FAQ: Mac turvalliseksi (sekä aloittelijat että kokeneet)

[rantom]

Jep, minä taas, kolmas FAQ.

Huomasin tosiaan että täältä puuttuu FAQ tästä aiheesta, mikä on aika tärkeä mm. meille, jotka olemme juuri siirtyneet Windows/Linuxista/ostaneet ensimmäisen koneen OS X:n. Tästä FAQ:sta en saa vielä pitkää, pyrin pidentämään sitä ajan kanssa (Macin käyttöä takana vasta 2 pv). Kertokaa ihmeessä niksejä ja vinkkejä mitä tiedätte niin lisäilen tähän.

K: Kannattaako minun hankkia virustorjunta Macille? Olen normaalikäyttäjä/kokenut käyttäjä.
V: Ei tarvitse. Mikäli selailet normaaleja sivuja ja jätät laittomat lataukset/tuntemattomat lataukset väliin niin olet turvasssa.

K: Kannattaako minun kytkeä OS X:n palomuuria päälle?
V: Ei ole välttämätöntä mutta suositellaan. Teet sen näin:

1. Järjestelmäasetukset
2. Turvallisuus
3. Palomuuri
4. Salli vain keskeiset palvelut

Muista klikata lukkoa kun olet valmis! Lukon jättäminen päälle tarkoittaa, että tarvitaan salasana kun järjestelmän palomuuria muokataan.

K: Kannattaako minun laittaa häivetila päälle?
V: Kyllä. Teet sen näin:

1. Järjestelmäasetukset
2. Turvallisuus
3. Palomuuri
4. Lisävalinnat
5. Salli häivetila

Ota samalla palomuurin logien tallennus pois päältä, et tarvitse niitä ja muista klikata lukkoa kun olet valmis! Lukon jättäminen päälle tarkoittaa, että tarvitaan salasana kun järjestelmän palomuuria muokataan.

K: Kärsin paranoiasta ja en usko sinua. Pitäisikö minun laittaa päälle palomuuri ja ladata virustorjunta?
V: Paranoia on ymmärrettävää varsinkin jos on tottunut puhdistamaan konettaan Windowsin puolella. Tällöin suosittelen lataamaan virustorjunnan ja kytkemään palomuurin päälle.

Tiedän että menee vähän puuta heinää linjalle mutta laittakaa vain omaa tekstiä topickiin mukaan ja tehdään tästä yhdessä kunnon FAQ uusille/kokeneimmille Macisteille.

[Macco]

Viruksia ei ole yhtäkään, palomuuri päälle ja häivetila kans.

[J4n1]

Voisitko muokata ton toisen kohdan pliis? Aika monet aloittelijat voi ihan turhaan hätäillä jos tähän topsuun uskoo - viruksia ei ole vaikka warea valuis 24/7 ja kun niitä ilmestyy siitä kyllä puhutaan.

[kermit]

JK: Kannattaako minun kytkeä OS X:n palomuuria päälle?
V: Ei tarvitse. OS X:n oma tietoturva on sen verran korkea että sen voi pitää pois päältä.

Ei nyt taaskaan huomioitu sitä, onko koneella julkinen ip vai ei.

[rantom]

Muokattu pyydetyt kohdat. Voisi myös antaa linkkiä että mitä mikin tarkoittaa ja ilmaisiin/maksullisiin virustorjunta/palomuureihin. Esim. en itse tiedä mikä tuo häivetila on.

[Macco]

Järjestelmäasetukset > Turvallisuus > Palomuuri > Lisävalinnat > Salli häivetila

Häivetila ei anna vastausta koneen olemassaolosta, mikäli joku käy koputtelemassa. Tämä vähentää rutkasti koneelle murtautumisen mahdollisuutta. Normaalistihan kone ilmoittaa, että täällä ollaan, jos kysely tulee.

[kermit]

Satunnaiset koputtelijat, mutta ei niitä jotka käyvät suoraan asiaan. Eikös kone kuitenkin paljastu jos sieltä on liikennettä.

