Open Source Sikkerhed?
Der er steder på internettet hvor man ikke ønsker at blive set.
Hvis man bliver opdaget bør man nægte alt og i øvrigt holde lav profil i en periode.
Nu taler jeg hverken om områderne dedikeret kødelige lyster eller de politiske / religiøse debatforaer, men om de steder hvor alle der aktivt bidrager gemmer sig bag flotte dæknavne og HvOr FoLk SkRiVeR mEd En UsTaBiL cApS LoCk TaSt .
Er man nødt til at gå de steder hen er NoScript, Firewall og antivirus at regne som minimalbeskyttelse, og de ting kan ikke erstatte sund fornuft.
Men nogen gange er det risikoen værd.
Sidst jeg var på de kanter (!) faldt jeg over en utrolig kompetent gennemgang af nogle af hullerne i en standard Linux-installation samt en checkliste med ting man burde gøre hvis man ville hæve sikkerhedsniveauet.
Nogle af tingene var ret grundlæggende, som at installere alle tilgængelige patches, fjerne telnet og ændre ssh så den kun understøtter protocol 2.
Andre ting var indlysende når man først tænkte over dem som f.eks. at gøre hvad man kunne for at sikre at history-filen ikke ændres, fjerne almindelige brugeres adgang til udvalgte programmer (gcc, make, ifconfig m.m.) samt sætte systemet op til at sende dig en mail hver gang der er nogen der skifter til root.
Derudover var der vejledning i root-kit-detectors, TCP-wrappers, Brute force detectors, lukning af farlige huller i PHP samt et antal kernetilretninger for at hindre spoofing.
Alt i alt en ret kompetent gennemgang af et udvalg af potentielle sikkerhedshuller. Pænt delt med det community forfatteren er en del af. På samme måde som bøllerne i samme eller tilsvarende communities deler ud af deres viden om hulerne i andres systemer samt gode genveje til at kunne udnytte dem til egne formål.
Fælles er dog at de deler.
Og det fik mig til at tænke: Hvad om vi delte vores viden?
Hvor store ville disse meget omtalte bot-net være hvis der på enhver seriøs it-hjemmeside (F.eks. her på version2') lå en stak vejledninger til hvordan man sikrede sin svigermors xp - og måske også hvordan man ryddede op efter ubudne gæster' Formuleret så enhver håbefuld svigersøn med større it-ambitioner end -talent kunne blive dagens helt.
Og hvor mange web-server infektioner kunne undgås hvis alle de autodidakte systemadministratorer kunne finde tilsvarende vejledninger i sikring af deres systemer?
Det er som om leverandører og officielle sikkerhedsfolk har indgået en uhellig alliance hvor sikkerhed og højnelse af samme ikke er noget man taler om, men noget man udfører i hemmelige ritualer på måneløse nætter. Vejledninger og forskrifter opbevares som kronjuveler, og al brug af dem koster penge, mange penge.
Det kan godt være at den fremgangsmåde sikrer at de almindelige brugere ikke opdager hvor usikre de systemer, der opbevarer og servicerer deres identitet og deres hverdag, i virkeligheden er, men mod en hær af vidensdelende vandaler virker det som en rigtig, rigtig dårlig strategi.
Var det ikke på tide at indføre Open Source tankegangen på sikkerhedsområdet?
En løsning på et problem delt med andre er 1.000 problemer løst. Måske betyder det også at fjenden ved hvad vi ved, men samtidig er værdien af den viden blevet decimeret.
Og da fjenden modsat os deler viden i forvejen er det nok os der har mest at vinde.
Skal vi starte nu?
Eller er der for mange penge i den branche til at det er realistisk?
