LINUX.ORG.RU

Работа с файлами полученными из ненадежных источников в openbsd

 , ,


0

2

Добрый день уважаемые участники сообщества.

Сразу хочу обозначить, я являюсь т.н. «ламером» в работе с linux, bsd, моих умений хватает на то, чтобы установить ОС по гайду, работать с пакетами, в т.ч. на VPS, базовыми командами в системе.

По сфере своей деятельности я работаю с большим количеством конфиденциальной информации которая приходит по электронной почте, и были утечки по моей вине из за неправильной настройки окружения и работы с файлами. (Хотя я всегда проверяю ссылки по которым прохожу и у меня есть подозрения что утечки были из за того, что в некоторые документы получаемые мной по электронной почте были встроены эксплойты которые позволили злоумышленнику получить доступ к моему пк). Я собираюсь переводить свой рабочий ноутбук на OpenBSD, (прошу не устраивать холиваров на тему ОС) уже оттестил работу с ней на виртуальной машине, и у меня возник вопрос как наиболее безопасно работать с файлами. Файлы в моем случае это офисные документы, изображения. На текущий момент моих знаний хватает на 3 сценария:

1. Работа с файлами непосредственно в системе. LibreOffice, GIMP, просмотрщик изображений, редактор текстовых документов. На мой взгляд нежелательный сценарий, опасность в том, что файлы имеют непосредственный доступ к ОС.

2. Интеграция почтового сервера в nextcloud, порты открыты только для почтового сервера (для работы с почтой через плагин) и моего VPN (я работаю в сети через VPN). Работа с файлами в офисном окружении nextcloud через плагины nextcloud осуществляется в браузере OpenBSD. Здесь преимущество в том, что файлы не имеют доступа к моей основной ОС, но насколько хватает моей компетентности, взломщик может получить доступ на мою ОС или сервер nextcloud через браузер когда я открою в нем файл.

3. Работа с файлами на VPS Windows (например). Порты открываем только для доступа к серверу nextcloud, почтового сервера и моего VPN. Файлы загружаем из nextcloud и открываем в обычном MS Office. На мой вгляд предпочтительный сценарий, вредоносный код не покидает пределов VPS.

Прошу по возможности с серьезностью отнестись к моему вопросу и благодарю за обратную связь.


Так что спросить-то хотел?

были утечки по моей вине из за неправильной настройки окружения и работы с файлами

Что, и расследование проводилось?
Что показал аудит?
На чём зиждется уверенность в указанных причинах утечек?

Обвинение в утечке - это очень серьёзно, если речь идёт о действительно конфиденциальных данных, а не о корпоративном провокационном трёпе на тему #мыкаманда любви и дружбы.

OpenBSD

1. Кто дал санкцию на использование опёнка?
2.Почему именно опёнок?

взломщик может получить

Может. И поэтому нужно использовать комплекс методов, включая PGP-шифрование, избегая, где это возможно, неконтролируемых лично «облаков».

rht ★★★★★ ()
Ответ на: комментарий от rht

Вопрос в том, как правильно работать с файлами, чтобы не дать зловреду просочиться к другим файлам или к коду ОС/процессора. Я описал 3 сценария работы, с их недостатками, какими их вижу я. Работа с файлами на разных пк (на одном почта, на другом без доступа к интернету смотрим файлы и т.д.) не подходит, потому что ноут выездной.

Расследование не проводилось, это мои предположения. (знаю, что могу с ними подальше пойти)

Опенок понравился своим манифестом о безопасности, то, что сама основа этой ОС и сообщества работающее с кодом опенка ориентировано на безопасность. Возможно глупо доверяться что в ней нет 0day уязвимостей, но сообщество ОС уменьшает код и проверяет его на наличие бекдоров, повторюсь, потому что ориентированность на безопасность это основа опенка.

PGP шифрование использовать могу с весьма ограниченным кругом лиц, и уверенности в том, что кто-то из них не может заслать троянского коня нету. Облака контролируются дома.

gaje ()
Ответ на: комментарий от gaje

Понятно. Я подумаю и отпишусь.

Непосредственно ИБ не занимаюсь, но есть некий прошлый опыт времён Windows NT 4.0, который время от времени сублимирую в настоящем. Как бы неформальная обязанность такая, взятая на себя.

биржи по продаже и базы этих эксплойтов

Тоже смотрю время от времени. Чтобы быть в тренде.

rht ★★★★★ ()

Ставьте Qubes и работайте с файлами из изолированных от сети и друг от друга контейнеров. Тогда даже если удастся сделать эксплоит и захватить целую виртуальную машину, дальше придётся сбежать ещё и из виртуальной машины, а это куда сложнее (хотя теоретически возможно).

anonymous ()
Ответ на: комментарий от anonymous

Qubes основан на Linux Fedora + XEN виртуализация. Выходит, злоумышленник получает все возможности для атаки на дистрибутив Fedora, ядро linux на котором он основан и XEN. Плодя кубы мы увеличиваем код в коде что так же увеличивает возможности для атаки. Это то, как ситуацию вижу я, было бы хорошо если компетентный специалист напишет свое мнение по поводу Qubes.

gaje ()
Ответ на: комментарий от gaje

Расследование не проводилось, это мои предположения. (знаю, что могу с ними подальше пойти)

Они на чем-то основаны или просто не пришло больше ничего в голову?

А вообще в таких случаях надо начинать хотя бы со стоимости утечки. Какая максимальная сумма была бы еще рентабельной для оплаты целенаправленной атаки на ваши данные? Понятно, оценка очень приблизительная и не учитывает, что у атакующего могут быть готовые наработки, применимые много к кому, но все же.