[TheKraken]

Järjestelmäasetukset > Turvallisuus > Palomuuri > Lisävalinnat > Salli häivetila

Häivetila ei anna vastausta koneen olemassaolosta, mikäli joku käy koputtelemassa. Tämä vähentää rutkasti koneelle murtautumisen mahdollisuutta. Normaalistihan kone ilmoittaa, että täällä ollaan, jos kysely tulee.

Meneekö mahdollisuus oikein negatiiviseksi, kun taitaa se olla ihan ilman muuria ja häivetilaakin tällä hetkellä pyöreä nolla?

Suoraan paketista otettunahan OS X:ssä ei pyöri mitään palveluja joiden kautta voisi päästä sisään.

[kermit]

Niin, Charlie Millerkin tuli läpi parissa minuutissa. Bonjour on ainakin päällä.

[TheKraken]

Niin, Charlie Millerkin tuli läpi parissa minuutissa. Bonjour on ainakin päällä.

http://en.wikipedia.org/wiki/Charlie_Miller ?

Mites se tolleen läpi tuli ja milloin ja miksen minä ole mitään kuullut?

Bonjourhan ei mainosta itteään ulkomaailmaan päin, ellen väärin muista, vaan lähiverkkoon ainoastaan.

EDIT: Niin Miller oli toi kaveri. Piti googletella vain vähän enempi.

Sehän ei tullut yhtään mistään sisään, vaan käytti Safarissa olevaa reikää (joka taidettiin jo jokunen aika sitten korjata?). Käyttäjän piti siis surffailla sille sivulle (ja vissiin kait klikata siellä vielä jotain linkkiä), jonka hän oli väsännyt, eikä niin että hän olisi voinut kohdistaa hyökkäyksen mihin tahansa maailman Macciin. Verkonkautta ei siis sinänsä tultu sisään eli palomuurilla ei ollut osaa eikä arpaa, oli häivetila tai ei.

[kermit]

Ikävät asiat tahtoo joiltakin unohtua turhan nopeasti. Charlie Miller on tyyppi, joka voitti sen kilpailun aiemmin tänä vuonna, jossa rupuinen vistakin pärjäsi paremmin.

[TheKraken]

Ikävät asiat tahtoo joiltakin unohtua turhan nopeasti. Charlie Miller on tyyppi, joka voitti sen kilpailun aiemmin tänä vuonna, jossa rupuinen vistakin pärjäsi paremmin.

Lukasepa nyt tuo viestini EDIT-osa. En ollut unohtanut. Asialla vaan ei ollut yhtään mitään tekemistä tämän meidän aiheemme (palomuuri/häivetila) kanssa.

Ja ellen ihan väärin muista, niin Millerkin taisi jälkikäteen todeta, että reikä oli tiedossa ollut hänellä jo pitkään, joten Vista ei sinänsä voittanut, vaan Miller nyt vaan otti kohteekseen OS X:n, kun kerran tiesi sen reiän. Ei se sitä lennosta keksinyt. Taisi myös mainita jossain haastattelussa, että on sitä mieltä että OS X on edelleen turvallisin, mutta tahtoi nyt herätellä porukkaa tai jotain tännepäin.

Vaikka reikä olisi edelleen korjaamatta niin Miller, eikä kukaan muukaan pääse minun koneelleni oli palomuurini päällä tai häivetilaa taikka miten päin vain. Siis ihan vaan tulemalla. Vaan käyttäjän pitää itse töpeksiä myös jotenkin. Tässä tapauksessa surfata hämärälle sivulle. Tosin se taidettiin kai jo korjata, joten ei siitäkään enää pelkoa.

Se on sitten kyllä ihan uusi uutinen, kun OS X:n päästään murtautumaan ihan vain puhtaasti verkon yli niin, että ainoastaan koneen päälläolo riittää tarttumiseen ja haittakoodia päästään ajamaan sitä kautta.

[kermit]

Vastasin siihen tyypilliseen väitteeseen: "Suoraan paketista otettunahan OS X:ssä ei pyöri mitään palveluja joiden kautta voisi päästä sisään." Ja totta halvatussa täytyy holet olla tiedossa, turha sitä on lähteä halkojakaan hakkaamaan jos tiedä miten päin kirvestä pidetään kädessä. Erilaisia aukkoja löydetään, paikataan joskus ja taas löydetään uusia.

