Muokataan sivua Tietoturva
Siirry navigaatioon
Siirry hakuun
Kumoaminen voidaan suorittaa. Varmista alla olevasta vertailusta, että haluat saada aikaan tämän lopputuloksen, ja sen jälkeen julkaise alla näkyvät muutokset.
Nykyinen versio | Oma tekstisi | ||
Rivi 1: | Rivi 1: | ||
Tietoturvassa on monesti kysymys asenteista. Unixin rakenteen (ja siihen liittyvien perinteiden) sekä vapaiden ohjelmien runsauden ansiosta virukset ja "spyware" eivät juurikaan vaivaa Linuxia. Tämä ei kuitenkaan tarkoita, että Linux olisi [[Haittaohjelmat|haittaohjelmille]] immuuni. | |||
Suurimmat riskit työpöytä-Linuxeissa ovat palvelujen säätö- tai [[ohjelmointivirhe]]et (varo siis turhien palvelujen avaamista maailmalle) ja selainten tietoturva-aukot. Kannattaa huolehtia järjestelmän tärkeimmät päivitykset ajantasalle: Linuxeja koetelleet madot ovat hyödyntäneet ongelmia, jotka asianmukaisesti ylläpidetyissä asennuksissa oli korjattu aikoja sitten. | Suurimmat riskit työpöytä-Linuxeissa ovat palvelujen säätö- tai [[ohjelmointivirhe]]et (varo siis turhien palvelujen avaamista maailmalle) ja selainten tietoturva-aukot. Kannattaa huolehtia järjestelmän tärkeimmät päivitykset ajantasalle: Linuxeja koetelleet madot ovat hyödyntäneet ongelmia, jotka asianmukaisesti ylläpidetyissä asennuksissa oli korjattu aikoja sitten. | ||
Lisävarmuuden tuomiseksi voi myös käyttää [[palomuuri]]a (joka helpottaa palvelujen rajaamisen aiotuille käyttäjille), [[ | Lisävarmuuden tuomiseksi voi myös käyttää [[palomuuri]]a (joka helpottaa palvelujen rajaamisen aiotuille käyttäjille), [[tcpwrappers]]ia (tavallaan palvelukohtainen palomuuri), SELinuxia ja [[IDS]]ia (hyökkäyksentunnistusjärjestelmiä). Kaksi ensinmainittua ovat helppoja ottaa käyttöön eivätkä vaikuta koneen tavalliseen käyttöön (ellei palomuuria säädä liian tiukaksi). | ||
[[Unix]]-tyylisten järjestelmien vanhimpia tietoturvaetuja on [[root|pääkäyttäjän]] säästeliäs käyttö, jatka tätä perinnettä! Hyvä tapa olisi jättää pääkäyttäjäterminaali kokonaan avaamatta, ja hoitaa pääkäyttäjäoikeuksia vaativat hommat [[su]]:n | [[Unix]]-tyylisten järjestelmien vanhimpia tietoturvaetuja on [[root|pääkäyttäjän]] säästeliäs käyttö, jatka tätä perinnettä! Hyvä tapa olisi jättää pääkäyttäjäterminaali kokonaan avaamatta, ja hoitaa pääkäyttäjäoikeuksia vaativat hommat [[su]]:n tai [[sudo]]n avulla. | ||
== Käyttöjärjestelmän ja ohjelmien päivittäminen == | == Käyttöjärjestelmän ja ohjelmien päivittäminen == | ||
Kaikista ohjelmistoista löytyy ajoittain ohjelmointivirheitä, jotka heikentävät tietokoneen turvallisuutta. Valmistajat julkaisevat päivityksiä jotka korjaavat ohjelmistojen virheitä, mutta päivitysten asentaminen on käyttäjän vastuulla. Linuxin tapauksessa tarvittavat toimenpiteet riippuvat jonkin verran siitä, mikä [[jakelu|jakeluversio]] on käytössä. | Kaikista ohjelmistoista löytyy ajoittain ohjelmointivirheitä, | ||
jotka heikentävät tietokoneen turvallisuutta. Valmistajat julkaisevat | |||
päivityksiä jotka korjaavat ohjelmistojen virheitä, mutta päivitysten asentaminen on käyttäjän vastuulla. | |||
