спор :-(

[pterik]

Здравствуйте многоуважаемый all.
Может быть пишу не в тот раздел, заранее прошу прощения.
Хочу рассказать одну историю.
Я удаленно админю несколько серверов. Системы разные:
от Redhat 7.3 до Fedora Core 2. Один сервер на FreeBSD 4.7
Админю не один. Есть еще один админ, с которым я общаюсь по асе.
Вот сегодня у меня и возник с ним спор, на тему безопасности.

Его позиция такая:
Зачем на новом сервере поставили Fedora Core 2 с ядром 2.6, он ведь глюкавый, ядро глюкавое сплошь в дырах, ЛОКАЛЬНЫЕ пользователи могут поиметь привилегии root.
http://www.securitylab.ru/48891.html
http://www.securitylab.ru/49526.html
Соотвествующие инструкции.

Моя точка зрения немного отличается от его.
Я считаю что сначала нужно обезопаситься от внешней угрозы,
убрать все лишнее, максимально обезопасить необходимые СЕРВИСЫ, грамотно настроить фаерволл, а уже потом можно волноваться и о безопасности изнутри.

Кое-что хочу уточнить:
Хостинг маленький, раньше в основном продавали только выделенные сервера, сейчас идет переход на виртуальный хостинг, некоторым пользователям предоставляется доступ по ssh, количество пользователей измеряется десятками (не сотнями).

Я не спорю с тем что уязвимости нужно устранять. Просто устранить ВСЕ невозможно. Да и на сервере кредитные карты не обрабатываются
Вопрос в приоритетах. И так ли страшны внутренние уязвимости то есть те, которые можно использовать, ТОЛЬКО будучи клиентом.
Зачем пользователю гробить свой собственный аккаунт (платный),

Прошу высказаться, кто что думает по этому поводу.
Заранее всем спасибо.

[exe]

pterik,

На такой вопрос никто не ответит, и вы с другим админом никогда
этот спор не разрешите. Тут ничего доказать невозможно. К тому
же только ты знаешь свою сеть, и какова будет стоимость взлома.
Что могут от этого клиенты поиметь? Если украдут данные других
пользователей, во солько это вам обойдётся и т.д. А дыры всё равно
закрывать надо, особенно известные.

Твоя сеть, тебе решать.

[Llama]

1) Хм.... Fedora ставить на сервера можно только от безысходности.... Доругого настолько запутанного, замкнутого на себе и недодокументированного дистрибутива я не видел. Разве что Mandrake может сравниться.

2) Разница между локальными и удаленными уязвимостями весьма мала - достаточно через дырявый phpBB залить на сервер и запустить kernel exploit - и вот вам уже вполне удаленный root. (ессно не все так просто, но принцип примерно такой)

[pterik]

>Fedora ставить на сервера можно только от безысходности.
Очень бы хотелось получить конкретный пример запутанности и недокументированности дистрибутива FC2.

А то что после выхода новой версии FC, как грибы после дождя выходят остальные rpm-based дистрибутивы тоже ничего никому не навевает.

Может быть уважаемый Llama предложит свой вариант сервера, для организации виртуального хостинга с использованием Directadmin, как наиболее продвинутой и наименее дорогой web control panel.

Да и не важен в данном случае выбор дистрибутива, все они изначально дырявые, особенно если учесть вот это:
http://isec.pl/vulnerabilities/isec-0019-scm.txt
таким образом 98% линуксов раздающих хостинг уязвимы.

[Llama]

Прошу в студию вменяемое описание скриптов поднимающих сеть.
FC не подходит для сервера хотя бы потому, что каждые полгода предстоит переход на новую версию.
Из дистрибутивов - RHEL/RHAS или FreeBSD.

[mend0za]

нормальные скрипты для подымания сети в rpm-based дистрибутивах - это нонсенс

сколько мы патчили net-scripts от Alt Linux, потом перепатчивали, потом переделывали патчи для новых версий. А мантейнер пакета выскокомерно гундел : "вы ничего не понимаете в том, как оно может быть сделано. Все так делают и я так сделал."

После тыкания носом в дебиановские - он перестал отвечать на письма.

[Sineex]

Ядро 2.6, конечно, ещё дырявое и менее стабильное, наверное, чем 2.4, но вот по количеству дыр - уж извольте!! Вот, ради интереса, зайдите оба на хотя бы securitylab и гляньте список уязвимостей - 2.4 ветка почти не уступает 2.6 !!! А потом найдите тесты для веб серверов - как-то в Сетевых решениях был один тестик - увеличение производительности в 6 (!!) раз (я его, конечно, не проверял, но...). Так что, решайте сами. Но всё же, как ни крути, fc - не серверный дистрибутив!

[pulsar++]

Закройте тему плиз - один бред в ветке...

[mend0za]

pulsar++: позволь порезвиться пионерам

[Llama]

хм... пульсарыч в чем-то прав...

[pterik]

Ну куда уж нам сирым и убогим до БОГОВ.
Они все знают, все умеют, особенно про бред в ветке говорить и еще всем тыкать типа RTFM.

А мог бы просто свое мнение высказать по поводу оптимального серверного дистрибутива для таких ламеров как я. Но нет же, мы БОГИ выше этого. Обидно блин.


>FC не подходит для сервера хотя бы потому, что каждые полгода >предстоит переход на новую версию.
Llama. Да с этим конечно не поспоришь. Спасибо за вразумительный ответ. Действительно спасибо.

[poligraph]

Llama, а это почему FC не серверный дистр??? Да, конечно, он уступает RHEL, но все же.

И помниться как-то Llama говорил, что не существует ни серверных, ни десктопных дистров, а есть те, которые ты настроил как тебе надо.

На мой взгляд склоняться повсемесно к Debian глупо.

Надо ставить сервер на том, что ты можешь успешно админить, а не так что "мне на форуме сказали, что linux -это круто для серверов, а я не знаю, что это такое, но все равно буду его ставить", вплоть до MS Windows.

[sanitar]

А чем плох Debian?

[Llama]

poligraph, Очень короткий релизный цикл - это зло для серверов. Несомненно, делеть сервер можно из чего угодно - но поддержка его будет весьма геморройной. Обновление софта придется делать самому, при этого контролируюя каждый раз Changelog на предмет изменения форматов или интерпретации конфига, known-bugs, совместимости, опций компиляции. Серверный дистрибутив гарантирует сохранение функциональности при закрытии багов в теченнии некоторого времени (3 года). Исключения редки, но бывают - например на samba 3 в woody r1 и т.п.

[sergei_d]

нормальные скрипты для подымания сети в rpm-based дистрибутивах - это нонсенс

сколько мы патчили net-scripts от Alt Linux, потом перепатчивали, потом переделывали патчи для новых версий. А мантейнер пакета выскокомерно гундел : "вы ничего не понимаете в том, как оно может быть сделано. Все так делают и я так сделал."

После тыкания носом в дебиановские - он перестал отвечать на письма.

Дык так, товарищ, и пишите -- нонсенс в ALT Linux.
Я не страдаю от скриптов SuSE.