Forum Debian Users Gang

Exima ze względów bezpieczeństwa lepiej od razu wywalić, to chyba najbardziej dziurawy program w historii Debiana.

Do poczty lepiej brać Postfixa albo najlepiej Qmaila - o ile ktoś się nie boi kompilacji i nakładania łatek na kod.

Oprócz tego Apache czy Nginx nie powinny działać z uprawnieniami roota, lepiej nadać im uprawnienie CAP_NET_BIND_SERVICE i niech się uruchamiają z konta nieuprawnionego użyszkodnika.

Do tego wszystko (w sensie demonów sieciowych), co się łączy z siecią albo świadczy jakieś usługi w sieci, albo otwiera czy sprawdza pliki z netu, powinno mieć zrobione profile ACL w jakimś systemie bezpieczeństwa, np Apparmor, Tomoyo czy SElinux.

Ostatnio edytowany przez Jacekalex (2016-04-05 22:36:12)

@Pavlo950 co złego jest w systemd?

Poczytaj sobie o ostatnim exploicie na Exima, i pokaż mi coś podobnego w Postfixie czy Qmailu na przestrzeni ostatnich 10 lat.
https://www.exploit-db.com/exploits/39549/

W Postfixie proces master musi wisieć w z uprawnieniami root, ale przynajmniej nie bierze udziału w dostarczaniu poczty, tylko uruchamia inne usługi z obniżonymi uprawnieniami.

Qmail można tak uruchomić, że w ogóle żadna jego część nie wskakuje na konto  root, począwszy od tcpserwera aż po qmail-local.

Dodatkowo w  paczkach z profilami Apparmora są gotowe profile dla całego Postfixa (które można dosyć łatwo uruchomić, czy coś w nich poprawić),
do Exima nic podobnego nie zauważyłem, jak ktoś nigdy nie tworzył profili AA od zera, to na kolanie takowego nie napisze.
Nie wspominając o Tomoyo czy SELinuxie, które w ogóle są dosyć trudne w konfiguracji, zwłaszcza dla początkujących adminów.

Pozdro

jurgensen napisał(-a):

@Pavlo950 co złego jest w systemd?

Póki działa, to nic, ale jak się skicha, to bywa różnie.

Polecam bawić się z Systemd na tym jaju - i opisać wrażenia, zazwyczaj bywają dosyć efektowne. :D

SysVinit jest po prostu bardziej przewidywalny, a serwer to nie lapek, żeby był jakiś problem z 3 sekundami zaoszczędzonymi na uruchomieniu.

Ostatnio edytowany przez Jacekalex (2016-04-06 18:09:47)

Na Debianie testing domyślna konfiguracja systemd się wywalała po zainstalowaniu jajka grsec prawie zawsze, ostatnio tylko to się poprawiło o tyle, że po crashu systemd można wyskoczyć na konsolę root po wpisaniu hasła.
Pół roku temu trzeba było ubijać systemd przez Sysrq+k.

Jest to rzecz, której w OpenRC ani SysVinit nie doświadczyłem nigdy.

Jest bardzo możliwe, że w RHEL i CentOS Systemd działa, nawet NM w Fedorze działa zawsze, a Debianie różnie z nim bywa.

Ale za to, jak ktoś do CentOS próbuje wsadzić Grseca, to przeważnie ląduje z "płaczem"  na forum Grsec. ;)
Jak np tutaj:
https://forums.grsecurity.net/viewtopic.php?f=8&t=4202

Ostatnio edytowany przez Jacekalex (2016-04-06 19:27:27)

@jacekalex: czy to, że w eximie wykryto błąd a w postfiksie (jeszcze) nie świadczy o błędności (exim)/bezbłędności (postfix) danego programu?

W każdym  programie jest ważna architektura tego programu i sposób jego działania.
Jesteś programista, to  może zajrzyj w źródła Qmaila, i wytłumacz, dlaczego w tym serwerze przez kilkanaście lat nie znaleziono żadnej dziury.
Dlatego najbardziej cenię Qmaila.

Postfix jest moim zdaniem ma dużo gorszą architekturę, ale jednak nie na tyle, żeby to wykluczało jego używanie.
Wtopa Exima moim zdaniem wynika ze spadku po sendmailu, czyli dosyć idiotycznej architekturze.
To z resztą nie pierwsza i nie ostatnia podobna dziura, w przeszłości było kilka podobnych.

mati75 napisał(-a):

Jak dla mnie najbardziej podatny na wszelkie ataki jest postfix. Exim to kombajn dla tych co chcą mieć wszystko.

Wszystko przy odpowiedniej konfiguracji będzie bezpieczne, tylko trzeba wiedzieć co się robi.

Hmm:
https://www.cvedetails.com/vendor/8450/Postfix.html
https://www.cvedetails.com/vendor/10919/Exim.html

W przypadku najgroźniejszych ataków typu Remote_Code_Exec czy eskalacji uprawnień, jednak wolę Postfixa.

Chociaż, jak Qmail się dorobi stabilnego wsparcia Ipv6, to nastąpi uroczyste pożegnanie Postfixa.

Oczywiście żadnej aplikacji nie warto ufać, wszystko powinno działać z absolutnie minimalnymi, bezwzględnie koniecznymi do działania uprawnieniami.

Ostatnio edytowany przez Jacekalex (2016-04-06 22:32:46)

Ale wywalał się na czym konkretnie? Ja mam Debiana na prywatnym blaszaku i lapku, na służbowym lapku i na dużej częśći serwerów i nic się nie wywala.

Jeśli chodzi o podnoszenie usług, to jest to kwestia konfiguracji (np. opcja Restart odpowiada za to, czy systemd ma podnieść usługę, jeśli została ona zatrzymana inaczej, niż przez systemd). Jak dla mnie, to jedna z lepszych opcji i właśnie część tego, co uważam za wielką zaletę systemd - spójność konfiguracji. Jeśli potrzebuję coś ustawić, wiem od razu gdzie tego szukać, a nie muszę analizować, często naprawdę długich skryptów startowych).