http://mercury.chem.pitt.edu/~angel/LinuxFocus/English/November1997/article7.html
 Den skrevs f�r den internationella versionen av PGP, men anpassas l�tt
 till den amerikanska versionen. Du kan ocks� beh�va en patch f�r vissa
 av de senaste versionerna av Linux, som finns p�
 ftp://sunsite.unc.edu/pub/Linux/apps/crypto.

 Mer information om kryptografi hittar du i RSA Cryptography FAQ, som
 finns p� http://www.rsa.com/rsalabs/newfaq/. H�r hittar du information
 om termer som "Diffie-Hellman", "public-key cryptography", "Digital
 Certificates", osv.




 6.2.  SSL, S-HTTP, HTTPS och S/MIME

 Ofta fr�gar anv�ndare om skillnaden mellan olika s�kerhets- och
 krypteringsprotokoll, och hur man anv�nder dem. �ven om detta inte �r
 ett dokument om kryptering, s� �r det en bra ide att ge en kort
 f�rklaring av varje, och var man hittar ytterligare information.


 �  SSL - SSL, eller Secure Sockets Layer, �r en krypteringsmetod som
    �r utvecklad av Netscape f�r att tillhadah�lla s�kerhet �ver
    Internet. Den st�der flera olika krypteringsprotokoll, och
    tillhandah�ller klient- och serverautentisering. SSL opererar p�
    transportlagret, skapar en s�ker krypterad kanal av data, och kan
    d�rf�r kryptera data av m�nga olika slag. Detta visar sig
    vanligtvis n�r man g�r till en s�ker sajt f�r att titta p� ett
    s�kert dokument med Communicator, det agerar som bas f�r s�ker
    kommunikation med Communicator, s�v�l som f�r m�nga andra program
    fr�n Netscape Communications som anv�nder kryptering. Mer
    information kan hittas p� http://www.consensus.com/security/ssl-
    talk-faq.html.  Information om Netscapes andra
    s�kerhetsimplementationer, och en bra startpunkt f�r dessa
    protokoll hittar du p� http://home.netscape.com/info/security-
    doc.html.


 �  S-HTTP - S-HTTP �r ett annat protokoll som tillhandah�ller
    s�kerhetstj�nster �ver Internet. Det designades f�r att
    tillhandah�lla konfidentialitet, autentisering, integritet och
    icke-imitering [kan inte missuppfattas som n�gon annan ] samtidigt
    som det st�djer hantering av multipla nycklar och
    krypteringsalgoritmer via �verenskommelse mellan parterna som �r
    inblandade i transaktionen. S-HTTP begr�nsas av den specifika
    mjukvara som implementerar det, och krypterar varje meddelande
    individuellt. [Fr�n RSA Cryptography FAQ, sidan 138]


 �  S/MIME - S/MIME, eller Secure Multipurpose Internet Mail Extension,
    �r en krypteringsstandard som anv�nds f�r att kryptera elektronisk
    post, eller andra typer av meddelanden p� Internet. Det �r en �ppen
    standard som �r utvecklad av RSA, s� det �r f�rhoppningsvis
    sannolikt att vi kommer att se det i Linux snart. Mer information
    om S/MIME hittar du p�
    http://home.netscape.com/assist/security/smime/overview.html.







 6.3.  Linux x-kernel IPSEC implementering

 Tillsammans med CIPE, och andra former av datakryptering, s� finns det
 ocks� en implementering av IPSEC f�r Linux. IPSEC �r en anstr�ngning
 av IETF f�r att skapa en kryptografiskt s�ker kommunikation p� IP
 n�tverkslagret, som �ven tillhandah�ller autentisering, integritett,
 accesskontroll och konfidentialitet. Information om IPSEC och ett
 Internet utkast hittar du p� http://www.ietf.org/html.charters/ipsec-
 charter.html. Du kan �ven hitta l�nkar till andra protokoll som
 handlar om nyckelhantering, och en e-postlista och arkiv f�r IPSEC.

 Linuximplementationen, som utvecklas vid University of Arizona,
 anv�nder ett objektbaserat ramverk f�r att implementera
 n�tverksprotokoll som heter x-kernel, och hittas p�
 http://www.cs.arizona.edu/xkernel/hpcc-blue/linux.html. Stort sett s�
 �r x-kernel en metod att skicka meddelanden p� k�rnniv�n, vilket leder
 till en enklare implementering.

 Som med andra former av kryptografi, s� distribueras den inte med
 k�rnan som standard, p� grund av exportrestriktioner.




 6.4.  SSH (Secure Shell), stelnet

 SSH och stelnet �r program som l�ter dig logga in p� andra system och
 ha en krypterad anslutning.

 SSH �r en svit av program som anv�nds som en s�ker ers�ttare till
 rlogin, rsh och rcp. Den anv�nder Public key kryptografi f�r att
 kryptera kommunikationen mellan tv� datorer, s�v�l som f�r
 anv�ndarautentisering. Detta kan anv�ndas f�r att p� ett s�kert s�tt
 logga in till en annan dator eller kopiera data mellan datorer,
 samtidigt som det f�rhindrar man-mitt-i-mellan attacker
 (sessionskapning) och DNS "spoofing". Den utf�r datakompression p�
 dina anslutningar, och s�kra X11-kommunikationer mellan datorer.
 Hemsidan f�r SSH finns p� http://www.cs.hut.fi/ssh/

 Du kan ocks� anv�nda SSH fr�n din Windows-arbetsstation till din Linux
 SSH-server. Det finns flera fritt tillg�ngliga implementationer av
 Windowsklienter, inlkusive den p�
 http://guardian.htu.tuwien.ac.at/therapy/ssh/ s�v�l som en komersiell
 implementation fr�n DataFellows, p� http://www.datafellows.com.

 SSLeay �r en fri implementation av Netscapes Secure Socket Layer
 protokoll, inklusive applikationer, som Secure telnet, en modul f�r
 Apache, flera databaser s�v�l som flera algoritmer inklusive DES, IDEA
 och Blowfish.

 Med detta bibliotek har en s�ker telnet-ers�ttare skapats som
 krypterar �ver en telnetanslutning. Till skillnad fr�n SSH s� anv�nder
 stelnet SSL, Secure Sockets Layer protokollet som utvecklats av
 Netscape. Du kan hitta Secure telnet och Secure FTP genom att b�rja
 med SSLeay FAQ, som finns p�  http://www.psy.uq.oz.au/~ftp/Crypto/




 6.5.  PAM - Pluggable Authentication Modules

 Nyare versioner av Linuxdistributionen RedHat levereras med ett
 enhetligt autentiseringss�tt som heter "PAM". PAM l�ter dig "on the
 fly" �ndra dina autentiseringsmetoder, krav och kapsla in alla lokala
 autentiseringsmetoder utan att kompilera om n�gon av dina bin�rer.
 Konfigurationen av PAM ligger utanf�r detta dokuments r�ckvidd, men ta
 en titt p� hemsidan f�r PAM f�r mer information.
 http://www.kernel.org/pub/linux/libs/pam/index.html

 Bara n�gra saker du kan g�ra med PAM:


 �  Anv�nda en icke-DES kryptering f�r l�senord. (Vilket g�r dem
    sv�rare att kn�cka med "r�styrka")

 �  S�tta resursbegr�nsningar f�r dina anv�ndare s� de inte kan utf�ra
    attacker som bygger p� att de blir nekade en tj�nst (antal
    processer, m�ngd minne, etc).

 �  Anv�nda skuggade l�senord (se nedan) "on the fly".

 �  Till�ta vissa anv�ndare att endast logga in p� vissa tider fr�n
    vissa platser.

 Inom n�gra timmar av installation och konfiguration av ditt system, s�
 kan du f�rhindra m�nga attacker redan innan de intr�ffar. Till
 exempel, anv�nd PAM f�r att st�nga av den systemvida anv�ndningen av
 .rhosts filer i anv�ndarnas hemkataloger genom att l�gga till dessa
 rader i /etc/pam.d/login:


               #
               # Disable rsh/rlogin/rexec for users
               #
               login auth required pam_rhosts_auth.so no_rhosts







 6.6.  Kryptografisk IP inkapsling (CIPE)

 Huvudm�let med denna mjukvara �r att tillhandah�lla en facilitet f�r
 s�ker (mot "eavesdropping", inklusive trafikanalys och fejkad
 meddelandeins�ttning) subn�tverksanslutning �ver os�kra paketn�tverk
 som Internet.

 CIPE krypterar datan p� n�tverkslagret. Paket som f�rdas mellan
 datorer blir krypterade. Krypteringsmotorn placeras n�ra drivrutinen
 som skickar och tar emot paket.

 Detta �r olikt SSH, som krypterar data vid anslutningen p� socketniv�.
 En logisk anslutning mellan program som k�r p� olika datorer �r
 krypterad.

 CIPE kan anv�ndas i tunnling f�r att skapa ett Virtuellt Privat
 N�tverk. L�gniv�kryptering har f�rdelen att den kan g�ras transparent
 mellan de tv� n�tverken som �r ihopkopplade i VPN, utan att �ndra
 n�got i applikationsmjukvaran.

