Muokataan sivua Tietoturva
Siirry navigaatioon
Siirry hakuun
Kumoaminen voidaan suorittaa. Varmista alla olevasta vertailusta, että haluat saada aikaan tämän lopputuloksen, ja sen jälkeen julkaise alla näkyvät muutokset.
Nykyinen versio | Oma tekstisi | ||
Rivi 1: | Rivi 1: | ||
Tietoturvassa on monesti kysymys asenteista. Unixin rakenteen (ja siihen liittyvien perinteiden) sekä vapaiden ohjelmien runsauden ansiosta virukset ja "spyware" eivät juurikaan vaivaa Linuxia. Tämä ei kuitenkaan tarkoita, että Linux olisi [[Haittaohjelmat|haittaohjelmille]] immuuni. | |||
Suurimmat riskit työpöytä-Linuxeissa ovat palvelujen säätö- tai | Suurimmat riskit työpöytä-Linuxeissa ovat palvelujen säätö- tai ohjelmointivirheet (varo siis turhien palvelujen avaamista maailmalle) ja selainten tietoturva-aukot. Kannattaa huolehtia järjestelmän tärkeimmät päivitykset ajantasalle: Linuxeja koetelleet madot ovat hyödyntäneet ongelmia, jotka asianmukaisesti ylläpidetyissä asennuksissa oli korjattu aikoja sitten. | ||
Lisävarmuuden tuomiseksi voi myös käyttää [[ | Lisävarmuuden tuomiseksi voi myös käyttää [[Palomuuri]]a (joka helpottaa palvelujen rajaamisen aiotuille käyttäjille), [[tcpwrappers]]ia (tavallaan palvelukohtainen palomuuri), SELinuxia ja [[IDS]]ia (hyökkäyksentunnistusjärjestelmiä). Kaksi ensinmainittua ovat helppoja ottaa käyttöön eivätkä vaikuta koneen tavalliseen käyttöön (ellei palomuuria säädä liian tiukaksi). | ||
<nowiki>*</nowiki>NIX-tyylisten järjestelmien vanhimpia tietoturvaetuja on [[root|pääkäyttäjän]] säästeliäs käyttö, jatka tätä perinnettä! Hyvä tapa olisi jättää pääkäyttäjäterminaali kokonaan avaamatta, ja hoitaa pääkäyttäjäoikeuksia vaativat hommat [[su]]:n tai [[sudo]]n avulla. | |||
== Käyttöjärjestelmän ja ohjelmien päivittäminen == | == Käyttöjärjestelmän ja ohjelmien päivittäminen == | ||
Kaikista ohjelmistoista löytyy ajoittain ohjelmointivirheitä, jotka heikentävät tietokoneen turvallisuutta. Valmistajat julkaisevat päivityksiä jotka korjaavat ohjelmistojen virheitä, mutta päivitysten asentaminen on käyttäjän vastuulla. Linuxin tapauksessa tarvittavat toimenpiteet riippuvat jonkin verran siitä, mikä [[jakelu|jakeluversio]] on käytössä. | Kaikista ohjelmistoista löytyy ajoittain ohjelmointivirheitä, | ||
jotka heikentävät tietokoneen turvallisuutta. Valmistajat julkaisevat | |||
päivityksiä jotka korjaavat ohjelmistojen virheitä, mutta päivitysten asentaminen on käyttäjän vastuulla. | |||
[[wikipedia:fi:Linux|GNU/Linuxin]] tapauksessa tarvittavat toimenpiteet riippuvat jonkin verran siitä, mikä [[jakelu|jakeluversio]] on käytössä. | |||
Kannattaa tarkistaa säännöllisesti (ehkä kerran viikossa) onko uusia päivityksiä saatavilla, ellei muistutuksia tule automaattisesti. Yleensä jokaisella jakelulla on oma sähköpostilista, millä tiedotetaan käyttöjärjestelmän ja ohjelmien tietoturvaan liittyvistä päivityksistä. Päivitykset asentuvat yleensä muutamalla hiiren klikkauksella tai parilla komennolla komentorivillä, kunhan "asennuslähteet" on oikein säädetty. | Kannattaa tarkistaa säännöllisesti (ehkä kerran viikossa) onko uusia päivityksiä saatavilla, ellei muistutuksia tule automaattisesti. Yleensä jokaisella jakelulla on oma sähköpostilista, millä tiedotetaan käyttöjärjestelmän ja ohjelmien tietoturvaan liittyvistä päivityksistä. Päivitykset asentuvat yleensä muutamalla hiiren klikkauksella tai parilla komennolla komentorivillä, kunhan "asennuslähteet" on oikein säädetty. | ||
