Linux Security Guide

L i n u xS e c u r i t yG u i d e B yD e l t aS p e c t r e 1 .K e e py o u rs y s t e mu p t od a t e I t ' si m p o r t a n tt h a ta l lp a c k a g e ss t a yu p t o d a t ef o rs e c u r i t y p u r p o s e s-A no u t d a t e dp a c k a g em i g h tc o n t a i nb u g so re x p l o i t s .

‣

1 . 1 )U p d a t et h eP a c k a g eL i s t s : s u d oa p t g e tu p d a t e #T h i sc o m m a n du p d a t e st h el i s to fa v a i l a b l ep a c k a g e sa n dt h e i r v e r s i o n s ,b u ti td o e sn o ti n s t a l lo ru p g r a d ea n yp a c k a g e s .I ti s i m p o r t a n tt ok e e pt h ep a c k a g el i s tu p t od a t ea sw e l l . 1 . 2 )U p g r a d e : s u d oa p t g e tu p g r a d e s u d oa p t g e td i s t u p g r a d e #U p g r a d em e a n si tw i l lu p g r a d ep a c k a g e s #d i s t u p g r a d em e a n si tw i l lu p g r a d et h eb a s eo p e r a t i n gs y s t e m #Y o us h o u da l w a y sr u nb o t hc o m m a n d s-t h e ya r ee q u a l l yi m p o r t a n t ! 1 . 3 )W a r n i n g !N e v e ri n s t a l lu n s i g n e dp a c k a g e s ! I fam e s s a g el i k et h i sa p p e a r s : W A R N I N G :T h ef o l l o w i n gp a c k a g e sc a n n o tb ea u t h e n t i c a t e d ! i c e d o v e I n s t a l lt h e s ep a c k a g e sw i t h o u tv e r i f i c a t i o n[ y / N ] ? T h e nd o n ' tp r o c e e d !P r e s sNa n d< e n t e r > .R u n n i n ga p t g e tu p d a t e a g a i ns h o u l df i xi t .I fn o t ,s o m e t h i n gi sb r o k e no ri ti sam a n i n t h e m i d d l ea t t a c k . 1 . 4 )R e s t a r ts e r v i c e sa f t e ru p g r a d i n g I t ' sn op o i n ti nu p g r a d i n gy o u rs y s t e m ,b u tn o tr e s t a r t i n g s e r v i c e s-t h eu p d a t e sw i l lo n l ya p p l ya f t e rt h es e r v i c e sa r e r e s t a r t e d .T h em o s tc o m m o n( b u th a r d e s t )w a yi st or e b o o ty o u r e n t i r es y s t e m . O rb yu s i n gn e e d r e s t a r t :N e e d r e s t a r tw i l lw a r ny o ua b o u to u t d a t e d p r o c e s s e s-i tw i l le v e nr e s t a r ts a i ds e r v i c e s : #I n s t a l ln e e d r e s t a r t s u d oa p t g e tu p d a t e

s u d oa p t g e ti n s t a l ln e e d r e s t a r t #N e e d r e s t a r tw i l la u t o m a t i c a l l yi n i t i a t ea f t e ri n s t a l l i n go r u p g r a d i n gp a c k a g e s ,b u ti tc a na l s ob em a n u a l ys t a r t e d : s u d on e e d r e s t a r t K e e pi nm i n dt h a tu p g r a d i n go rm o d i f y i n gt h ek e r n e lw i l lr e q u i r ea f u l ls y s t e mr e b o o t !   2 .H a r d e n i n g( s e c u r i t yb yi s o l a t i o n )

