Безопасность

Перевод на русский: MaximDerkach

Введение

• Данная статья посвящена основам системной безопасности. Даже при том, что Ubuntu Linux изначально безопасен по сравнению с другими операционными системами, не существует системы на сто процентов безопасной и постоянно работающей без технического обслуживания. Поэтому пользователям Ubuntu следует придерживаться следующим правилам поведения, чтобы они могли как можно дольше наслаждаться опытом работы с компьютером. Эти советы по безопасности выдержаны, по возможности универсально, и, соответственно, годны для других систем, прежде всего систем Linux.

• Тем не менее, в системах Linux время от времени обнаруживаются дыры в системе безопасности, поэтому не может быть никакой гарантии в абсолютной эффективности описанных здесь мер предосторожности.

• Это статья может в своей совокупности звучать немного параноидально, или даже создавать впечатление, что у Ubuntu больше проблем с безопасностью, чем у других операционных систем. Такое впечатление ложно. Приведённые здесь =советы с одной стороны практичны, если они вошли в привычку, и с другой стороны, в некоторой мере, полезны для всех других операционных систем, представленных на рынке.

Настольный компьютер.

• Эта секция посвящена использованию Ubuntu в качестве настольной системы с интернет соединением, или в качестве сервера в локальной сети. Кроме того эти советы также полезны для интернет-сервера, для которого применимы дополнительные требования, приведенные далее в секции Сервер.

Здравый смысл

• Многие атаки на компьютерные системы основываются не (только) на технической несостоятельности системы, а используют приемы социальной инженерии , т.е. используют слабости человека. Один из важнейших инструментов борьбы с компьютерным криминалом- это так называемый здравый смысл. Если кто-то звонит в дверь и говорит что-то наподобие «Добрый день, я пришёл из вашего банка и должен перепроверить ваш счёт. Дайте мне, пожалуйста, вашу карту и пин-код, я всё быстро улажу и принесу вам обратно. В противном случае ваш счёт заблокируется.» , тогда любой нормальный человек насторожится, захлопнет дверь и вызовет полицию.
  • Как ни странно, такой трюк (фишинг), посланный по электронной почте действует вновь и вновь, и кроме того с гораздо меньшим для злоумышленника риском быть пойманным. Такие нападения становятся ещё тяжелее, если решаются только техническими средствами. Поэтому используя компьютер необходимо постоянно помнить, что в этом мире много нечестных людей, которые в интернете живут практически за углом и замышляют недоброе.
  Когда кто-нибудь в интернете просит вас выполнить незнакомые команды, открыть файлы сомнительного происхождения или заполнить предложенную анкету персональными данными, нужно иметь в виду, что все может не быть таким, как кажется. Сомнению может даже подвергаться отправитель письма.
  • Как любая комплексная программа, Ubuntu Linux со своими многочисленными областями применения не свободна от ошибок. Поэтому время от времени в программах, поставляемых с Ubuntu обнаруживаются ошибки, которые, возможно, могут привести к ослаблению системы безопасности. В таком случае команда безопасности Ubuntu старается как можно скорее подготовить пакет исправлений.
  • Внимание!
  • Командой безопасности официально поддерживается только программное обеспечение, имеющееся в источниках main и restricted. При одинаковом или похожем функционале, следует предпочитать это программное обеспечение тому, что находится в репозитариях multiverse.
    • В отличие от других дистрибутивов Linux, Ubuntu старается сохранить базовую часть кода в рамках одной версии Ubuntu как как можно более стабильной и обновлять только те пакеты, в которых были обнаружены проблемы с безопасностью. Хотя деление на «полезные» и «бесполезные» обновления может быть сохранено. О наличии обновлённых пакетов в оконном менеджере Гном можно узнать по красному символу на верхней панели рабочего стола. Детально процесс обновления описан в статье Автоматические обновления.
  Внимание! Запрос имеются ли новые обновления на сервере происходит или рано утром, или при первом старте системы за день. Если кто-то, к примеру, не выключает свой ноутбук надлежащим образом, а просто оставляет его в состоянии сна и пропускает этот момент времени, то он по

этим обстоятельствам не узнает о ожидающих обновлениях. В таком случае следует при при возможности самостоятельно запустить менеджер обновлений.

• Другую возможность узнавать о обновлениях безопасности предлагают, правда англоязычные, почтовые рассылки ubuntu-security-announce.

