タグ付けされた質問 「security」

悪意のある第三者によるDebianミラー内のコードのセキュリティのハッキング/妥協を防ぐため、または取得したパッケージが実際にメンテナが思っているものであることを確認するために、どのセキュリティシステムとプロセスが導入されていますか？

8 debian  security  package-management 

set*gid()非常にまれな場合を除いて、さまざまなシステムコールには、グループを変更するための特権が必要です。プライマリグループをプロセスの補足グループの1つに変更することは、それらの1つではないようです。たとえば、newgrp/ sgコマンドは、プライマリグループを切り替えるために特権を昇格する必要があります。 setgid()/ setegid()/ setregid()/ setfsgid()特権のない補足グループへの切り替えを許可しない理由はありますか？もしそうなら、理由は何ですか？

8 security  group  system-calls 

少数のユーザー（サポートスタッフと呼ばれる）だけがSSHにアクセスできるマシンのセット（ここでは顧客のマシンと呼ばれます）があり、マシンごとに1つのアカウント（サポートアクセスアカウント）のみを使用するとします。 サポートスタッフは、キーを使用して顧客のマシンにログインすることのみが想定されています。さらに、サポートスタッフは進化する可能性があるため、サポートスタッフを離れた人は、お客様のマシンにログインすることはできません。そのため、スタッフはお客様のマシンへのログインに使用される秘密鍵を読み取ることを禁止されています。また、authorized_keysお客様のマシン上でファイルを改変することは禁じられています。 この構成を実現するために、私はサポートスタッフが（LDAP認証を使用してログインしますが、これは別の問題です）秘密鍵を含むSSHプロキシを使用するという考えを持っていました。 問題は、サポートスタッフがSSH秘密キーを読み取ることなく使用できるようにするにはどうすればよいですか。 ユーザーの要求を受け入れ、それらのSSHセッションを開くプロキシマシンでrootとして実行するデーモンを作成する必要があると思いますが、それを行う方法がわかりません。何か案は？

8 ssh  security  key-authentication  privileges 

休業。この質問には、より焦点を当てる必要があります。現在、回答を受け付けていません。 この質問を改善してみませんか？質問を更新して、この投稿を編集するだけで1つの問題に焦点を当てます。 5年前休業。 Linuxカーネルについてはあまり知りませんが、いくつか質問があります。 カーネルメモリをユーザー空間メモリから分離する主な目的は何ですか？ユーザーアプリケーションがカーネルに悪影響を及ぼすことがないようにするには、 ユーザーレベルのアプリケーションがカーネルに制御を移す方法はいくつありますか？私が思いつくことができるものには、（1）システムコールの呼び出し、（2）メモリのカーネルへのマッピング（ただし、mmap（）もシステムコールだと思う）、および（3）カーネルモジュールのロード（しかしlsmodだと思います）システムコールも呼び出します）。私は正しいですか？他に見逃した方法はありますか？ カーネルを攻撃する方法はいくつありますか？それらについて簡単な詳細を教えてもらえますか？ ルート権限を取得した場合、それは完全にカーネルを制御しているということですか？つまり、私はカーネルとハードウェアで何でも好きなことができますか？または、まだカーネルのパワーが制限されていますか？ 誰かがこれらの質問への答えを理解するのを手伝ってくれると本当にありがたいです。

8 linux  kernel  security  linux-kernel  system-calls 

この脆弱性の修正をcygwinに適用する方法を知りたいのですが。 CYGWIN_NT-6.1 MYHOSTNAME 1.7.30(0.272/5/3) 2014-05-23 10:36 x86_64 CygwinWindows 7でcygwinを実行しています。 #bash -version GNU bash, version 4.1.11(2)-release (x86_64-unknown-cygwin) Copyright (C) 2009 Free Software Foundation, Inc. License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html> $ env x='() { :;}; echo vulnerable' bash -c "echo this is a test" env x='() { :;}; …

8 bash  security  cygwin  shellshock 

最近CPU使用率が高いことに気付いた専用サーバーを実行して、プロセスを確認しました。私のサーバーで誰か（ミックアカウント）がマイニングしていたようです。これはどのようにして可能ですか？プロセスは以下のとおりです。アカウントを停止しました。他に何をする必要がありますか？ 25516 mick 30 10 778m 6728 1132 S 740.5 0.2 8463:59 /tmp/sh64 -o stratum+tcp://multi1.wemineall.com:80 -u weedee.1 -p x --algo scrypt -B

8 security 

ブラウザとしてIceweaselを使用してDebian wheezyを実行し、この説明に類似したFlashプラグインをインストールしました。今日私は、WindowsおよびMac上のFlashだけでなく、Adobe Flash Player 11.2.202.350およびそれ以前のバージョンのLinuxも、攻撃に対して脆弱であることを読みました。Iceweasel> Tools> Add-onsでバージョンを確認したところ、ですべてのアップグレードを実行したにもかかわらず、古いバージョンであることに驚いていましたapt-get。 DebianはIceweaselプラグインFlashのアップデートを提供していますか？それらは自動的に提供されませんか？プラグインは常に手動で更新する必要がありますか？

