بخشی از مقاله
امنیت در لینوکس
امروزه در دنیایی متکی بر فناوری اطلاعات زندگی میکنیم که هر لحظه به خطر افتادن جریان اطلاعات منجر به بروز خسارت‌های تجاری جبران ناپذیری خواهد شد. امروزه همه به دنبال یک سکوی (Platform) امن‌تر برای اجرای برنامه‌های کاربردی و سرویس‌دهنده‌ها هستند. لینوکس حرف‌های زیادی برای گفتن در سمت امنیت دارد. بسیاری از قابلیت‌های امنیتی که در ویندوز وجود ندارند و یا فقط با اضافه کردن نرم‌افزارهای اضافی قابل دسترسی می‌باشند، بطور درونی و پیش‌گزیده در لینوکس پیاده‌سازی شده‌اند.
لینوکس از ابتدا برای محیط‌های شبکه‌ای و چند کاربره طراحی شده است و همین باعث رعایت مسایل امنیتی از ابتدا در آن شده است، درحالی که ویندوز اینگونه نبوده و درحال حاضر نیز از نظر امنیتی دارای نقاط ضعف فراوانی است. مثلاً یک برنامه‌ی مخرب با استفاده از همین ضعف‌های امنیتی می‌تواند کل سیستم‌عامل را نابود کند، ولی در صورتی که مورد مشابهی در لینوکس وجود داشته باشد، حداکثر به دایرکتوری خانگی کاربر اجرا کننده آسیب خواهد رسید، نه کل سیستم‌عامل.
اینطور نیست که لینوکس فاقد هرگونه اشکال امنیتی باشد، خیر! ولی باز بودن کد منبع آن باعث می‌شود تا بسیاری از اشکالات امنیتی پیش از ایجاد خسارت و در مراحل توسعه و برنامه‌نویسی برنامه برملا شده و رفع شوند. در صورتی که اشکالی نیز در برنامه‌های منتشر شده یافت شود، بدلیل موجود بودن کد منبع سریعاً برطرف می‌گردد. در صورتی که در سیستم‌عامل ویندوز شما باید منتظر مایکروسافت بمانید و بمانید و بمانید. سیستم‌عامل ویندوز دارای اشکالات امنیتی بسیاری است که به راحتی هم کشف نمی‌شوند و هنگامی کشف می‌شوند که خسارات جبران ناپذیری در اثر حمله از طریق آن ضعف‌های امنیتی رخ دهد که امثال آنرا شاهد هستیم.
میتوان ادعا کرد که تقریباً هیچ ویروسی برای لینوکس وجود ندارد و این درحالی است که سالیانه بیش از ۱۰۰۰ ویروس و کرم مختلف برای سیستم‌عامل ویندوز ایجاد می‌شود. این بخاطر عدم گسترده بودن لینوکس نیست، (حدود ۷۰ درصد از سایت‌های وب در جهان بر روی سیستم‌عامل لینوکس و سرویس‌دهنده‌ی وب آپاچی درحال اجرا هستند) بلکه بدلیل وجود حفره‌های امنیتی متعدد ویندوز و سیاست انحصارگرایی مایکروسافت است. یعنی چه؟ مایکروسافت طوری رفتار و سیاست‌گذاری کرده است که مشتریان خود را تنها به محصولات خودش عادت دهد.
بسیاری از کاربران ویندوز از اینترنت اکسپلورر و آتلوک برای مرور وب و پست الکترونیک استفاده می‌کنند. من به عنوان یک ویروس‌نویس، می‌دانم که اگر ویروسی را برای کاربران ویندوز بنویسم، بر روی کامپیوترهای ۹۰ درصد آنها اثر خواهد کرد. چون اکثراً از IE و Outlook استفاده می‌کنند. ولی در لینوکس چطور؟ در لینوکس شما طیف وسیعی از انتخاب و عدم اجبار دارید. من از مرورگر موزیلا استفاده می‌کنم. دوستی دارم که Konqueror را ترجیح میدهد. دیگری از Opera استفاده می‌کند
. من از Kmail استفاده می‌کنم. دوستم از Evolution، دیگری از Pine و بعدی از Mutt و برادرم هم از Mozilla Mail. من فقط می‌توانم برای یکی از اینها ویروس بنویسم چون روی بقیه کار نخواهد کرد و عملاً میزان اثر آن اندک خواهد بود. ضمناً هیچیک از ویروس‌هایی که برای ویندوز نوشته شده‌اند، بر روی لینوکس کار نمی‌کنند.
