LinuxFocus article number 225 http://linuxfocus.org

Mark Nielsen (homepage) L'autore: Mark lavora come consulente indipendente dedicandosi a cause come GNUJobs.com, scrivendo articoli, scrivendo software libero e lavorando come volontario a eastmont.net. Tradotto in Italiano da: Alessandro Pellizzari <alex/at/neko.it>

Chroot di Tutti i Servizi in Linux Premessa: I servizi di sistema sotto chroot incrementano la sicurezza limitando il danno causato da qualcuno che riesca a entrare nel sistema. _________________ _________________ _________________

Introduzione

A cosa serve? Se qualcuno riesce a entrare nel vostro computer, non sarà in grado di vedere tutti i files del vostro sistema. La limitazione sulla visibilità dei files limita anche i comandi che può eseguire e non dà la possibilità di sfruttare altre insicurezze in altri file. L'unico svantaggio è che credo non possa fermarli dal vedere le connessioni di rete o altre cose. Quindi dovreste fare alcune altre cose di cui non parleremo molto in questo articolo:

• Rendere sicure le porte di rete.
• Avere tutti i servizi che girano con un account non di root. Inoltre, avere tutti i servizi sotto chroot
• Mandare i log di syslog ad un altro computer.
• Analizzare i file di log
• Analizzare tentativi di controllo di porte casuali nel vostro computer
• Limitare le risorse di CPU e memoria per ogni servizio.
• Attivare gli account di quota.

RICORDATE che il mio modo di farlo potrebbe non essere perfetto al 100%. Questo è il mio primo tentativo in questo campo, e se riesce a funzionare almeno in parte, dovrebbe essere facile rifinire il lavoro. Questa è solo un'indicazione per un HOWTO che vorrei creare su chroot.  

Come possiamo applicare chroot a tutto?

• Syslogd sarà messo in chroot con ogni servizio.
• Apache sarà sotto /chroot/httpd.
• Ssh sarà sotto /chroot/sshd.
• PostgreSQL sarà sotto /chroot/postmaster.
• Sendmail sarà messo in chroot, ma non girerà con un account non-root, sfortunatamente.
• ntpd sarà sotto /chroot/ntpd
• named sarà sotto /chroot/named

Il mio script in Perl per creare ambienti chroot.

1. Creare la directory chroot.
   mkdir -p /chroot/Config/Backup
2. Scaricare Config_Chroot.pl.txt come /chroot/Config_Chroot.pl
3. Cambiare la variabile $Home nello script nel caso non steste usando /chroot come home.
4. Scaricare i miei file di configurazione.

Modificate lo script Perl in base alla vostra distribuzione.

Ho finito col fare un articolo immenso su Chroot, ma con questo script Perl è diventato molto più piccolo. Fondamentalmente ho notato, dopo aver messo in chroot molti servizi, che hanno tutti file e configurazioni molto simili da mettere sotto chroot. Il modo più semplice per capire quali files vadano copiati per un particolare servizio è di controllare la manpage e poi scrivere "ldd /usr/bin/file" per i programmi che usano librerie. Inoltre potete mettere in chroot il servizio che state installando e farlo partire manualmente per vedere gli errori che vi riporta o guardare il file di log.

In generale, per installare un servizio, fate così:

cd /chroot
./Config_Chroot.pl config  SERVICE
./Config_Chroot.pl install SERVICE
./Config_Chroot.pl start   SERVICE

Chroot di Ntpd

cd /chroot
 # Decommentate la prossima linea se non usate il mio file di configurazione
 #./Config_Chroot.pl config  ntpd
./Config_Chroot.pl install ntpd
./Config_Chroot.pl start   ntpd

Chroot di DNS o named

O, se volete usare il mio script,

cd /chroot
 # Decommentate la prossima linea se non usate il mio file di configurazione
#./Config_Chroot.pl config  named
./Config_Chroot.pl install named
./Config_Chroot.pl start   named

Chroot di Syslog con i serizi e le mie lamentele.

• Chroot di syslogd con ogni servizio. Ci ho provato e sono riuscito ad avere i log. Non mi piace perchè ho un servizio che gira come root.
• Vedere se ci si può collegare con un servizio di logging esterno.
• Fare logging semplicemente attraverso dei file e non attraverso syslogd. Probabilmente è la scelta più sicura, anche se, nel caso qualcuno riuscisse a penetrare, potrebbere mettere mano ai log.
• Configurare il syslogd principale per controllare diverse fonti per avere tutti i servizi. Si usa l'opzione -a di syslogd per ottenerlo.

Se non volete usare in syslogd per ogni servizio potete aggiungere il seguente comando allo script di inizializzazione di syslogd che viene installato normalmente:

syslogd -a /chroot/SERVICE/dev/log

syslogd -a /chroot/ssh/dev/log -a /chroot/named/dev/log -a /dev/log

Un ultimo appunto su syslogd. mi poacerebbe farlo girare con un account non di root. Ho provato un paio di cose semplici, ma non ha funzionato e ci ho rinunciato. Se potesse girare come non-root con ogni servizio, questo soddisferebbe i miei dubbi di sicurezza. Possibilmente anche mandando i log all'esterno.  