 Sammanfattning fr�n dokumentationen av CIPE:

 Standarden f�r IPSEC definierar en m�ngd protokoll som kan anv�ndas
 (bland annat) till att bygga krypterade VPN. Men IPSEC �r en ganska
 tungviktig och komplicerad protokollm�ngd med m�nga valm�jligheter.
 Implementationer av det kompletta protokollet �r fortfarande s�llan
 anv�nda och vissa aspekter (s�som nyckelhantering) �r fortfarande inte
 helt l�sta. CIPE anv�nder en enklare metod, i vilken m�nga saker som
 kan bli parametriserade (som valet av vilken krypteringsalgoritm som
 skall anv�ndas) �r ett val som g�rs vid kompileringen. Detta begr�nsar
 flexibiliteten, men till�ter en enkel (och d�rf�r effektiv, l�tt att
 debugga...) implemetation.

 Mer information finns p� http://www.inka.de/~bigred/devel/cipe.html

 Som med andra former av kryptografi, s� distribueras den inte med
 k�rnan som standard, p� grund av exportrestriktioner.




 6.7.  Kerberos

 Kerberos �r ett autentiseringssystem som �r utvecklat av Athena
 projektet p� MIT. N�r en anv�ndare loggar in s� autentiserar Kerberos
 den anv�ndaren (med l�senord) och ger anv�ndaren ett s�tt att bevisa
 sin identitet till andra servrar och datorer som finns p� n�tverket.

 Denna autentisering anv�nds sedan av program som rlogin f�r att l�ta
 anv�ndaren logga in p� andra datorer utan l�senord (ist�llet f�r filen
 .rhosts). Autentiseringen anv�nds �ven av e-postsystemet f�r att
 garantera att e-posten levereras till r�tt person, s�v�l som att
 garantera att avs�ndaren �r den han utger sig f�r.

 Den �vergripande effekten av att installera Kerberos och de flertaliga
 programmen som f�ljer med �r att n�stan eliminera m�jligheten f�r
 anv�ndare att lura systemet att tro att de �r n�gon annan. Tyv�rr s�
 �r det v�ldigt irriterande att installera Kerberos, eftersom det
 kr�ver att man modifierar eller ers�tter ett antal standardprogram.

 Du kan hitta mer information om Kerberos p�
 http://www.veritas.com/common/f/97042301.htm och k�llkoden finns p�
 http://nii.isi.edu/info/kerberos/

 [Fr�n: Stein, Jennifer G., Clifford Neuman, and Jeffrey L. Schiller.
 "Kerberos: An Authentication Service for Open Network Systems." USENIX
 Conference Proceedings, Dallas, Texas, Winter 1998.]




 6.8.  Skuggade l�senord

 Skuggade l�senord �r ett s�tt att h�lla den krypterade
 l�senordsinformationen hemlig f�r normala anv�ndare. Normalt s� sparas
 det krypterade l�senordet i /etc/passwd, vilken alla kan l�sa. De kan
 d� k�ra program som gissar l�senord mot den filen och f�rs�ka f� ut
 l�senorden i klartext. Skuggade l�senord sparar ist�llet informationen
 i filen /etc/shadow, som bara priviligerade anv�ndare kan l�sa. F�r
 att kunna anv�nda skuggade l�senord s� m�ste du se till att alla dina
 program som beh�ver ha tillg�ng till l�senordsinformation st�djer det.
 PAM (ovan) till�ter dock att du bara pluggar in en shadow-modul utan
 att du beh�ver kompilera om de exekverbara filerna. Titta i Shadow-
 Password HOWTO f�r mer information om det beh�vs. Den finns p�
 http://sunsite.unc.edu/LDP/HOWTO/Shadow-Password-HOWTO.html.  Den �r
 ganska gammal nu, och beh�vs inte f�r distributioner som st�djer PAM.




 6.9.  Crack och John the Ripper

 Om ditt passwd-program av n�gon anledning inte tvingar anv�ndarna att
 ha l�senord som �r sv�ra att gissa, s� kan det vara l�mpligt att k�ra
 ett program som f�rs�ker kn�cka l�senorden f�r att f�rs�kra dig om att
 anv�ndarnas l�senord �r s�kra.
 Program som kn�cker l�senord baseras p� en enkel ide. De f�rs�ker med
 alla ord i ordlistan och sedan med variationer av dessa ord. De
 krypterar var och ett och kollar det mot ditt krypterade l�senord. Om
 det st�mmer s� �r de inne.

 Det finns ett antal program som g�r detta... av vilka tv� av de mest
 k�nda �r "Crack" och "John the Ripper"
 http://www.false.com/security/john/index.html. De anv�nder mycket av
 din CPU-tid, men du kan avg�ra om en inkr�ktare kan anv�nda programmen
 f�r att komma in genom att k�ra dem sj�lv f�rst, och meddela anv�ndare
 med f�r enkla l�senord. Observera att en inkr�ktare f�rst m�ste hitta
 en s�kerhetsl�cka f�r att komma �t din passwd-fil (unix /etc/passwd),
 men dessa �r vanligare �n du kanske tror.




 6.10.  kryptografiskt filsystem CFS - kryptografiskt filsystem och
 TCFS - transparent

 CFS �r en metod att kryptera ett helt filsystem och l�ta anv�ndare
 lagra krypterade filer p� dem. Det anv�nder en NFS-server som k�r p�
 den lokala maskinen. Rpms finns p� http://www.replay.com/redhat/ och
 mer information om hur det hela fungerar finns p�
 ftp://ftp.research.att.com/dist/mab/

 TCFS f�rb�ttrar CFS genom att det �r mer integrerat med filsystemet,
 s� att det �r transparent f�r alla anv�ndare av filsystemet att det �r
 krypterat. Mer information p� http://edu-gw.dia.unisa.it/tcfs/




 6.11.  X11-, SVGA- och displays�kerhet




 6.11.1.  X11

 Det �r viktigt att du s�krar din grafiska display f�r att hindra
 attackerare fr�n att g�ra saker som: f�nga upp dina l�senord utan att
 du vet om det medans du skriver dem, l�sa dokument eller information
 som du l�ser p� din sk�rm eller till och med anv�nda en l�cka f�r att
 f� superuser-access. Att k�ra X-applikationer �ver ett n�tverk kan
 ocks� vara farligt, detta kan "sniffare" anv�nda f�r att se all din
 interaktion med det andra systemet.

 X har ett antal mekanismer f�r accesskontroll. Den enklaste av dem �r
 datorbaserad. Du kan anv�nda xhost f�r att specificera vilka datorer
 som har tillg�ng till din display. Detta �r inte alls s�rskilt s�kert.
 Om n�gon har tillg�ng till din maskin kan de k�ra "xhost +sin_maskin"
 och l�tt f� tilltr�de. Dessutom, om du m�ste till�ta access till en
 op�litlig maskin s� kan alla personer p� den maskinen f� tillg�ng till
 din display.

 Om man anv�nder xdm (x display manager) f�r att logga in, s� f�r man
 en mycket b�ttre accessmetod: MIT-MAGIC-COOKIE-1. En 128bitars cookie
 genereras och lagras i din fil .Xauthority. Om du m�ste l�ta en annan
 dator f� tillg�ng till din display s� kan du anv�nda kommandot xauth
 och informationen i .Xauthority f�r att ge access till endast den
 anslutningen. F�r mer information, se Remote-X-Apps mini-howto p�
 http://sunsite.unc.edu/LDP/HOWTO/mini/Remote-X-Apps.html.

 Du kan �ven anv�nda ssh (se ovan) f�r att f� s�kra X-anslutningar.
 Detta har f�rdelen att det �r transparent f�r slutanv�ndaren och
 betyder att ingen okrypterad data fl�dar �ver n�tverket.

 Ta en titt p� manualbladet f�r Xsecurity f�r mer information om
 s�kerhet i X. Det s�kra valet �r att anv�nda xdm f�r att logga in till
 din konsoll och sedan anv�nda ssh f�r att k�ra X-applikationer fr�n
 andra datorer.




 6.11.2.  SVGA

 SVGAlib-program �r vanligtvis SUID-root f�r att kunna ha tillg�ng till
 Linuxmaskinens videoh�rdvara. Detta g�r dem v�ldigt farliga. Om de
 kraschar, m�ste du antagligen starta om din maskin f�r att f� tillbaka
 en anv�ndbar konsoll. Se till att alla SVGA-program som du k�r �r
 autentiska och �tminstonde �r hyfsat p�litliga. �nnu b�ttre, k�r dem
 inte alls.





 6.11.3.  GGI (Generella Grafikgr�nssnittsprojektet)

 Linux GGI-projekt f�rs�ker l�sa flera av problemen med
 grafikgr�nssnitten i Linux. GGI kommer att flytta in en liten del av
 grafikkoden in i Linuxk�rnan, och sedan kontrollera access till
 grafiksystemet. Detta betyder att GGI kan �terst�lla din konsoll till
 ett stabilt l�ge n�r som helst. http://synergy.caltech.edu/~ggi/




 7.  K�rnans s�kerhet

 Detta �r en beskrivning av de konfigurationsval i k�rnan som relaterar
 till s�kerhet, och en f�rklaring till vad de g�r, och man anv�nder
 dem.

 Eftersom k�rnan kontrollerar hur din dator agerar p� n�tverket, s� �r
 det viktigt att k�rnan �r v�ldigt s�ker och att des s�kerhet inte
 �ventyras. F�r att f�rhindra n�gra av de senaste n�tverksattackerna s�
 skall du f�rs�ka h�lla din k�rna uppdaterad. Du hittar nya k�rnor p�
 ftp://ftp.kernel.org.




 7.1.  Kompileringsval f�r k�rnan


 �  IP: Drop source routed frames (CONFIG_IP_NOSR)

    Detta val b�r vara p�slaget. K�llroutade ramar inneh�ller hela
    v�gen till sin destination inuti paketet. Detta betyder att routrar
    som paketet passerar inte beh�ver inspektera paketet utan bara
    skickar det vidare. Detta kan leda till att data som utg�r ett
    potentiellt hot tar sig in i ditt system.