Rivi 19: | Rivi 22: | ||
siihen tietoturvapäivityksiä, on jakelu syytä päivittää uudempaan versioon. | siihen tietoturvapäivityksiä, on jakelu syytä päivittää uudempaan versioon. | ||
* [[ | * [[Debianin päivittäminen|Debian GNU/Linux]] | ||
* [[ | * [[Fedoran päivittäminen|Fedora]] | ||
* [[ | * [[Gentoon päivittäminen|Gentoo Linux]] | ||
* [[ | * IT Linux, Lineox ja Spectra Linux: Kts. [http://www.raimokoski.com http://www.raimokoski.com] | ||
* [[SUSEn päivittäminen]] | * [[Mandrivan päivittäminen|Mandriva Linux]] | ||
* [[Ubuntun päivittäminen]] | * SOT Linux: Päivityksiä ei enää julkaista, käyttäjiä suositellaan vaihtamaan johonkin toiseen jakeluun. | ||
* [[SUSEn päivittäminen|SUSE Linux]] | |||
* [[Ubuntun päivittäminen|Ubuntu Linux]] | |||
* [[Slackware|Slackware Linux]] | |||
== Käyttöoikeuksien hallinta == | == Käyttöoikeuksien hallinta == | ||
Olennainen osa Linux-tietoturvaa on mahdollisuus rajoittaa [[käyttäjä|käyttäjien]] oikeuksia [[tiedostojärjestelmä|tiedostojärjestelmään]]. Käyttöoikeudet määritetään käyttäjä- ja ryhmäkohtaisesti. Lisäksi Linuxin [[Linuxin hakemistorakenne|hakemistorakenteessa]] määritetään tarkkaan hakemistojen [[tiedoston oikeudet|käyttöoikeudet]] niiden tarkoituksen ja käyttöoikeuksien mukaan. Nämä yhdessä luovat pohjan tietoturvalliselle käyttöjärjestelmälle. | Olennainen osa Linux-tietoturvaa on mahdollisuus rajoittaa [[käyttäjä|käyttäjien]] oikeuksia [[tiedostojärjestelmä|tiedostojärjestelmään]]. Käyttöoikeudet määritetään käyttäjä- ja ryhmäkohtaisesti. Lisäksi Linuxin [[Linuxin hakemistorakenne|hakemistorakenteessa]] määritetään tarkkaan hakemistojen [[tiedoston oikeudet|käyttöoikeudet]] niiden tarkoituksen ja käyttöoikeuksien mukaan. Nämä yhdessä luovat pohjan tietoturvalliselle käyttöjärjestelmälle. | ||
Linuxin tietoturvaa parantaa tavallisen- ja pääkäyttäjän erottaminen toisistaan. Pääkäyttäjällä eli erityisellä [[käyttäjä|root-tunnuksella]], on kaikki oikeudet käyttöjärjestelmään ja näin myös suurin riski vahingoittaa käyttöjärjestelmää. Tavallisen käyttäjän oikeudet taas ovat hyvin rajoitetut, mahdollistaen kuitenkin normaalin päivittäisen toiminnan kuten dokumenttien kirjoittamiseen ja musiikin kuuntelemiseen. | |||
Linuxin tietoturvaa parantaa tavallisen | |||
Vaikka kotikäyttäjälle kahden käyttäjätunnuksen ja salasanan muistaminen | Vaikka kotikäyttäjälle kahden käyttäjätunnuksen ja salasanan muistaminen kuulostaa absurdilta, on se ehdottomasti helpoin keino parantaa henkilökohtaista tietoturvaa. Esimerkiksi virusten ja haittaohjelmien levittäminen internetissä on helppoa ja ohjelmien virheiden vuoksi sellainen voi joutua myös omalle koneelle. Käyttämällä aina rajoitettua käyttäjätunnusta vähennät huomattavasti riskiä sotkea koko käyttöjärjestelmää. | ||
Siis ohje yksinkertaistettuna: | Siis ohje yksinkertaistettuna: | ||
Rivi 39: | Rivi 44: | ||