Просто, начиная с некоторой суммы, условно с пары-тройки лямов, уже можно опасаться «чудес», с которыми обычные пользователи не сталкиваются, вроде фейковой базовой станции для перехвата аутентификации через sms, mitm силами провайдера, аппаратных закладок и т.д.

praseodim ★★☆ ()
Последнее исправление: praseodim (всего исправлений: 4)
Ответ на: комментарий от praseodim

Больше ничего не пришло в голову, т.к. там где украли файлы браузер не использовался, только почта и офисное окружение.

Да, все это имеет место быть. Если не вдаваться в подробности, я работаю с платежными поручениями очень обеспеченных людей, все что вы описали - актуально (по крайней мере я слышал среди коллег). От аппаратных закладок я выбрал ноутбук от Tehnoetic. Конечно 100% защита может быть только если ты сам контролируешь весь процесс сборки комплектующих, но я это сделать не могу, а эти ребята рекомендованы фондом открытого программного обеспечения и заявляют свою продукцию как «избавленную от аппаратных закладок».

gaje ()
Ответ на: комментарий от gaje

Qubes основан на Linux Fedora + XEN виртуализация

Fedora - только одна из возможных начинок контейнера.

Выходит, злоумышленник получает все возможности для атаки на дистрибутив Fedora, ядро linux на котором он основан и XEN.

Да, но благодаря Security by Compartmentalization/Isolation атаки на большую часть кода оказываются ограничены контейнером, в котором код запущен, в отличие от всех остальных десктопных ОС (контейнеры есть только в Android, iOS и UWP), где программа имеет все права пользователя, от которого запущена. По-настоящему критичного кода в нашем сценарии получается совсем мало (куда меньше, чем полный набор софта, который Вы планировали запускать под OpenBSD).

компетентный специалист напишет свое мнение по поводу Qubes

https://www.qubes-os.org/faq/#general--security и далее по ссылкам. Не ленитесь, почитайте Рутковскую.

anonymous ()
Ответ на: комментарий от gaje

Расследование не проводилось, это мои предположения.

Осторожней нужно быть в желаниях.

Случай из моей практики.
Совещание. Проводит его зам генерального куста. Я не присутствовал, слишком мелка моя должность, но о содержательной стороне был в курсе. Кроме собственно инженерии я исполнял неформальные обязанности некоего подобия личного аналитика директора фирмы, входившей в куст. Он был классным мужиком, поэтому я ему помогал, можно и так сказать. Денег это не приносило, но были некие послабления в плане субординации и более свободного распоряжения рабочим временем. Но была и нагрузка в плане внеурочных и оперативных задач. Собсна, мне даже в кайф было. Водку мы с ним не пили, в перспективных зятьях не числился, и по плечу я его не хлопал, но было нечто иное, трудно в двух словах объяснить. Формально, во-первых, востребованность - это то, что меня всегда привлекало. А во-вторых, находиться в постоянной готовности - это тоже стимул.

Через день просматриваю я газеты (это тоже входило в мои обязанности) и читаю статью о неких бизнес-стратегиях, в которой чёрным по белому проскакивала информация из совещания. Детали не указывались, но и без них было понятно, о чём идёт речь.

У меня аж спина потом покрылась =) Утечка от меня исключалась. От директора - тоже. Следовательно, организатором утечки был кто-то, кто присутствовал на совещании, или же имел доступ к помещению для установки неких технических средств съёма и контроля информации.
Но больше всего я боялся, что для сокрытия истинного организатора утечки мишенью сделают меня или директора, поскольку о наших отношениях знали многие, в том числе генеральный, который имел на меня личный зуб (то отдельная история). То есть, что я неформально работал на директора, не знал никто, кроме нас двоих, а что я часто заходил к нему в кабинет и разъезжал на его служебном авто - многие. И могли это использовать.

Это я к тому так подробно, что ты вот пишешь «по моей вине», а вопрос-то не шуточный и не пустяковый.

rht ★★★★★ ()
Последнее исправление: rht (всего исправлений: 1)
Ответ на: комментарий от gaje

В общем, из топика мало понятен «масштаб трагедии», поэтому рекомендации общие.

Базовая ОСь - любая. Хоть икспи. Виртуалка и контейнеры. То, что ноут «разъездной», сразу ставит огромный знак вопроса. В таких условиях обеспечение ИБ превращается в перманентный геморрой.

rht ★★★★★ ()
Ответ на: комментарий от gaje

Интересная история

В 90-е все выживали как могли. Криминала, с моей стороны уж наверняка, никакого не было, но бандиты вокруг были, самые настоящие.

virtualbox на ноуте или VPS

Это вы сами должны решать. Ведь должны же у вас быть некие стандарты безопасности, что-ли. В коммерции они есть, в госорганах, на производстве... Даже на личном локалхосте.

Если вы действительно работаете с конфиденциальной информацией, вы должны сесть и сами там решить, выработать систему работы. Далеко не всякая информация нуждается в охранении. И от этого уже плясать. А то из топика создаются противоречивые впечатления.

rht ★★★★★ ()
Ответ на: комментарий от gaje

только почта и офисное окружение

Какие форматы файлов используются в работе?
все файлы MS Office, PDF, многие другие могут выполнять вредоносный код.
Просто изучите эти форматы и программы для их просмотра без выполнения кода, настройте политики безопасности.
Работайте, как сказали, в изолированном контейнере, на шифрованном разделе с фразой-паролем.
Никаких скриптованных почтовых клиентов. Браузер по умолчанию - какой-нибудь dillo, чтобы посмотреть,что пришло. Если выглядит безопасно - открывайте в нормальном. И т.п.

Shadow ★★★★★ ()