 �  IP: Firewalling (CONFIG_IP_FIREWALL)

    Detta val �r n�dv�ndigt om du skall konfigurera din maskin som en
    brandv�gg, anv�nda IP-f�rkl�dnad (masquerading) ellr vill skydda
    din arbetsstation fr�n intr�ng via din uppringda PPP-l�nk.
 �  IP: forwarding/gatewaying (CONFIG_IP_FORWARD)

    Om du sl�r p� IP forwarding, s� blir din Linuxbox i princip en
    router. Om din maskin �r p� ett n�tverk s� kan du skicka vidare
    data fr�n ett n�tverk till ett annat, och kanske motarbeta en
    brandv�gg som installerades just f�r att f�rhindra detta fr�n att
    h�nda. Vanliga anv�ndare med uppringd f�rbindelse skall sl� av
    detta val, och andra anv�ndare skall koncentrera sig p�
    s�kerhetsriskerna av att anv�nda detta. Brandv�ggar skall ha detta
    p�slaget och anv�nda det tillsammans med mjukvara f�r brandv�ggar.

    Du kan sl� p� IP-forwarding dynamiskt med f�ljande kommando:



              root#  echo 1 > /proc/sys/net/ipv4/ip_forward




 och sl� av det med:


              root#  echo 0 > /proc/sys/net/ipv4/ip_forward




 Denna filen (och m�nga andra i /proc) ser alltid ut att ha l�ngden
 noll, men det har den egentligen inte. Detta �r en nyintrodiucerad
 egenskap i k�rnan, s� se till att anv�nda en k�rna med version 2.0.33
 eller senare.


 �  IP: firewall packet logging (CONFIG_IP_FIREWALL_VERBOSE)

    Detta val ger dig information om paket som din brandv�gg tar emot,
    som s�ndare, mottagare, port, osv.


 �  IP: always defragment (CONFIG_IP_ALWAYS_DEFRAG)

    Generellt s� �r detta val avslaget, men om du bygger en brandv�gg
    eller f�rkl�dd v�rd, s� b�r du sl� p� det. N�r data s�nds fr�n en
    dator till en annan, s� s�nds det inte alltid  som ett enda paket
    med data, utan det fragmenteras till flera delar. Problemet med
    detta �r att portnumret lagras endast i det f�rsta fragmentet.
    Detta inneb�r att n�gon kan l�gga till information som inte skall
    vara d�r i de andra paketen f�r din ansluting.


 �  IP: syn cookies (CONFIG_SYN_COOKIES)

    SYN attack �r en nekande-av-tj�ns-attack (DoS) som konsumerar alla
    resurser p� din maskin och tvingar dig att starta om. Vi kan inte
    komma p� n�gon anledning f�r att du inte skulle sl� p� detta valet.


 �  Packet Signatures (CONFIG_NCPFS_PACKET_SIGNING)

    Detta valet finns i k�rnor i serien 2.1 och det signerar NCP-paket
    f�r att �ka s�kerheten. Normalt kan du l�mna det avslaget, men det
    finns att tillg� om du beh�ver det.



 �  IP: Firewall packet netlink device (CONFIG_IP_FIREWALL_NETLINK)

    Detta �r ett v�ldigt trevlig val som l�ter dig analysera de f�rsta
    128 byten av paketen i ett anv�ndar-program, f�r att avg�ra om du
    vill acceptera eller neka paketet, baserat p� dess validitet.




 7.2.  Enheter i k�rnan

 Det finns n�gra block- och teckenenheter tillg�ngliga i Linux som kan
 hj�lpa dig med s�kerheten.

 De tv� enheterna /dev/random och /dev/urandom tillhandah�lls av k�rnan
 f�r att kunna h�mta slumpartad data n�r som helst.

 B�de /dev/random och /dev/urandom b�r vara tillr�ckligt s�kra f�r att
 generera PGP-nycklar, SSH-utmaningar och andra applikationer d�r s�ker
 slumpartade tal beh�vs. Attackerare b�r vara of�rm�gna att f�ruts�ga
 n�sta tal som kommer fr�n dessa k�llor oavsett vilken sekvens som har
 varit innan. Det har lagts ned mycken m�da f�r att talen som du f�r
 fr�n dessa k�llor verkligen �r slumpvisa i alla bem�rkelser.

 Den enda skillnaden �r att /dev/random f�r slut p� slumpvisa bytes och
 l�ter dig v�nta p� att fler ackumuleras. Observera att p� vissa system
 kan den blockera en l�ng tid i v�ntan p� att en ny anv�ndargenererad
 post skall komma in i systemet. S� du m�ste vara f�rsiktig innan du
 anv�nder /dev/random. (Kanske �r det b�sta att anv�nda detta n�r du
 genererar k�nslig nyckelinformation, och du s�ger till anv�ndaren att
 sl� p� tangentbordet upprepade g�nger tills du skriver ut "OK, det
 r�cker".)

 /dev/random ger mycket bra slumpm�ssighet, genererad fr�n att m�ta
 tider mellan avbrott osv. Den blockerar tills tillr�ckligt m�nga bitar
 med slumvis data finns tillg�nglig.

 /dev/urandom �r liknande, men n�r dess lager med bra slumpvis data
 b�rjar ta slut, s� returnerar den en kryptografiskt stark hash av det
 som finns. Detta �r inte lika s�kert men det duger f�r de flesta
 applikationer.

 Du kan l�sa fr�n dessa enheter med n�got s�nt h�r:



              root#  head -c 6 /dev/urandom | uuencode -




 Detta skriver ut sex slumvisa tecken p� konsollen, l�mpliga f�r
 l�senordsgenerering.

 Titta i /usr/src/linux/drivers/char/random.c f�r en beskrivning av
 algoritmen.

 Tack till Theodore Y. Ts'o, John Lewis och andra fr�n Linux-k�rnan f�r
 att ni hj�lpte mig (Dave) med detta.







 8.  N�tverkss�kerhet

 N�tverkss�kerhet blir allt viktigare eftersom personer tillbringar
 allt mer tid uppkopplade. Att �ventyra n�tverkss�kerhet �r ofta mycket
 l�ttare �n att g�ra det fysiskt eller lokalt, och det �r mycket
 vanligare.

 Det finns ett antal bra verktyg som kan hj�lpa till med
 n�tverkss�kerhet, och fler och fler av dem f�ljer med i
 Linuxdistributioner.




 8.1.  Paketsniffare

 Ett av de vanligaste s�tten att f� access till fler system p� ditt
 n�tverk �r att plantera en paketsniffare p� en redan er�vrad dator.
 Denna "sniffare" ligger bara och lyssnar p� ethernet-porten efter
 saker som "Password", "Login" och "su" p� paketstr�mmen och sedan
 loggar trafiken efter det. P� detta s�tt kan inkr�ktare f� l�senord
 till system som de inte ens f�rs�ker bryta sig in i. L�senord i
 klartext �r v�ldigt s�rbara f�r denna typ av attacker.

 EXEMPEL: dator A har blivit er�vrad. En attackerare installerar en
 sniffare. Sniffaren loggar n�r administrat�ren loggar in p� dator B
 fr�n dator C. Sniffaren f�r d� administrat�rens personliga l�senord
 n�r han loggar in p� B. Sedan g�r administrat�ren en "su" f�r att fixa
 ett problem. Nu har sniffaren root-l�senordet f�r dator B. Senare
 l�ter administrat�ren n�gon telnet:a fr�n hans konto till dator Z p�
 en annan sajt. Nu har attackeraren l�senord och anv�ndarnamn p� dator
 Z.

 Nuf�rtiden s� m�ste attackeraren inte ens er�vra ett system f�r att
 g�ra detta, det r�cker att han tar med sig en laptop in i din byggnad
 och pluggar in sig p� ert n�tverk.

 Att anv�nda ssh eller andra metoder med krypterade l�senord kv�ver
 s�dana attacker. Saker som APOP f�r pop-konton f�rhindrar ocks� s�dana
 attacker. (Normala pop-inloggningar �r v�ldigt s�rbara f�r detta,
 s�v�l som allt annat som skickar l�enord i klartext �ver tr�den.)




 8.2.  Systemtj�nster och tcp_wrappers

 S� snart som du kopplar upp ditt Linuxsystem p� N�GOT n�tverk s� b�r
 du fundera p� vilka tj�nster som du beh�ver tillhandah�lla. Tj�nster
 som du inte beh�ver tillhandah�lla b�r du st�nga av s� att du har en
 sak mindre att oroa dig f�r och attackerare har ett st�lle mindre att
 leta efter h�l p�.

 Det finns ett antal s�tt att st�nga av tj�nster i Linux. Du kan titta
 p� din fil /etc/inetd.conf och se vilka tj�nster som erbjuds av din
 inetd. St�ng av alla som du inte beh�ver genom att kommentera bort dem
 (en # i b�rjan av raden), och sedan skickar du en SIGHUP till inetd-
 processen.

 Du kan �ven ta bort (eller kommentera bort) tj�nster i filen
 /etc/services. Detta inneb�r dock att lokala klienter inte kommer att
 hitta tj�nsten (dvs om du tar bort ftp och f�rs�ker ftp:a till en
 annan sajt fr�n den datorn s� kommer det att misslyckas med ett
 meddelande om ok�nd tj�nst). Det �r vanligtvis inte v�rt besv�ret att
 ta bort tj�nster fr�n /etc/services eftersom det inte skapar n�gon
 ytterligare s�kerhet. Om en person p� det lokala systemet vill anv�nda
 ftp �ven att du kommenterat bort det, s� kan de g�ra en egen klient
 som anv�nder den vanliga ftp-porten och det skulle fungera bra.