# Älä lisää normaalille käyttäjätunnukselle oikeuksia, mitä et välttämättä tarvitse | # Älä lisää normaalille käyttäjätunnukselle oikeuksia, mitä et välttämättä tarvitse | ||
# Käytä root-tunnusta ainoastaan ohjelmien ja järjestelmän asennukseen, kaikkia käyttäjiä koskeviin säätöihin yms. järjestelmän ylläpitoon, ei tavalliseen työhön | # Käytä root-tunnusta ainoastaan ohjelmien ja järjestelmän asennukseen, kaikkia käyttäjiä koskeviin säätöihin yms. järjestelmän ylläpitoon, ei tavalliseen työhön | ||
# Jos vieras ohjelma vaatii pääkäyttäjän tunnusta tai salasanaa, mieti kahdesti onko ohjelma välttämätön! | # Jos vieras ohjelma vaatii pääkäyttäjän tunnusta tai salasanaa, mieti kahdesti onko ohjelma välttämätön! | ||
Suorittaaksesi ohjelman pääkäyttäjän tunnuksilla sinun ei tarvitse kirjautua ulos järjestelmästä. Voit kirjautua pääkäyttäjäksi eri [[virtuaalikonsoli|virtuaalikonsolilla]] tai [[terminaaliemulaattori|pääteikkunassa]]. Komentoriviltä minkä tahansa yksittäisen ohjelman voi suorittaa pääkäyttäjän oikeuksilla komennoilla [[su]] tai [[sudo]]. Pelkkä "su" vaihtaa pääkäyttäjän oikeuksiin "exit"-käskyyn saakka | Suorittaaksesi ohjelman pääkäyttäjän tunnuksilla sinun ei tarvitse kirjautua ulos järjestelmästä. Voit kirjautua pääkäyttäjäksi eri [[virtuaalikonsoli|virtuaalikonsolilla]] tai [[terminaaliemulaattori|pääteikkunassa]]. Komentoriviltä minkä tahansa yksittäisen ohjelman voi suorittaa pääkäyttäjän oikeuksilla komennoilla [[su]] tai [[sudo]]. Pelkkä "su" vaihtaa pääkäyttäjän oikeuksiin "exit"-käskyyn saakka. | ||
Useimmista [[jakelu]]ista löytyy vastaavat ohjelmat myös graafisena. [[GTK]]-pohjaisissa ympäristöissä ([[GNOME]], [[Xfce]] ym.) käytetään yleensä [[gksu]]a (tuki sulle ja sudolle) tai [[gksudo]]a (tuki sudolle). [[KDE]]:ssä käytetään [[kdesu]]a (tuki sulle, myös sudoa varten muokattuja versioita olemassa). Järjestelmän asetusohjelmien avaaminen tavallisena käyttäjänä aiheuttaa yleensä pääkäyttäjän salasanan kysymisen joko gksu(do)n tai kdesun avulla | Useimmista [[jakelu]]ista löytyy vastaavat ohjelmat myös graafisena. [[GTK]]-pohjaisissa ympäristöissä ([[GNOME]], [[Xfce]] ym.) käytetään yleensä [[gksu]]a (tuki sulle ja sudolle) tai [[gksudo]]a (tuki sudolle). [[KDE]]:ssä käytetään [[kdesu]]a (tuki sulle, myös sudoa varten muokattuja versioita olemassa). Järjestelmän asetusohjelmien avaaminen tavallisena käyttäjänä aiheuttaa yleensä pääkäyttäjän salasanan kysymisen joko gksu(do)n tai kdesun avulla. | ||
==Selaimet== | ==Selaimet== | ||
Useimmat [[www-selaimet]] ovat hyvin monimutkaisia ja nopeasti kehittyviä ohjelmia ja sen myötä alttiita ohjelmointivirheille. | Useimmat [[www-selaimet]] ovat hyvin monimutkaisia ja nopeasti kehittyviä ohjelmia ja sen myötä alttiita ohjelmointivirheille. Ne myös käsittelevät monenlaista monimutkaista syötettä (kuten HTML, JavaScript ja [[Flash]]), johon on helppo ujuttaa virheitä hyödyntävää koodia. | ||
Selaimet altistavat paitsi haittaohjelmille myös erilaisille huijauksille, kuten salasanojen ja luottokorttinumeroiden kaappaukseen väärennettyjen verkkosivujen avulla (phishing). Yksityisyyttä uhkaa lisäksi evästeiden ja muulta palvelimelta haettujen kuvien käyttö selaamistottumusten seuraamiseen. | |||