Пароли

• Пароли- важный элемент почти каждой системы безопасности. Неважно, пароль это для электронной почты, Ebay, для веб-форумов, или вообще чтобы первый раз зайти в Ubuntu-систему, пароль служит для того, чтобы идентифицировать человека так, как он был заранее определён. Особенно неприятно, когда кто-нибудь пользуется чужим паролем. Подробности простираются от грубого хулиганства (компрометирующие сообщения на форумах или электронные письма от чужого имени) и большого экономического ущерба (например мошенничество на Ebay), до преследования законом, когда кто-то пользуется чужим компьютером для распространения спама, пиратских копий или других запрещённых материалов (детской порнографии, право-радикальной пропаганды).
  • Как и кража, разгадка паролей должна быть любой ценой предотвращена. Поэтому при обращении с паролями следует обращать внимание на следующие правила:

• Пароль не в коем случае не должен быть легко угадываемым. Таким образом, имена знакомых и даты рождений определённо исключаются. Но и другие понятия могут быть взломаны за короткий промежуток времени с подошью так называемого «подбора по словарю». Для этого хакеры используют длинные спискы слов из всех языков мира, включая Суахили, Эльфийский и Клингонский. Простые наборы цифр или букв по типу «qwerty» или «asdfg» совсем не оригинальны. Таким образом безопасный пароль состоит из, как минимум, из восьми знаков и содержит как прописные, так и строчные буквы, цифры и, по возможности, служебные знаки. Одна из возможностей генерировать такой пароль- консольная программа makepasswd из репозитария universe. Другая возможность- использование запоминающейся фразы, например: «У моей мамы есть четыре брата и две сестры.». Теперь берутся все начальные буквы слов, цифры и союзы, получаем умМе4Би2С. Эта комбинация вполне могла бы быть безопасным паролем, если бы не была здесь, так сказать, открыто «засвечена».
  • Пароль не должен быть использован для более, чем одной цели. Чтобы снизить урон от кражи пароля, следует непременно избегать использования одного пароля для разных целей. Особенно следует обращать внимание на то, что сетевые пароли сохраняются на сервере, безопасность которого находится вне вашего контроля. Форумы, к примеру, взламываются каждый день. Но не только хакеры, но ещё и администраторы имеют полный доступ к базе данных. Стоит ли доверять этим людям свой системный пароль, пароль к электронной почте или к Ebay?

  Никогда не следует передавать свой пароль кому-нибудь другому. А именно из принципа. Нет никакого недоверия, когда кто-нибудь знакомый просит сообщить ему пароль для быстрого ввода данных. Точно также не следует никому давать пароль, чтобы уладить некоторые вещи. Если, например, есть желание совместно использовать компьютер со своим соседом, легче всего настроить ему свой личный пароль пользователя.

  • Пароль не следует записывать. Особенно на бумажки для напоминания и наклеивать их куда-нибудь. Было бы приемлемо записывать пароль на бумажке и хранить её в своём бумажнике. Правда в этом случае следует избегать записывания цели пароля рядом с оным. Если после многократного использования вы знаете пароль наизусть, бумажку следует уничтожить.
  Пароль следует регулярно менять. Многие крупные фирмы требуют от своих сотрудников менять свои пароли в регулярные промежутки времени. Это тоже не проблема, так, как у каждого, в любом случае, только один пароль пользователя. Автор, тем не менее, соглашается, что бывает лень соблюдать это правило, особенно из-за большого числа паролей, которые ему нужно регулярно заучивать по новой. Если речь идёт о пароле администратора, смысл этого правила под вопросом, т.к. если кто-то с ворованным паролем администратора имел к доступ какой-либо системе, то его будет весьма сложно блокировать. Тем не менее в фирмах, особенно в тех, откуда недавно ушёл администратор, следует позаботиться о том, чтобы все пароли были изменены насколько это возможно скоро, особенно, если расставание прошло не очень гладко.
  • Эти основные принципы звучат сперва жёстко и тяжело выполнимыми, поэтому можно почувствовать себя вынужденным пойти на компромисс. Приемлемо, например, использовать один универсальный пароль для всех не важный вещей- форумов и т.д. Тем не менее не стоит по небрежности переусердствовать, особенно с паролями доступа, паролями к электронной почте, так и со всеми паролями. которые связаны с деньгами- по отношению к ним нужно соблюдать вышеописанные правила. При удобных инструментах- это дело чистой привычки. Такую помощь оказывают так называемые менеджеры паролей. Это такие программы, которые управляют всеми паролями пользователя, шифруют их с помощью основного пароля-мастера и сохраняют на жёсткий диск. После этого нужно запомнить только один пароль, к выбору которого, разумеется, нужно отнестись особенно тщательно. Подробнее об этом можно прочитать в статье Wiki Менеджер паролей.

  • Тот, кто хочет изменить свой пароль пользователя, может сделать это в GNOME с помощью диалога Обо мне из меню Система/Параметры, в KDE- в Системное меню -> Параметры -> Безопасность и личная информация -> Пароль и права доступа, или просто вызвать в командной строке passwd.

Браузер

Комментарий:

• Настройки, описанные в разделе, доступны на самом деле в любом браузере, работающем на платформе Linux. К сожалению, соответствующие диалоги настроек в разных программах структурированы по разному. Чтобы не сделать эту статью бесполезной, отяжелив её скриншотами длинной со страницу, которые, однако, большой части пользователей не нужны, я решил предоставить поиск соответствующих кнопок и регуляторов читателям.