 Vissa av tj�nsterna som du antagligen vill ha kvar �r:


 �  ftp

 �  telnet

 �  mail, s�som pop-3 eller imap

 �  identd

 �  time

 Om du vet att du inte kommer anv�nda ett visst paket s� kan du �ven ta
 bort det helt. I RedHat tar "rpm -e" bort ett helt paket. I Debian g�r
 "dpkg" samma sak.

 Dessutom b�r du st�nga av tj�nsterna rsh/rlogin/rcp, inklusive login
 (anv�nds av rlogin), shell (anv�nds av rcp) och exec (anv�nds av rsh),
 s� att de inte startas av inetd. Dessa protokoll �r extremt os�kra och
 har varit orsaken till attacker tidigare.

 Du b�r kolla din katalog /etc/rc.d/rcN.d/, d�r N �r ditt systems
 runlevel, och se om n�gon av servrarna som startas d�r inte beh�vs.
 Filerna i /etc/rc.d/rcN.d/ �r egentligen symboliska l�nkar till
 katalogen /etc/rc.d/init.d/. Att �ndra namn p� filerna i katalogen
 init.d ger samma effekt som att ta bort alla symboliska l�nkar i
 /etc/rc.d/rcN.d/. Om du endast vill st�nga av en tj�nst i en viss
 runlevel, �ndra namn p� den filen till att b�rja med ett litet `s'
 ist�llet f�r ett stort `S', som i S45dhcpd.

 Om du har rc-filer i BSD-stil, s� skall du kolla i /etc/rc* efter
 program som du inte beh�ver.

 De flesta Linuxdistributioner kommer med "tcp_wrappers" som "buntar
 ihop" alla dina tcp-tj�nster. En tcp_wrapper (tcpd) startas fr�n inetd
 ist�llet f�r den riktiga servern. tcpd kollar d� upp datorn som fr�gar
 efter tj�nsten och startar sedan den riktiga tj�nsten eller nekar
 access fr�n den datorn. tcpd l�ter dig specificera restriktioner f�r
 access till dina tcp-tj�nster. Du b�r g�ra en fil /etc/hosts.allow och
 d�r skriva in de datorer som beh�ver ha access till tj�nsterna p� din
 maskin.

 Om du �r en hemanv�ndare med uppringd anslutning s� f�resl�r vi att du
 nekar alla (ALL). tcpd loggar alla misslyckade f�rs�k att komma �t
 dina tj�nster, s� detta kan ge dig tips om att du �r under attack. Om
 du l�gger till nya TCP-baserade tj�nster s� b�r du konfigurera �ven
 dem med tcp_wrappers. Till exempel, en vanlig anv�ndare med uppringd
 anslutning kan f�rhindra att andra ansluter till systemet, och
 fortfarande kunna h�mta e-post och g�ra n�tverksanslutningar till
 Internet. F�r att g�ra detta kan du l�gga till f�ljande till din
 /etc/hosts.allow:

 ALL: 127.

 Och s�klart s� skall /etc/hosts.deny inneh�lla:

 ALL: ALL

 detta f�rhindrar anslutningar till din maskin utifr�n medans du
 fortfarande kan g�ra anslutingar till Internet inifr�n.


 8.3.  Verifiera din DNS-information

 Att h�lla din DNS-information om alla datorer p� ditt n�tverk
 uppdaterad kan �ka s�kerheten. Ifall en otill�ten dator ansluts till
 ditt n�tverk s� kan du uppt�cka den genom att den inte har n�gon DNS-
 post. M�nga tj�nster kan konfigureras f�r att inte acceptera
 anslutningar fr�n datorer utan giltliga DNS-poster.




 8.4.  identd

 identd �r ett litet program som vanligtvis k�rs fr�n din inetd. Det
 h�ller reda p� vilka anv�ndare som k�r vilka tcp-tj�nster, och
 rapporterar det till den som �nskar det.

 M�nga personer misuppfattar hur anv�ndbart identd �r och st�nger
 d�rf�r av det eller blockerar alla f�rfr�gningar till det fr�n andra
 sajter. identd finns inte f�r att hj�lpa andra sajter. Det finns inget
 s�tt att veta om den data du f�r fr�n en annan sajts identd �r korrekt
 eller inte. Det �r ingen autentisering i identd-f�rfr�gningar.

 Varf�r beh�ver du k�ra det d�? Eftersom det hj�lper _dig_, och det �r
 ytterligare ett s�tt att h�lla koll p� systemet. Om din identd inte �r
 attackerad s� vet du att den talar om anv�ndarnamn f�r personer som
 anv�nder tcp-tj�nster f�r andra sajter. Om administrat�ren p� en annan
 sajt talar om f�r dig att den och den anv�ndaren p� ditt system
 f�rs�kte hacka sig in p� deras sajt, s� kan du l�tt agera mot den
 anv�ndaren. Om du inte k�r identd, s� m�ste du titta i m�nga loggar
 och lista ut vem som var p�loggad vid den tidpunkten, och det tar
 generellt mycket l�ngre tid att leta fram anv�ndaren.

 Den identd som f�ljer med de flesta distributioner g�r att konfigurera
 mer �n m�nga tror. Du kan st�nga av identd f�r vissa anv�ndare (de kan
 skapa .noident filer), du kan logga alla f�rfr�gningar till identd
 (jag rekommenderar detta), du kan l�ta identd returnera ett uid
 ist�llet f�r ett anv�ndarnamn eller till och med NO-USER.




 8.5.  SATAN, ISS och andra N�tverksscannare

 Det finns ett antal olika mjukvarupaket som scannar maskiner eller
 n�tverk baserat p� portar eller tj�nster. SATAN och ISS �r tv� av de
 mer k�nda. Denna mjukvara ansluter till m�lmaskinen (eller alla
 m�lmaskiner p� ett n�tverk), p� alla portar den kan, och f�rs�ker
 avg�ra vilken tj�nst som k�r p� den porten. Baserat p� denna
 information s� kan du f� reda p� om maskinen �r s�rbar f�r en viss
 attack p� den servern.

 SATAN (Security Administrators Tool for Analyzing Networks) �r en
 portscanner med ett webbgr�nssnitt. Det kan konfigureras f�r att g�ra
 l�tt, medium eller starka kontroller p� en maskin eller ett n�tverk av
 maskiner. Det �r en bra ide att h�mta SATAN och scanna din maskin
 eller ditt n�tverk och fixa till problemen som den hittar. Se till att
 h�mta SATAN fr�n sunsite eller en annan v�lk�nd FTP eller webbsajt.
 Det fanns en trojansk kopia av SATAN som distribuerades �ver
 n�tverket. http://www.trouble.org/~zen/satan/satan.html

 ISS (Internet Security Scanner) �r en annan portbaserad scanner. Den
 �r snabbare �n SATAN, och kan d�rf�r vara b�ttre f�r stora n�tverk.
 Men SATAN brukar ge mer information.


 Abacus-Sentry �r en komersiell portscanner fr�n www.psionic.com. Titta
 p� deras hemsida f�r mer information. http://www.psionic.com

 Uppt�cka portscanning.

 Det finns n�gra verktyg som �r gjorda f�r att varna dig om att
 scanning p�g�r med SATAN, ISS eller annan liknande mjukvara. Men med
 liberal anv�ndning av tcp_wrappers och om du ser till att se �ver dina
 loggfiler ofta s� skall du kunna uppt�cka detta sj�lv. �ven med
 minimala inst�llningar s� l�mnar SATAN sp�r i loggarna p� ett normalt
 RedHat-system.




 8.6.  Sendmail, qmail och MTAs

 En av de viktigaste tj�nsterna du kan ha �r en e-postserver. Tyv�rr s�
 �r en s�dan �ven en av de mest s�rbara mot attacker, p� grund av
 antalet uppgifter som den m�ste utf�ra och de privilegier som den
 normalt beh�ver.

 Om du anv�nder sendmail s� �r det v�ldigt viktigt att du h�ller det
 uppdaterat. Sendmail har en l�ng historia av s�kerhetsl�ckor. Var
 alltid noga med att k�ra den senaste versionen.
 http://www.sendmail.org

 Om du �r tr�tt p� att uppgradera din version av sendmail varje vecka
 s� kan du fundera p� att byta till qmail. qmail designades med
 s�kerhet i �tanke fr�n b�rjan. Det �r snabbt, stabilt och s�kert.
 http://www.qmail.org




 8.7.  Nekande-av-tj�nst attacker

 En nekande-av-tj�nst attack �r n�r en attackerare f�rs�ker g�ra en
 resurs f�r upptagen f�r att svara p� riktiga f�rfr�gningar, eller neka
 till�tna anv�ndare tillg�ng till din maskin.

 S�dana attacker har �kat mycket de senaste �ren. N�gra av de mest
 popul�ra listas nedan. Notera att ny dyker upp hela tiden, s� detta �r
 bara n�gra exempel. L�s s�kerhetlistornaf�r Linux, bugtraq-listan och
 arkiv f�r mer uppdaterad information.


 �  SYN Flooding - SYN flooding �r en nekande-av-tj�nst attack p�
    n�tverksniv�. Det drar nytta av ett "kryph�l" i s�ttet som en TCP-
    anslutning uppr�ttas. Nyare Linuxk�rnor (2.0.30 och nyare) har
    flera valm�jligheter f�r att f�rhindra SYN-attacker fr�n att neka
    personer access till din maskin eller dess tj�nster. Se avsnittet
    om s�kerhet i k�rnan f�r mer information om
    kompileringsalternativen.