اولین و برجسته‌ترین تفاوت در اینجاست که سیستمهای مبتنی بر یونیکس به معنای کاملاً واقعی سیستمهایی چند کاربره هستند و برای هرفایل به تنهایی یا یک دایرکتوری میتوان سطوح دسترسی کاربران و گروههای کاربری تعریف کرد و هر کاربر بصورت پیش‌فرض دارای یک محدوده امن اطلاعاتی از فایلهای شخصی خانگی است.
چیزی که در اینجا درباره‌ی کاربران و گروه های کاربری لازم به ذکر است این است که هر کاربر در سیستم یونیکس یک دایرکتوری شخصی به نام home خواهد داشت که کلیه اختیارات دسترسی فایل در آن برای او مجاز بوده و می‌تواند در آن به ایجاد و حذف فایل یا عملیات دیگر بپردازد و هیچیک از کاربران یا گروههای دیگر بجز کاربر ریشه root در حالت عادی و بدون اجازه او نخواهند توانست به اطلاعات او دسترسی یابند. (نکته مهم امنیتی)
در سیستمهای مبتنی بر یونیکس مثل لینوکس هر کاربری که مالک یا ایجادکننده‌ی یک فایل یا دایرکتوری باشد خواهد توانست با تعین سطوح دسترسی فایل یا دایرکتوری مربوطه برای دیگر کاربران یا گروههای کاربری آنان را از امکان خواندن و ایجاد تغییر و یا اجرای فایل اجرایی محروم یا بهره‌مند سازد.
بدیهی است که مجوزهای تعریف شده برای یک گروه کاربری بر روی تمام اعضای آن گروه اعمال شده و هر کاربر عضو آن گروه از تمام مزایا یا محدودیتهای موصوف بهره‌مند خواهدشد.
بطور کلی سه سطح دسترسی برای هر فایل یا دایرکتوری تعریف می‌شود که عبارتست از:
۱ - (Read permission (r یا مجوز خواندن: مجوز خواندن محتوای یک فایل را به یک کاربر میدهد و برای دایرکتوریها امکان لیست کردن محتویات داخل دایرکتوری را برای کاربر فراهم می‌سازد.
۲ – (Write permission (wیا مجوز ایجاد تغییرات: امکان ایجاد تغییرات در محتوای فایلها را به کاربر اهدا می‌کند. برای دایرکتوریها این گرینه امکان ایجاد فایل جدید در دایرکتوری یا حذف فایلهای موجود در آن را برای کاربر مهیا می‌سازد حتی اگر این کاربر یا گروه کاربری مالک یا ایجادکننده‌ی اصلی فایل یا دایرکتوری نباشد.
۳ –( eXecute permission (x یا مجوز اجرا: این مجوز در مورد فایلهای اجرایی امکان اجرای فایل را به یک کاربر میدهد و در مورد یک دایرکتوری این گزینه امکان ورود به داخل دایرکتوری را به کاربر یا گروه خاص میدهد. توجه داشته باشید که این گزینه را با گزینه Read اشتباه نگیرید، چون صرفاً با داشتن مجوز execute و بدون داشتن مجوز read کاربر یا گروه می‌تواند وارد دایرکتوری خاصی شوند ولی امکان خواندن محتویات داخلی آن دایرکتوری بهیچ عنوان برایشان فراهم نخواهد بود.
همیشه ترکیبی از سطوح سه‌گانه مجوزهای فوق‌الذکر قابل استفاده است؛ برای مثال شما در صورت مالکیت یک فایل می‌توانید دسترسی به آنرا صرفاً برای شخص خود تعریف و سایر کاربران و گروهها را ازدیدن یا اجرا و ایجاد تغییر در آن محدود نمایید.
نکته: یک کاربر حتی می‌تواند یک فایل یا دایرکتوری را که مالک و ایجاد کننده‌ی اصلی آن خود اوست برای کاربران دیگر قابل دسترسی و برای خودش غیر قابل دسترسی تعریف کند که به این صورت حتی خودش از کلیه مزایای فایل مربوطه محروم خواهد شد و در آینده هم قادر نخواهد بود تا با ایجاد تغییر مجدداً به آن فایل یا دایرکتوری دسترسی پیدا کند.
در اینجاست که مدیر سیستم یا کاربر ریشه root تنها کسی خواهد بود که بصورت پیش‌گزیده با داشتن کلیه‌ی مجوزهای لازم، شامل خواندن و نوشتن و اجرا، امکان تغییر مالکیت و سطوح دسترسی کاربران و گروهها را داشته و می‌تواند تغییرات لازم را در سیستم اعمال نماید.
ذکر این نکته‌ی بسیار مهم خالی از لطف نیست که حفظ و حراست از اطلاعات حیاتی سیستم مثل کلمه‌ی عبور کاربر ریشه یکی از مهمترین جنبه‌های امنیت سیستمهای مبتنی بر یونیکس می‌باشد.
