Bezpečnost: Windows vs Linux
10.2.2009, Jiří Černý, článek
Téma počítačové bezpečnosti je stále palčivější. Mají stoupenci UNIXových operačních systémů pravdu, když neustále kritizují Windows? Lze vlastně dosáhnout něčeho na způsob „dokonalého zabezpečení“? A nehraje ve skutečnosti mnohem důležitější roli přístup administrátora k práci, než to jaký OS zvolíte?
Podle analytické společnosti Secunia je nezabezpečených cca 98% počítačů se systémem Windows. Co je ale zajímavé, že (s odvoláním na téže zprávu) obvykle není ani tak velký problém s vlastním operačním systémem, jako spíše s nainstalovanými programy. Standish group zase tvrdí, že cca 70% dotazovaných respondentů preferuje Red Hat Linux před Windows právě z důvodu větší bezpečnosti. Na Internetu se prakticky neustále objevují nové a nové informace o nejrůznějších chybách umožňujících napadení vašeho počítače. Není se tak co divit Microsoftu, který klade na bezpečnost stále větší důraz. Daří se mu to ale?
15. června 2007 publikoval Jeff Jones na svém Security Blog detailní zprávu o bezpečnosti Vist po půl roce jejich provozu. Tento článek byl v mnoha směrech velmi zajímavý, neboť přinesl i srovnání s operačními systémy jako právě Red Hat Enteprise Linux 4 Workstation, Ubuntu 6.06 LTS, Novell SuSE Linux Enteprise Desktop 10 a Apple Mac OS X v10.4. V budoucnu se proto na něj ještě několikrát budu odkazovat. Nyní se ale vraťme zpět k velmi populární otázce „je bezpečnější Linux, či Windows“?
Úvodem mi dovolte vyslovit jednu (a pro mnohé nejspíš kacířskou) myšlenku. Server je zabezpečený tak dobře, jak dobře se jeho administrátor vyzná v nainstalovaném operačním systému. Neexistuje něco jako „bezpečnější systém“ sám o sobě. Bez znalostí nastavení, konfigurace a celé řadě dalších souvisejících věcí je Linux potenciálně stejně tak zranitelný jako MS Windows. Na mnoha fórech ovšem nemálo uživatelů propaguje přesně opačný názor. Ten by se dal stručně vyjádřit řekněme větou typu „Windows jsou stejně děravé jako cedník, takže si je nakonec můžete konfigurovat, jak chcete, a pořád budou k ničemu“...
To je podle mě ale zásadní zjednodušení a především nepochopení problematiky. Trend pak totiž zdá se směřuje k tomu, přimět podobnými výroky k používání Linuxu i takové lidi, kteří o tomto OS neví v podstatě vůbec nic. Nicméně přečtou si porůznu právě X podobně zasvěcených názorů po sobě, nechají se jimi nakonec zlomit a Linux navzdory mizerné úrovni svých vlastních vědomostí instalují. Samozřejmě jen proto, že jim přece opakovaně bylo řečeno o kolik je „bezpečnější“. Což je logicky jedna z nejrychlejších cest do pekla a nemálo rádoby rootů to už poznalo na vlastní kůži.
Z vlastní praxe zde můžu pro porovnání uvést vzpomínku na jisté prvotřídně zabezpečené servery bývalého Českého Telecomu, kdy bylo zmařených pokusů o průnik více než dost a vše přitom bez problémů fungovalo pod produkty Microsoftu. Bezpečnostní politika této společnosti (O2) je mimochodem jedna z „nejtvrdších“, s kterými jsem se doposud v ČR setkal a z pravidel se neslevuje ani ve chvíli, kdy právě enormní nároky na zabezpečení komplikují silně život i samotným zaměstnancům. Což rovněž udělá svoje.
Pamatuji dobře, jak mi byl striktně zamítnut požadavek alespoň omezeného přístupu na servery pro řadové administrátory a těch několik málo lidí co odpovídající přístupy mělo, se ještě muselo zavázat k uhrazení nemalých finančních částek v případě způsobení nějaké chyby vedoucí k narušení chodu projektu. Stejně tak jsem zažil naprosto nevyhovující server s Linuxem, kdy pro správce všechno skončilo čistě u defaultní instalace a dobrého pocitu z používání „nejbezpečnějšího možného OS“.