[[wikipedia:fi:Linux|GNU/Linuxin]] tapauksessa tarvittavat toimenpiteet riippuvat jonkin verran siitä, mikä [[jakelu|jakeluversio]] on käytössä. | |||
Kannattaa tarkistaa säännöllisesti (ehkä kerran viikossa) onko uusia päivityksiä saatavilla, ellei muistutuksia tule automaattisesti. Yleensä jokaisella jakelulla on oma sähköpostilista, millä tiedotetaan käyttöjärjestelmän ja ohjelmien tietoturvaan liittyvistä päivityksistä. Päivitykset asentuvat yleensä muutamalla hiiren klikkauksella tai parilla komennolla komentorivillä, kunhan "asennuslähteet" on oikein säädetty. | Kannattaa tarkistaa säännöllisesti (ehkä kerran viikossa) onko uusia päivityksiä saatavilla, ellei muistutuksia tule automaattisesti. Yleensä jokaisella jakelulla on oma sähköpostilista, millä tiedotetaan käyttöjärjestelmän ja ohjelmien tietoturvaan liittyvistä päivityksistä. Päivitykset asentuvat yleensä muutamalla hiiren klikkauksella tai parilla komennolla komentorivillä, kunhan "asennuslähteet" on oikein säädetty. | ||
Rivi 19: | Rivi 22: | ||
siihen tietoturvapäivityksiä, on jakelu syytä päivittää uudempaan versioon. | siihen tietoturvapäivityksiä, on jakelu syytä päivittää uudempaan versioon. | ||
* [[ | * [[Debianin päivittäminen|Debian GNU/Linux]] | ||
* [[ | * [[Fedoran päivittäminen|Fedora]] | ||
* [[ | * [[Gentoon päivittäminen|Gentoo Linux]] | ||
* [[ | * IT Linux, Lineox ja Spectra Linux: Kts. [http://www.raimokoski.com http://www.raimokoski.com] | ||
* [[SUSEn päivittäminen]] | * [[Mandrivan päivittäminen|Mandriva Linux]] | ||
* [[Ubuntun päivittäminen]] | * SOT Linux: Päivityksiä ei enää julkaista, käyttäjiä suositellaan vaihtamaan johonkin toiseen jakeluun. | ||
* [[SUSEn päivittäminen|SUSE Linux]] | |||
* [[Ubuntun päivittäminen|Ubuntu Linux]] | |||
* [[Slackware|Slackware Linux]] | |||
== Käyttöoikeuksien hallinta == | == Käyttöoikeuksien hallinta == | ||
Rivi 50: | Rivi 56: | ||
Useimmiten palvelin on käynnistettävä pääkäyttäjän oikeuksin, jotta sillä olisi mahdollisuus käyttää tiettyjä [[TCP]]/[[UDP]]-portteja (<1024) tai muita erikoistoimintoja. Otettuaan käyttöön portin tai muun resurssin ohjelma luopuu pysyvästi näistä oikeuksista (katso [[setuid]]). Jotkut ohjelmat tarvitsevat jatkossakin pääkäyttäjäoikeuksia, mutta käyttävät näitä säästeliäästi, suorittaen (valta)osan koodistaan palvelinkohtaisella tunnuksellaan, joko [[seteuid]]-kutsun tai [[fork|lapsiprosessien]] avulla. | Useimmiten palvelin on käynnistettävä pääkäyttäjän oikeuksin, jotta sillä olisi mahdollisuus käyttää tiettyjä [[TCP]]/[[UDP]]-portteja (<1024) tai muita erikoistoimintoja. Otettuaan käyttöön portin tai muun resurssin ohjelma luopuu pysyvästi näistä oikeuksista (katso [[setuid]]). Jotkut ohjelmat tarvitsevat jatkossakin pääkäyttäjäoikeuksia, mutta käyttävät näitä säästeliäästi, suorittaen (valta)osan koodistaan palvelinkohtaisella tunnuksellaan, joko [[seteuid]]-kutsun tai [[fork|lapsiprosessien]] avulla. | ||