بیایید تا با ذکر یک مثال در مورد یک فایل و یک دایرکتوری به بررسی موضوع بپردازیم:
در این مثال فرض شده که در مسیر جاری یک فایل به نام a_file و یک دایرکتوری به نام a_directory وجود دارد و با اجرای فرمان ls –l در خط فرمان این اطلاعات بدست آمده است:
$ ls -l
total 1
-rw-r----- 1 mehrdad users 0 Jul 8 14:11 a_file
drwxr-xr-- 2 mohsen users 1024 Jul 8 14:11 a_directory/
نتایج فرمان ls –l را ازچپ به راست بررسی میکنیم:
ستون اول فرمانls –l :
1 - ده کاراکتر اول نشان‌دهنده‌ی نوع فایل و سطوح دسترسی آن است و اولین کاراکتر که در مورد سطر اول ( - ) و در مورد سطر دوم ( d ) می‌باشد، نشان میدهد که مورد موجود در سطر اول یک فایل معمولی و مورد موجود در سطر دوم یک دایرکتوری است.
البته انواع دیگری از فایل وجود دارد که با کاراکتری غیر از ( - ) مشخص می‌گردند و برای مطالعه‌ی بیشتر می‌توانید به مراجع موجود مراجعه کنید. نه کاراکتر بعدی نشان‌دهنده‌ی سطوح دسترسی تعریف شده می‌باشند و به ترتیب هر سه کاراکتر از چپ به راست شامل سطوح دسترسی متعلق به مالک، owner، و سطوح دسترسی گروهها، groups، و سطوح دسترسی برای سایرین،others، خواهد بود.
به عنوان نمونه سه کاراکتر مربوط به owner و groups و others در مورد یک فایل موجود در مثال بالابصورت زیر تعریف شده است:
برای مالک: owner = (r w-) ، یعنی اینکه امکان خواندن r و نوشتن w و اجراکردنx وجود دارد.
برای گروهها( - -group = (r یعنی اینکه امکان خواندن فایل برای کاربران عضو کلیه گروههای کاربری موجود وجود دارد ولی هیچ کابری در گروههای موجود نمی‌تواند فایل را تغییر داده (یا حذف کند) و یا در صورت اجرایی بودن فایل آنرا اجرا نماید.
برای دیگران: others = ( - - - ) سه کاراکتر dash به این معناست که سایر کاربران یعنی آنهایی که در هیچ گروه کاربری موجود تعریف نشده‌اند هیچیک از امکانات دسترسی موجود را نخواهند داشت. (نکته امنیتی مهم)
ستون دوم در فرمان ls -l:
شامل یک شماره‌ی لینک می‌باشد و از این شماره برای تشخیص لینک به یک فایل موجود در چند نقطه سیستم استفاده می‌شود. در مورد دایرکتوریها این شماره معانی زیاد دیگری دارد که در اینجا مجال پرداختن به همه آنها نخواهد بود.
ستون سوم در فرمان ls -l:
این ستون نمایش‌دهنده‌ی نام مالک فایل و نام گروه مالک آن می‌باشد.
ستون چهارم در فرمان ls -l:
این ستون نمایش‌دهنده‌ی اندازه و حجم فایل یا دایرکتوری و تاریخ و ساعت آخرین تغییرات اعمال‌شده بر آن و در نهایت ستون پنجم نتایج فرمان ls -l شامل نام فایل یا دایرکتوری می‌باشد.
نکته: بدیهی است که (rwx) به معنای تعریف حداکثر سطح دسترسی برای کاربر یا گروههای کاربری است و ( - - - ) به معنای عدم امکان دسترسی به فایل یا دایرکتوری می‌باشد.
چند نکته‌ی مهم در مورد یونیکس و لینوکس:
اسامی فایلها در یونیکس و لینوکس می‌توانند شامل هر نوع کاراکتری حتی کاراکترهای ascii بجز صفر و / باشند. همانطوریکه می‌دانید در سیستمهای مبتنی بر یونیکس بر خلاف ویندوز هر فایل حتماً نیاز به داشتن پسوند سه حرفی مشخص کننده نوع فایل ندارد و قابلیتها و نوع فایلهای بدون پسوند یا extension کاملاً وابسته به محتویات فایل است و نه به پسوند آن.