Jistě, nelze než plně souhlasit s tvrzením, že Linux či BSD disponují mnohem propracovanějšími možnostmi, například co se právě konfigurace týče. Nicméně musíte vědět JAK na ně – a totéž platí i pro Windows. Hlavní rozdíl spočívá zhruba v tom, že abyste s Windows dosáhli alespoň srovnatelné úrovně zabezpečení, je třeba k tomu postahovat nesrovnatelně větší množství různých utilit, patchů atp. Respektive na vlastním OS zůstává jen to, na co je primárně určený a jednotlivé úlohy řeší odpovídající software.
Chápu, že právě toto řešení každému nepřipadá dvakrát praktické a řada příznivců UNIXu z tohoto úhlu pohledu Windows kritizuje zcela oprávněně. Nic se ale nemá přehánět a je dobré vidět dál, než jenom na vlastní dvoreček. Jeden příklad za všechny – jistý člověk nadšeně propagující Linux měl svého času v diskuzi ironické poznámky na konkrétní téma nastavování chmod, obecněji práv pro přístup. Nikdy přitom ale neslyšel/nečetl o věcech jako SetACL, nebo kombinace cacls.exe + vbscript, protože ho to prostě ani nikdy vlastně nezajímalo.
V roce 2003 hodnotil Bill Gates výsledky strategie známé jako Trustworthy Computing, se kterou přišel už o rok dříve. V praxi mj vedla k zastavení vývoje Windows na 10 týdnů, přičemž všichni vývojáři museli podstoupit důkladné školení stran psaní bezpečného kódu a jiných souvisejících věcí. Když k tomu připočítáme ještě náklady na nové metodiky, postupy, etc, dostaneme ucházející částku přes 200 miliónů USD, vynaloženou čistě za účelem dosažení optimálního stavu v daném směru.
Od té doby lze skutečně sledovat jistý posun k lepšímu, kdy současné Visty se na otázky bezpečnosti soustřeďují v některých směrech i více, než by bylo samotným uživatelům milé (narážím na nepopulární UAC). Bohužel, příležitostné pokusy o srovnání různých operačních systémů právě z tohoto úhlu pohledu vesměs končily spíše u propagačních PR článků, kdy zástupci Microsoftu používali - mírně řečeno - nevhodné výroky o „dokonalém zabezpečení“ atp.
I již zmiňovaný článek Jeffa Jonese ale nakonec přesvědčivě ukazuje, že Visty jsou na tom skutečně mnohem lépe, než dříve byly XP. Na konci toho stejného období (6 měsíců) obsahovaly ve srovnání se svým předchůdcem cca třetinu chyb, přičemž jen jedinou lze považovat za vysoce závažnou (u XP byla problematická zejména dvojice CVE-2002-0189 a CVE-2002-0694, kteroužto se pořád nikomu „nechtělo“ opravovat). Šlo o CVE-2007-1535 (nastavování Teredo adresy po připojení k Internetu). Ale dříve než začneme zabíhat do ještě větších podrobností, ruku na srdce – slyšeli jste až doposud vůbec o něčem podobném, nebo jsou pro vás tyto i jim podobné zkratky vlastně zcela neznámé?
Značně odlišné přístupy k problematice samozřejmě budou mít správci serverů a běžní domácí uživatelé. Jelikož stejně nepředpokládám, že zástupci první zmiňované kategorie čerpají informace právě na svethardware.cz, zaměřím se spíše na kategorii druhou. Nicméně je mi jasné i to, že právě zabezpečení firemních serverů etc je leckdy nesrovnatelně důležitější – a navzdory tomu, mnozí ředitelé/manageři mu věnují naprosté minimum času. Proto se na správu serverů často odkazuji a určitě ještě i mnohokrát odkazovat budu. Je třeba mít na zřeteli, že v této sféře už nejde čistě jen o vaše soukromá data (jejichž eventuální „odhalení“ zase až tolik nebolí), ale často o data kupříkladu stovek až tisíců klientů, která vám v dobré víře svěřují.