[TheKraken]

Vastasin siihen tyypilliseen väitteeseen: "Suoraan paketista otettunahan OS X:ssä ei pyöri mitään palveluja joiden kautta voisi päästä sisään."

Ja tämä väite pitää 100% paikkansa. Safari ei ole palvelu. Ja sitä kautta tuo Miller tuli sisään.

Otanko rautalangan vielä välineeksi, kun mielestäni jo tuossa kahteen kertaan sen selitin?

Otetaan nyt:

1. Avaa paketti.
2. Pistä nettipiuha kiinni
3. Käynnistä Macci
4. Odota ja katso montako pöpöä, matoa tai murtautumista tulee.

Kohtaan 4 kannattaa varata reilusti aikaa, koska tuollaisia pöpöjä, matoja eikä murtautumisen mahdollistavia reikiä ei ole, ELLEI käyttäjä itse tee jotain. (Käytä ohjelmaa jossa on reikä tai itse asenna jotain haittapöpöä tai käynnistä koneella jotain palvelua, jossa mahdollinen reikä voi olla).

Eli OS X on edelleen turvallinen. Ohjelmista löytyy reikiä ja niitä paikataan, mutta vielä ei ole löytynyt ainuttakaan reikää jolla neitseellisen OS X:n pääsisi VERKON YLI korkkaamaan. Eli palomuurin päällä olo tai häivetila eivät vaikuta periaatteessa tietoturvaan mitenkään, koska siellä porteissa ei ole mitään reikää mistä tulla sisään. Tietty ne voi pitää päällä, mutta kun riski on tällä hetkellä nolla, niin eipä se siitä pienemmäksi muutu. Voidaan ajatella asiaa niin, että sinulla on täysin murronvarma kivitalo, niin vaikka rakennat siihen muurin ympärille, niin turvallisuus ei siitä lisäänny, mutta silti ehkä nukut yösi paremmin.

Www-selaimessa oleva reikä ei vaikuta millään lailla tähän asiaan. Palvelulla tarkoitetaan esim. jotain tiedostonjakoa, www:tä yms tiedät varmasti. Ja näiden kauttahan koneelle voidaan päästä. Esim. Apachen mukana tulevassa php:ssä oli aikanaan reikä, jolla pääsi koneeseen läpi oli vastapäässä sitten OS X, Linux tai mikä tahansa. Mutta kun ne eivät ole oletuksena päällä, niin sieltä ei läpi tulla.

Bonjourista jos löytyy reikä, niin sitten voidaan vähän aikaa taas olla huolissamme, mutta eipä semmoista vielä ole.

[vemuli]

Tuli tänään kokeiltua lähiverkossa Nessus 3 ja x-scan ohjelmilla macin turvallisuutta. Ainut heikkousa oli tcp-portti 21. Liittynee jotenkin ftp-serviceen? Mitähän tämä oikeasti tekee ja miten sen saisi tukittua vai saako sitä edes tukittua? Onko aihetta menettää yöunet?
Muuten macci kesti hyvin hyökkäykset.

[TheKraken]

Tuli tänään kokeiltua lähiverkossa Nessus 3 ja x-scan ohjelmilla macin turvallisuutta. Ainut heikkousa oli tcp-portti 21. Liittynee jotenkin ftp-serviceen? Mitähän tämä oikeasti tekee ja miten sen saisi tukittua vai saako sitä edes tukittua? Onko aihetta menettää yöunet?
Muuten macci kesti hyvin hyökkäykset.

Älä menetä yöuniasi, sanon minä.

[Elisa]

Heips!

Latasin tuossa Flip4Macin uuusinta versiota netistä ja ohjelma kysyy adminin salasanaa. Tästä tuli mieleeni onko olemassa mitään nyrkkisääntöä siitä, millaisille ohjelmille kannattaa luovuttaa salasana vai kannattaako millekään? Mihin ne muuten edes tarvitsevat kyseistä salasanaa?

[TheKraken]

Latasin tuossa Flip4Macin uuusinta versiota netistä ja ohjelma kysyy adminin salasanaa. Tästä tuli mieleeni onko olemassa mitään nyrkkisääntöä siitä, millaisille ohjelmille kannattaa luovuttaa salasana vai kannattaako millekään? Mihin ne muuten edes tarvitsevat kyseistä salasanaa?

