Logo Hardware.com.br
RVR777
RVR777 Geek Registrado
4.7K Mensagens 1 Curtida

Segurança no Linux (Desktop)

#1 Por RVR777 24/07/2006 - 20:16
Bom, acho que a maioria de nós conhece sobre esse tema, portanto não vim para discutir o que a gente lê ou fala geralmente. Quero me centrar numa certa área, que é a segurança no desktop, que eu vejo falar pouco.

O problema todo da segurança entra, quando temos um usuário "estranho" ao sistema. Comecei a pensar nisso, quando fui comentado da possibilidade de implantar o Linux em um dos laboratórios da minha faculdade.

Estarei com mais um colega, apresentando um projeto para implantação do sistema, as vantagens, essas coisas. O que me preocupo não é o sistema em si, mas com os usuários. De fato, atualmente todo mundo leva jogos, algum cliente de msn, essa coisas para aula, provocando as vezes, um baixo aproveitamento das aulas.

Gostaria de no projeto, citar como fariamos isso. Porém, todos sabemos que podemos baixar algum cliente que não precise compilar, só executar, principalmente com os jogos. Sei também que se os arquivos não tiverem a permissão "x", não poderão ser executados.

Gostaria de saber, se existe algum jeito de evitar que o usuário dê essa permissão a um arquivo. Pensei em tirar o chmod do usuáriom, porém lembrei que se ele baixar um tarball, quando ele extrair os arquivos, os mesmo já podem estar com permissão de execução, fazendo com que ele consiga executar do mesmo jeito.

Alguém teria alguma idéia nesse caso?

Desculpem se o texto ficou grande ou cansativo, mas minha dúvida pode até mesmo interessar outras pessoas que possam querer implantar o sistema em algum lugar.

Obrigado big_green.png
freeaak
freeaak Membro Junior Registrado
185 Mensagens 0 Curtidas
#2 Por freeaak
24/07/2006 - 21:57
1. Arquivo q jah vem com permissão de execução? Sou noob em linux ainda, mas q eu saiba, as permissões são pra cada classe de usuários (dono, grupo ou todos), e somente o dono dá a permissão, não dá pra vir com ela... ME CORRIJAM SE EU ESTIVER ERRADO, POR FAVOR.

2. Não há como usuários instalarem programas e danificarem o sistema se eles não tiverem a senha de administrador ou estiverem com o sudo habilitado para eles. Por isso também q a segurança no linux eh mto maior q no windows. O unico caso em q isso fura eh no ubuntu, onde a senha d administrador eh a do proprio usuario q esta no pc, mas acredito q dê pra tirar isso. E digo mais, acredito q seja retirar os "grupos secundarios" relativos à adminsitração do sistema habilitados no usuario.
AMD64 3200+, K8V-X, 512MB, 40GB, GeforceFX5200 128bits 256MB, DVD-RW LG GWA-4161b, CD-RW Samsung TS-H292A.
Distribuição de Distros! Forum Página
RVR777
RVR777 Geek Registrado
4.7K Mensagens 1 Curtida
#3 Por RVR777
24/07/2006 - 22:02
1. Mas se você descompactar um tarball (arquivo "arquivado" ou talvez "compactado" com o tar), será com as permissões de dono que estavam no arquivo orginal (digamos 755), ou seja, como meu usuário descompactou o arquivo, as permissões são para o dono (no caso eu) que descompactou o arquivo.

2. Eu sei que não dá pra instalar, mas tem vários programas por ai que é só tu baixar, descompactar e executar. Não precisa instalar. É com esses que me preocupo :wink:
Linux User #385325
--
http://br-net.org - de olho na internet
Renan Rangel
droterdam
droterdam Tô em todas Registrado
2.2K Mensagens 7 Curtidas
#4 Por droterdam
24/07/2006 - 23:27
Talvez o l7-filter possa ajudar:
http://l7-filter.sourceforge.net/

Não creio que seja a solução "pronta" para o que
você quer e sim algo que pode ajudar, talvez combinado
com squid. Com isso você barra msn, bittorrent, edonkey,
rede fasttrack, gnutella, irc, skype, vários jogos, etc.
Você pode ainda tentar criar outros protocolos.
(veja a documentação ou /etc/l7-protocols-xxx/HOWTO)

Eu também configuraria para que o diretório $HOME do usuário só
pudesse ser lido por ele. Também pode ser interessante que
determinados arquivos de configuração do sistema tenham permissão
de leitura apenas para quem precisa lê-los.
Gentoo 12.1 Linux 3.5.2 KDE 4.9.0 - Dell Vostro 3460
RVR777
RVR777 Geek Registrado
4.7K Mensagens 1 Curtida
#5 Por RVR777
25/07/2006 - 03:01
droterdam, obrigadom não conhecia esse l7-filter, não conhecia e parece ser interessante.