Mimochodem... k napsání této série článků jsem se chystal poměrně dlouhou dobu a v mezičase mě stačila bohatě inspirovat celá řada zajímavých příhod. Tak například z jisté společnosti se na mě obrátili s tím, že jim kamsi neustále záhadně unikají informace a to i ty citlivé (v elektronické podobě, samozřejmě). Následně vyšlo najevo, že si sice v zájmu udržení kroku s moderní dobou pořídili virtuální privátní síť, nicméně nikdo už neměl čas pořešit i její zabezpečení. V konečném důsledku vám pak stačilo zkrátka sedět s notebookem venku na schodech a nerušeně odchytávat soubory posílané mezi jednotlivými zaměstnanci, vedením, apod (ano, teď trochu přeháním, ale experty jste k obdobné „průmyslové špionáží“ skutečně být vůbec nemuseli).
Jednou z hlavních výhod Linuxu je minimum tzv „windowsovských virů“ (např typ OneHalf). Spyware a adware také prakticky nemá šanci. To je jistě dobré, jelikož spousta uživatelů má (navzdory celé řadě notoricky známých varování) tendence neustále otvírat prakticky každou e-mailovou přílohu, která se jim jen dostane pod ruku. Nemluvě o klikání na všechny možné i nemožné odkazy pod Internet Explorerem, kterážto bohulibá činnost pak obvykle končí u výjezdu technika, za který klient v konečném výsledku zaplatí i pár tisíc. Přitom by stačilo jen trochu více opatrnosti. Pokud se ale právě e-mailových příloh týče, tak jisté bezpečnostní zásady je nutné pochopitelně dodržovat i pod Linuxem (že by třebas ILOVEOYU.sh i s popisem spuštění?).
Jak jsem již naznačil, společný problém Linuxu i Windows jsou desktopové aplikace. A právě v tomto směru v zásadě vůbec nezáleží na nainstalovaném operačním systému. Používám-li například internetový prohlížeč, jehož verze je dva roky zastaralá, vysloveně na stříbrném táce servíruji případnému útočníkovi cestu do svého počítače. Stejně tak závisí jen a jen na každém z vás, jestli budete ve Windows pracovat zrovna pod administrátorským účtem. I takový detail totiž sám o sobě dokáže velmi ulehčit průnik. Oproti tomu jistá distribuce Ubuntu přišla mimochodem dokonce s defaultním zablokováním inkriminovaného účtu, což samozřejmě značně zmenšuje celkovou míru rizika. Další rozdíl spočívá v rychlosti oprav případných chyb. U open-source to už s přihlédnutím k jeho charakteru zabírá mnohem méně času, takže různí červi a podobná havěť mají posléze i mnohem méně času na šíření do více a více počítačů.
Samostatnou kapitolkou je aktualizace. Záplaty pochopitelně potřebuje jak Linux, tak Windows. U Windows je ovšem potíž s tím, že nemálo lidí stále využívá nelegální instalaci, a proto aktualizaci prostě vypnou. Díky tomu je už za pár měsíců jejich operační systém takřka v katastrofálním stavu. Kromě toho je záplatování u Linuxu i jednoznačně kvalitnější. Dále velký počet linuxových distribucí s sebou jistě nese i jistá negativa, nicméně právě z hlediska bezpečnosti je pozitivem. Vývojářům zákeřných virů to totiž značně komplikuje práci. Eugene Kaspersky nicméně už před časem předpověděl, že jejich počet bude zrovna v případě Linuxu do budoucna razantně stoupat. Zda se ale tato predikce vyplní, na to si ještě nějakou dobu počkáme. Zajímavé informace k této konkrétní problematice každopádně naleznete zde.
