[inizio] [indice generale] [precedente] [successivo] [indice analitico] [contributi]


222. Misure di sicurezza per l'elaboratore personale senza rete

Anche quando l'elaboratore non è connesso a una rete, potrebbe essere vulnerabile per il solo fatto di essere accessibile fisicamente da parte di altre persone. In questo capitolo vengono raccolte solo alcune note al riguardo.

222.1 Avvio e riavvio

Il primo punto debole di un elaboratore che può essere raggiunto fisicamente da un intruso, sta nella possibilità di essere avviato, o riavviato, in modo da poterne controllare il funzionamento. In pratica, se si esclude la possibilità del furto del disco fisso (che comunque non è poi tanto remota), bisogna impedire che si possa riavviare l'elaboratore attraverso un dischetto o un CD-ROM, perché in questo modo si potrebbe prendere il controllo della macchina e accedere ai dati come si vuole. Questo si impedisce a livello di firmware (il BIOS), definendo una password da inserire ogni volta che si avvia l'elaboratore.

Oltre a questa soluzione che riguarda l'hardware, si potrebbe intervenire ulteriormente anche sul programma che si occupa di avviare il kernel. Nel caso si LILO si può aggiungere la direttiva

password=<password>

con la quale questa password viene chiesta ogni volta che si avvia. Eventualmente, si può aggiungere la direttiva

restricted

per fare in modo che questa password venga richiesta solo quando si aggiunge un comando di avvio. Evidentemente, se si interviene in questo modo, bisogna considerare i permessi del file di configurazione `/etc/lilo.conf': se si vuole evitare che gli utenti comuni possano leggerlo, basta togliere tutti i permessi per il gruppo proprietario e per tutti gli altri utenti.

chmod 0600 /etc/lilo.conf

È bene tenere presente che la direttiva `password' può essere utilizzata prima delle sezioni che si riferiscono alle varie immagini, ovvero nella parte delle opzioni globali, oppure può essere collocata all'interno di una di queste sezioni. Nel primo caso la password viene chiesta sempre, mentre nel secondo viene chiesta solo alla selezione di un'immagine determinata. Lo stesso ragionamento vale per la direttiva `restricted'.

Il riavvio dell'elaboratore potrebbe essere un altro problema da considerare. Di certo, se c'è un accesso fisico alla macchina da parte del solito ignoto, è difficile impedire che questo possa spegnere e riaccendere l'elaboratore, tuttavia gli può essere impedito di utilizzare la nota combinazione [Ctrl+Alt+Canc]. Per questo basta modificare il file `/etc/inittab', dove di solito si trova un record simile a quello seguente:

# What to do when CTRL-ALT-DEL is pressed.
ca:12345:ctrlaltdel:/sbin/shutdown -t1 -a -r now

Per impedirlo, basta modificare il comando abbinato alla combinazione. Si osservi la modifica seguente, in cui il record originale è stato conservato all'interno di un commento:

# What to do when CTRL-ALT-DEL is pressed.
#ca:12345:ctrlaltdel:/sbin/shutdown -t1 -a -r now
ca:12345:ctrlaltdel:/bin/echo "La combinazione Ctrl+Alt+Canc è disabilitata"

222.2 Protezione del terminale e della console

Se quello che si utilizza è un terminale seriale, o un terminale remoto, la cosa migliore da fare per proteggere il proprio lavoro mentre ci si allontana è quello di chiudere la sessione di lavoro. Se si avviano dei processi sullo sfondo è bene prevedere in anticipo questo fatto, avviandoli attraverso `nohup' ( 31.4.3), oppure si può utilizzare Screen ( 35.5).

Se si utilizza una console, dal momento che è molto probabile che si stiano utilizzando diverse console virtuali simultaneamente, questo tipo di soluzione potrebbe essere un po' troppo complicato. In questi casi si preferisce usare un programma apposito che blocca l'accesso a tutte le console virtuali.

222.2.1 $ lockvc

`lockvc' è un programma molto semplice che fa uso della libreria SVGAlib, e si comporta come un salva-schermo protetto da password. Il suo funzionamento è molto semplice, tanto da riassumersi nello schema sintattico seguente:

lockvc [stars|morph|fudge|fire]

In pratica, l'argomento composto da una parola chiave, stabilisce il tipo di effetto che si vuole visualizzare come salva-schermo, che interviene subito, e blocca tutte le console virtuali.

Quando si preme un tasto alfanumerico, il salva-schermo si interrompe, e viene richiesto l'inserimento della password dell'utente che lo ha avviato (viene specificato di quale utente si tratta); se l'identificazione fallisce il salva-schermo riprende, altrimenti `vlock' termina di funzionare.

222.2.2 $ vlock

vlock [<opzioni>]

`vlock' è un programma ancora più semplice di `lockvc', senza alcuna pretesa di funzionare come salva-schermo, che si limita a bloccare la console virtuale in cui viene avviato, a meno che sia utilizzata l'opzione `-a', con la quale vengono bloccate anche tutte le altre console virtuali.

A differenza di `lockvc', il funzionamento di `vlock' può essere concluso anche con l'inserimento della password dell'utente `root'.

222.3 Protezione del lavoro con X

La protezione del lavoro su una stazione grafica può essere fatta in modo simile a quello che riguarda la console, attraverso programmi che la bloccano, eventualmente attivando un salva-schermo. Tuttavia, esiste un problema in più: per evitare che sia possibile interrompere il funzionamento del servente grafico attraverso la combinazione [Ctrl+Alt+Backspace], occorre la direttiva `DontZap' nella sezione `ServerFlags':

Section "ServerFlags"
    DontZap
    # DontZoom
EndSection

222.3.1 $ xlock

xlock [<opzioni>]

`xlock' è il programma più comune per il blocco di una stazione grafica X. Sono disponibili una grande quantità di opzioni; in particolare l'opzione `-mode' prevede un elenco molto lungo di argomenti composti da una sola parola chiave, che serve a definire il tipo di effetto grafico da utilizzare come salva-schermo.

In condizioni normali, se non si usano opzioni che vadano in senso contrario, basta premere un tasto qualunque per interrompere il salva-schermo, e con l'inserimento della password dell'utente che lo ha avviato, si può concludere il funzionamento di `xlock'.

A titolo di esempio viene mostrato il caso di un salva-schermo nero:

xlock -mode blank

Nel caso non si utilizzasse alcuna opzione, si otterrebbe un effetto grafico salva-schermo, scelto casualmente tra quelli disponibili.

222.3.2 $ xtrlock

xtrlock

`xtrlock' è un programma molto semplice, che non prevede alcun argomento. Il suo scopo è solo quello di bloccare l'uso della tastiera e del mouse, senza attivare alcun salva-schermo. Lo sblocco della stazione grafica si ottiene soltanto digitando la password dell'utente (senza alcun campo di inserimento), concludendo con la pressione di [Invio]. Se la password inserita è errata, viene emesso un segnale acustico, e quindi si può riprovare l'inserimento.

---------------------------

Appunti Linux 2000.04.12 --- Copyright © 1997-2000 Daniele Giacomini --  daniele @ pluto.linux.it


[inizio] [indice generale] [precedente] [successivo] [indice analitico] [contributi]