Porém onde pretendemos implementar, já tem um squid rodando algumas coisas ele bloqueia, outras não, mas essa parte eu vou ver depois. O que me fico pensando é outras aplicações que não necessitam rede/internet, como jogos e outros inutilitários, para que o pessoal não fique baixando e quando ve algum script apaga a pasta do usuário e ele começa a meter pilha e tal. Sem ele pode executar nada na pasta dele, ele só pode salvar e abrir documentos, que é o que eu estava pensando se era possível de fazer. Evitar que o usuário execute arquivos dentro do seu home.
Linux User #385325
--
http://br-net.org - de olho na internet
Renan Rangel
droterdam
droterdam Tô em todas Registrado
2.2K Mensagens 7 Curtidas
#7 Por droterdam
25/07/2006 - 10:44
No /etc/fstab você tira a permissão de execução
de programas na partição /home com a opção noexec.
Aí o usuário mais "espertinho" vai mover seu script ou programa para
o diretório /tmp.
Nada mal se /tmp ficar numa partição separada para permitir
maior controle.

Se o Linux não for Slackware dê uma olhada em /etc/security.
Tem algumas coisas que você pode restringir aos usuários "espertinhos" e que pode te ajudar.
Por exemplo, em limits.conf veja o que você pode limitar:
#        - core - limits the core file size (KB)
# - data - max data size (KB)
# - fsize - maximum filesize (KB)
# - memlock - max locked-in-memory address space (KB)
# - nofile - max number of open files
# - rss - max resident set size (KB)
# - stack - max stack size (KB)
# - cpu - max CPU time (MIN)
# - nproc - max number of processes
# - as - address space limit
# - maxlogins - max number of logins for this user
# - priority - the priority to run user process with
# - locks - max number of file locks the user can hold
Gentoo 12.1 Linux 3.5.2 KDE 4.9.0 - Dell Vostro 3460
freeaak
freeaak Membro Junior Registrado
185 Mensagens 0 Curtidas
#11 Por freeaak
25/07/2006 - 22:01
RVR777, mas mesmo q eles executem, vão no máximo ferrar com os próprios usuários, sem a senha d admin e nem sudo, não podem danificar o sistema todo. E se fizerem isso (danificar própria conta), ao pedir ajuda, vão ter q admitir q fizeram besteira e passar vergonha... Não vejo nd d mal nisso... hehehe :mrgreen:
Eles soh podem "instalar" (extrair) progs pra dentro da home deles mesmos, e esses progs soh podem alterar dentro da home e a inicialização dele, jah q terão o UID do mesmo usuário, ou seja, sem caracteristica d admin!

E pra resolver a cagada q eles fizeram com os proprios users, basta um userdel e useradd novamente... smile.png
AMD64 3200+, K8V-X, 512MB, 40GB, GeforceFX5200 128bits 256MB, DVD-RW LG GWA-4161b, CD-RW Samsung TS-H292A.
Distribuição de Distros! Forum Página
RVR777
RVR777 Geek Registrado
4.7K Mensagens 1 Curtida
#13 Por RVR777
25/07/2006 - 22:15
freeaak, não estou realmente se eles vão acabar com os usuários deles, pois como você mesmo disso, isso é fácil de reverter e tem poucos problemas (pra mim, ele pode perder tudo)...

O que quero é que não fique executando programas como jogos e outros aplicativos, que não sejam usados nas aulas. Essa é uma das coisas que iria chamar atenção de quem estamos mostrando o que é possível fazer na migração :wink:
Linux User #385325
--
http://br-net.org - de olho na internet
Renan Rangel
© 1999-2024 Hardware.com.br. Todos os direitos reservados.
Imagem do Modal