Muokataan sivua Tietoturva

'''Tietoturvassa''' on monesti kysymys asenteista. Unixin rakenteen (ja siihen liittyvien perinteiden) sekä vapaiden ohjelmien runsauden ansiosta virukset ja "spyware" eivät juurikaan vaivaa Linuxia. Tämä ei kuitenkaan tarkoita, että Linux olisi [[Haittaohjelmat|haittaohjelmille]] immuuni.

Suurimmat riskit työpöytä-Linuxeissa ovat palvelujen säätö- tai [[ohjelmointivirhe]]et (varo siis turhien palvelujen avaamista maailmalle) ja selainten tietoturva-aukot. Kannattaa huolehtia järjestelmän tärkeimmät päivitykset ajantasalle: Linuxeja koetelleet madot ovat hyödyntäneet ongelmia, jotka asianmukaisesti ylläpidetyissä asennuksissa oli korjattu aikoja sitten.

Lisävarmuuden tuomiseksi voi myös käyttää [[palomuuri]]a (joka helpottaa palvelujen rajaamisen aiotuille käyttäjille), [[TCP Wrapper]]ia (tavallaan palvelukohtainen palomuuri), SELinuxia ja [[IDS]]ia (hyökkäyksentunnistusjärjestelmiä). Kaksi ensinmainittua ovat helppoja ottaa käyttöön eivätkä vaikuta koneen tavalliseen käyttöön (ellei palomuuria säädä liian tiukaksi).

[[Unix]]-tyylisten järjestelmien vanhimpia tietoturvaetuja on [[root|pääkäyttäjän]] säästeliäs käyttö, jatka tätä perinnettä! Hyvä tapa olisi jättää pääkäyttäjäterminaali kokonaan avaamatta, ja hoitaa pääkäyttäjäoikeuksia vaativat hommat [[su]]:n, [[sudo]]n tai [[doas]]n avulla.

Kaikista ohjelmistoista löytyy ajoittain ohjelmointivirheitä, jotka heikentävät tietokoneen turvallisuutta. Valmistajat julkaisevat päivityksiä jotka korjaavat ohjelmistojen virheitä, mutta päivitysten asentaminen on käyttäjän vastuulla. Linuxin tapauksessa tarvittavat toimenpiteet riippuvat jonkin verran siitä, mikä [[jakelu|jakeluversio]] on käytössä.

* [[pacman#Päivittäminen|Arch Linuxin päivittämien]]

* [[Debianin päivittäminen]]

* [[Fedoran päivittäminen]]

* [[Gentoon päivittäminen]]

* [[SUSEn päivittäminen]]

* [[Ubuntun päivittäminen]]

Linuxin tietoturvaa parantaa tavallisen [[käyttäjä]]n ja pääkäyttäjän erottaminen toisistaan. Pääkäyttäjällä, eli erityisellä [[root]]-tunnuksella, on kaikki oikeudet käyttöjärjestelmään ja näin myös suurin riski vahingoittaa käyttöjärjestelmää. Tavallisen käyttäjän oikeudet taas ovat rajoitetut, mahdollistaen kuitenkin normaalin päivittäisen toiminnan, kuten dokumenttien kirjoittamisen, musiikin kuuntelemisen ja oman ympäristönsä muokkaamisen, jopa ohjelmien asentamisen omaan käyttöönsä.

Vaikka kotikäyttäjälle kahden käyttäjätunnuksen ja salasanan muistaminen voi kuulostaa turhalta, on se ehdottomasti helpoin keino parantaa henkilökohtaista tietoturvaa. Esimerkiksi virusten ja haittaohjelmien levittäminen internetissä on helppoa ja ohjelmien virheiden vuoksi sellainen voi joutua myös omalle koneelle. Käyttämällä aina rajoitettua käyttäjätunnusta vähennät huomattavasti riskiä sotkea koko käyttöjärjestelmää.

