CCL:virus alert (fwd)

[Jan Schmidt]

> Je mozne aby sa nejakym sposobom vykonaly prikazy ulozane v maily
> bez zasahu uzivatela - prostym precitanim?

Normalne ne. Existovaly mailery, ktere kdyz se prelozily s nastavenym ladenim,
dovolovaly spusteni libovolneho programu. Viz CERTovske databaze, ale uz je to
davno.

> Akym inym sposobom moze byt "infikovany" UNIX-ovy pocitac
> nepohodlnym programom alebo uzivatelom? (aj ine sluzby ako mail)

Der v bezpecnosti je mnoho. CERT na ne ma databazi. Rada pruniku je zalozena
na zneuziti tzv. setuid programu, tj. programu, ktere bezi pod efektivnim
UID (identifikaci) jineho uzivatele, nejcasteji roota. Kdyz takovy program
donutite neco nekam zapsat, zapisujete jako root. Priklad, ktery uz by nemel
fungovat: pod X windows bezici emulator terminalu xterm mel moznost
logovani do souboru. Pokud nebyl setuid jako root, nemohl delat konzolovy
terminal. Ovsem potom se zmineny log dal nasmerovat kamkoli, takze se
daly menit soubory jako .rhosts, /etc/passwd a jine.

> Ja viem zatial o frivolnosti X-ov.

Bezpecnost X je asi takova, jako TCP/IP obecne. Jedinym skutecnym nebezpecim
je "olizani" hesla z X serveru pri prilis siroce nastavenych xhosts. Frivol-
nosti bych to nenazval.

> Na co si treba dat bacha aby bol moj pocitac bezpecny?
> Co vy na bezpecnost systemu ked prevadzkujem FTP, WWW ...

Takove systemy jsou uz zarizeny, aby nepredstavovaly vaznejsi bezpecnostni
riziko. Doporuceni jsou zpravidla uvedena v dokumentaci. Zalezi take
na tom, jakou bezpecnost vyzadujete. Priklad: NCSA httpd umi, jako jine servery,
spoustet CGI scenare z uzivatelskych stranek, tj URL ve tvaru

http://server/cgi-bin/~user

V dokumentaci se pravi, ze by se to nemelo povolovat. My jsme ale chteli
ucinit web technologii lidem dostupnou, tak jsem zkoumal, co to asi tak muze
natropit. Zjistil jsem, ze dotycne scenare pracuji pod uzivatelem "nobody".
Ma-li nejaky uzivatel domovskou starnku, pak ma urcite vetsi pristupova
prava nez chudak nobody a muze tedy natropit vetsi skodu nez jeho CGI scenar,
ktery je bud spatne nabo zle napsany nebo ktery nekdo jiny zblbnul "chytrym"
dotazem.

Je toho moc, a jsou na to vetsi experti nez ja.
Jan Schmidt

PS. Pokud Vam o usi zavadi debata o "agentech", tak to je presne tento
problem. Dopravite na vzdaleny stroj Vaseho agenta (skript), aby tam pro Vas
neco udelal (treba hledal v databazi). Jak se k nemu ma ta vzdalena masina
chovat, aby mohl delat co ma a pritom nemohl skodit?