‣

2 . 1 )A p p A r m o r A p p A r m o ri saM a n d a t o r yA c c e s sC o n t r o lf r a m e w o r k .W h e ne n a b l e d , A p p A r m o rc o n f i n e sp r o g r a m sa c c o r d i n gt oas e to fr u l e st h a t s p e c i f yw h a tf i l e sag i v e np r o g r a mc a na c c e s s .T h i sp r o a c t i v e a p p r o a c hh e l p sp r o t e c tt h es y s t e ma g a i n s tb o t hk n o w na n du n k n o w n v u l n e r a b i l i t i e s . A p p A r m o rp r o v i d e san u m b e ro fa d v a n t a g e s : -I tp r o t e c t st h eo p e r a t i n gs y s t e ma n da p p l i c a t i o n sf r o me x t e r n a l o ri n t e r n a lt h r e a t s ,i n c l u d i n gz e r o d a ya t t a c k s . -" G o o db e h a v i o r "i se n f o r c e da n di tm i t i g a t e se x p l o i t sv i a u n k n o w na p p l i c a t i o nf l a w s . -A p p A r m o rs e c u r i t yp o l i c i e sd e f i n et h es y s t e mr e s o u r c e st h a t i n d i v i d u a la p p l i c a t i o n sc a na c c e s s ,a n dw i t hw h a tp r i v i l e g e s .F o r i n s t a n c e : -N e t w o r ka c c e s s . -R a ws o c k e ta c c e s s . -R e a d ,w r i t eo re x e c u t ef i l ep e r m i s s i o n so ns p e c i f i cp a t h s . B yd e f a u l t ,A p p A r m o rw i l lp r o t e c ts o f t w a r el i k e :T o r ,T o r B r o w s e r ,P i d g i n( c h a tc l i e n t ) ,T h u n d e r b i r d( e m a i lc l i e n t ) , E v i n c e( p d fv i e w e r ) ,T o t e m( v i d e op l a y e r )a n dm a n ym o r e . #I n s t a l lA p p A r m o ra n de x t r aA p p A r m o rp r o f i l e s : s u d oa p t g e tu p d a t e s u d oa p t g e ti n s t a l la p p a r m o ra p p a r m o r p r o f i l e sa p p a r m o r p r o f i l e s e x t r a #A p p l yA p p A r m o r : s u d on a n o/ e t c / d e f a u l t / g r u b C h a n g e :G R U B _ C M D L I N E _ L I N U X _ D E F A U L T = " q u i e t " I n t o :G R U B _ C M D L I N E _ L I N U X _ D E F A U L T = " q u i e ta p p a r m o r = 1 s e c u r i t y = a p p a r m o r " #U p d a t eG R U B&r e b o o ts y s t e m :

s u d ou p d a t e g r u b s u d or e b o o t 2 . 2 )S e c c o m p S e c c o m ps t a n d sf o rs e c u r ec o m p u t i n gm o d e .I ti sas i m p l e s a n d b o x i n gt o o li nt h eL i n u xk e r n e l ,a v a i l a b l es i n c eL i n u x v e r s i o n2 . 6 . 1 2 .W h e ne n a b l i n gs e c c o m p ,t h ep r o c e s se n t e r sa " s e c u r em o d e "w h e r eav e r ys m a l ln u m b e ro fs y s t e mc a l l sa r e a v a i l a b l e( e x i t ( ) ,r e a d ( ) ,w r i t e ( ) ,s i g r e t u r n ( ) ) .W r i t i n gc o d e t ow o r ki nt h i se n v i r o n m e n ti sd i f f i c u l t ;f o re x a m p l e ,d y n a m i c  m e m o r ya l l o c a t i o n( u s i n gb r k ( )o rm m a p ( ) ,e i t h e rd i r e c t l yo rt o i m p l e m e n tm a l l o c ( ) )i sn o tp o s s i b l e . S t r o n g l yc o n s i d e re n a b l i n gs e c c o m p ,s i n c ei ti sv e r ye a s i l y a p p l i e da n dp r o v i d e sa d d i t i o n a ls a n d b o x i n gp r o t e c t i o nf o rt h eT o r p r o c e s s . #E d i t/ e t c / t o r / t o r r c : s u d on a n o/ e t c / t o r / t o r r c #A d dt h i sl i n e : S a n d b o x1 #T h e nr e s t a r tT o r : s u d os e r v i c et o rr e s t a r t 2 . 3 )F i r e j a i l F i r e j a i li saS U I Dp r o g r a mt h a tr e d u c e st h er i s ko fs e c u r i t y b r e a c h e sb yr e s t r i c t i n gt h er u n n i n ge n v i r o n m e n to fu n t r u s t e d a p p l i c a t i o n su s i n gL i n u xn a m e s p a c e sa n ds e c c o m p b p f .I ta l l o w sa p r o c e s sa n da l li t sd e s c e n d a n t st oh a v et h e i ro w np r i v a t ev i e wo f t h eg l o b a l l ys h a r e dk e r n e lr e s o u r c e s ,s u c ha st h en e t w o r ks t a c k , p r o c e s st a b l e ,m o u n tt a b l e .W r i t t e ni nCw i t hv i r t u a l l yn o d e p e n d e n c i e s ,t h es o f t w a r er u n so na n yL i n u xc o m p u t e rw i t ha3 . x k e r n e lv e r s i o no rn e w e r .T h es a n d b o xi sl i g h t w e i g h t ,t h eo v e r h e a d i sl o w .T h e r ea r en oc o m p l i c a t e dc o n f i g u r a t i o nf i l e st oe d i t ,n o s o c k e tc o n n e c t i o n so p e n ,n od a e m o n sr u n n i n gi nt h eb a c k g r o u n d . A l ls e c u r i t yf e a t u r e sa r ei m p l e m e n t e dd i r e c t l yi nL i n u xk e r n e l a n da v a i l a b l eo na n yL i n u xc o m p u t e r . #I n s t a l lF i r e j a i l : s u d oa p t g e tu p d a t e s u d oa p t g e ti n s t a l lf i r e j a i l #H o wt ou s eF i r e j a i l :

