sslug-teknik team mailing list archive

[Allan Jacobsen <allan@xxxxxxxx>]

Kristian Vilmann wrote:
> 
> On Thu, 10 Aug 2000, Allan Jacobsen wrote:
> 
> > Efter min mening er der mange problemer med redhat, for eks. bliver
> > der installeret alt for mange programmer, som man skal fjerne igen
> > bagefter, hvis man vil sikre sit system. Et andet stort problem er
> > at da redhat er amerikanskt er der ikke krypteringspakker med som
> > standard, ssh burde for længst have erstattet rsh, telnet osv. i
> > alle fornuftige distributioner.
> 
> Sludder. Det skal allerhøjst være et valg du fortager. rsh eller ssh.
> 
> Det kommer da an på hvilket net din maskine tilhører, og hvad der ellers
> er i det, og hvad den foretager sig.
> Hvis jeg skulle installere rsh manuelt på alle vores linuxer på kontoret,
> kunne jeg ikke lave andet.
> 
> Vi, og mange andre, har en frygtelig masse gamle UNIX-bokse stående. Hvis
> ikke r*-kommandoerne, nfs, og alle de andre rare, dejlige og helt afsindig
> usikre ting var en del af vores linuxdistribution, ville en masse ting
> pludselig være alt for indviklet.
> 
Ja, sikkerhed er ofte noget der gør arbejdet i det daglige lidt
mere besværligt, med det gør det heldigvis meget mere besværligt
for en cracker.

> Indeholder debian ssh? Kan de det, med deres "strenge" licens? (Sikkert et
> dumt spørgsmål, men jeg har altså aldrig læst debian's licensbetingelser.
> Kun hørt om dem.)
Ja, debian indeholder ssh, og ssl til apache, og pgp, gpg....

> 
> > Henrik Storner skriver i sit svar at ingen systemer er sikre lige
> > når de er installeret, men der er meget stor forskel på default
> > sikkerheden på en frisk redhat box og så en debian.
> 
> Sikkert nok. Men det er bedøvende ligegyldigt. Læs lidt mere af
> Henriks svar: Sikkerhed er ikke noget du køber på CD eller downloader fra
> nettet.
Helt enig, men jeg synes ikke det er ligegyldigt om jeg skal
bruge en halv dag på at sikre en redhat eller et kvarter på
en debian.

> 
> Når din CD er 2 måneder gammel, skal du alligevel have fat i updates, hvis
> du skal have maskinen direkte på Internettet. Og din krypteringssoftware
> skal *også* opdateres. Og hvis du er rigtig paranoid, så henter du kun
> kildekoden og kompilerer selv.
> 
> Og så kan default være ligemeget.
> 
> > For at tage et friskt eksempel, så er der lige fundet en fejl i perl
> > som på redhat kan give en local bruger root, debian er ikke følsom.
> 
> Jep. Og der er lige kommet rettelser her til aften.
> 
> Spar mudderkastningen. Eller kast i en retning hvor det er relevant!
> 
> Lad være med at dele spinatbed med de kommercielle sikkerhedssoftwarehuse,
> der prøver at bilde folk ind at alt bliver godt og sikkerheden i top, hvis
> bare man køber deres software.
> 
> Hvis vi blindt bilder folk ind at MY-OWN-VERY-SECURE-LINUX-DISTRIBUTION,
> eller en hvilken som helst anden distribution, giver sikkerhed uden
> tankevirksomhed, gør vi os selv og potentielle brugere en bjørnetjeneste.
> 
Øhhh, hvor er det præcist jeg skriver, at debian er totalt fejlfri ?
Selvfølgelig skal man vide hvad man har med at gøre, specielt hvis
man har sine servere på nettet, men ligemeget hvor meget mudder du
kaster på mig, synes jeg altså stadig at redhat har for dårlig
sikkerhed på deres default installation.

-- 
MVH / Best Regards
Allan Jacobsen, AJ17-DK
IT nyheder set gennem danske briller: http://slashit.dk