Forum Debian Users Gang

Działanie stosu TCP jest ustandaryzowane przez dokumenty RFC, także nie bardzo rozumiem, co tu jest do łatania w Grsec.
Z resztą Grsec nie służy ukrywaniu systemu w sieci, tylko maksymalnemu zabezpieczeniu hosta w kontekście ataku sieciowego.

To są dwie różne kategorie działań.

Parametry sieciowe kernela konfiguruje się przez sysctl, i Grsec nie tworzy osobnego podsystemu sieciowego, żeby coś tu znacząco zmieniał.

W ogóle się zastanawiam, czy czasem nie masz mrówek w kompie :D
W każdym razie to nie jest żaden błąd, a jak ktoś che obliczać uptime maszyny na podstawie tcp.timestaps, żeby sprawdzić, kiedy pobierała aktualizacje bezpieczeństwa, to ja mu życzę przyjemnej zabawy.
Cały "straszny problem" jest trochę z dooopy wzięty.
W każdym razie, jak to będzie straszliwa dziura, to załatają ją Developerzy kernela.

W praktyce nie ma się czym martwić za bardzo.

Ostatnio edytowany przez Jacekalex (2014-05-05 08:51:24)

W zasadzie tak, jednak w praktyce atakujący musi być między systemem, a routerem brzegowym dostawcy? nawet nie, raczej bliżej kompa, żeby coś "wstrzyknąć".

W dodatku można tcp.timestamps wyłączyć, i póki nie ma się do czynienia z prędkościami rzędu 1Gbit, to nie powinno być problemu?
Prędkości rzędu 1Git i większe, to już nie są miejsca, gdzie używa się jakichś podatnych systemów, takie zazwyczaj działają routery i switche, a w internecie najczęściej już BGP, który ma sam tyle  słabych punktów, że timestamps nic tu nie zmienia.

Także afera z podatnością jest jak zwykle mocno przesadzona, a piłeczka w dziedzinie dozbrojenia mechanizmu jest u Developerów kernela.
Nawet jest ku temu niezła okazja, bo przepisują cały podsystem sieciowy,
w ramach zmiany iptables|arptables|ebtables => nftables.

Także piszcie na LKML jak to takie dla Was takie ważne, albo "na Berdyczów" w przeciwnym wypadku.

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2014-05-05 09:19:55)

Grsec zazwyczaj zabezpiecza hosty, które widać, bo udostępniają różne usługi w necie.
Dlatego kwestia "ukrywania hosta" to nie jest target Grsec.

Grsec, to z resztą jest dodatkowa warstwa pancerza na Linuxa, ale nie decyduje o kolorze "farby" którą ten pancerz jest pomalowany.

Jak komuś zawadza timestamps, to sobie go może wyłączyć, albo wywalić Linuxa, i postawić OpenBSD.
Technicznie nie ma z tym problemu, prawda?

Myślę, że o ile przydałoby się dozbrojenie mechanizmu, jednak to nie jest  jakaś niezwykle ważna i nie cierpiąca zwłoki sprawa.

Ostatnio edytowany przez Jacekalex (2014-05-05 09:51:18)

morfik napisał(-a):

Technicznie nie ma z tym problemu, prawda?

Nie ma, ja sobie to wyłączyłem póki co i zobaczę czy się coś będzie psuć, póki co działa.

jednak to nie jest  jakaś niezwykle ważna i nie cierpiąca zwłoki sprawa.

Cierpiąca zwłoki może i nie jest ale ten art ma chyba 4 lata już, xD

Należy też pamiętać, że od co najmniej 4 lat zaczyna brakować adresów IP, miało to rozwiązać IPv6, który działa mocno inaczej, ma wbudowanego Ipseca, także zakładam, że tam to będzie zupełnie inaczej wyglądało.
Oczywiście będzie, jak się zacznie katastrofa, bo póki jakoś to działa, to się czeka na cud.
Co najmniej połowa routerów brzegowych musiałaby być wymieniona z powodu Ipv6, dlatego zbyt prędko go nie zobaczymy, bo to są miliardowe koszty.

Co nie zmienia faktu, że żeby skutecznie ukryć hosta w sieci w Polsce, to trzeba go tak spreparować, żeby wyglądał w sieci jak Windows.
Wtedy, zgodnie z zasadą, że w oceanie nie znajdziesz konkretnej kropli wody, host jest w miarę ukryty.
Raczej BSD wtedy łatwiej rozpoznać, z powodu jego losowego znacznika początkowego tcp.timestamps. ;)

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2014-05-09 13:51:31)

Ciekawe, czy kiedy Brad  go dorzuci do łatki Grsec.

Ostatnio edytowany przez Jacekalex (2014-05-09 13:55:43)

739

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 00:51:30)

2022

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:19:39)