LinuxFocus article number 225 http://linuxfocus.org

por Mark Nielsen (homepage) Sobre o autor: O Mark trabalha como um consultor independente doando o seu tempo a causas como a GNUJobs.com, escrevendo artigos, escrevendo software livre e, trabalhando como voluntário em eastmont.net. Traduzido para Português por: Bruno Sousa <bruno/at/linuxfocus.org>

Chrooting todos os serviços do Linux Abstrato: Os sistemas com serviços chrooted melhoram a segurança limitando o estrago que alguém que entra dentro do sistema pode fazer. _________________ _________________ _________________

Introdução

Porque é que isto é útil? Se alguém entrar dentro do seu computador, eles não serão capazes de ver todos os ficheiros no seu sistema. Não sendo capazes de ver os seus ficheiros são limitados os comandos que podem introduzir e não lhes dá a possibilidade de explorar outros ficheiros que estão inseguros. O único senão é que, creio eu, não os impede de olhar para as ligações de rede e outras coisas do género. Assim deve querer fazer mais algumas coisas que não aprofundizaremos muito neste artigo:

• Securizar os seus portos de rede.
• Ter todos os serviços a correr sob uma conta não root. Adicionalmente, ter todos os serviços chrooted.
• Rencaminhar os syslogs para outra máquina.
• Analisar os ficheiros de log
• Analisar as pessoas a tentar detectar portas aleatórias no seu computador
• Limitar os recursos de cpu e memória de um serviço.
• Activar as cotas das contas.

Por favor lembre-se que o meu modo de fazer as coisas provavelmente não é 100% correcto. Esta é a minha primeira tentativa de fazer as coisas e se só funcionar parcialmente bem, deve ser fácil terminar a configuração. Isto é somente uma mapa para um HOWTO que eu desejo escrever acerca do chroot.  

Como é que vamos aplicar o chroot a tudo ?

• O Syslogd será chrooted em cada serviço.
• O Apache estará em /chroot/httpd.
• O Ssh estará em /chroot/sshd.
• O PostgreSQL estará em /chroot/postmaster.
• O Sendmail será chrooted, mas não correrá sob uma conta não root, infelizmente.
• O ntpd será chrooted para /chroot/ntpd
• O named será chrooted para /chroot/named

A minha script Perl para criar ambientes chrooted.

1. Crie o directório chroot.
   mkdir -p /chroot/Config/Backup
2. Faça download de Config_Chroot.pl.txt para /chroot/Config_Chroot.pl
3. Altere a variável $Home na script de perl se não está a utilizar o directório /chroot como directório de trabalho.
4. Faça download dos meus ficheiros de configuração.

Modifique a script em perl para a sua distribuição.

Quase que me encontrei a escrever um artigo gigantesco acerca do Chroot mas a script em Perl reduziu-o bastante. Basicamente, notei que após ter feito um chroot a muitos serviços que eles tinham ficheiros muito semelhantes e configurações que precisavam de ser chrooted. A maneira mais fácil de nos apercebermos quais os ficheiros que precisam de ser copiados para um determinado serviço é olhar para as páginas manual e também digitando "ldd /usr/bin/file" para os programas que utilizam ficheiros de bibliotecas. Também pode fazer um chroot ao serviço que está a instalar e iniciá-lo manualmente vendo os erros que obtém nos seus ficheiros de log.

De um modo geral, para instalar um serviço faça isto:

cd /chroot
./Config_Chroot.pl config  SERVICE
./Config_Chroot.pl install SERVICE
./Config_Chroot.pl start   SERVICE

Aplicando o Chroot ao Ntpd

cd /chroot
 # Uncomment the next line if you don't use my config file.
#./Config_Chroot.pl config  ntpd
./Config_Chroot.pl install ntpd
./Config_Chroot.pl start   ntpd

Aplicando o Chroot ao DNS ou named

Ou, se quiser utilizar a minha script,

cd /chroot
 # Uncomment the next line if you don't use my config file.
#./Config_Chroot.pl config  named
./Config_Chroot.pl install named
./Config_Chroot.pl start   named

Aplicando o chrooting aos serviços do Syslog e as minhas queixas.

• Aplicar o chroot ao syslogd por cada serviço. Eu testei este e fui capaz de obter os logs. Mas não gosto deste visto que tenho uma conta root a correr o serviço.
• Ver se podemos ligar a um site externo capaz de nos fornecer logs.
• Fazer somente log dos ficheiros para um ficheiro sem ser através do syslogd. Esta é provavelmente a melhor opção de segurança, mas se alguém entra podia brincar com os logs.
• Configurar o syslogd principal para procurar em várias localizações por todos os serviços. Adiciona a opção -a ao syslogd para tal.

Se não quiser separar o syslogd por cada serviço, então ao principal syslogd a correr no seu sistema adicione o seguinte comando quando o syslogd começa:

syslogd -a /chroot/SERVICE/dev/log

syslogd -a /chroot/ssh/dev/log -a /chroot/named/dev/log -a /dev/log

Última nota acerca do Syslogd, eu gostaria de poder corrê-lo sem ser sob uma conta root. Tentei várias coisas simples, mas não trabalhou e acabei por desistir. Se conseguisse correr o syslogd sob uma conta não root então as minhas necessidades de segurança estariam preenchidas. Possivelmente ter log externos é uma solução.  