Závěr tohoto úvodu do problematiky je tedy asi takovýto. Nejdůležitější roli (bez ohledu na technické aspekty a různá srovnávání) nakonec vždy hraje lidský faktor. U uživatelů UNIXových systémů se obecně vzato už tak nějak automaticky předpokládá, že to jsou povětšinou lidé velmi zkušení, kteří ILOVEOYU.sh prostě ani spustit nezkusí. Jenže open-source čím dál tím více prorůstá i do oblastí, kde se k němu stejně tak snadno dostane řekněme vaše sekretářka. Dále, péče o desktopové aplikace je nesmírně důležitá v rámci Linuxu i v rámci Windows. Nepopírám, že i pokud Linux prostě jen nainstalujete a dál se už o nic moc nestaráte, určitě si alespoň v některých směrech oproti Windows polepšíte. Rozhodně ale nelze mluvit o něčem jako „kvalitním zabezpečení“ vašeho počítače/sítě. K tomu je totiž zapotřebí mnohem více.
15. června 2007 publikoval Jeff Jones na svém Security Blog detailní zprávu o bezpečnosti Vist po půl roce jejich provozu. Tento článek byl v mnoha směrech velmi zajímavý, neboť přinesl i srovnání s operačními systémy jako právě Red Hat Enteprise Linux 4 Workstation, Ubuntu 6.06 LTS, Novell SuSE Linux Enteprise Desktop 10 a Apple Mac OS X v10.4. V budoucnu se proto na něj ještě několikrát budu odkazovat. Nyní se ale vraťme zpět k velmi populární otázce „je bezpečnější Linux, či Windows“?
Úvodem mi dovolte vyslovit jednu (a pro mnohé nejspíš kacířskou) myšlenku. Server je zabezpečený tak dobře, jak dobře se jeho administrátor vyzná v nainstalovaném operačním systému. Neexistuje něco jako „bezpečnější systém“ sám o sobě. Bez znalostí nastavení, konfigurace a celé řadě dalších souvisejících věcí je Linux potenciálně stejně tak zranitelný jako MS Windows. Na mnoha fórech ovšem nemálo uživatelů propaguje přesně opačný názor. Ten by se dal stručně vyjádřit řekněme větou typu „Windows jsou stejně děravé jako cedník, takže si je nakonec můžete konfigurovat, jak chcete, a pořád budou k ničemu“...
To je podle mě ale zásadní zjednodušení a především nepochopení problematiky. Trend pak totiž zdá se směřuje k tomu, přimět podobnými výroky k používání Linuxu i takové lidi, kteří o tomto OS neví v podstatě vůbec nic. Nicméně přečtou si porůznu právě X podobně zasvěcených názorů po sobě, nechají se jimi nakonec zlomit a Linux navzdory mizerné úrovni svých vlastních vědomostí instalují. Samozřejmě jen proto, že jim přece opakovaně bylo řečeno o kolik je „bezpečnější“. Což je logicky jedna z nejrychlejších cest do pekla a nemálo rádoby rootů to už poznalo na vlastní kůži.
Z vlastní praxe zde můžu pro porovnání uvést vzpomínku na jisté prvotřídně zabezpečené servery bývalého Českého Telecomu, kdy bylo zmařených pokusů o průnik více než dost a vše přitom bez problémů fungovalo pod produkty Microsoftu. Bezpečnostní politika této společnosti (O2) je mimochodem jedna z „nejtvrdších“, s kterými jsem se doposud v ČR setkal a z pravidel se neslevuje ani ve chvíli, kdy právě enormní nároky na zabezpečení komplikují silně život i samotným zaměstnancům. Což rovněž udělá svoje.
Pamatuji dobře, jak mi byl striktně zamítnut požadavek alespoň omezeného přístupu na servery pro řadové administrátory a těch několik málo lidí co odpovídající přístupy mělo, se ještě muselo zavázat k uhrazení nemalých finančních částek v případě způsobení nějaké chyby vedoucí k narušení chodu projektu. Stejně tak jsem zažil naprosto nevyhovující server s Linuxem, kdy pro správce všechno skončilo čistě u defaultní instalace a dobrého pocitu z používání „nejbezpečnějšího možného OS“.
Jistě, nelze než plně souhlasit s tvrzením, že Linux či BSD disponují mnohem propracovanějšími možnostmi, například co se právě konfigurace týče. Nicméně musíte vědět JAK na ně – a totéž platí i pro Windows. Hlavní rozdíl spočívá zhruba v tom, že abyste s Windows dosáhli alespoň srovnatelné úrovně zabezpečení, je třeba k tomu postahovat nesrovnatelně větší množství různých utilit, patchů atp. Respektive na vlastním OS zůstává jen to, na co je primárně určený a jednotlivé úlohy řeší odpovídající software.