 �  Pentium "F00F" bugg - Det uppt�cktes nyligen att om en viss serie
    av assembler instruktioner skickades till en �kta Intel
    Pentiumprocessor s� skulle maskinen l�sas. Detta ber�r alla
    maskiner med en Pentiumprocessor (inte kloner, inte Pentium Pro
    eller II), oavsett vilket operativsystem den k�r. Linuxk�rnor fr�n
    2.0.32 och upp�t inneh�ller en fix f�r denna buggen som f�rhindrar
    att den l�ser din maskin. Kernel 2.0.33 har en f�rb�ttrad version
    av fixen och f�redras framf�r 2.0.32. Om du k�r p� en Pentium s�
    b�r du uppgradera nu!

 �  Ping Flooding - Ping flooding �r en enkel r�styrkeattack.
    Attackeraren skickar en "flod" av ICMP-paket till din maskin. Om de
    g�r detta fr�n en maskin med b�ttre bandbredd �n din, s� kommer din
    maskin inte att kunna skicka n�got p� n�tverket. En variant av
    denna attacken, som kallas "smurfing", skickar ICMP-paket till en
    annan dator med _din_ maskins IP-adress som returadress, vilket
    l�ter dem flooda dig lite mer diskret. Du kan hitta information om
    "smurf"-attacken p� http://www.quadrunner.com/~chuegen/smurf.txt

    Om du n�gonsin finner dig sj�lv vara utsatt f�r en ping flood
    attack, anv�nd ett verktyg som tcpdump f�r att ta reda p� var
    paketen kommer ifr�n (eller var de ser ut att komma ifr�n),
    kontakta sedan din leverant�r med denna informationen. Ping flood
    kan ganska l�tt stoppas p� routerniv� eller genom att anv�nda en
    brandv�gg.


 �  Ping o' Death - Ping o' Death attacker �r ett resultat av att
    inkommande "ICMP ECHO REQUEST"-paket �r st�rre �n vad
    datastrukturerna i k�rnan som skall lagra informationen klarar av
    att lagra. Eftersom att skicka ett enda stort (65510 bytes)
    pingpaket till m�nga system f�r dem att h�nga sig eller krasha, s�
    fick detta problemet snabbt namnet Ping o' Death. Detta �r �tg�rdat
    sedan l�nge och man beh�ver inte oroa sig f�r detta l�ngre.


 �  /Teardrop / New Tear - En av de senaste attackerna anv�nder sig av
    en bugg som finns i IP-fragmenteringskoden p� Linux- och
    Windowssystem. Det �r fixat i version 2.0.33 av k�rnan och man
    beh�ver inte v�lja n�gra speciella kompileringsalternativ f�r att
    fixen skall anv�ndas. Linux �r inte s�rbar f�r attacken "newtear".


    Du kan hitta koden f�r de flesta attacker, och djupare information
    om hur de fungerar p� http://www.rootshell.com genom att anv�nda
    deras s�kmotor.




 8.8.  NFS-s�kerhet (Network File System)

 NFS �r ett protokoll f�r att dela filer som anv�nds mycket. Det l�ter
 servrar som k�r nfsd och mountd exportera hela filsystem till andra
 maskiner som har st�d f�r nfs i k�rnan (eller n�gon annan form av
 klientst�d om det inte �r Linuxmaskiner). Mountd h�ller reda p�
 monterade filsystem i /etc/mtab, och kan lista dem med "showmount".

 M�nga sajter anv�nder NFS f�r att h�lla hemkataloger f�r anv�ndare, s�
 att oavsett vilken maskin i n�tverket som de loggar in p� s� har de
 alltid tillg�ng till sina egna filer.

 Det finns ett litet m�tt av s�kerhet n�r man exporterar filsystem. Du
 kan l�ta nfsd mappa den andra root-anv�ndaren (uid=0) till anv�ndaren
 nobody, vilket nekar dem total access till filerna som exporteras. Men
 eftersom individuella anv�ndare har tillg�ng till sina egna (eller
 �tminstonde med samma uid) filer, s� kan superusern p� den andra
 maskinen logga in som eller su:a till en annan anv�ndare och ha total
 access till deras filer. Detta �r endast ett litet hinder f�r en
 inkr�ktare som har m�jlighet att montera dina filsystem.

 Om du m�ste anv�nda NFS, se till att du endast exporterar till de
 maskiner som du m�ste exportera till. Exportera aldrig hela din
 rootkatalog, exportera endast de kataloger som du m�ste exportera.


 F�r mer information om NFS se: NFS HOWTO




 8.9.  NIS (Network Information Service) (tidigare YP).

 NIS �r ett s�tt att distribuera information till en grupp av maskiner.
 NIS-mastern har informationstabeller och konverterar dem till NIS
 tabellfiler. Dessa tabellfiler skickas sedan �ver n�tverket och l�ter
 NIS-klienter att erh�lla anv�ndarnamn, l�senord, hemkatalog och
 shellinformation (all information i en standard /etc/passwd). Detta
 l�ter anv�ndare �ndra sitt l�senord en g�ng och det f�r effekt p� alla
 maskiner i NIS-dom�nen.

 NIS �r inte alls s�kert. Det var aldrig meningen att det skulle vara
 det. Det var meningen att det skulle vara anv�ndbart och smidigt. Vem
 som helst som kan gissa namnet p� din NIS-dom�n (varsomhelst p� n�tet)
 kan f� en kopia av din passwd-fil, och anv�nda crack och john the
 ripper f�r att f�rs�ka ta reda p� anv�ndarnas l�senord. Det �r ocks�
 m�jligt att kn�cka NIS och g�ra alla m�jliga elaka trix. Om du m�ste
 anv�nda NIS, f�rs�kra dig att du vet om alla faror.

 Det finns en mycket s�krare ers�ttare till NIS som heter NIS+. Kolla
 in NIS HOWTO f�r mer information:
 http://sunsite.unc.edu/mdw/HOWTO/NIS-HOWTO.html




 8.10.  Brandv�ggar

 Brandv�ggar �r ett s�tt att begr�nsa vilken information som till�ts
 komma in i eller komma ut ifr�n ditt lokala n�tverk. Vanligtvis s� �r
 brandv�ggsdatorn ansluten till Internet och till ditt lokala n�tverk
 och det enda s�ttet att komma i kontakt med ditt lokala n�tverk �r
 genom brandv�ggen. P� detta s�tt kan brandv�ggen kontrollera vad som
 skickas fram och tillbaka mellan Internet och ditt lokala n�tverk.

 Det finns ett antal olika metoder att s�tta upp brandv�ggar.
 Linuxmaskiner �r hyfsat bra l�gkostnadsalternativ. Kod f�r brandv�ggar
 kan kompileras in direkt i k�rnan fr�n version 2.0 och upp�t. Med
 anv�ndarverktyget ipfwadm kan du, medans systemet �r ig�ng, �ndra
 vilken typ av n�tverkstrafik som du vill till�ta. Du kan �ven logga
 viss typ av information.

 Brandv�ggar �r en v�ldigt anv�ndbar och viktig teknik f�r att s�kra
 ditt n�tverk. Det �r viktigt att inse att bara f�r att du har en
 brandv�gg s� betyder det inte att du inte m�ste s�kra maskinenrna
 bakom brandv�ggen. Detta �r ett grovt misstag. Titta i den
 utomordentliga Firewall HOWTOn p� sunsite f�r mer information om
 brandv�ggar och Linux.  http://sunsite.unc.edu/mdw/HOWTO/Firewall-
 HOWTO.html

 Mer information hittar du �ven i IP-Masquerade mini-howto:
 http://sunsite.unc.edu/mdw/HOWTO/mini/IP-Masquerade.html

 Mer information om ipfwadm (verktyget som l�ter dig �ndra
 inst�llningarna f�r din brandv�gg) hittar du p� dess hemsida:
 http://www.xos.nl/linux/ipfwadm/






 9.  S�kerhetsf�rberedelser (innan du kopplar upp dig)

 Okej, nu har du sett �ver ditt system och sett till att det �r s�
 s�kert som m�jligt och �r redo att koppla upp det. Det finns n�gra
 saker som du b�r g�ra nu f�r att vara f�rberedd ifall du verkligen
 blir attackerad, s� att du snabbt kan stoppa inkr�ktaren och f� ig�ng
 systemet igen.




 9.1.  G�r en fullst�ndig s�kerhetskopia av din maskin

 Diskussion om metoder f�r s�kerhetskopiering ligger utanf�r r�ckvidden
 av detta dokument, men n�gra ord som relaterar till s�kerhetskopiering
 och s�kerhet:

 Om du har mindre �n 650Mb data som skall lagras, s� �r det bra med en
 kopia p� CD-R (eftersom det �r sv�rt att mixtra med senare, och om det
 lagras bra s� h�ller det l�nge). Band och andra media som kan skrivas
 �ver b�r skrivskyddas s� snart s�kerhetskopieringen �r f�rdig och
 verifierad f�r att f�rindra att n�gon mixtrar med den. Se till att
 f�rvara alla dina s�kerhetskopior i ett s�kert utrymme som inte �r
 uppkopplat. Med en bra s�kerhetskopia f�rs�krar du dig om att du har
 ett bra tillst�nd att �terskapa ditt system ifr�n.