Toistaiseksi Linuxin selaimia hyödyntäviä haittaohjelmia ei ole juurikaan esiintynyt, mutta [[Mozilla]]-sukuisten selainten yleistyessä haittaohjelmiakin on odotettavissa. | |||
Nettisurffauksessakin tärkein puolustuskeino on ohjelmien (myös kuvankäsittelykirjastojen yms.) pitäminen päivitettyinä, mutta sen lisäksi kannattaa kytkeä JavaScript ym. ylimääräiset toiminnot pois käytöstä, silloin kun niille ei ole tarvetta tai kun käydään epäilyttävillä sivuilla. Mozilla Firefoxille on tehty esimerkiksi [https://addons.mozilla.org/fi/firefox/addon/722 NoScript]-lisäosa, jolla pystyy nopeasti sallimaan tai estämään sivustojen JavaScriptit. | |||
==Käynnistettävät tiedostot ja "autorun"== | ==Käynnistettävät tiedostot ja "autorun"== | ||
GNU/Linuxissa sähköpostiohjelmia ei yleensä ole säädetty ajamaan liitteenä tulevia ohjelmia, vaikka liitettä klikattaisiinkin. | |||
Kun tiedosto on tallennettu tiedostojärjestelmään, se, tulkitaanko se ohjelmaksi, määräytyy [[Tiedoston_oikeudet|tiedoston oikeuksiin]] | Kun tiedosto on tallennettu tiedostojärjestelmään, se, tulkitaanko se ohjelmaksi, määräytyy [[Tiedoston_oikeudet|tiedoston oikeuksiin]] | ||
Rivi 82: | Rivi 74: | ||
Mitä siis tehdä, jos netistä löytyy (tai sähköpostissa tulee) ohjelma, jonka haluaa ajaa. Jos kyseessä on valmis ajettava tiedosto, riittää että tallettaa sen jonnekin, asettaa suoritusoikeudet ja ajaa sen: | Mitä siis tehdä, jos netistä löytyy (tai sähköpostissa tulee) ohjelma, jonka haluaa ajaa. Jos kyseessä on valmis ajettava tiedosto, riittää että tallettaa sen jonnekin, asettaa suoritusoikeudet ja ajaa sen: | ||
chmod a+x troijan_hevonen | |||
./troijan_hevonen | |||
Ohjelmalla on yleensä kaikki samat oikeudet kuin sen käynnistäjälläkin, eli ellei ohjelmaan luota, se pitää vähintään ajaa tähän tarkoitukseen erikseen luodulla tunnuksella, mieluiten ei ollenkaan. | Ohjelmalla on yleensä kaikki samat oikeudet kuin sen käynnistäjälläkin, eli ellei ohjelmaan luota, se pitää vähintään ajaa tähän tarkoitukseen erikseen luodulla tunnuksella, mieluiten ei ollenkaan. | ||
Etuliite ./ (millä kerrotaan, että ohjelma on | Etuliite ./ (millä kerrotaan, että ohjelma on työhakemistossa) tarvitaan, jollei ohjelmaa ole asennettu ohjelmille tarkoitettuun hakemistoon (jotka on lueteltu [[PATH]]-muuttujassa). Tällä järjestelyllä estetään (pää)käyttäjää vahingossa ajamasta ohjelmaa, jolle on annettu jonkin toisen ohjelman nimi (tai sellaisen väärinkirjoitettu muoto). | ||
Jos ohjelma tulee paketoituna ([[tar]], [[RPM|rpm]], [[deb]] tms.), paketin asentaminen asentaa tiedostot paketoijan määräämään paikkaan, mahdollisesti ylikirjoittaen muita tiedostoja (varsinkin jos paketin asentaa pääkäyttäjänä) ja asettaen tiedosto-oikeudet kohdalleen. Pakettiin saattaa kuulua myös asennuksessa ajettavia skriptejä. Pakettia ei siis pidä asentaa epämääräisistä lähteistä ja hiukankin epävarmoissa tapauksissa se pitäisi asentaa tarkoitukseen erikseen luodulla tunnuksella (jolle annetaan vain tarvittavat oikeudet asennuksen ajaksi | Jos ohjelma tulee paketoituna ([[tar]], [[RPM|rpm]], [[deb]] tms.), paketin asentaminen asentaa tiedostot paketoijan määräämään paikkaan, mahdollisesti ylikirjoittaen muita tiedostoja (varsinkin jos paketin asentaa pääkäyttäjänä) ja asettaen tiedosto-oikeudet kohdalleen. Pakettiin saattaa kuulua myös asennuksessa ajettavia skriptejä. Pakettia ei siis pidä asentaa epämääräisistä lähteistä ja hiukankin epävarmoissa tapauksissa se pitäisi asentaa tarkoitukseen erikseen luodulla tunnuksella (jolle annetaan vain tarvittavat oikeudet asennuksen ajaksi). | ||