Chápu, že právě toto řešení každému nepřipadá dvakrát praktické a řada příznivců UNIXu z tohoto úhlu pohledu Windows kritizuje zcela oprávněně. Nic se ale nemá přehánět a je dobré vidět dál, než jenom na vlastní dvoreček. Jeden příklad za všechny – jistý člověk nadšeně propagující Linux měl svého času v diskuzi ironické poznámky na konkrétní téma nastavování chmod, obecněji práv pro přístup. Nikdy přitom ale neslyšel/nečetl o věcech jako SetACL, nebo kombinace cacls.exe + vbscript, protože ho to prostě ani nikdy vlastně nezajímalo.
Windows v poslední době
V roce 2003 hodnotil Bill Gates výsledky strategie známé jako Trustworthy Computing, se kterou přišel už o rok dříve. V praxi mj vedla k zastavení vývoje Windows na 10 týdnů, přičemž všichni vývojáři museli podstoupit důkladné školení stran psaní bezpečného kódu a jiných souvisejících věcí. Když k tomu připočítáme ještě náklady na nové metodiky, postupy, etc, dostaneme ucházející částku přes 200 miliónů USD, vynaloženou čistě za účelem dosažení optimálního stavu v daném směru.
Od té doby lze skutečně sledovat jistý posun k lepšímu, kdy současné Visty se na otázky bezpečnosti soustřeďují v některých směrech i více, než by bylo samotným uživatelům milé (narážím na nepopulární UAC). Bohužel, příležitostné pokusy o srovnání různých operačních systémů právě z tohoto úhlu pohledu vesměs končily spíše u propagačních PR článků, kdy zástupci Microsoftu používali - mírně řečeno - nevhodné výroky o „dokonalém zabezpečení“ atp.
I již zmiňovaný článek Jeffa Jonese ale nakonec přesvědčivě ukazuje, že Visty jsou na tom skutečně mnohem lépe, než dříve byly XP. Na konci toho stejného období (6 měsíců) obsahovaly ve srovnání se svým předchůdcem cca třetinu chyb, přičemž jen jedinou lze považovat za vysoce závažnou (u XP byla problematická zejména dvojice CVE-2002-0189 a CVE-2002-0694, kteroužto se pořád nikomu „nechtělo“ opravovat). Šlo o CVE-2007-1535 (nastavování Teredo adresy po připojení k Internetu). Ale dříve než začneme zabíhat do ještě větších podrobností, ruku na srdce – slyšeli jste až doposud vůbec o něčem podobném, nebo jsou pro vás tyto i jim podobné zkratky vlastně zcela neznámé?
Kdo chce kam...
Značně odlišné přístupy k problematice samozřejmě budou mít správci serverů a běžní domácí uživatelé. Jelikož stejně nepředpokládám, že zástupci první zmiňované kategorie čerpají informace právě na svethardware.cz, zaměřím se spíše na kategorii druhou. Nicméně je mi jasné i to, že právě zabezpečení firemních serverů etc je leckdy nesrovnatelně důležitější – a navzdory tomu, mnozí ředitelé/manageři mu věnují naprosté minimum času. Proto se na správu serverů často odkazuji a určitě ještě i mnohokrát odkazovat budu. Je třeba mít na zřeteli, že v této sféře už nejde čistě jen o vaše soukromá data (jejichž eventuální „odhalení“ zase až tolik nebolí), ale často o data kupříkladu stovek až tisíců klientů, která vám v dobré víře svěřují.
Mimochodem... k napsání této série článků jsem se chystal poměrně dlouhou dobu a v mezičase mě stačila bohatě inspirovat celá řada zajímavých příhod. Tak například z jisté společnosti se na mě obrátili s tím, že jim kamsi neustále záhadně unikají informace a to i ty citlivé (v elektronické podobě, samozřejmě). Následně vyšlo najevo, že si sice v zájmu udržení kroku s moderní dobou pořídili virtuální privátní síť, nicméně nikdo už neměl čas pořešit i její zabezpečení. V konečném důsledku vám pak stačilo zkrátka sedět s notebookem venku na schodech a nerušeně odchytávat soubory posílané mezi jednotlivými zaměstnanci, vedením, apod (ano, teď trochu přeháním, ale experty jste k obdobné „průmyslové špionáží“ skutečně být vůbec nemuseli).