I fIw a n tt oF i r e j a i lF i r e f o xIm a n u a l l yr u nt h i sc o m m a n di n t e r m i n a l : f i r e j a i lf i r e f o x #Y o uc a na l s oa u t o m a t i c a l l yr u na p p l i c a t i o n sw i t hF i r e j a i l . D e p e n d i n go ny o u rd e s k t o pe n v i r o n m e n t . #Ir u nG N O M Es oIw i l li n s t a l lA l a c a r t e : s u d oa p t g e ti n s t a l la l a c a r t eg n o m e m e n u s #I fy o ur u nX F C E : s u d oa p t g e ti n s t a l lm e n u l i b r e #O rK D E : s u d oa p t g e ti n s t a l lk m e n u e d i t #F i n dt h ea p p r o p i a t ea p p l i c a t i o na n da d df i r e j a i lt ot h ef r o n t . #F o re x a m p l e : f i r e f o x e s r% U f i r e j a i lf i r e f o x e s r % U   3 .N e t w o r k i n g

‣

3 . 1 )F i r e w a l l( u f w )  U n c o m p l i c a t e dF i r e w a l l( U F W )i saf r o n t e n df o ri p t a b l e s . i p t a b l e si saf i r e w a l lt h a tr u n si n s i d et h eL i n u xk e r n e l . #I n s t a l lU F W : s u d oa p t g e tu p d a t e s u d oa p t g e ti n s t a l lu f w #D e l e t ep r e v i o u sU F W/i p t a b l e sc h a i n s : s u d oi p t a b l e sF s u d oi p t a b l e sX #E n a b l eU F W : s u d ou f we n a b l e #B l o c ka l lc o n n e c t i o n s : s u d ou f wd e f a u l td e n yi n c o m i n g s u d ou f wd e f a u l td e n yo u t g o i n g s u d ou f wd e f a u l td e n yf o r w a r d

