Bezpečné používání linuxového desktopu€¦ · 11/4/2018 Presentation 1/23 Bezpečné používání linuxového desktopu

11/4/2018 Presentation

http://localhost:45351/?print=no&theme=cznic_cs&ratio=16:9&source=slides.md#1 1/23

Bezpečné používání linuxovéhodesktopuMartin Vicián • [email protected] • vician.cz/ptvician • @[email protected]

OpenAlt 2018 • 4. listopadu 2018

1 / 22



Máte na Linuxu antivirus? A mohla bych ho vidět?

sed -i 's|Linux|GNU/Linux|g' *

1 / 22



Systémový administrátor

90% notebooků na Linuxu

Úvod do Linuxu

Člen

Implicitně:

16.04 (Unity) a 18.04 (Gnome 3)

Martin Vicián

Obrázek: ubuntu.com

2 / 22



Stažení a instalace LinuxuBios a disk hesloSecure BootThunderbolt 3Firmeware aktualizace

Linuxová distribuce Deepin

Témata

Obrázek: http://www.laptop-junction.com/toast/content/security-keeping-laptop-data-yours

3 / 22



Zrcadla

launchpad.net/ubuntu/+cdmirrorslaunchpad.net/ubuntu/+archivemirrors

Linux Mint

2016: Beware of hacked ISOs if youdownloaded Linux Mint onFebruary 20th!

hacknutý WordPress a phpBBzměněné ISO - přidán MalwareMD5 kontrolní součty

Stačí stáhnout?

4 / 22



Kontrolní součetPodpis (PGP)

tutorials.ubuntu.com/tutorial/tutorial-how-to-verify-ubuntulinuxmint.com/verify.phpgetfedora.org/verify

1. Stáhnout dodatečné soubory:kontrolní součet a podpis

2. Získat PGP klíč3. Ověřit kontrolní součet4. Ověřit podpis kontrolního součtu

Verify your ISO

Obrázek: xkcz.cz 1181

5 / 22



Ubuntu na Ubuntu

gpg --import \/etc/apt/trusted.gpg.d/ubuntu-keyring-2012-cdimage.gpg

Fedora na Windows a MAC OS X

Fedora Media Write

Nekontroluje

UnetBootinRufus (oficiálně doporučený)

Získání GPG klíče

6 / 22



1. Heslo k odemknutí BIOSu2. Heslo k odemknutí disku3. Heslo k odšifrování disku (LUKS)4. Heslo k přihlášení do systému5. Heslo k odemknutí klíčenky6. ...

A která dávají smysl?

Kolik můžu zadávat hesel při bootu?

Obrázek: Stahler 2016, mvcr.cz

7 / 22



BIOS

Master heslo odemkne BIOS

Disk

Master heslo smaže a odemkne disk

https://bios-pw.org/

CTRL+ENTER

BIOS a disk heslo (Dell)

Obrázky: dell.com , ioffer.com

8 / 22



UEFI: Dobrý sluha nebo špatný pán? (Radek Zajíc)https://youtu.be/ldNl4LivNAchttps://mojefedora.cz/implementace-bezpecneho-bootovani-pomoci-uefi-ve-fedore/https://www.root.cz/clanky/secure-boot-nepodepsanym-systemum-vstup-zakazan/

čtyři databáze klíčů:Platform Key slouží výrobci k aktualizaciostatních klíčůKey Exchange Key klíče dodavatelů software,podepsané PKdb databáze klíčů/otisků povoleného softwarudbx databáze revokovaného softwaru

Secure Boot

Obrázek: linuxzone.es

9 / 22



Byl objeven škodlivý kód LoJaxútočící na UEFI. Řádí i ve středníEvropě (lupa.cz)

Secure Boot má chránit předzavedením necertifikovanéhooperačního systému

Canonical (Ubuntu) má v UEFI klíče

Lze podepsat vlastními klíči

Secure Boot (UEFI)

Obrázek: me.me

10 / 22



Ubuntu z továrny (a to chcete?)Při instalaci většinou ručně vypínáme (3rd party)Přeinstalace nemění stav Secure Bootu

Secure Boot (UEFI) - instalace

Obrázek: askubuntu.com/questions/765697/why-was-i-asked-to-create-a-password-in-order-to-disable-secure-boot-on-initial

11 / 22



jednorázové heslo 8 - 16 znakůrestart počítačeMOK - máte 10 vteřinChange Secure Boot statetři náhodné znaky z dočasného hesla

sudo mokutil --enable-validation

Secure Boot (UEFI) - ruční zapnutí

Obrázek: fourdollars.blogspot.com

12 / 22



Dell dokovací stanice

Obrázek: discountelectronics.com, ebay.com

13 / 22



Zařízení:

Dell Thunderbolt Dock (TB16)Thunderbolt adaptér

Periferie:

EthernetHDMI, VGA, DisplayPortUSB (3.0)

Bezpečnostní nastavení v BIOSu:nonedponly - Display Port a USBuser - uživatel řeší ručněsecure - jako user, navícumožňuje uložit pro pozdějšíidentifikaci

DMA (direct memory access) útok

Thunderbolt 3

Obrázek: amazon.com

14 / 22



Správa:

bolt (boltctl) - GUI v Gnome3:user level je třeba schvalovat pokaždém bootu

thunderbolt-toolstbtadm

Problémy:

zadávání hesel, např. LUKS(USB klávesnice)ethernet připojenípomalá autorizace

Thunderbolt 3

Obrázek: root.cz

15 / 22



https://youtu.be/7tDfwKIFj4Y

Thunderbolt 3 - rychlost Live USB

16 / 22



https://youtu.be/ZoS_LZ3eh50

Thunderbolt 3 - rychlost kancelář

17 / 22



Firmware:BIOSThunderbolt Controller...

Použití: GNOME Software nebo:

sudo fwupdmgr refreshsudo fwupdmgr update

BIOS aktualizace

Obrázek: twitter,com/mmmmmmpc

18 / 22



První verze únor 2004Poslední verze spren 2018Stojí na Debian unstableVyvíjí: Wuhan DeepinTechnology Co., Ltd.Vlastní Deepin DesktopEnvironment (DDE) v QtNejpopulárnější distribucev Číně23. distribuce na distrowatch(posledních 12 měsíců)

https://youtu.be/FsDjsRXzTMs

Deepin

19 / 22



Chybí podpisy checksum souborůStahování několik dní, nebo:

zrcadlamega.nz, drive.google.com, ...

Nejde zvolit celošifrovaný disk(LUKS)Nekontroluje sílu heslaNemá systemd-resolvedAutomaticky spuštěná samba

K zamyšlení

Obrázek: deepin.org

20 / 22



Nainstalovaný gnome-keyring, ale ne seahorseObsahuje nestandardní balíky

google-chrome: nainstalovaný a podepsaný Google klíčispotify: přidalo repozitář, jeden expirovaný a jeden už nepoužívaný klíčatom: z webudp8 z ppa pro ubuntu bez klíčůskypeforlinux: přidalo repozitář a správný klíč

Přidává starší verze, případně s repozitáři pro aktualizacefirefox: 60.0.1 z května 2018Mirror repozitářů:

https://www.deepin.org/en/mirrors/packages/

K zamyšlení

21 / 22



Nebuďme sami sobě hrozbou

Zdroj: facebook.com/spaze

22 / 22

Documents

Bezpečné používání linuxového desktopu€¦ · 11/4/2018 Presentation 1/23 Bezpečné používání linuxového desktopu