Linux vs Windows
Jednou z hlavních výhod Linuxu je minimum tzv „windowsovských virů“ (např typ OneHalf). Spyware a adware také prakticky nemá šanci. To je jistě dobré, jelikož spousta uživatelů má (navzdory celé řadě notoricky známých varování) tendence neustále otvírat prakticky každou e-mailovou přílohu, která se jim jen dostane pod ruku. Nemluvě o klikání na všechny možné i nemožné odkazy pod Internet Explorerem, kterážto bohulibá činnost pak obvykle končí u výjezdu technika, za který klient v konečném výsledku zaplatí i pár tisíc. Přitom by stačilo jen trochu více opatrnosti. Pokud se ale právě e-mailových příloh týče, tak jisté bezpečnostní zásady je nutné pochopitelně dodržovat i pod Linuxem (že by třebas ILOVEOYU.sh i s popisem spuštění?).
Jak jsem již naznačil, společný problém Linuxu i Windows jsou desktopové aplikace. A právě v tomto směru v zásadě vůbec nezáleží na nainstalovaném operačním systému. Používám-li například internetový prohlížeč, jehož verze je dva roky zastaralá, vysloveně na stříbrném táce servíruji případnému útočníkovi cestu do svého počítače. Stejně tak závisí jen a jen na každém z vás, jestli budete ve Windows pracovat zrovna pod administrátorským účtem. I takový detail totiž sám o sobě dokáže velmi ulehčit průnik. Oproti tomu jistá distribuce Ubuntu přišla mimochodem dokonce s defaultním zablokováním inkriminovaného účtu, což samozřejmě značně zmenšuje celkovou míru rizika. Další rozdíl spočívá v rychlosti oprav případných chyb. U open-source to už s přihlédnutím k jeho charakteru zabírá mnohem méně času, takže různí červi a podobná havěť mají posléze i mnohem méně času na šíření do více a více počítačů.
Samostatnou kapitolkou je aktualizace. Záplaty pochopitelně potřebuje jak Linux, tak Windows. U Windows je ovšem potíž s tím, že nemálo lidí stále využívá nelegální instalaci, a proto aktualizaci prostě vypnou. Díky tomu je už za pár měsíců jejich operační systém takřka v katastrofálním stavu. Kromě toho je záplatování u Linuxu i jednoznačně kvalitnější. Dále velký počet linuxových distribucí s sebou jistě nese i jistá negativa, nicméně právě z hlediska bezpečnosti je pozitivem. Vývojářům zákeřných virů to totiž značně komplikuje práci. Eugene Kaspersky nicméně už před časem předpověděl, že jejich počet bude zrovna v případě Linuxu do budoucna razantně stoupat. Zda se ale tato predikce vyplní, na to si ještě nějakou dobu počkáme. Zajímavé informace k této konkrétní problematice každopádně naleznete zde.
Závěr tohoto úvodu do problematiky je tedy asi takovýto. Nejdůležitější roli (bez ohledu na technické aspekty a různá srovnávání) nakonec vždy hraje lidský faktor. U uživatelů UNIXových systémů se obecně vzato už tak nějak automaticky předpokládá, že to jsou povětšinou lidé velmi zkušení, kteří ILOVEOYU.sh prostě ani spustit nezkusí. Jenže open-source čím dál tím více prorůstá i do oblastí, kde se k němu stejně tak snadno dostane řekněme vaše sekretářka. Dále, péče o desktopové aplikace je nesmírně důležitá v rámci Linuxu i v rámci Windows. Nepopírám, že i pokud Linux prostě jen nainstalujete a dál se už o nic moc nestaráte, určitě si alespoň v některých směrech oproti Windows polepšíte. Rozhodně ale nelze mluvit o něčem jako „kvalitním zabezpečení“ vašeho počítače/sítě. K tomu je totiž zapotřebí mnohem více.