 9.2.  V�lj ett bra schema f�r s�kerhetskopiering

 En cykel med sex band �r l�tt att underh�lla. Detta inneb�r fyra band
 under veckan, ett band p� j�mna fredagar och ett band p� udda
 fredagar. G�r en kopia p� f�r�ndrad data varje dag (incremental
 backup) och en fullst�ndig kopia varje fredag. Om du g�r n�gon
 s�rskilt viktig �ndring eller l�gger till viktig data till ditt system
 s� kan en s�kerhetskopia vara bra att g�ra.




 9.3.  S�kerhetskopiera din RPM eller Debian fildatabas

 I h�ndelse av en attack s� kan du anv�nda din RPM-databas som du
 skulle anv�nda tripwire, men bara om du kan vara s�ker p� att den inte
 har blivit �ndrad. Du b�r kopiera RPM-databasen till en diskett och
 h�lla den p� ett s�kert st�lle hela tiden. Debian har s�kerligen
 n�gonting liknande.

 Speciellt, filerna /var/lib/rpm/fileindex.rpm och
 /var/lib/rpm/packages.rpm f�r antagligen inte plats p� en enda
 diskett. Men komprimerade f�r de s�kert plats p� varsin diskett.

 Om ditt system har blivit attackerat kan du anv�nda kommandot:



               root#  rpm -Va




 f�r att verifiera alla filer p� ditt system. Titta p� manualbladet f�r
 RPM, eftersom det finns n�gra andra parametrar som du kan anv�nda f�r
 att f� mindre utskrifter.

 Detta inneb�r att varje g�ng en ny RPM l�ggs till i systemet s� m�ste
 RPM-databasen arkiveras om. Du m�ste v�ga f�rdelarna mot nackdelarna.




 9.4.  H�ll reda p� systemloggarna

 Det �r v�ldigt viktigt att ingen har mixtrat med informationen som
 kommer ifr�n syslog. Att g�ra filerna i /var/log l�s- och skrivbara av
 endast ett begr�nsat antal anv�ndare �r en bra b�rjan.

 H�ll ett �ga p� vad som skrivs d�r, s�rskilt under 'auth'. Ett flertal
 misslyckade inloggningsf�rs�k, till exempel, kan tyda p� ett f�rs�k
 till en attack.

 Var du skall leta efter dina loggfiler beror p� vilken distribution du
 har. I en distribution som f�ljer "Linux Filsystemstandard", som tex
 RedHat, s� hittar du dem i /var/log.

 Du kan lista ut var ditt system har loggfilerna genom att titta i
 filen /etc/syslog.conf. I denna filen specificeras var syslog skall
 logga de olika meddelandena.

 Du kan ocks� konfigurera ditt skript eller din daemon f�r loggrotation
 s� att loggarna finns kvar tillr�ckligt l�nge f�r att du skall hinna
 l�sa dem. Titta p� paketet "logrotate" i nyare RedHat-distributioner.
 Andra distributioner har antagligen liknande paket.

 Om n�gon har mixtrat med dina loggfiler s� f�rs�k att lista ut n�r
 mixtrandet b�rjade, och vilka saker som de verkade mixtra med. Finns
 det l�nga tidsperioder som inte har loggats? Att kolla efter korrekta
 systemloggar p� band med s�kerhetskopior �r en bra ide.

 Loggfiler �ndras typiskt av inkr�ktare som vill sopa igen sina sp�r,
 men de b�r �nd� s�kas igenom efter konstiga h�ndelser. Du kan till
 exempel uppt�cka en inkr�ktare som f�rs�ker f� tillg�ng till systemet,
 eller uppt�cka ett program som f�rs�ker komma �ver root-anv�ndaren. Du
 kanske hinner se loggfilerna innan inkr�ktaren hinner �ndra i dem.

 Du b�r �ven se till att skilja 'auth'-faciliteten fr�n annan loggdata,
 inklusive f�rs�k att anv�nda `su', inloggningsf�rs�k och annan data om
 anv�ndare.

 Om m�jligt s� b�r du konfigurera syslog att skicka en kopia av den
 viktigaste datan till ett s�kert system. Detta hindrar en inkr�ktare
 fr�n att sopa igen sina sp�r genom att radera sina login/su/ftp/osv
 f�rs�k. Se manualbladet f�r syslog.conf och titta p� avsnittet om
 parametern '@'.

 Till sist, loggfiler �r till liten nytta om ingen l�ser dem. Ta dig
 tid lite d� och d� f�r att titta igenom dina loggfiler, och skaffa dig
 en k�nsla av hur de ser ut en normal dag. Att veta detta kan hj�lpa
 dig att uppt�cka ovanliga saker.




 9.5.  L�gg till alla nya systemuppdateringar

 De flesta Linuxanv�ndare installerar fr�n en CDROM. P� grund av den av
 naturen snabba takten p� s�kerhetsfixar s� finns det alltid nya
 (fixade) program att tillg�. Innan du ansluter din maskin till
 n�tverket s� �r det en bra ide att kolla p� webbsajten f�r din
 distribution (till exempel ftp.redhat.com) och skaffa alla uppdaterade
 paket sedan du fick din CDROM. Dessa paket inneh�ller ofta viktiga
 s�kerhetsfixar s� det �r en bra ide att installera dem.




 10.  Att g�ra efter en attack

 S� du har f�ljt n�gra av r�den h�r (eller n�gon annanstans) och har
 uppt�ckt en attack? Det f�rsta du skall g�ra �r att vara lugn.
 F�rhastade ageranden kan g�ra mer skada �n vad inkr�ktaren skulle
 gjort.




 10.1.  S�kerhetsbrott p� g�ng

 Att uppt�cka ett p�g�ende s�kerhetsbrott kan vara en k�nslig sak. Hur
 du reagerar kan f� allvarliga konsekvenser.

 Om brottet du ser �r fysiskt s� �r det troligt att du har sett n�gon
 som har brytit sig in i ditt hem, kontor eller labb. Du b�r d�
 kontakta lokala myndigheter. I en labbmilj� kanske du har sett n�gon
 som f�rs�kt �ppna en l�da eller starta om en maskin. Beroende p� din
 auktoritet och procedurer s� kanske du kan be dem att sluta eller
 kontakta lokal s�kerhetspersonal.

 Om du har uppt�ckt en lokal anv�ndare som f�rs�ker bryta sig igenom
 s�kerheten, s� �r det f�rsta du skall g�ra att bekr�fta att de
 verkligen �r de du tror att de �r. Kolla sajten som de loggar in
 ifr�n. �r det den sajten som de normalt loggar in ifr�n? nej? Anv�nd
 d� ett icke elektroniskt s�tt att komma i kontakt. Till exempel, ring
 dem per telefon eller g� till deras kontor/hus och prata med dem. Om
 de erk�nner att de �r p�loggade s� kan du be dem f�rklara vad de
 sysslar med eller be dem sluta med det. Om de inte �r p�loggade, och
 inte har en aning om vad du pratar om, s� �r chansen stor att
 incidenten kr�ver ytterligare unders�kning. Unders�k s�dana
 incidenter, och samla p� dig mycket information innan du anklagar
 n�gon.

 Om du uppt�cker ett s�kerhetsbrott via n�tverket, s� �r det f�rsta du
 skall g�ra (om du kan) att koppla ner ditt n�tverk. Om de �r anslutna
 via ett modem, dra ur modemsladden, om de �r anslutna via ethernet,
 dra ur ethernetsladden. Detta hindrar dem fr�n att g�ra ytterligare
 skada, och de antar antagligen att de har r�kat ut f�r ett
 n�tverksproblem snarare �n att de blivit uppt�ckta.

 Om du inte kan koppla ner n�tverket (om du har en v�lanv�nd sajt eller
 inte har fysisk kontroll �ver dina maskiner), s� �r det n�st b�sta
 s�ttet att anv�nda program som tcp_wrappers eller ipfwadm f�r att neka
 access fr�n inkr�ktarens sajt.

 Om du inte kan neka alla personer fr�n inkr�ktarens sajt, s� f�r det
 duga med att l�sa anv�ndarens anv�ndarkonto. Observera att det �r inte
 l�tt att l�sa ett anv�ndarkonto. Du m�ste t�nka p� .rhosts-filer, FTP-
 access och en dator med bakd�rrar.

 N�r du gjort n�got av ovanst�ende (kopplat ner n�tverket, nekat access
 fr�n deras sajt eller l�st anv�ndarkontot) s� m�ste du d�da alla deras
 anv�ndarprocesser och logga av dem.

 Du b�r kontrollera din sajt noga under de f�ljande minuterna, eftersom
 attackeraren kommer att f�rs�ka komma in igen. Kanske genom att
 anv�nda ett annat anv�ndarnamn och/eller fr�n en annan n�tverksadress.


 10.2.  S�kerhetsbrott har redan intr�ffat

 Du har antingen uppt�ckt ett brott som redan intr�ffat eller du har
 uppt�ckt ett p�g�ende brott och (f�rhoppningsvis) l�st ute inkr�ktaren
 fr�n ditt system. Sen d�?




 10.2.1.  St�nga h�let

 Om du kan lista ut p� vilket s�tt inkr�ktaren lyckades ta sig in i
 ditt system s� b�r du f�rs�ka st�nga det h�let. Till exempel s� kanske
 du ser ett flertal FTP-poster precis innan anv�ndaren loggade in.
 St�ng d� av FTP-tj�nsten och kolla om du kan hitta en uppdaterad
 version eller om n�gon av e-postlistorna vet n�gon fix.