Anna salasana sellaisille ohjelmille, jotka tiedät oikeiksi ohjelmiksi. Jos oikein tahdot varman päälle pelata, niin googlettele vähän. Jos kyseessä on joku haittaohjelma, niin varmasti siitä on netissä juttua (mutta siis nämä ohjelmat tällä hetkellä lasketaan yhden käden sormilla, joten pelko on aika pieni)

Jos taas esim. yhtäkkiä kesken nettisurffailun ruutuun pärähtää salasanakysely, kun nettiselain on automaattisesti jonkun ohjelman ladannut, niin jätä antamatta. Näin ne haittaohjelmat nimittäin itseään tuputtavat. Samoin jos joku video muka vaatii jotain pluginia ja tarjoaa latauslinkkiä, niin jätä asentamatta. Jos sinulla on Flip4mac ja perian, niin siinä on käytännössä kaikki tarvittavat pluginit (tosin jotkut streamingpalvelut tarvitsevat vielä VLC-pluginin, mutta jos et esim. formuloita katso livenä, tai ole saunavision asiakas, niin ei sitä turhaan kannata)

Salasanaa tarvitsevat ohjelmat jotka asentavat itsestään jotain osia muualle kuin ohjelmille sallittuihin paikkoihin ja/tai muokkaavat järjestelmää jollain lailla esim. korvaavat tiedostoja. Flip4mac asentuu vähän pitkin konetta, niin se vaatii tällöin salasanan.

Mutta siis jos pelkäät, että joku vaikka saa salasani käsiinsä, kun se noin annat, niin se on turha pelko. Se ohjelma kun ei koskaan salasanaa kysy, vaan OS X, joka sitten antaa ohjelmalle varmistuksen että salasana annettiin oikein. Se ohjelma ei sitä salasanaa näe koskaan.

[Elisa]

Kiitoksia.

[securapple]

Hei!

Verkkotason skannaus on tieteenalansa johon on kehitetty mitä ihmeellisempiä menetelmiä (idle scan, bounce scan, jne...).

Tuo häivetila ainakin linukassa tarkoitti että mihinkään tuleviin paketteihin, jotka eivät ole osa mitään olemassa olevaa yhteyttä, vastata ovat ne sitten icmp-ohjauspaketteja, tcp:tä tai udp:tä.

Miinuksena häivetila vaikuttaa hidastavasti nettipeleihin huonoilla yhteyksillä kun peliserverien lähettämät icmp-ohjauspaketit torjutaan eikä clientti näin reagoi servun verkkoliikennepyyntöihin. Kannattaa siis muurissa sallia icmp peliserverihin jos käyttöjärjestelmän käyttöliittymä se sallii ja yhteydet pelissä pätkivät.

En tiedä onko tämä enää nykynetissä validi, luulisi että nykyään peliserverit tehdään niin, että toimivuus on hyvä vaikka pelaajilla olisi muurit päällä blokaten icmp:n.

Muuri on muuten hyvä pitää aina päällä sillä taitava "skannaus" analysoi koneen ilman muuria. Mikäli kone palauttaa edes muutamankin paketin yhteydenottoyrityksistä jää käyttistyyppi ja versio nopeasti selville sopivilla työkaluilla(p0f, Xprobe2 ja amap,nmap). Näin koska käyttisten, ja jopa saman käyttiksen eri versioiden tietoliikennekomponentit pistävät jokaiseen lähettämäänsä pakettiin "sormenjälkensä". Esim. jo paketin elinikä kertoo paljon (TTL) : http://secfr.nerim.net/docs/fingerprint ... fault.html

Noi käyttiksiä vertailevat hakkerikilpailut ovat turvaukkeleiden piirissä vitsi, ei nooterata. Samoin uutiset eri käyttisten läpäisemistä "turvaluokituksista" eri standardien suhteen voi jättää omaan arvoonsa. IT-seiskat uutisoivat myöskin asioita huomiohakuisesti(digitoday, tietoviikko, jne...).

securapple