Sicheres Surfen mit Linux ??

[tuxnewbie]

Hallo,

habe vor kurzem einen Rechner mit SUSE Linux 9.1 installiert, welcher nur zum Surfen im Internet gedacht ist.
Da ich in dem Bereich LINUX noch unerfahren bin, würde mich interessieren, ob folgende Vorstellung realisierbar ist:

Ein separater User (nennen wir ihn "Surfer") hat nur Lese- und Ausführungszugriffe auf die root- und boot-partition. Somit kann kein Virus, o.ä. auf diese Partitionen geschrieben werden.
Mit der Zeile in etc/fstab "ramsf /dsurfen noexec" hänge ich eine Gerätedatei auf das Verzeichnis dsurfen, welches beim User als home-directory angegeben ist. Wird der User "Surfer" angemeldet, werden die Profile in das Verzeichnis kopiert.
Um jetzt einen noch höheren Sicherheitsstandard zu gewährleisten, möchte ich, dass Dateien, welche in das Home-Directory des Surfer-Users geschrieben werden, nicht ausführbar sind. Somit ist sollte auch für diese Sitzung kein Virus oder Trojaner ausgeführt werden.
In einer Dokumentation habe ich gelesen, dass das ramfs nur lese- und schreibzugriff hergibt :confused:

Soweit meine Vorstellungen!! :confused:

Meine Frage: Ist dies so realisierbar, und wenn ja, wäre ich um jeden Ratschlag dankbar.

Gruß

[nordi]

Wird der User "Surfer" angemeldet, werden die Profile in das Verzeichnis kopiert.

Dann darfst du das aber auf keinen Fall als root machen, ansonsten hast du zu Hauf Möglichkeiten für Symlink Exploits. Wenn du das Scriptgesteuert machst solltest du immer "su surfer --command=......." nutzen ("man su" für mehr Infos). Ich persönlich lösche das Verzeichnis für den Gastaccount bei jedem Booten , das sollte reichen.



Um jetzt einen noch höheren Sicherheitsstandard zu gewährleisten, möchte ich, dass Dateien, welche in das Home-Directory des Surfer-Users geschrieben werden, nicht ausführbar sind. Somit ist sollte auch für diese Sitzung kein Virus oder Trojaner ausgeführt werden.

Ich würde mich nicht so sehr auf dieses noxec Flag verlassen. Wenn ich einen Virus/Wurm/Trojaner für Linux schreiben würde, dann wäre der auf jeden Fall als Shellscript geschrieben. Und gegen Shellscripte hilft noexec nichts.

Auf jeden Fall solltest du für diesen Account den Zugang zu SUID Programmen beschränken (einfach mal /etc/permissions durchlesen) und Resourcenbeschränkungen durchsetzen (/etc/security/limits.conf).

Wenn du ganz paranoid bist kannst du den Surfer auch in eine virtuelle Maschine einsperren. Ich werde über Weihnachten (so sich ausreichend Zeit findet) mal mit FAUmachine (http://www.faumachine.org/) rumspielen.

[ChandlerBing]

Zum Thema noexec ist vielleicht auch das hier (http://www.openoffice.de/linux/buch/securhowto.html#securhowtomount) interessant

[tuxnewbie]

Hallo,

ist es möglich in der "etc/fstab" das ramfs mit der Option "nosuid" und "fmask111" in das System einzuhängen?
Nach meinem (laienhaften) Verständnis sollte somit die Ausführung von suid-Programmen nicht möglich sein, und mit der fmask111 sollte neu angelegte Files nur Lese- und Schreibrechte bekommen.

Kann mir jemand sagen, ob das ramfs diese Optionen überhaupt unterstützt?

Danke.

[nordi]

Laut meiner Manpage hat ramfs keinerlei Mount Optionen. Und die nosuid Option sagt lediglich, dass in _diesem_ Dateisystem die SUID/SGID Flags ignoriert werden. In deinen anderen Dateisystemen funktionieren sie natürlich noch (und genau da stehen ja die SUID Dateien). Du könntest alternativ natürlich via Loopback ein Dateisystem aus einer Datei mounten, wobei mir nicht ganz klar ist welchen Vorteil das bringt.