#W h i t e l i s tp o r t so fc h o i c e-Iw i l la l l o wD N S( p o r t5 3 ) ,T o r( p o r t 9 0 0 1 ,9 0 3 0 ,9 0 5 0 ) ,T o rB r o w s e r( p o r t9 1 5 0 ) ,H T T P( p o r t8 0 )a n d H T T P S( p o r t4 4 3 ) . #A c c o r da d j u s t i n g l y .L i s to fc o m m o n l yu s e dp o r t sc a nb ef o u n d h e r e s u d ou f wa l l o w5 3 s u d ou f wa l l o w9 0 0 1 / t c p s u d ou f wa l l o w9 0 3 0 / t c p s u d ou f wa l l o w9 0 5 0 / t c p s u d ou f wa l l o w9 1 5 0 / t c p s u d ou f wa l l o w8 0 / t c p s u d ou f wa l l o w4 4 3 / t c p #C h e c kt h es t a t u so fU F W : s u d ou f ws t a t u sv e r b o s e 3 . 2 )M A CS p o o f i n g( m a c c h a n g e r ) #I n s t a l lm a c c h a n g e r : s u d oa p t g e tu p d a t e s u d oa p t g e ti n s t a l lm a c c h a n g e r #I fy o uw a n taG U I : s u d oa p t g e tu p d a t e s u d oa p t g e ti n s t a l lm a c c h a n g e r g t k #S p o o fM A CA d r e s s : # #D i s c o n n e c tf r o mt h ei n t e r n e t # #M yn e t w o r ki n t e r f a c ei se n p 2 s 0 .A c c o r da d j u s t i n g l y . s u d om a c c h a n g e rre n p 2 s 0 # #R e c o n n e c tt ot h ei n t e r n e t # #V e r i f ym a c c h a n g e ri sw o r k i n gp r o p e r l y s u d om a c c h a n g e rs h o we n p 2 s 0 3 . 3 )I P v 4/I P v 6 T o rd o e sn o ty e ts u p p o r tI P v 6s ow ew i l ld i s a b l ei t : #E d i ts y s c t lf i l e : s u d on a n o/ e t c / s y s c t l . c o n f #A d dt h e s el i n e s : n e t . i p v 6 . c o n f . a l l . d i s a b l e _ i p v 6=1 n e t . i p v 6 . c o n f . d e f a u l t . d i s a b l e _ i p v 6=1

n e t . i p v 6 . c o n f . l o . d i s a b l e _ i p v 6=1 n e t . i p v 6 . c o n f . e n p 2 s 0 . d i s a b l e _ i p v 6=1 #A l s ob es u r et oa d de x t r al i n e sf o ro t h e rn e t w o r ki n t e r f a c e sy o u w a n tt od i s a b l eI P v 6 . 3 . 4 )M i T M A t t a c k s( a n dh o wt op r o t e c ty o u r s e l f ) B yd e f a u l t ,a l lO p e r a t i n gS y s t e m sa c c e p tI C M Pr e d i r e c t s-t h i s a l l o w ss o m e o n eo ny o u rn e t w o r kt or e d i r e c tD N St ot h e i ro w n s e r v e r s . W ed o n ' tw a n tt h i ss ow ed i s a b l eI C M Pr e d i r e c t s . #E d i ts y s c t lf i l e s u d on a n o/ e t c / s y s c t l . c o n f #A d dt h e s el i n e s : n e t . i p v 4 . c o n f . a l l . a c c e p t _ r e d i r e c t s=0 n e t . i p v 6 . c o n f . a l l . a c c e p t _ r e d i r e c t s=0 3 . 5 )T C PT i m e s t a m p s T C PT i m e s t a m p sl e a k ss y s t e mi n f o r m a t i o nd o w nt ot h em i l l i s e c o n d . L e a k ss y s t e mu p t i m e .A l l o wf i n g e r p r i n t i n go fd e v i c e sb e h i n da r o u t e r .I n c l u d e di ne v e r yT C Pp a c k e t . #D i s a b l ei t : s u d on a n o/ e t c / s y s c t l . c o n f #A d dt h ef o l l o w i n gl i n e : n e t . i p v 4 . t c p _ t i m e s t a m p s=0 #A p p l yc h a n g e s : s u d os y s c t lp 3 . 6 )I C M PT i m e s t a m p s #L e a k sh o s tt i m ei nq u e r yr e p l i e s . #I C M PT i m e s t a m p sa r ea u t o m a t i c c a l yd i s a b l e dw h e nb l o c k i n g i n c o m i n gc o n n e c t i o n s( w eh a v ea l r e a d yd o n et h i s ) . 3 . 7 )N T PL e a k s N T Pi sa na c r o n y mf o rN e t w o r kT i m eP r o t o c o l . N o r m a l l y ,y o u rc o m p u t e r ' st i m ea n dt i m e z o n ei ss e tb yt h e i n t e r n e t .T h i si sb a df o ry o u rs e c u r i t y/p r i v a c y . I n s e c u r et i m es y n c h r o n i z a t i o na n dl e a k i n gt i m ed a t am a k e sa v a r i e t yo fa d v a n c e da t t a c k sp o s s i b l e :