Aplicando o chrooting ao Apache

$dbh ||= DBI->connect('dbi:Pg:dbname=DATABASE',"","", {PrintError=>0});

if ($dbh ) {$dbh->{PrintError} = 1;}
else
  {$dbh ||= DBI->connect('dbi:Pg:dbname=DATABASE;host=127.0.0.1',"","",
      {PrintError=>1});}

Código: http://httpd.apache.org/dist/httpd/

Compile e instale o apache no seu sistema principal em /usr/local/apache. Depois utilize a script em perl.

cd /chroot
 # Uncomment the next line if you don't use my config file.
 # ./Config_Chroot.pl config  httpd
./Config_Chroot.pl install httpd
./Config_Chroot.pl start   httpd

ExtendedStatus On

<Location /server-status>
    SetHandler server-status
    Order deny,allow
    Deny from all
    Allow from 127.0.0.1
</Location>

<Location /server-info>
    SetHandler server-info
    Order deny,allow
    Deny from all
    Allow from 127.0.0.1
</Location>

Aplicando o chrooting ao Ssh

Novamente, só vamos aplicar o chroot ao ssh e deixar que você se preocupe com as consequências de tal (não conseguirá ver todo o sistema se fizer, simplesmente isto). Idealmente, seria agradável configurar isto para gravar os logs externamente. Deveríamos, também utilizar o OpenSSH, mas estou a utilizar o SSH comercial por simplicidade (o que não é uma desculpa).

Código: http://www.ssh.com/products/ssh/download.cfm

Instale o ssh em /usr/local/ssh_chroot. Depois utilize a script em Perl.

cd /chroot
 # Uncomment the next line if you don't use my config file.
 # ./Config_Chroot.pl config  sshd
./Config_Chroot.pl install sshd
./Config_Chroot.pl start   sshd

Aplicando o chroot ao PostgreSQL

Código: ftp://ftp.us.postgresql.org/source/v7.1.3/postgresql-7.1.3.tar.gz

Compile e instale o seu postgreSQL no seu sistema principal em /usr/local/postgres. Depois utilize a script em Perl.

cd /chroot
 # Uncomment the next line if you don't use my config file.
 # ./Config_Chroot.pl config  postgres
./Config_Chroot.pl install postgres
./Config_Chroot.pl start   postgres

Aplicando o chroot ao Sendmail

cd /chroot
 # Uncomment the next line if you don't use my config file.
 # ./Config_Chroot.pl config  sendmail
./Config_Chroot.pl install sendmail
./Config_Chroot.pl start   sendmail

O lado bom é que pode enviar para fora o mail, é ao receber que o problema está. Assim, fui capaz de instalar o sendmail com o apache sem qualquer problema. Algumas das minhas scripts enviam mail para fora, e assim preciso dos ficheiros do sendmail copiados para a área chroot devido ao apache.  

Outras coisas a aplicar o chroot.

1. Tudo devia estar chrooted, incluindo o sendmail, o ssh, o apache, o postgresql, o syslog, e qualquer serviço a correr no computador.
2. Tudo devia ser posto sob uma conta não-root (pode ter necessidade de rencaminhar os portos protegidos para portos não protegidos). Isto inclui o sendmail e o syslog.
3. Os Logs deviam ser enviados para um site externo.
4. Uma partição devia ser configurada para cada serviço para limitar o espaço de disco que um pirata pode utilizar se ele decidir escrever ficheiros. Pode utilizar um dispositivo de loopback para montar os ficheiros como sistemas de ficheiros para alguns destes serviços, se esgotar as partições.
5. O Root deve possuir todos os ficheiros que não se alteram.

Para o syslog, nem sequer tentei, mas eu diria que os logs deviam ser escritos sob uma conta não-root e não vejo por que razão tal não é possível. Pelo menos consegui ter o syslog chrooted para cada serviço.

Todos os serviços deviam ser configurados para contas não-root. Mesmo o NFS. Tudo.  

Sugestões

• Utilizo dois logins para o ssh e tenho dois demónios sshd a correr.
• Descobrir como ter o sendmail ou outro programa de mail a correr numa conta não-root.
• Retirar as bibliotecas desnecessárias na /lib. Eu copiei tudo para me facilitar. Não precisa da maior parte delas.
• Faça logging remoto do syslogd e descubra como é que podemos associar o syslogd a uma porta de rede e ter todos os serviços a ligarem-se a esse porto através do dispositivo de loopback. Ver se sonseguimos por o syslogd a correr com uma conta não-root.

Conclusão

Eu suporto a 100% a ideia de todos os serviços serem chrooted com contas não-root e que qualquer distribuição que não faça isto é menos própria para mim para utilizar num ambiente de produção. Eu vou aplicar o chroot a tudo, tanto quanto possível -- eventualmente chegarei lá.

Planeio criar os HOWTO acerca do chrooting. Estou a submeter um pedido para alguém me ajudar a converter este artigo no formato LyX para que possa ser posto nos HOWTOs do Linux.  

Referências

1. Se este artigo for modificado, estará disponível aqui http://www.gnujobs.com/Articles/23/chroot.html

2005-01-14, generated by lfparser_pdf version 2.51