نوشته‌شده در

مدیریت کلید – آیا اسکریپت اطلاعات حساس را در دایرکتوری خانگی در لینوکس سرقت می کند و SELinux راه بهینه / ابزار برای جلوگیری از آن است

فرضیه: در یک ایستگاه کاری لینوکس من به طور منظم از نرم افزارهای مختلف دانلود و استفاده می کنیم، بطور مثال ماژول های Perl یا Nodejs. وقتی که من از آنها استفاده می کنم، آنها بر روی دستگاه با من به عنوان صاحب کار می کنند و می توانند هر کاری که می توانند در دایرکتوری من انجام دهند، می توانند به کلید های من دسترسی پیدا کنند و به سرقت بروند (از طریق شبکه)

برای سال ها، در حال حاضر من در نهایت در زمان پیدا کردن SELinux برای مقابله با مشکل پیدا کرد. اما همانطور که SELinux یاد گرفتم، به نظر من این موضوع پیش می آید که ممکن است برخی از ماژول ها برای برنامه های کاربردی که از آن داده های حساس استفاده می کنند ایجاد شود، بگذارید یک ماژول خطمشی SELinux برای gnupg برای محدود کردن دسترسی به کلیدهای gpg برای آن برنامه اما به نظر نمی رسد این مورد باشد. به همین دلیل است که من شروع به تردید کل ایده کردم. من وب را برای "پرونده های دایرکتوری دایرکتوری خانه لینوکس" جستجو کردم و نتایج مشابهی در مورد سرقت فیزیکی بود. این بسیار بعید است که من تنها کسی هستم که در مورد این فکر کرد

بنابراین اولین سوال من این است آیا این فرض درست است ؟

اگر آن است، سپس آنچه مطلوب است گزینه هایی برای مقابله با این ؟ در حال حاضر قصد دارم سعی کنید سفارشی کردن سیاست SELinux هدفمند برای اجازه دسترسی به آن فایل های حساس تنها به یک مجموعه محدود از فرآیندها و احتمالا محدود کردن دسترسی شبکه بر اساس برنامه.

I باید سیاست سفارشی را سفارشی کند، زیرا به نظر می رسد دامنه unconfined_t اجازه دسترسی به هر دو user_home_t و gpg_secret_t از gpg_secret_t بخشی از ویژگی user_home_type و خط مشی اجازه دسترسی کامل به آن را می دهد : 

 $ sesearch -t gpg_secret_t -A
...
اجازه unconfined_t user_home_type: file {خواندن نوشتن ...}

نوشته‌شده در

نگرانی در مورد کد های فرار از LaTeX 3 shell

خطرات امنیتی در این خط کد LaTeX چیست و برای کاهش آنها چه می توان کرد؟ پروژه LaTeX3 می خواهد ماکس های TeX را قادر به انجام عملیات فایل از طریق فرار از پوسته می کند.

{cp ~ -RLf ~ exp_not: N tl_to_str: n {# 1} ~ tl_to_str: n {# 2}} [19659003] اگر شما دوست TeX و LaTeX هستید، ممکن است بخواهید کمک کنید. من مطمئن هستم که تیم LaTeX3 نظرات شما را می پذیرد.

  • بررسی کد در github: https://github.com/latex3/latex3/commit/7b62e64dde239f9cb6ae0f08400c0b5ccde815d8#diff/09def3f98d60fce78fbcc00e77c65795R3093

سایر URL های مربوطه

  • Initial درخواست: https://github.com/tohecz/yoin/issues/3
  • LaTeX 3 issue:
    https://github.com/latex3/latex3/issues/468
  • پست به لیست پستی LaTeX3:
    https://listserv.uni-heidelberg.de/cgi-bin/wa؟A2=ind1808&L=LATEX-L&F=&S=&P=73

</p> <pre>نگرانی در مورد کد های فرار از LaTeX 3 shell<br />

نوشته‌شده در

کروم – چه چیزی باعث می شود گوگل از تمام اطلاعات در کامپیوتر من صرفه جویی کند؟

یک قطعه نرم افزاری غیرمستقیم که در حال اجرا بر روی PC / Mac است (به طور کلی) امتیازات مشابه با کاربر در حال اجرا دارد و بنابراین می تواند به هر داده ای دسترسی پیدا کند که توسط کاربر قابل دسترسی است.