بدیهی است که کاراکتر ( . ) جداکننده‌ی نام فایل و پسوند آن در ویندوز در محیط یونیکس و گنو/لینوکس یک کاراکتر از کاراکترهای تشکیل‌دهنده‌ی نام فایل محسوب می‌گردد. و نکته ظریف اینجاست که در سیستمهای مبتنی بر یونیکس کلیه‌ی فایلها و دایرکتوریهایی که با کاراکتر نقطه یا دات ( . ) آغاز گردند فایلها یا دایرکتوریهای پنهان hidden محسوب می‌گردند.
توجه داشته باشید که چون برخی برنامه‌های گرافیکی مثلاً برنامه openoffice کماکان از پسوند نام فایل برای ذخیره‌سازی و تشخیص نوع فایل بهره می‌برند گاهی لازم است پسوند فایلهای ایجاد شده توسط این برنامه‌های کاربردی حفظ گردد تا برنامه موصوف در شناسایی نوع فایل دچار مشکل نشود.
نکاتی در مورد امنیت در لینوکس
هنگامی‌که مشغول تنظیمات سیستم خود هستید، باید حدس نیز بزنید که چه کسی ممکن است بتواند به سیستم شما دسترسی پیدا کند. شما مطمیناً می‌توانید به برنامه‌هایی، به صورت رایگان، دسترسی داشته باشید و افراد دید متفاوتی نیز به شما داشته باشند، اما اگر فردی با تجربه‌ای بیشتر از شما داشته باشد، یک حفره‌ی امنیتی واضح خواهد دید که تا جایی که بتواند از آن بهره‌برداری می‌نماید؛ بنابراین برای این فرد مشکلی پیش نخواهد آمد بلکه در این میان شما ضرر کرده‌اید.
لینوکس/یونیکس یک سیستم عامل با قابلیت پیکربندی و انعطاف بالا می‌باشد که اگر حفره‌‌ای در آن پیدا شود، به راحتی ناپدید خواهد شد. کافیست از راهبر سیستم کمک بگیرید. غالب توزیع‌های لینوکس قبل از اتصال به اینترنت و استفاده از آنها در شبکه، نیاز به پیکربندی‌هایی دارند. من، شخصاً، نمی‌توانم تمام فایلهایی را، که ممکن است نیاز به ویرایش آنها داشته باشید، فهرست کنم؛ اما اگر از فایلهای Startup (یا لینک‌های ردهت و دبیان) استفاده‌ای نمی‌کنیم، آنها را باید حذف نماییم؛ اگر از این فایلها چیزی نمی‌فهمید، /etc/inetd.conf نقطه‌ای دیگر برای شروع می‌باشد، بلافاصله اتصالات شبکه را حذف نموده و صفحه‌ی راهنمای آن را بخوانید.
یک لیست اولیه از مواردی که باید چک شوند، عبارت است از: time، echo، nfs*، telnet*، smb (netbois)، ftp، login، pop3، nntp، tftp*، netstat، finger، http و ... (* فایلها، پروتکل‌های محبوب و عمومی هستند، اما می‌توانند از نظر امنیتی بسیار ضعیف باشند)، اگر در شبکه هستید و خیالتان از این نظر راحت نیست، از راهبران سیستم بپرسید، آنها مطمئناً تجربیات بیشتری در این زمینه دارند و می‌دانند که از چه چیزی باید استفاده کنید و چه چیزهایی را نباید بکار ببرید.
تا این مرحله به سراغ شبکه رفته‌اید و سرویس‌های غیرضروری را حذف کرده‌اید؛ اکنون فایلهای پیکربندی‌تان را restart کنید (حال shutdown کنید، سپس با root وارد سیستم شوید و سپس با دستور init 3 وارد مود 3 شوید یا Restart کنید.)؛ اکنون شما یاد گرفته‌اید که پروتکل‌ها چگونه کار می‌کنند، به چه فایلهایی دسترسی دارند، و از کنار کدام حفره‌های امنیتی، به سلامت، گذشته‌اند؛
به عنوان مثال اگر افرادی دارید که فقط از ویندوز برای اشتراک درایوها استفاده می‌کنند، می‌توانید آنها را در گروهی قرار دهید که امکان سرویس telnet و ftp را نداشته باشند (برای مثال).
اضافه‌کردن کاربر جدید هرگز نباید آنطور که به نظر می‌آید راحت باشد، مگر اینکه شما به فرد مورد نظر اعتماد کامل داشته باشید؛ به عنوان مثال، یک گروه ‘smb’ روی سیستم‌ام برای کاربران سمبا دارم، و این کاربران به سرویس‌های telnet و ftp دسترسی ندارند. بنابراین هنگامی‌که با افرادی خارج از مجموعه شخصی خودتان کار می‌کنید، طبق برنامه‌ای که طرح‌ریزی کرده‌اید دسترسیها، سرویس‌ها و محدودیتهای این گروهها را تعیین نمایید.
