Sicurezza della console

Come con qualsiasi sistema di protezione che viene usato per proteggere il proprio server. è molto difficile difendersi dai rischi imprevisti, causati da qualcuno con accesso fisico all'interno dell'ambiente di lavoro, come furti di dischi fissi, mancanza di corrente e via dicendo. Perciò, è necessario considerare la sicurezza della console come un componente della sicurezza totale del sistema. Una porta bloccata può fermare un malintenzionato o può rallentare un ladro esperto, ed è quindi utile prendere delle precauzioni anche a livello della console.

Le seguenti istruzioni consentiranno di proteggere il proprio server da problemi che potrebbero portare serie conseguenze.

Disabilitare Ctrl+Alt+Canc

Qualsiasi persona con accesso fisico alla tastiera può semplicemente premere Ctrl+Alt+Canc per riavviare il server senza eseguire l'accesso. Qualcuno può sempre scollegare la presa della corrente, ma per lo meno è da evitare l'uso di questa combinazione di tasti su un server in produzione. In questo modo un malintenzionato è costretto a utilizzare altre strategie per riavviare un server e consente di non riavviarlo accidentalmente.

  • Per disabilitare il riavvio con la combinazione di tasti Ctrl+Alt+Canc, commentare le seguenti righe nel file /etc/event.d/control-alt-delete.

    #exec /sbin/shutdown -r now "Premuto Control-Alt-Canc"
    

Sicurezza della password di GRUB

Il boot loader predefinito di Ubuntu, GNU GRUB, è dotato di grande flessibilità e di opzioni di recupero molto utili. Per esempio, quando vengono installate delle nuove immagini di kernel, queste vengono automaticamente aggiunte alle scelte del boot nel menù di grub. Come impostazione predefinita, vengono inserite delle voci per ogni kernel con delle opzioni alternative che permettono di avviare il sistema in modalità di recupero, sono le voci marcate come "(recovery mode)". La modalità di recupero avvia semplicemente il kernel in modalità singolo utente (init 1), permettendo all'amministratore di operare su un terminale senza la necessità di inserire una password.

Pertanto, è molto importante prevenire che le voci del menù di grub vengano modificate da chiunque, consentendo di eseguire le seguenti azioni pericolose:

  • Passare delle opzioni specifiche al kernel da caricare.

  • Avviare il server in modalità singolo utente.

È possibile prevenire queste azioni aggiungendo una password al file di configurazione di grub /boot/grub/menu.lst, che verrà richiesta ogni qual volta si vorranno modificare le voci del menù di avvio.

  • Per aggiungere una password a grub, è necessario generare un hash md5 della password usando l'utilità grub-md5-crypt:

    grub-md5-crypt
    

    Il comando chiederà di inserire una password e successivamente ne mostrerà l'hash, come mostrato di seguito:

    Password: (inseririre una nuova password)
    Retype password: (ripetere la password)
    $1$s3YiK$M3lxAbqA6JLm2FbDWnClQ0
    
  • Aggiungere l'hash risultante al file /etc/grub/menu.lst nel formato seguente:

    password --md5 $1$s3YiK$M3lxAbqA6JLm2FbDWnClQ0
  • Per attivare la richiesta della password per avviare il sistema in modalità singolo, modificare il valore della variabile lockalternative nel file /boot/grub/menu.lst a true, come mostrato in questo esempio:

    # lockalternative=true
[Nota]

Questo metodo non è comunque efficace se si riesce a effettuare il boot da un dispositivo esterno. Un utente malintenzionato, in questo modo, potrebbe facilmente modificare il sistema affinché esegua il boot utilizzando un kernel modificato, montare e copiare il contenuto dei volumi fisici o anche distruggere i dati presenti sul disco. È consigliato utilizzare altre contromisure per prevenire questi tipi di attacchi.