-R e p l a yA t t a c k s : *F e e d i n go l dT o rc o n s e n s u s . *F e e d i n go l d / o u t d a t e d / k n o w nv u l n e r a b l eu p d a t e sa n d( h t t p s ) c e r t i f i c a t e s .C r y p t o g r a p h i cv e r i f i c a t i o nd e p e n d so ns y s t e m c l o c k :Ac l o c kt w oy e a r si np a s tw i l la c c e p t c e r t i f i c a t e s / u p d a t e s ,w h i c hh a v eb e e ne x p i r e d / r e v o k e df o rt w o y e a r s . -R e m o t eD e v i c eF i n g e r p r i n t i n g : C l o c kl e a k sf r o ms o f t w a r eo nt h eh o s ta n dc l o c kl e a k sf r o m a p p l i c a t i o n l e v e lp r o t o c o l so ny o u rc o m p u t e ra l l o wap a s s i v e a d v e r s a r yt oe a s i l yl i n kt h ea n o n y m o u sa n dn o n a n o n y m o u st r a f f i c t ot h es a m em a c h i n e .A c t i v ec l o c ks k e wa t t a c k sc a nt r i v i a l l yb e  m o u n t e dt od e a n o n y m i z eu s e r s . -D e n i a lo fS e r v i c e( D o S / D D o SA t t a c k s ) : T h eU D Pb a s e dN T Pp r o t o c o lc a nb ea b u s e dt os e n dm u c hl a r g e r r e p l i e st h a tc a no v e r w h e l mas y s t e m .T h e s ea r ek n o w na s a m p l i f i c a t i o na t t a c k s -L o c a t i n gO n i o nS e r v i c e s : T i m e r sc a nl e a kd a t aa b o u tC P U .R e l a t e da c t i v i t yd a t at h a tc a n a l l o wd e a n o n y m i z a t i o no fa nO n i o nS e r v i c eu n d e rs o m e( e x t r e m e ) c i r c u m s t a n c e s . -R e m o t eC o d eE x e c u t i o n : N T Pi sab u g g ya n da n c i e n tp r o t o c o l .F l a w si nN T Pc l i e n t sc a nb e r e m o t e l ye x p l o i t e dt og i v ea na t t a c k e rc o n t r o lo v e rt h es y s t e m . T h eu n e n c r y p t e da n du n a u t h e n t i c a t e dn a t u r eo fN T Pm a k e st h i s t r i v i a lf o rn e t w o r ka d v e r s a r i e so fa n ys i z e . #D i s a b l eN T P s u d ot i m e d a t e c t ls e t n t p0 #o r s u d os y s t e m c t ld i s a b l es y s t e m d t i m e s y n c d . s e r v i c e #D e l e t eN T P s u d oa p t g e tp u r g en t p * s u d oa p t g e ta u t o r e m o v e #M a n u a l l yc o n f i g u r et i m e/t i m ez o n e #N o t e :T i m e z o n es h o u l da l w a y sb es e tt oU T C #T i m e z o n e : d a t es e tu t c #Y Y Y Y M M D D : d a t es e t1 9 9 8 1 1 0 2

#H H M M S S d a t es e t2 1 : 0 8 : 0 0 #C l o n es y s t e mt i m et oh a r d w a r ec l o c k h w c l o c ks y s t o h c