 Kolla alla dina loggfiler och kolla alla e-postlistor och webbsajter
 som handlar om s�kerhet f�r att se om det finns n�gra nya vanligt
 f�rekommande attacker som du kan fixa. Du kan hitta s�kerhetsfixar f�r
 Caldera h�r: http://www.caldera.com/tech-ref/security/. RedHat har
 �nnu inte delat upp s�kerhetsfixar fr�n buggfixar, men deras errata
 f�r distributionen finns p� http://www.redhat.com/errata. Det �r
 troligt att om en distribut�r har sl�ppt en s�kerhetsfix s� har de
 flesta andra gjort det ocks�.

 Om du inte l�ser ute inkr�ktaren s� kommer han antagligen tillbaka.
 Inte bara p� din maskin utan n�gonstans p� n�tverket. Om han k�rde en
 paketsniffare s� �r risken stor att han har tillg�ng till andra lokala
 maskiner.




 10.2.2.  Ta reda p� hur mycket skada som har skett

 Det f�rsta att ta reda p� �r hur mycket skada som har skett. Vad har
 blivit attackerat? Om du k�r en integritetskontroll som tripwire s�
 kan du g�ra en k�rning och f� reda p� det. Om inte s� f�r du titta
 runt bland dina viktiga data.

 Eftersom Linux blir l�ttare och l�ttare att installera, s� kan du
 �verv�ga att spara dina konfigurationsfiler och sedan radera dina
 diskar och sedan installera om. Efter detta kan du �terskapa
 anv�ndarfiler och konfigurationsfiler fr�n s�kerhetskopior. P� detta
 s�tt f�rs�krar du dig om att du har ett rent system. Om du m�ste
 s�kerhetskopiera filer fr�n ett attackerat system s� skall du vara
 extra f�rsiktig med att �terskapa bin�rfiler, d� de kan vara trojanska
 h�star som inkr�ktaren har placerat d�r.




 10.2.3.  S�kerhetskopior, S�kerhetskopior, S�kerhetskopior!

 Att g�ra regelbundna s�kerhetskopior �r ov�rderligt ur
 s�kerhetssynpunkt. Om ditt system blir attackerat s� kan du �terskapa
 den data du beh�ver fr�n s�kerhetskopior. Sj�lvklart kan viss data
 �ven vara v�rdefull f�r attackeraren, och de kommer inte bara att
 f�rst�ra den utan �ven stj�la den s� att de har sina egna kopior, men
 du kommer �tminstonde att ha kvar den.

 Du b�r kolla flera s�kerhetskopior bak�t i tiden innan du �terskapar
 en fil som n�gon har mixtrat med. Inkr�ktaren kan ha blivit f�r�ndrade
 f�r l�nge sedan och du kan ha gjort flera lyckade s�kerhetskopior av
 den filen.
 Sj�lklart s� m�ste man t�nka p� s�kerheten kring s�kerhetskopiorna
 ocks�. Se till att lagra dem p� ett s�kert st�lle. H�ll reda p� vem
 som har tillg�ng till dem. (Om en inkr�ktare kan f� tag p� dina
 s�kerhetskopior s� kan han f� tillg�ng till alla dina data utan att du
 n�gonsin f�r reda p� det.)




 10.2.4.  Sp�ra inkr�ktaren

 Okej, nu har du l�st ute inkr�ktaren och �terskapat ditt system, men
 du �r inte riktigt f�rdig �n. �ven om det inte �r troligt att
 inkr�ktaren �ker fast s� b�r du rapportera attacken.

 Du b�r rapportera attacken till administrat�ren p� den sajt som
 inkr�ktaren loggade in ifr�n. Du kan ta reda p� vem administrat�ren �r
 med kommandot "whois" eller genom internic-databasen. Du kan skicka
 ett e-postmeddelande som inneh�ller alla n�dv�ndiga loggposter, datum
 och tider. Om du har uppt�ckt n�got annat speciellt med din inkr�ktare
 s� kan du n�mna det ocks�. Efter att du har skickat e-post s� b�r du
 (om du har lust) f�lja upp med ett telefonsamtal. Om administrat�ren i
 sin tur uppt�cker inkr�ktaren s� kan han f�rs�ka kontakta
 administrat�ren p� n�sta sajt, osv.

 Duktiga crackers anv�nder ofta flera mellanliggande system. Vissa
 (eller flera) som inte ens vet om att de blivit attackerade. Att
 f�rs�ka sp�ra en cracker till sin hemmasajt kan vara sv�rt. Att vara
 artig mot administrat�rerna som du talar med kan hj�lpa mycket.

 Du b�r �ven meddela alla s�kerhetsorganisationer som du �r med i (CERT
 eller liknande).




 11.  S�kerhetsk�llor

 Det finns M�NGA bra sajter p� n�tet som handlar om s�kerhet i UNIX i
 allm�nhet och Linux i synnerhet. Det �r v�ldigt viktigt att
 prenumerera p� en (eller flera) av e-postlistorna om s�kerhet och
 h�lla sig uppdaterad p� s�kerhetsfixar. De flesta av dessa listor har
 v�ldigt l�g oms�ttning p� meddelande, men �r v�ldigt informativa.




 11.1.  FTP-sajter

 CERT �r Computer Emergency Response Team. De skickar ofta ut
 meddelanden om nya attacker och fixar. cert.org

 Replay har arkiv med m�nga s�kerhetsprogram. Eftersom de �r utanf�r
 USA s� m�ste de inte lyda amerikanska lagar om kryptering.  replay.com

 Matt Blaze �r f�rfattaren av CFS och en utomordentlig
 s�kerhetsf�respr�kare. Matt Blaze's stuff

 tue.nl �r en mycket bra s�kerhetssajt i Nederl�nderna.  ftp.win.tue.nl







 11.2.  Webb-sajter

 Hacker FAQ �r en FAQ om hackers: The Hacker FAQ

 COAST-arkivet har ett stort antal s�kerhetsprogram f�r UNIX och mycket
 information: COAST

 Rootshell.com �r en bra sajt f�r att se vilka attacker som f�r
 n�rvarande anv�nds av crackers:  rootshell.com exploits

 BUGTRAQ l�gger ut r�d i s�kerhetsfr�gor: BUGTRAQ archives

 CERT, Computer Emergency Response Team, l�gger ut r�d om vanliga
 attacker p� UNIX-plattformar: CERT home

 Dan Farmer har skrivit SATAN och m�nga andra s�kerhetsverktyg, hans
 hemsida inneh�ller intressant information om s�kerhet s�v�l som
 s�kerhetsverktyg: Dan Farmers trouble.org

 Linux Security WWW �r en bra sajt f�r information om s�kerhet i Linux:
 Linux Security WWW

 Reptile har mycket bra s�kerhetsinformation om Linux p� sin sajt:
 Reptiles Linux Security Page

 Infilsec har en "s�rbarhetsmotor" som kan tala om p� vilket s�tt en
 viss plattform �r s�rbar: Infilsec vunerability engine

 CIAC skickar periodvis ut information om vanliga attacker: CIAC
 bulitins

 En bra startpunkt f�r  Linux Pluggable Authentication Modules hittar
 du p� http://www.kernel.org/pub/linux/libs/pam/.




 11.3.  E-postlistor

 Bugtraq: F�r att prenumerera p� bugtraq s� skall du skicka e-post till
 [email protected] och i meddelandekroppen skriver du "subscribe
 bugtraq". (f�r arkiv se l�nken ovan)

 CIAC Skicka e-post till [email protected] och i
 meddelandekroppen skriver du "subscribe ciac-bulletin"




 11.4.  B�cker - Tryckt L�smaterial

 Det finns ett antal bra b�cker om s�kerhet. Detta avsnittet listar
 n�gra av dem. Ut�ver s�rskilda b�cker om s�kerhet, s� behandlas
 s�kerhet i ett antal andra b�cker om systemadministration.

 Building Internet Firewalls Av D. Brent Chapman & Elizabeth D. Zwicky

 1st Edition September 1995

 ISBN: 1-56592-124-0

 Practical UNIX & Internet Security, 2nd Edition Av Simson Garfinkel &
 Gene Spafford

 2nd Edition April 1996

 ISBN: 1-56592-148-8

 Computer Security Basics Av Deborah Russell & G.T. Gangemi, Sr.

 1st Edition July 1991

 ISBN: 0-937175-71-4

 Linux Network Administrator's Guide Av Olaf Kirch

 1st Edition January 1995

 ISBN: 1-56592-087-2

 PGP: Pretty Good Privacy Av Simson Garfinkel

 1st Edition December 1994

 ISBN: 1-56592-098-8

 Computer Crime A Crimefighter's Handbook Av David Icove, Karl Seger &
 William VonStorch (Consulting Editor Eugene H. Spafford)

 1st Edition August 1995

 ISBN: 1-56592-086-4




 11.5.  Terminologi


 �  Brandv�gg -  En komponent eller m�ngd av komponenter som begr�nsar
    tillg�ng mellan ett skyddat n�tverk och Internet, eller mellan
    andra n�tverk.


 �  Paket -  Den fundamentala enheten f�r kommunikation �ver Internet.


 �  Paketfiltrering -  Agerandet fr�n en enhet som selektivt
    kontrollerar fl�det av data till och fr�n n�tverket. Paketfilter
    sl�pper igenom eller blockerar paket, vanligtvis n�r de routas fr�n
    ett n�tverk till ett annat (oftast fr�n Internet till ett internt
    n�tverk och vice versa). F�r att �stadkomma paketfiltrering s�
    specificerar du regler som best�mmer vilka typer av paket (de fr�n
    en viss IP-adress eller port) som skall till�tas och vilka som
    skall blockas.


