Comments | ru_root: Безопасности Jail'ов вопрос

fossa_white in ru_root

Безопасности Jail'ов вопрос

Mar 23, 2015 14:26

Привет, мистер All ( Read more... )

Comments 23

dmarck March 23 2015, 11:40:29 UTC

Во-первых, NFS, как и любой сервис с участием SUNRPC, очень сложно сопрячь с безопасностью. И уж точно плохо оно будет работать в джейле.

высаживать демонов, работающих не из-под рута в джейлы не очень осмысленно

Собственно, я бы предложил начать с основ: какие модели угроз рассматриваем?

fossa_white March 23 2015, 13:24:08 UTC

Модели угроз... С одной стороны - угроза изнутри, у меня на сервере хостится несколько человек. На новом сервере я хочу каждому дать по jail'у, дабы не беспокоиться о правах, mpm-itk и т.п.. Соответственно угроза - дырка в какой нибудь MediaWiki или джумле, позволяющая овладеть локальным апачем/залить шелл/поиметь рута в джейле.

С другой стороны - снаружи. Опасаюсь использования какого-нибудь эксплоита, позволяющего овладеть каким-нибудь демоном.

Главная задача - ни в коем случае не допустить кого не надо к большущей NFS-шаре и почте.

Если это ответ не по теме - уточняйте. Я хоть и заканчивал "Вычислительные машины, комплексы и сети", но профессионально этим не занимаюсь.

dmarck March 23 2015, 13:30:08 UTC

Я бы такое на одной машине не делал вовсе. На NFS сервере локальных недоверенных пользователей лучше б чтоб совсем не.

При этом NFSу нужно слишком много внутриядерного, чтобы оно могло работать в джейле.

Джейлы для хостинга -- разумны, да. Сервис-джейлы -- зависит. Почту, наверное, разумно.

fossa_white March 23 2015, 13:36:47 UTC

А с NFS что делать? nfsd не может работать в джейле в принципе? Или просто нужно ядро с вкомпиленным всем, чем нужно.

Вообще - шанс того, что локальный недоверенный юзер, сидящий в джейле, вылезет наружу - велик?

И будет-ли ОК замутить на этой машине какой-нибудь Xen, а в нём - отдельную фряху для NFS?

Вторую машину дома поставить возможности нет, т.е. только разные сорта виртуализации.

Вариант ZFS ACL на то, что шарит NFS + NSF с Kerberos'ом + прикрытие NFS фаерволлом (доступ к NFS возможен только с строго определённых LAN'ных адресов) не поможет?

А ещё - скажите, как профессионал, что-нибудь о фаерволлах. Сейчас я использую ipf, но думаю переползти на pf (шейпинг, в первую очередь).

Thread 18

mytyshi_hc March 24 2015, 07:51:05 UTC

После прочтения комментов и если не принципиальна freebsd.
Я бы сделал на openvz. Распихав все в отдельные контейнеры.

fossa_white March 24 2015, 10:01:51 UTC

Фря - принципиальна. Возможно - будет Xen или BHyve. А возможно - NFS таки будет крутиться на хост-машине.

ext_2283889 March 25 2015, 13:58:34 UTC

> NSD сажать в отдельный джейл или можно его вместе с веб-сервером в один посадить?

Особого смысла изолировать NSD нет. Поясню цитатой из раннего себя:

Смысл контейнеров:
1) не устраивать общую помойку из разных сервисов и библиотек, в которой непонятно, что к чему относится и что от чего зависит
2) убрать зависимость от аппаратного окружения, свести к минимуму от сетевого
3) изолировать уязвимые сервисы, особенно работающие из-под рута
4) не давать админам отдельных сервисов права админа для всей системы

Если ни одного из этих условий нет - контейнеры не нужны.

fossa_white March 26 2015, 08:57:38 UTC

Ага, про NSD - я уже понял.

Главная проблема на сейчас (не считая отсутствие времени на то, чтобы возиться с сервером) - NFS. В джейле - не ОК, как я почитал, вот думаю на тему пустить на хост системе vs Xen.

Железо и специфика - вон там: http://ru-root.livejournal.com/2801133.html?thread=42257901#t42257901

ext_2283889 March 27 2015, 10:33:10 UTC

NFS имеет столько особенностей, что его имхо лучше вообще не использовать.
Есть отличная альтернатива - CIFS.

fossa_white April 15 2015, 16:14:58 UTC

Ну, самба в *NIX-only сети мне не нужна совершенно.