Palvelimen (tai toiminnon) ryhmää käytetään esimerkiksi sähköpostin (mail), pelien (games), päätelaitteen (tty) ja kirjautumislokin (utmp) tapauksessa. Tiedostot ovat yksittäisen käyttäjän tai pääkäyttäjän omistuksessa, mutta ryhmäoikeuksien kautta eri ohjelmilla on oikeus kirjoittaa näihin tiedostoihin. Samaa järjestelmää voi käyttää | Palvelimen (tai toiminnon) ryhmää käytetään esimerkiksi sähköpostin (mail), pelien (games), päätelaitteen (tty) ja kirjautumislokin (utmp) tapauksessa. Tiedostot ovat yksittäisen käyttäjän tai pääkäyttäjän omistuksessa, mutta ryhmäoikeuksien kautta eri ohjelmilla on oikeus kirjoittaa näihin tiedostoihin. Samaa järjestelmää voi käyttää mielivaltaiia uusia palvelimia luotaessa. | ||
Aikoinaan palvelimet, jotka eivät tarvinneet pääkäyttäjäoikeuksia, ajettiin yleensä tunnuksella ja ryhmällä nobody. Tämä johti kuitenkin siihen, että ongelma yhdessä palvelimessa mahdollisti hyökkäykset muihin tätä tunnusta käyttäviin palvelimiin. Nykyään nobody on hyvin vähäisessä käytössä, mutta on käytettävissä ellei johonkin käyttöön halua luoda uusia tunnuksia. nobody-tunnusta käyttävistä palveluista mainittakoon [[NFS]], joka käyttää tätä tunnusta silloin kun se on asetettu olemaan luottamatta asiakaskoneen tarjoamiin käyttäjätunnuksiin ([[UID]]-numeroihin). | Aikoinaan palvelimet, jotka eivät tarvinneet pääkäyttäjäoikeuksia, ajettiin yleensä tunnuksella ja ryhmällä nobody. Tämä johti kuitenkin siihen, että ongelma yhdessä palvelimessa mahdollisti hyökkäykset muihin tätä tunnusta käyttäviin palvelimiin. Nykyään nobody on hyvin vähäisessä käytössä, mutta on käytettävissä ellei johonkin käyttöön halua luoda uusia tunnuksia. nobody-tunnusta käyttävistä palveluista mainittakoon [[NFS]], joka käyttää tätä tunnusta silloin kun se on asetettu olemaan luottamatta asiakaskoneen tarjoamiin käyttäjätunnuksiin ([[UID]]-numeroihin). | ||
==Selaimet== | ==Selaimet== | ||
Useimmat [[www-selaimet]] ovat hyvin monimutkaisia ja nopeasti kehittyviä ohjelmia ja sen myötä alttiita ohjelmointivirheille. | Useimmat [[www-selaimet]] ovat hyvin monimutkaisia ja nopeasti kehittyviä ohjelmia ja sen myötä alttiita ohjelmointivirheille. Ne myös käsittelevät monenlaista monimutkaista syötettä (kuten HTML, JavaScript ja [[Flash]]), johon on helppo ujuttaa virheitä hyödyntävää koodia. | ||
Selaimet altistavat paitsi haittaohjelmille myös erilaisille huijauksille, kuten salasanojen ja luottokorttinumeroiden kaappaukseen väärennettyjen verkkosivujen avulla (phishing). Yksityisyyttä uhkaa lisäksi evästeiden ja muulta palvelimelta haettujen kuvien käyttö selaamistottumusten seuraamiseen. | |||
Toistaiseksi Linuxin selaimia hyödyntäviä haittaohjelmia ei ole juurikaan esiintynyt, mutta [[Mozilla]]-sukuisten selainten yleistyessä haittaohjelmiakin on odotettavissa. | |||
Nettisurffauksessakin tärkein puolustuskeino on ohjelmien (myös kuvankäsittelykirjastojen yms.) pitäminen päivitettyinä, mutta sen lisäksi kannattaa kytkeä JavaScript ym. ylimääräiset toiminnot pois käytöstä, silloin kun niille ei ole tarvetta tai kun käydään epäilyttävillä sivuilla. Mozilla Firefoxille on tehty esimerkiksi [https://addons.mozilla.org/fi/firefox/addon/722 NoScript]-lisäosa, jolla pystyy nopeasti sallimaan tai estämään sivustojen JavaScriptit. | |||
==Käynnistettävät tiedostot ja "autorun"== | ==Käynnistettävät tiedostot ja "autorun"== | ||
