Vaikka mäkki on turvallinen, niin tietoturvassa paranoi

[at]

Vinkki joka kannataisi tehdä, eli terminaali auki.

Linkki lähteeseen


Configuring TCP Wrappers

TCP Wrappers is pre-installed with Mac OS X. Enabling TCP Wrappers is very easy. You just need to create the user lists. The safest configuration is to deny everyone and then make a small allowed list.

The files do not exist by default, so you will need to create them both. NOTE: both files must exist for this to function, even if one is empty. You can edit the files using BBEdit or the terminal. The deny list is /etc/hosts.deny and the allow list is /etc/hosts.allow. Here is the suggested deny list:

To edit the deny file with pico in the terminal, type:

sudo pico /etc/hosts.deny

Copy and paste this text into the file /etc/hosts.deny

#
# hosts.deny This file describes the names of the hosts which are
# denied the use of local INET services, as decided
# by the '/usr/libexec/tcpd' server.
#
ALL: ALL:deny

To edit the allow file using pico in the terminal, type:

sudo pico /etc/hosts.allow

COMPLETELY CLOSED: Copy and paste this text into the file /etc/hosts.allow

#
# hosts.allow This file describes the names of the hosts which are
# allowed to use the local INET services, as decided
# by the '/usr/libexec/tcpd' server.
#

If you want to allow yourself access to the computers using sshd or add your subnet or IP like this:

#
# hosts.allow This file describes the names of the hosts which are
# allowed to use the local INET services, as decided
# by the '/usr/libexec/tcpd' server.
#
ALL:10.0.
ALL:10.1.2.
ALL:10.2.3.4

[NOx]

TCP Wrappers is pre-installed with Mac OS X. Enabling TCP Wrappers is very easy. You just need to create the user lists. The safest configuration is to deny everyone and then make a small allowed list.

Ihan hyvä vinkki. Avaamisen osalta ohje toimii sellaisenaan jos verkko on staattinen tai muuten sattuu olemaan sama ip-avaruus käytössä liikkuessa verkosta toiseen. Siis vaikka toimistolla tai kotona.

Hyötyä tuosta on eniten jos kone sattuu olemaan suoraan julkisessa verkossa ilman palomuuria välissä. Sisäverkossa tuollakin voi estää verkon sisään päässeitä (tai siellä jo luonnostaan majailevia) hakkereita käpistelmästä omaa konetta. Tarkempi virittely vaatii vähän enemmän perehtymistä aiheeseen.

Sinänsä ihme ettei verkkotyökaluissa ole automatiikkaa tähän(kin). Ehkä sitten versiossa 10.8. Helpointa on sulkea käyttämättömät palvelut (etäkirjautuminen, tiedostojen jako jne.) Järjestelmäasetuksissa ja palomuurin tökkääminen päälle.

[Arnavista Santiago]

Eikös tuo kuitenkin ole useimmissa tapauksissa hätävarjelun liioittelua? Semminkin kun tyypillisissä Mac-kotitietokoneissa ei ole mitään ylimääräisiä, internetiä kuuntelevia palveluja oletuksena päällä.

[tkt]

Jos haluaa käyttää TCP Wrappereita omassa koneessa, niin mielestäni järkevin vaihtoehto on määritellä avoimmille palveluille /etc/hosts.allow -tiedostossa sallitut käyttäjät (=koneet). Tämä sulkee oletusarvoisesti kaikki muut pois.

/etc/hosts.allow
ALL: 1.2.3.4, 1.2.3.5, 2.1.34., 10.0.0.15

Host.deny -tiedosto on hyödyllinen lähinnä suljettaessa avoimista palveluista tunnettuja koneita. Hakkereille siitä ei ole vastusta, mutta pikkusiskon ja äidin se pitää hyvin poissa.

--Ari

[PeTe]

Paranoidi pitää Mäkkiään vähintään kahden palomuuurin takana, eikä salli mitään joutavia INET-palveluja(Siis mitään niistä ei tarvitse olla päällä, eikä ole). Palomuuri on kyllä tehokkaampi tapa. Tuli kyllä konfattua nuo wrapperit joskus -95/96 Linuxiin ja NeXT Steppiin ja kyllä ne piti tumpelot perus-häkkerit ulkona.


Paranoidi ei myöskään vahingossa aktivoi mitään tuollaista. Ja häkkkeri, joka pääsee niin pitkälle, että saa inetd.conffia tms. muokattua on tumpelo, jos ei älyä tehdä reikää myös wrappereihin.

Vaan toisaalta eipä noiden konffauksesta haittaakaan yleeensä ole, paitsi jos kuvittelee niiden korvaavan palomuurin.

[at]

Paranoidi pitää Mäkkiään vähintään kahden palomuuurin takana, eikä salli mitään joutavia INET-palveluja.

Vaan toisaalta eipä noiden konffauksesta haittaakaan yleeensä ole, paitsi jos kuvittelee niiden korvaavan palomuurin.

Totta puhut, mutta moni käyttäjä kun ei ajattele.
Ihminen on aina heikoin lenkki.