# Jos vieras ohjelma vaatii pääkäyttäjän tunnusta tai salasanaa, mieti kahdesti onko ohjelma välttämätön! Ohjelmia voi asentaa myös ajamatta asennusohjelmaa pääkäyttäjänä.

Suorittaaksesi ohjelman pääkäyttäjän tunnuksilla sinun ei tarvitse kirjautua ulos järjestelmästä. Voit kirjautua pääkäyttäjäksi eri [[virtuaalikonsoli|virtuaalikonsolilla]] tai [[terminaaliemulaattori|pääteikkunassa]]. Komentoriviltä minkä tahansa yksittäisen ohjelman voi suorittaa pääkäyttäjän oikeuksilla komennoilla [[su]] tai [[sudo]]. Pelkkä "su" vaihtaa pääkäyttäjän oikeuksiin "exit"-käskyyn saakka. sudon voi säätää niin, ettei salasanaa tarvitse antaa joka käskyn yhteydessä.

Useimmista [[jakelu]]ista löytyy vastaavat ohjelmat myös graafisena. [[GTK]]-pohjaisissa ympäristöissä ([[GNOME]], [[Xfce]] ym.) käytetään yleensä [[gksu]]a (tuki sulle ja sudolle) tai [[gksudo]]a (tuki sudolle). [[KDE]]:ssä käytetään [[kdesu]]a (tuki sulle, myös sudoa varten muokattuja versioita olemassa).  Järjestelmän asetusohjelmien avaaminen tavallisena käyttäjänä aiheuttaa yleensä pääkäyttäjän salasanan kysymisen joko gksu(do)n tai kdesun avulla. Koko työpöytäympäristöä ei pidä käynnistää pääkäyttäjänä.

 

 

 

 

Aikoinaan palvelimet, jotka eivät tarvinneet pääkäyttäjäoikeuksia, ajettiin yleensä tunnuksella ja ryhmällä nobody. Tämä johti kuitenkin siihen, että ongelma yhdessä palvelimessa mahdollisti hyökkäykset muihin tätä tunnusta käyttäviin palvelimiin. Nykyään nobody on hyvin vähäisessä käytössä, mutta on käytettävissä ellei johonkin käyttöön halua luoda uusia tunnuksia. nobody-tunnusta käyttävistä palveluista mainittakoon [[NFS]], joka käyttää tätä tunnusta silloin kun se on asetettu olemaan luottamatta asiakaskoneen tarjoamiin käyttäjätunnuksiin ([[UID]]-numeroihin).

Useimmat [[www-selaimet]] ovat hyvin monimutkaisia ja nopeasti kehittyviä ohjelmia ja sen myötä alttiita ohjelmointivirheille. Selaimissa esiintyvät tietoturva-aukot korjataankin useimmiten hyvin nopeasti. Tärkeää on valita sellainen suosittu selain, jota päivitetään aktiivisesti, kuten [[Firefox]], [[Chrome]] tai [[Opera]].

Tärkein puolustuskeino on ohjelmien ja kirjastojen pitäminen päivitettyinä. Esimerkiksi [[JavaScript]]in kautta ei voi tulla haittaohjelmia ellei selaimessa ole vakavaa tietoturva-aukkoa. Suosituimmat selaimet päivitetään kuitenkin niin nopeasti tietoturva-aukkojen paljastuttua ettei käytännössä JavaScriptin kautta ole mahdollista tulla haittaohjelmia.

Suurin tietoturvauhka selaimissa on kuitenkin niiden lisäosat ja liitännäiset. Selaimen lisäohjelmat tulisi valita harkiten niin että vain tarvittavat lisäohjelmat asennetaan, turhia lisäohjelmia ei tulisi koskaan asentaa. Etenkin [[Flash]]in ja [[Java]]-liitännäisen tietoturva-aukkoja hyödynnetään aktiivisesti, eikä niiden kehittäjiä juurikaan kiinnosta korjata ohjelmiaan nopealla aikataululla. Flashia tai Javaa ei tule missään tapauksessa asentaa selaimeen. Jos selaimessa on valmiiksi mukana Flash, kuten Chromessa, tulisi se kytkeä manuaalisesti pois päältä selaimen asetuksista. Monet kuitenkin käyttävät Flashia tai Javaa varoituksista huolimatta, tietäen niiden haitallisuuden. Tässä tapauksessa kannattaa vähintäänkin asettaa selaimen asetuksista selain kysymään ennen kuin Flash ja Java sisältöä suoritetaan.