GNU/Linuxissa sähköpostiohjelmia ei yleensä ole säädetty ajamaan liitteenä tulevia ohjelmia, vaikka liitettä klikattaisiinkin. | |||
Kun tiedosto on tallennettu tiedostojärjestelmään, se, tulkitaanko se ohjelmaksi, määräytyy [[Tiedoston_oikeudet|tiedoston oikeuksiin]] | Kun tiedosto on tallennettu tiedostojärjestelmään, se, tulkitaanko se ohjelmaksi, määräytyy [[Tiedoston_oikeudet|tiedoston oikeuksiin]] | ||
Rivi 93: | Rivi 95: | ||
== SELinux ja GRSecurity == | == SELinux ja GRSecurity == | ||
[ | [http://www.nsa.gov/selinux/ SELinux] on patchi ("korjaus") joka mahdollistaa tarkemman auditoinnin ("turvallisuustarkastelut") järjestelmän suorittamien toimenpiteiden suhteen. Lähes kaikille tapahtumille on mahdollista määrittää "turvatasot". SELinuxin on kehittänyt NSA, jonka takia voidaankin olettaa sen täyttävän erittäin korkean turvallisuusluokituksen. | ||
Säädettävyyden mukana tulee vaikeus; kuka jaksaa säätää kaiken pilkkua viilaten? Tämä on SELinuxin suurin ongelma: sen käyttöönotto on erittäin työläs. | Säädettävyyden mukana tulee vaikeus; kuka jaksaa säätää kaiken pilkkua viilaten? Tämä on SELinuxin suurin ongelma: sen käyttöönotto on erittäin työläs. | ||
SELinux on 2.6-sarjan kernelissä ("ytimessä") mukana ja sen kehitys tapahtuu ytimen ohessa. 2.4-sarjalaisiin tämä on saatavissa erillisenä patch-settinä ("korjaussarjana"). | SELinux on 2.6-sarjan kernelissä ("ytimessä") mukana ja sen kehitys tapahtuu ytimen ohessa. 2.4-sarjalaisiin tämä on saatavissa erillisenä patch-settinä ("korjaussarjana"). | ||
[ | [http://www.grsecurity.net/ GRSecurity] on kilpaileva "tuote" joka ei ole mukana valtavirrassa, mutta se tekijän mukaan mahdollistaa vielä suuremmat tietoturvatason säädöt. | ||
Molemmat tuotteet ovat hyödyllisiä jos niille on tarvetta. Yleensä pärjätään normaaleillakin turva-asetuksilla, mutta vaihtoehdot ovat hyväksi. | Molemmat tuotteet ovat hyödyllisiä jos niille on tarvetta. Yleensä pärjätään normaaleillakin turva-asetuksilla, mutta vaihtoehdot ovat hyväksi. | ||
Rivi 105: | Rivi 107: | ||
===Katso myös=== | ===Katso myös=== | ||
*[[Fedoran SELinux-asetukset]] | *[[Fedoran SELinux-asetukset]] | ||
== TCP-wrapper == | == TCP-wrapper == | ||
Rivi 134: | Rivi 135: | ||
==SSH== | ==SSH== | ||
Jos ajat [[SSH]]-palvelinta, kannattaa tarkistaa että soveltuvat [[SSH-turvatoimet]] on tehty. sshd käyttää yleensä sekä omia asetuksiaan, että pam-kirjastoa ja normaaleja unix-salasanoja. Asetusten yhteisvaikutus ei ole intuitiivinen, joten asiaa koskevien varoitusten lukeminen on hyvin suotavaa. Parasta on rajoittaa yhteydet muutamaan luotettavaan ip-osoitteeseen. | Jos ajat [[SSH]]-palvelinta, kannattaa tarkistaa että soveltuvat [[SSH-turvatoimet]] on tehty. sshd käyttää yleensä sekä omia asetuksiaan, että pam-kirjastoa ja normaaleja unix-salasanoja. Asetusten yhteisvaikutus ei ole intuitiivinen, joten asiaa koskevien varoitusten lukeminen on hyvin suotavaa. Parasta on rajoittaa yhteydet muutamaan luotettavaan ip-osoitteeseen. | ||
==Katso myös== | ==Katso myös== | ||
*[[Haittaohjelmat]] | *[[Haittaohjelmat]] | ||
*[[Langattoman verkon tietoturva]] | *[[Langattoman verkon tietoturva]] | ||
[[Luokka:Tietoturva]] | [[Luokka:Tietoturva]] | ||