هر فروشنده دیگری نرم افزاری که کد شما را اجرا می کند) هیچ کاری انجام ندهید که با آن دسترسی داشته باشید.

اگر به گوگل تنها گزینه خود را اعتماد نکنید، به عنوان یک کاربر معمولی نرم افزار کد خود را اجرا نکنید.

وضعیت با پسوند کروم تا حدودی متفاوت است. در اینجا گوگل محدودیت هایی را در مورد آنچه که سازنده فرمت ارائه می دهد محدود می کند و هنگامی که شما یک پسوند را نصب می کنید به شما می گوید که مجوز هایی را که ارائه می دهید چه می گوید.

بدیهی است که شما هنوز به گوگل اعتماد کرده اید که این محدودیت ها را به درستی کد گذاری کرده باشید و هنوز به طور بالقوه به نویسندگان توسعهدهنده با برخی از سطوح مجوز برای اقدامات مخرب اعتماد دارند.

نوشته‌شده در

چگونه می توانم فایل های سرور من را از یک مهاجم که قبلا از بین رفته است محافظت کنم؟

راه هایی برای محافظت در برابر چنین سناریویی با استفاده از رمزگذاری وجود دارد. سطوح مختلفی وجود دارد.

اولین داده اولیه در رمزگذاری استراحت است. این مانع از اینکه افراد بتوانند HDD را بکشند و اطلاعات را از آن بخوانند یا فایلهای داده را از سرور بکشاند. شما همچنین می توانید بسیاری از ضمانت ها را برای محدود کردن تعداد افرادی که می توانند به طور قابل ملاحظه ای دسترسی داشته باشند، استفاده می کنند. اما با توجه به امتیازات مناسب و یا حملات فیزیکی پیشرفته، می توانید از طریق آن، از آنجا که در پایان روز، سرور نیاز به دسترسی به آن ایمیل ها دارد تا آنها را برای شما نشان دهد.

سطح دوم، پایان دادن به پایان است E2E) رمزگذاری. این به این معنی است که کاربر قبل از فرستادن آن به سرور رمزگذاری می کند و کاربر دریافت کننده آن را با استفاده از کلیدی خودش رمزگشایی می کند. هیچ راهی وجود ندارد که مدیر بتواند پیام (بدون شکستن سیستم / گرفتن کلید) را بخواند، همانطور که کاربر آنرا رمزنگاری کرده است. جیمیل و اکثر سرویس های اصلی از رمزگذاری E2E استفاده نمی کنند. برخی از خدمات مانند پروتونمال، سیگنال، واتساپ و دیگران از رمزگذاری E2E استفاده می کنند، اما بیشتر از یک چیز معمولی نادر است.

اگر میخواهید رمزگذاری E2E را برای سرور خود بکار ببرید، ممکن است دشوار باشد. درحالیکه در حوزه پیام فوری، پروتکل سیگنال تبدیل به استاندارد می شود، راه حلی استاندارد برای راه اندازی آن در مناطق دیگر وجود ندارد، بنابراین ممکن است مجبور شوید سیستم خود را توسعه دهید.

پاسخ به EDIT: اگر بر روی ارسال اصرار دارید رمز عبور از طریق ایمیل، از هیچ اما راه های دیگری برای بهبودی وجود دارد. شما می توانید کلید اصلی را به کاربر برای پشتیبان گیری آن بدهید. شما می توانید کلید اصلی را به 5 قسمت تقسیم کنید و نیاز به جمع آوری آن 3، سپس این قسمت ها را به 5 دوستان مورد اعتماد از کاربر و غیره توزیع کنید. موضوع مشترک در اینجا است، سرور را نباید با بازیابی مورد اعتماد قرار داد، شخص دیگری باید باشد. یا شما می توانید اجازه دهید که گذرواژه را در هزینه های از دست دادن داده ها بازنشانی کنند، این همان چیزی است که Protonmail انجام می دهد. شما آدرس ایمیل خود را بازیابی می کنید، اما ایمیل های موجود در صندوق پستی شما نیست.