LILO - проблемы безопасности

[ramms]

Вопрос такой :
при загрузке компа ,появляется приглашение лило (текстовый режим) ,но через него можно с лёгкостью получить рута (я имею в виду linux single)поэтому мне интерестны следующие вещи , что любой таким лбразом может волучить локального рута ? какая от этого защита (неужели только графическое приглашение лило ?{или это фиксится в конфигурационных файлах ?}),и ещё - если у меня на машине будет стоять только linux будет ли появляться приглашение лило ?

[ruslandh]

1 любой в данном конкретном случае, и любой несмотря на установленные защиты (просто увеличивается время входа)
2 самая простая защита в данном случае - потребовать (настроить ), чтобы в level 1 у пользователя запрашивался пароль root (что в некоторых дистрибутивах делается), но и это можно при желании обойти (см 1)
3 Lilo или Grub, или написанная аналогично Вами программа загрузки должна стоять
:)

[Andro]

Вот здесь описано как бороться с твоей проблемой:

http://gazette/linux.ru.net/etc/rus-sharma.html

Если ссылка дохлая - давай адрес, я тебе вышлю статью

Исправлено: Andro, 9:04 12-07-2002

[Barracuda]

ruslandhА как, на счёт пароля на LILO?
---------------
ramms
Если иамять мне не изменяет, то LILO - аббривиатура от LInuxLOader. У меня на работе на стервере стоит только Linux, и LILO просится как обычно (дома предпочёл GRUB - домашним понятнее, как им пользоваться). Имхо без initial loader'а (LILO, GRUB) - никуда не денешься.

[ruslandh]

Barracuda
Пароль в lilo можно обойти, создав загрузочную спец. дискету, типа rescue и загрузиться с нее (можно войти в любой linux), ну а bios ломать ... тоже достаточно просто.

[ramms]

Andro , ты прав ссылка дохлая :)
мой адрес d226b@mail.ru

[Barracuda]

ruslandh
В таком случае - выхода нет!
Ломается всё. Нельзя сломать только то, что в данный момент выключено.
ramms
Если получишь статью - отправь мне отже, плиз: rendol@ukr.net

[ruslandh]

Barracuda
А если охранника поставить ?
:)
Есть еще аппаратная защита, или уникальный загрузчик, время взлома которого достаточно большое, что-бы обнаружить попытку взлома.
:smoke:

В каком номере Linux - газеты была статья, или как ее прмерное название
(у меня есть небольшой лок архив этой рассылки) ?

Добавлено:

см ссылки на http://gazette.linux.ru.net/

Добавлено:

Нашел !
http://gazette.linux.ru.net/etc/rus-sharma.html

[GMM]

Tsitiruiu Security-HOWTO :
The various Linux boot loaders also can have a boot password set. LILO, for example, has password and restricted settings; password requires password at boot time, whereas restricted requires a boot-time password only if you specify options (such as single) at the LILO prompt.

Vol'niy perevod - dobav'te v obshey chasti lilo.conf
slovo restricted, togda pri,skazem, Linux singe on budet sprashivat' parol', a pri normal'noy zagruzke - net.
Hot', kak i bylo zamecheno, eto reshaet tolko chast' problem, no ostanovit mnogo nachinaiushih lamo-hackerov, a tak ze otbrosit vozmoz'nost' chto-libo pomeniat' na skoro ruku. Kak govorit'sia, - Cost-Effective solution

Добавлено:

Kstati, progda na assemblere kotoraia obnuliaet bity BIOSA v kotorih zapisan parol', na linuxe zapustitsia? (To est' pozvolit li Linux takoy proge pomeniat' bios?)

Добавлено:

P.S. chto luchshe translit ili avtoperevod?

[ruslandh]

GMM
А почему-бы нет ? Грамотно написанная программа и под Linux что надо поменяет, (не знаю, но могут на момент выполнения потребоваться права root)

ps автоперевод все-же для меня лично предпрочтительней, надо только выяснить у Ivank или BigMak написание ч,ц,ш,щ,ж, и т.д.
(существует множество вариантов написания этих букв), и хорошо-бы слова заменить абревиатурой  и сделать незаметнее.

[GMM]

Ну если будут нужны права root то тогда всё нормально


Добавлено:

P.S.
кстати, где есть список всеh бб-кодов? (типа [/рус] и т.д и т.п.)

[Barracuda]

ruslandh
А если охранника поставить ?
Да, ещё и с ружжом :shot:
GMM
Кстати, прогда на ассемблере котораиа обнулиает биты БИОСА в которих записан пароль, на линуxе запуститсиа? (То есть позволит ли Линуx такоы проге помениать биос?)
Дык, в Linux есть поддержка девайса, типа CMOS. Там можно просто считать данные CMOS через банальные "cat /dev/cmos > cmos.dat". Вот правда не знаю, можно ли таким же образом туда записать "cat cmos.dat > /dev/cmos"?
GMM
Как говоритьсиа, - Cost-Effective solution
Тоже верно. Если комп у тебя дома, а там нет никаких хацкеров - в чём проблемы? А если на работе - нужно ставить видеонаблюдение (был такой печальный опыт в 1995 году, когда через мой сервер воровали документы, хотя пароль на него знал только я и начальник отдела :confused:, а спомощью видеокамеры поймали злоумышленников).

[GMM]

Ну так на етот /дев/цмос можно зделать чмод 700 и всё. Тогда только root сможет (если) туда что-то записать

[BigMac]

GMM
кстати, где есть список всеh бб-кодов? (типа [/рус] и т.д и т.п.)
http://forum.oszone.net/codes.html

[Barracuda]

GMM
Вопрос не в этом. Может ли  система туда чито-то писать (способна ли она)? А то, что чмод - это ясно, как 2х2=5 :)

Добавлено:

В догонку: у меня прога есть (скачал года три назад с Hewlett Packard), называется "hwcmos", дык она по сей день справляется с поставленной задачей (читает в файл содержание CMOS и проделывает обратное действие). Хотя бойцы на HP предупреждали, что прога подходит только для VectraPC, но,на самом деле работает она везде.

[GMM]

Ну у меня на RedHat 7.2 вообще /dev/cmos
отсутцтвует

[Barracuda]

GMM
Это фича не дистрибутива, а ядра. Перекомпиляй его с поддержкой "/dev/cmos" и получишь желаемое. Я тут слегонца нагнал. Он там как-то по другому называется, но в разделе Character Devices  что-то на эту тему есть (поддержка устройства считывания из CMOS, как то так)...