8 debian  security  adobe-flash  plugin  iceweasel 

暗号化されたスワップを使用するマルチユーザーコンピュータで、各ユーザーが他のユーザーのセキュリティを損なうことなく休止状態から休止状態に復帰できるようにする方法に関して問題が発生します。 各ユーザーのスワップ使用量を暗号化して、休止状態から再開したいときに、パスワード/パスフレーズのみを入力することで暗号化を解除できる方法を探しています。他のユーザーのスワップを解読することはできません。それぞれのユーザーがスワップを復号化してプロセスを続行するためのパスフレーズを提供できるようになるまで、すべてのユーザーのプロセスを停止する必要があります。 ユーザーは、プロセスの一部またはすべてを暗号化解除して、誰がコンピュータを再開したかに関係なく続行できるようにすることを希望する場合があります。 システムプロセスに個人データが保存されておらず、システムがユーザーのキーをスワップにヒットさせない限り、システムのスワップを暗号化する必要はありません。つまり、どのユーザーも他のユーザーを危険にさらすことなくシステムを再開できます。 。 CorebootやLibreBootなどのBIOSファームウェアに格納されたキーでシステムを暗号化して改ざんを非常に困難にすることでこれを補完できることに注意してください。改ざんが問題ではないと想定して、人々が他人の個人データを読まないようにする暗号化アプローチ。セキュリティを最適化するために、これら2つのメカニズムを一緒に使用することができますが、この質問では、完全な暗号化アプローチを求めています。 理論的には理にかなっていますが、実際には実装されていない場合があります。これがLinuxで可能になることを願っています。

8 security  encryption  swap  multiuser 

私はそれを理解/dev/kmemし、/dev/memシステムのメモリ（すなわち生RAM）へのアクセスを提供します。また/dev/kmem、カーネルで完全に無効にすることができ、のアクセスを制限できることも知っています/dev/mem。 メモリに直接アクセスできることは、開発者やハッカーにとって役立つ場合がありますが、なぜからメモリにアクセスする必要があるのでしょうか/dev/mem。私の知る限り、（とは異なり/dev/kmem）カーネルで無効にすることはできません。悪用されたり悪用されたりする可能性のある未加工のメモリにアクセスすることは、問題を求めているように思えます。 実用的な使い方はありますか？ユーザープログラムで正しく機能するために必要ですか？

8 linux  kernel  security  memory 

この質問に関して： ファトラセのふるまいを観察していると、気になることがわかりました。コマンド「fatrace | grep konsole」の出力の最初の数行は次のとおりです konsole(4112): O /etc/passwd konsole(4112): CO /etc/passwd konsole(4112): C /etc/passwd konsole(4112): O /etc/passwd konsole(4112): C /etc/passwd konsole(4112): O /etc/passwd konsole(4112): C /etc/passwd konsole(4112): O /etc/passwd konsole(4112): C /etc/passwd konsole(4112): O /etc/passwd konsole(4112): C /etc/passwd konsole(4112): O /etc/passwd konsole(4112): C /etc/passwd konsole(4112): O /etc/passwd konsole(4112): C /etc/passwd …

8 security  users  konsole 

これは罠ですか？私はFreeBSD 10で次の手順を実行しました： 1）rootとしてのsshは禁止されています 2）ユーザーとしてログイン 3）rootとしてsu 4）ルートchshがユーザー「user」の名前を「luser」に変更したため 5）ルートから出る そして、この瞬間からはrootを使用できなくなり、luserがwheelグループに含まれず、/ etc / groupのグループを変更できません。これを行う権限がないためです。 rootとしてログインするにはどうすればよいですか？

8 security  authentication  freebsd  login  rescue 

このVPSには、root、another_one、nobodyの3人のユーザーがいます。すべてのウェブサーバーファイル、構成、＆c。が所有していrootます。しかし、私は何を実行するかについては疑問があります。Webサーバーにrootを使用すると、システムがセキュリティホールにさらされる可能性がありますが、ログインしようとするnobodyと、設定したことのないパスワードがわからないので、わからないことがあります。さらに別のユーザーを作成する必要がありますか？ 今のところ、nginxについてのみ確信があります。ルートとして実行し、プロセスをnobodyとして起動します。しかし、Webサーバーや、dbやredisなどの他のサービスについてはどうでしょうか。 注：another_userはsudoを実行できるので、rootとそれほど変わらないことを述べておきます。

8 security  users  webserver 

OpenBSDのmanページafterboot（8）は、「Xをインストールするときのように/ etc / fbtabを編集してセキュリティをさらに強化したい場合がある」と示唆しています。 どうすればこれを行うことができますか？/etc/fbtabXウィンドウを保護するのに役立つ行は何ですか？

8 security  x11  openbsd 

Debianにはharden、コンピュータをより安全にするために設計されたいくつかのパッケージが付属しています。私のニーズは非常に単純です。ワープロとWebブラウジングです。私は、あるのを知っていること、などがインターネットを使用する必要があり、ソフトウェアのみSSH、Telnetを使用しない、特別なサーバを実行しないiceweaselとapt。 これらの2つのソフトウェアだけがインターネットにアクセスできるようにする方法はありますか？ hardenこれらのニーズに適したパッケージはありますか？

8 debian  security 

すべてのパーティションは暗号化されています（/および/home）。ただし、/bootパーティションは暗号化されていないままで、操作のために開かれている必要があります。起動時にカーネルをハッシュし、その結果を保存された値（コンパイル時に生成され、暗号化されたドライブに保存されます）と照合して、誰かが最後のブート以降（おそらく物理的に）カーネルを何らかの方法で操作したかどうかを確認することを考えていました。このようなスクリプトの作成に問題はありますか？すでにこれを行うプログラムはありますか？

8 kernel  security  encryption