== SELinux ja GRSecurity == | == SELinux ja GRSecurity == | ||
[ | [http://www.nsa.gov/selinux/ SELinux] on patchi ("korjaus") joka mahdollistaa tarkemman auditoinnin ("turvallisuustarkastelut") järjestelmän suorittamien toimenpiteiden suhteen. Lähes kaikille tapahtumille on mahdollista määrittää "turvatasot". NSA on kehittänyt SELinuxin, jonka takia voidaankin olettaa sen täyttävän erittäin korkean turvallisuusluokituksen. | ||
Säädettävyyden mukana tulee vaikeus; kuka jaksaa säätää kaiken pilkkua viilaten? Tämä on SELinuxin suurin ongelma: sen käyttöönotto on erittäin työläs. | Säädettävyyden mukana tulee vaikeus; kuka jaksaa säätää kaiken pilkkua viilaten? Tämä on SELinuxin suurin ongelma: sen käyttöönotto on erittäin työläs. | ||
SELinux on 2.6-sarjan kernelissä ("ytimessä") mukana ja sen kehitys tapahtuu ytimen ohessa. 2.4-sarjalaisiin tämä on saatavissa erillisenä patch-settinä ("korjaussarjana"). | SELinux on 2.6-sarjan kernelissä ("ytimessä") mukana ja sen kehitys tapahtuu ytimen ohessa. 2.4-sarjalaisiin tämä on saatavissa erillisenä patch-settinä ("korjaussarjana"). | ||
[ | [http://www.grsecurity.net/ GRSecurity] on kilpaileva "tuote" joka ei ole mukana valtavirrassa, mutta se tekijän mukaan mahdollistaa vielä suuremmat tietoturvatason säädöt. | ||
Molemmat tuotteet ovat hyödyllisiä jos niille on tarvetta. Yleensä pärjätään normaaleillakin turva-asetuksilla, mutta vaihtoehdot ovat hyväksi. | Molemmat tuotteet ovat hyödyllisiä jos niille on tarvetta. Yleensä pärjätään normaaleillakin turva-asetuksilla, mutta vaihtoehdot ovat hyväksi. | ||
Rivi 105: | Rivi 97: | ||
===Katso myös=== | ===Katso myös=== | ||
*[[Fedoran SELinux-asetukset]] | *[[Fedoran SELinux-asetukset]] | ||
== TCP-wrapper == | == TCP-wrapper == | ||
Rivi 134: | Rivi 125: | ||
==SSH== | ==SSH== | ||
Jos ajat [[SSH]]-palvelinta, kannattaa tarkistaa että soveltuvat [[SSH-turvatoimet]] on tehty. sshd käyttää yleensä sekä omia asetuksiaan, että pam-kirjastoa ja normaaleja unix-salasanoja. Asetusten yhteisvaikutus ei ole intuitiivinen, joten asiaa koskevien varoitusten lukeminen on hyvin suotavaa. Parasta on rajoittaa yhteydet muutamaan luotettavaan ip-osoitteeseen. | Jos ajat [[SSH]]-palvelinta, kannattaa tarkistaa että soveltuvat [[SSH-turvatoimet]] on tehty. sshd käyttää yleensä sekä omia asetuksiaan, että pam-kirjastoa ja normaaleja unix-salasanoja. Asetusten yhteisvaikutus ei ole intuitiivinen, joten asiaa koskevien varoitusten lukeminen on hyvin suotavaa. Parasta on rajoittaa yhteydet muutamaan luotettavaan ip-osoitteeseen. | ||
==Katso myös== | ==Katso myös== | ||
*[[Haittaohjelmat]] | *[[Haittaohjelmat]] | ||
*[[Langattoman verkon tietoturva]] | *[[Langattoman verkon tietoturva]] | ||
[[Luokka:Tietoturva]] | [[Luokka:Tietoturva]] | ||