Chroot di Apache

$dbh ||= DBI->connect('dbi:Pg:dbname=DATABASE',"","", {PrintError=>0});

if ($dbh ) {$dbh->{PrintError} = 1;}
else
  {$dbh ||= DBI->connect('dbi:Pg:dbname=DATABASE;host=127.0.0.1',"","",
      {PrintError=>1});}

Fonte: http://httpd.apache.org/dist/httpd/

Compilate e installate apache nel vostro sistema normalmente, sotto /usr/local/apache. Poi usate lo script Perl.

cd /chroot
 # Decommentate la prossima linea se non usate il mio file di configurazione
 # ./Config_Chroot.pl config  httpd
./Config_Chroot.pl install httpd
./Config_Chroot.pl start   httpd

ExtendedStatus On

<Location /server-status>
    SetHandler server-status
    Order deny,allow
    Deny from all
    Allow from 127.0.0.1
</Location>

<Location /server-info>
    SetHandler server-info
    Order deny,allow
    Deny from all
    Allow from 127.0.0.1
</Location>

Chroot di Ssh

Anche qui ci limiteremo a mettere sotto chroot ssh e vi lasceremo meditare sulle conseguenze di questa azione (non sarete in grado di vedere tutto il sistema se lo farete). Inoltre sarebbe interessante configurarlo per mandare i log all'esterno. Dovremmo usare OpenSSH, ma io sto usando SSH commerciale per semplicità (anche se non è una buona scusa).

Fonte: http://www.ssh.com/products/ssh/download.cfm

Installate ssh sotto /usr/local/ssh_chroot. Quindi usate lo script in Perl.

cd /chroot
 # Decommentate la prossima linea se non usate il mio file di configurazione
  # ./Config_Chroot.pl config  sshd
./Config_Chroot.pl install sshd
./Config_Chroot.pl start   sshd

Chroot di PostgreSQL

Fonte: ftp://ftp.us.postgresql.org/source/v7.1.3/postgresql-7.1.3.tar.gz

Compilate e installate postgres sul vostro sistema sotto /usr/local/postgres. Quindi usate lo script in Perl.

cd /chroot
 # Decommentate la prossima linea se non usate il mio file di configurazione
 # ./Config_Chroot.pl config  postgres
./Config_Chroot.pl install postgres
./Config_Chroot.pl start   postgres

Chroot di Sendmail

cd /chroot
 # Decommentate la prossima linea se non usate il mio file di configurazione
 # ./Config_Chroot.pl config  sendmail
./Config_Chroot.pl install sendmail
./Config_Chroot.pl start   sendmail

La cosa buona è che potete ancora mandare posta verso l'esterno, il problema è riceverla. Inoltre, sono stato in grado di installare sendmail con apache senza problemi. Alcuni miei script in perl mandano posta verso l'esterno, quindi ho dovuto copiare i file di sendmail nell'area chroot di apache.  

Altre cose da mettere in chroot.

1. Tutto dovrebbe essere in chroot, inclusi sendmail, ssh, apache, postgresql, syslog e qualsiasi servizio giri sul computer.
2. Tutto dovrebbe girare con un account non-root (potreste dover fare un forward delle porte protette verso porte non protette, quindi oltre la 1024). Questo include sendmail e syslog, tra l'altro.
3. I log dovrebbero essere mandati verso l'esterno.
4. Si dovrebbe usare una partizione per ogni servizio per limitare lo spazio che un hacker potrebbe usare se decidesse di scrivere file. Potreste usare un device di loopback per montare dei file come filesystem nel caso non aveste partizioni disponibili.
5. Root dovrebbe essere proprietario di tutti i file che non devono essere modificati.

Per quanto riguarda syslog non ho nemmeno provato, ma direi che i log andrebbero scritti come utente non-root e non vedo perché non debba essere possibile. Almeno sono riuscito ad avere syslog sotto chroot per ogni servizio.

Tutti i servizi dovrebbero essere impostati per usare un account non-root. Anche NFS. Tutto.  

Suggerimenti

• Usate il doppio login per ssh e tenere due daemon sshd.
• Trovate il sistema di usare sendmail o qualche altro server di posta come utente non-root.
• Togliete le librerie non necessarie sotto /lib. Io ho semplicemente copiato tutto per rendermi facile la vita. La maggior parte non vi serivranno.
• Fate logging remoto di syslogd e vedete se si riesce a mettere in ascolto syslogd su una porta di rete, convincendo i servizi a connettersi a tale porta sul device di loopback. Vedete se riuscite a far funzionare syslog come utente non-root.

Conclusioni

Supporto al 100% l'idea che tutti i servizi dovrebbero essere sotto chroot e girare come non-root e che ogni distribuzione che non permetta questo non è adatta a me per essere usata in un ambiente di produzione. Io tendo ad applicare chroot a tutto, a più cose possibili -- prima o poi ci arriverò.

Ho intenzione di creare un HOWTO su chroot. Sto cercando aiuto da parte di qualcuno per convertire questo articolo nel formato di LyX in modo da poterlo inserire nell'HOWTO.  

Riferimenti

1. Se questo articolo dovesse essere modificato, sarà disponibile qui http://www.gnujobs.com/Articles/23/chroot.html

2005-01-14, generated by lfparser_pdf version 2.51