 �  Gr�nsn�tverk -  Ett n�tverk som installeras mellan ett skyddat
    n�tverk och ett externt n�tverk f�r att �stadkomma ytterligare ett
    lager av s�kerhet. Kallas ibland f�r DMZ.


 �  Proxyserver -  Ett program som tar hand om externa servrar �
    interna klienters v�gnar. Proxyklienter pratar med proxyservrar,
    som skickar vidare godk�nda klientf�rfr�gningar till riktiga
    servrar, och skickar vidare svar tillbaka till klienterna.


 �  Nekande av tj�nst -  En nekande av tj�nst attack �r n�r en
    attackerare konsumerar din maskins resurser p� ett s�tt som det
    inte var meningen att de skulle konsumeras, vilket f�rhindrar
    normal anv�ndning av dina n�tverksresurser f�r legitima avsikter.
 �  Buffer Overflow -  Ett vanligt s�tt att programmera �r att aldrig
    allokera buffertar som �r "tillr�ckligt stora" och inte kontrollera
    om det blir overflow. N�r s�dana buffertar f�r overflow s� kan det
    exekverande programmet (daemon eller suid-program) luras till att
    g�ra andra saker. Generellt s� g�rs det genom att skriva �ver en
    funktions returadress p� stacken s� att den pekar till ett annat
    st�lle.


 �  IP Spoofing -  IP-spoofing �r en komplex teknisk attack som utg�rs
    av flera komponenter. Det �r en s�kerhetsattack som lurar datorer
    till att tro att du �r n�gon som du egentligen inte �r. Det finns
    en bra artikel om detta skriven av daemon9, route och infinity i
    Phrack Magazine, Utg�va fyrtio�tta, volym sju.


 �  Autentisering -  Egenskapen av att veta att datan som togs emot �r
    samma data som s�ndes och att s�ndaren �r den han utger sig f�r att
    vara.


 �  Non-repudiation -  Egenskapen av att en mottagare kan bevisa att
    s�ndaren av viss data verkligen skickade datan �ven om s�ndaren
    senare f�rnekar att han gjort detta.




 12.  Ofta fr�gade fr�gor (FAQ)


 1. �r det s�krare att kompilera in drivrutiner direkt i k�rnan �n att
    g�ra dem till moduler?

    Svar: Vissa personer tycker att det �r b�ttre att st�nga av
    f�rm�gan att ladda drivrutiner genom moduler, eftersom en
    inkr�ktare skulle kunna ladda en trojansk modul som kan p�verka
    s�kerheten i systemet.

    Men f�r att kunna ladda moduler m�ste du vara root. F�r att kunna
    �ndra objektfiler f�r moduler m�ste du ocks� vara root. Detta
    betyder att inkr�ktaren m�ste ha root-access f�r att kunna ladda en
    modul. Och om inkr�ktaren har root-access s� finns det allvarligare
    saker att oroa sig f�r �n att han skall ladda moduler.

    Moduler �r till f�r att dynamiskt kunna ladda in st�d f�r vissa
    enheter som s�llan anv�nds. P� servermaskiner, eller brandv�ggar
    till exempel, s� beh�vs detta med all sannolikhet inte. D�rf�r
    verkar det vettigare att kompilera in drivrutinerna direkt i k�rnan
    f�r maskiner som anv�nds som servrar. Moduler �r dessutom
    l�ngsammare �n inkompilerat st�d.


 2. Inloggning som root fr�n andra maskiner misslyckas alltid.

    Svar: Se avsnittet om root-s�kerhet. Detta g�rs med avsikt f�r att
    f�rhindra externa anv�ndare att logga in till din maskin som root,
    vilket skulle vara ett allvarligt s�kerhetsproblem. Gl�m inte att
    potentiella inkr�ktare har tiden p� sin sida och kan k�ra program
    f�r att hitta ditt l�senord.


 3. Hur sl�r jag p� skuggade l�senord i mitt RedHat 4.2 eller 5.0
    Linuxsystem?

    Svar: Skuggade l�senord �r en mekanism f�r att lagra dina l�senord
    i en annan fil �n den normala /etc/paswd. Detta har flera f�rdelar.
    Den f�rsta �r att skuggfilen /etc/shadow endast �r l�sbar av root,
    till skillnad fr�n /etc/passwd som m�ste vara l�sbar av alla. En
    annan f�rdel �r att som administrat�r kan du s�tta p� och st�nga av
    anv�ndarkonton utan att alla vet statusen f�r andras
    anv�ndarkonton.

    Filen /etc/passwd anv�nds d� f�r att lagra anv�ndarnamn och
    gruppnamn som anv�nds av program som "/bin/ls" f�r att mappa
    anv�ndarid till korrekt anv�ndarnamn i en kataloglistning.

    Filen /etc/shadow inneh�ller endast anv�ndarnamn med respektive
    l�senord och kanske bokf�ringsinformation, som n�r anv�ndarkontot
    slutar g�lla osv.

    F�r att sl� p� skuggade l�senord, k�r 'pwconv' som root och
    /etc/shadow b�r skapas och anv�ndas av applikationer. Eftersom du
    k�r RH 4.2 eller nyare s� skall PAM-modulerna anpassa sig
    automatiskt till att anv�nda /etc/shadow ist�llet.

    Eftersom du �r intresserad av att s�kra dina l�senord s� kanske du
    �r intresserad av att generera bra l�senord fr�n b�rjan. F�r detta
    kan du anv�nda modulen 'pam_cracklib' som �r en del av PAM. Den k�r
    l�senord mot Crack-biblioteken f�r att hj�lpa dig att se om de �r
    f�r l�tta f�r crack-program att gissa.


 4. Hur sl�r jag p� SSL-ut�kningen i Apache?

    Svar:

    1. H�mta SSLeay 0.8.0 eller senare fr�n
    ftp://ftp.psy.uq.oz.au/pub/Crypto/SSL

    2. Kompilera, testa och installera det.

    3. H�mta k�llkoden f�r Apache 1.2.5 eller senare.

    4. H�mta Apache SSLeay-ut�kningen p� denna sajten
    <ftp://ftp.ox.ac.uk/pub/crypto/SSL/apache_1.2.5+ssl_1.13.tar.gz>

    5. Packa upp det i k�llkodskatalogen f�r apache-1.2.5 och patcha
    Apache som det st�r i README.


    6. Konfigurera och kompilera det.


    Du kan �ven prova Replay Associates som har m�nga f�rdigkompilerade
    paket och som �r lokaliserat utanf�r USA.


 5. Hur kan jag manipulera anv�ndarkonton och samtidigt h�lla h�g
    s�kerhet?

    Svar: RedHat-distributionen, s�rskilt RH5.0, inneh�ller ett stort
    antal verktyg f�r att kunna �ndra anv�ndarkontonas egenskaper.


 �  Programmen pwconv och unpwconv kan anv�ndas f�r att v�xla mellan
    skuggade och vanliga l�senord.

 �  Programmen pwck och grpck kan anv�das f�r att verifiera
    organisationen av passwd och group filer.


 �  Programmen useradd, usermod och userdel kan anv�ndas f�r att l�gga
    till, ta bort och �ndra anv�ndarkonton. Programmen groupadd,
    groupmod och groupdel g�r samma sak f�r grupper.

 �  Gruppl�senord kan skapas med gpasswd.

    Alla dessa program �r "skugg-medvetna" -- dvs om du anv�nder
    skuggning s� anv�nder de /etc/shadow, annars g�r de det inte.

    Se respektive manualblad f�r vidare information.


 6. Hur kan jag l�senordsskydda vissa HTML-dokument med Apache?

    Jag sl�r vad om att du inte k�nner till http://www.apacheweek.org,
    eller?

    Du hittar information om anv�ndarautentisering p�
    http://www.apacheweek.com/features/userauth s�v�l som andra
    s�kerhetstips f�r webbservrar p�
    http://www.apache.org/docs/misc/security_tips.html



 13.  Slutsats

 Genom att prenumerera p� e-postlistorna med s�kerhetslarm, och genom
 att h�lla dig uppdaterad s� kan du h�ja s�kerheten n�mnv�rt i ditt
 system. Om du h�ller reda p� dina loggfiler och k�r program som
 tripwire regelbundet s� kan du h�ja den �nnu mer.

 Det �r inte sv�rt att h�lla dators�kerheten p� en hyfsad niv� p� en
 hemmadator. Det kr�vs mera jobb f�r f�retagsmaskiner, men Linux kan
 vara en s�ker plattform. P� grund av s�ttet p� vilket Linux utvecklas
 s� kommer s�kerhetsfixar oftast ut mycket snabbare �n f�r kommersiella
 operativsystem, vilket g�r Linux till en utomordentlig plattform n�r
 det �r viktigt med s�kerhet.




 14.  Tack till

 Information i detta dokument har samlats ihop fr�n m�nga k�llor. Tack
 till f�ljande som har bidragit antingen direkt eller indirekt:


      Rob Riggs <[email protected]>
      S. Coffin <[email protected]>
      Viktor Przebinda <[email protected]>
      Roelof Osinga <[email protected]>
      Kyle Hasselbacher <[email protected]>
      "David S. Jackson" <[email protected]>
      "Todd G. Ruskell" <[email protected]>
      Rogier Wolff <[email protected]>

You are viewing proxied material from ftp.icm.edu.pl. The copyright of proxied material belongs to its original authors. Any comments or complaints in relation to proxied material should be directed to the original authors of the content concerned. Please see the disclaimer for more details.