Selaimen tietoturvaa lisääviä lisäosia voi asentaa oman harkinnan mukaan. Ohessa muutamia esimerkkejä.

* [[uBlock Origin]] - Mainokset tulee aina estää sillä niidenkin avulla levitetään haittaohjelmia. [https://www.viestintavirasto.fi/kyberturvallisuus/tietoturvanyt/2014/02/ttn201402071359.html] [https://www.viestintavirasto.fi/kyberturvallisuus/tietoturvanyt/2016/04/ttn201604111832.html]

* [[NoScript]] - Lisäosat kannattaa sallia vain luotetuilta sivustoilta, kuten esimerkiksi nettipankin sivuilta. NoScriptillä pystyy nopeasti sallimaan tai estämään sivustojen JavaScriptit, Flashin ja Javan.

* [[RequestPolicy]]  - Kätevä lisäosa jonka avulla voidaan estää kaikki ulkopuolisista verkkotunnuksista tuleva sisältö.

Linux-jakeluissa sähköpostiohjelmia ei yleensä ole säädetty ajamaan liitteenä tulevia ohjelmia, vaikka liitettä klikattaisiinkin.

  [[chmod]] a+x troijan_hevonen

  [[cwd|.]]/troijan_hevonen

Etuliite ./ (millä kerrotaan, että ohjelma on [[työhakemisto]]ssa) tarvitaan, jollei ohjelmaa ole asennettu ohjelmille tarkoitettuun hakemistoon (jotka on lueteltu [[PATH]]-[[ympäristömuuttuja|muuttujassa]]). Tällä järjestelyllä estetään (pää)käyttäjää vahingossa ajamasta ohjelmaa, jolle on annettu jonkin toisen ohjelman nimi (tai sellaisen väärinkirjoitettu muoto).

Jos ohjelma tulee paketoituna ([[tar]], [[RPM|rpm]], [[deb]] tms.), paketin asentaminen asentaa tiedostot paketoijan määräämään paikkaan, mahdollisesti ylikirjoittaen muita tiedostoja (varsinkin jos paketin asentaa pääkäyttäjänä) ja asettaen tiedosto-oikeudet kohdalleen. Pakettiin saattaa kuulua myös asennuksessa ajettavia skriptejä. Pakettia ei siis pidä asentaa epämääräisistä lähteistä ja hiukankin epävarmoissa tapauksissa se pitäisi asentaa tarkoitukseen erikseen luodulla tunnuksella (jolle annetaan vain tarvittavat oikeudet asennuksen ajaksi, yleensä kirjoitusoikeudet varta vasten luotuun hakemistoon).

[[SELinux]] on kernelin moduuli joka mahdollistaa tarkemman auditoinnin ("turvallisuustarkastelut") järjestelmän suorittamien toimenpiteiden suhteen. Lähes kaikille tapahtumille on mahdollista määrittää "turvatasot". SELinuxin on kehittänyt NSA, jonka takia voidaankin olettaa sen täyttävän erittäin korkean turvallisuusluokituksen.

SELinux on 2.6-sarjan kernelissä ("ytimessä") mukana ja sen kehitys tapahtuu ytimen ohessa. 2.4-sarjalaisiin tämä on saatavissa erillisenä patch-settinä ("korjaussarjana").

[[grsecurity]] on kilpaileva "tuote" joka ei ole mukana valtavirrassa, mutta se tekijän mukaan mahdollistaa vielä suuremmat tietoturvatason säädöt.