  4 .T o r i f y i n gs y s t e m

‣

4 . 1 )R e s o l v ea l lD N St h r o u g hT o r( A v o i dD N SL e a k s/D N SP o i s o n i n g ) #D N Si sh a n d l e dt h r o u g ht h e/ e t c / r e s o l v . c o n ff i l e #B yd e f a u l ty o u rD N Si sa s s i g n e db yy o u rI S P .T or e s o l v ei tt h r o u g h T o r ,d ot h ef o l l o w i n g : #A d dD N S P o r t5 3t ot h e/ e t c / t o r / t o r r cf i l e #T h e nr e s t a r tT o r : s u d os e r v i c et o rr e s t a r t #N o wd e l e t ey o u r/ e t c / r e s o l v . c o n ff i l e : s u d or mr/ e t c / r e s o l v . c o n f #T h e nm a k ean e wo n e : s u d on a n o/ e t c / r e s o l v . c o n f #I ts h o u l dl o o kl i k et h i s : n a m e s e r v e r1 2 7 . 0 . 0 . 1 #R e s t a r ty o u rn e t w o r km a n a g e r( o rs y s t e m )t oa p p l yt h ec h a n g e s . 4 . 2 )O n i o n i z i n gR e p o s i t o r i e s A p tt r a f f i ci sc l e a rw e ba n du n e n c r y p t e d( h t t p )b yd e f a u l t .T o r o u t ea l la p tt r a f f i ct h r o u g hT o rH i d d e nS e r v i c e s : #I n s t a l la p t t r a n s p o r t t o r : s u d oa p t g e tu p d a t e s u d oa p t g e ti n s t a l la p t t r a n s p o r t t o r #E d i ts o u r c e s . l i s t : s u d on a n o/ e t c / a p t / s o u r c e s . l i s t #( t h i si sh o wm yf i l el o o k s( c o p yp a s t ei fy o uw a n tt o ) ) :

# # #d e bc d r o m : [ D e b i a nG N U / L i n u x9 . 0 . 0_ S t r e t c h _-O f f i c i a la m d 6 4 N E T I N S T2 0 1 7 0 6 1 7 1 3 : 0 6 ] /s t r e t c hm a i n # d e bc d r o m : [ D e b i a nG N U / L i n u x9 . 0 . 0_ S t r e t c h _-O f f i c i a la m d 6 4 N E T I N S T2 0 1 7 0 6 1 7 1 3 : 0 6 ] /s t r e t c hm a i n d e bt o r + h t t p : / / v w a k v i i e 2 i e n j x 6 t . o n i o n / d e b i a n /s t r e t c hm a i n # d e bh t t p : / / f t p . u s . d e b i a n . o r g / d e b i a n /s t r e t c hm a i n d e bt o r + h t t p : / / s g v t c a e w 4 b x j d 7 l n . o n i o n / d e b i a n s e c u r i t y s t r e t c h / u p d a t e sm a i n # d e bh t t p : / / s e c u r i t y . d e b i a n . o r g / d e b i a n s e c u r i t y s t r e t c h / u p d a t e sm a i n #s t r e t c h u p d a t e s ,p r e v i o u s l yk n o w na s' v o l a t i l e ' d e bt o r + h t t p : / / v w a k v i i e 2 i e n j x 6 t . o n i o n / d e b i a n /s t r e t c h u p d a t e s  m a i n # d e bh t t p : / / f t p . u s . d e b i a n . o r g / d e b i a n /s t r e t c h u p d a t e sm a i n d e bt o r + h t t p : / / s d s c o q 7 s n q t z n a u u . o n i o n / t o r p r o j e c t . o r gs t r e t c h  m a i n # d e bh t t p : / / d e b . t o r p r o j e c t . o r g / t o r p r o j e c t . o r gs t r e t c hm a i n # # #U p d a t et h ep a c k a g el i s t : s u d oa p t g e tu p d a t e 4 . 3 )R u na n ys o f t w a r et h r o u g hT o rw i t ht o r s o c k s #I n s t a l lt o r s o c k s : s u d oa p t g e tu p d a t e s u d oa p t g e ti n s t a l lt o r s o c k s #H o wt ou s et o r s o c k s t o r s o c k s[ c o m m n a n d ] #F o re x a m p l e ,Iw a n tt or u nE l e c t r u mt h r o u g hT o r( y e sIk n o wy o u c a ns e tp r o x yi nE l e c t r u m ,b u ts t i l l . . . ) : t o r s o c k se l e c t r u m