• При этом вполне возможно, что основная часть этих параметров изначально имеет безопасные настройки, хотя никогда не повредит самому в этом удостовериться.
  • Как основной интерактивный инструмент рабочего компьютера, вэб-браузер, на ряду с почтовой программой, подвергается опасности со стороны вредоносных программ. Как свободные браузеры, такие, как Mozilla Firefox и Konqueror, так и стоящие за ними библиотеки, никогда не были неуязвимыми от дыр в системе безопасности. Хотя до сих пор в свободном доступе не было обнаружено нацеленного на компьютеры Linux вредоносного программного обеспечения, достойного внимания, технические возможности для его создания уже существуют. Это ещё раз подчёркивает, на сколько важна установка обновлений системы безопасности.

SSL-шифрование.

• Большая часть информации, которой обмениваются при взаимодействии с сервером, пересылается по интернету в открытом виде, доступном для чтения всем. Это тоже не проблема, так, как веб-сайты, в основном, написаны для публики. Другое дело. когда переносятся личные данные, как например пароли или банковская информация, в этом случае непременно использовать так называемое SSL-шифрование (новые версии также известны под акронимом TLS). В сущности все банки или интернет-магазины применяют такое шифрование, которое в актуальной версии (т.е. TLS 1) до сих пор не было взломано. Активное шифрование отображается в популярных браузерах значком закрытого висячего замка в строке адреса, или в нижнем правом углу окна. Некоторые браузеры дополнительно меняют цвет фона строки адреса. Кроме того, шифрование можно узнать по имени протокола https, вместо http в начале интернет-адреса (URL).

• SSL/TLS предоставляет не только надёжное шифрование, но и в той же степени надёжную авторизацию компьютера в сети. После того, как был передан, так называемый, сертификат сервера и не вывелось никаких предупреждений, можно быть уверенным, что вы соединены именно с тем компьютером, адрес которого был задан.
  • Не смотря на это, иногда выводится предупреждение, потому, что либо владелец не может себе позволить сертификат по финансовым причинам или желает, чтобы сертификат сервера был официально получен, либо из-за недосмотра администратора. не смотря на это соединение хотя и установится, нельзя быть полностью уверенным, соединением не перехватил преступник-хакер. В любом случае следует насторожиться, если однажды при открытии страницы, которая ранее функционировала без проблем, было выведено предупреждение.

Предупреждения

• Наряду с предупреждениями о недействительных сертификатах, существуют ещё некоторые сообщения о предупреждениях, которые по случаю выводятся браузером, если эти предупреждения не отключены (чего делать не следует). Например предупреждение о файлах cookies, или о том, что вы желаете послать анкетные данные по незащищённому(не SSL-зашифрованному) соединению. Ни в коем случае не следует беспечно щелкать мышью, соглашаясь с такими предупреждениями, а уделить одну-две секунды, чтобы прочитать предупреждение, понять и принять решение с позиции здравого смысла, как поступить дальше.

Cookies

• Cookie-это очень маленький файл, который браузеру разрешено сохранять на локальном компьютере. Вопреки широко распространённому предрассудку, cookies не при каких обстоятельствах не содержат исполняемых файлов, и поэтому не пригодны для инсталляции вирусов или других вредоносных программ. «Угроза», которая исходит от cookies, затрагивает только право на информационное самоопределение. Если вообще не пугает, что хакеры выкладывают на обозрение всему миру профили пользователей, то тогда можно спокойно разрешать все cookies. В противном случае следует предотвратить свободную установку cookies. Это можно сделать, добавив настройку ставить cookies по запросу. Тогда при каждом cookie будет выводиться сообщение о предупреждении, и можно самостоятельно решить- хотите вы его принять или нет. Браузер запоминает ответы для каждого отдельного сервера, так, что диалоги вопроса со временем выводиться прекращают. Если для кого-либо это слишком трудно, как компромисс, можно разрешить cookies только для того домена, на странице которого вы сейчас находитесь. Исключением является большая часть маркетинговых фирм.

• К сожалению, совсем запрещать cookies часто не практично, потому, как cookies используются также для вполне законных целей, например, чтобы не нужно было каждый раз снова запрашивать логин.

Пароли

• Современные браузеры предлагают перенять функцию запоминания паролей. каждый раз, когда вы вводите на интернет-странице пароль, браузер спрашивает. следует ли ему запомнить пароль для этой страницы. При следующем заходе на эту страницу браузер самостоятельно заполняет пароль. Это может быть очень практично, если это функцию:

Никогда не использовать для таких действительно важных вещей, как банковские пароли. никогда не использовать на общедоступных компьютерах, как, например, в интернет-кафе. Кроме того, забыть пароль легче, если его не нужно вводить. Это может быть очень досадно, если сидишь не за тем компьютером.

Плагины

• Популярные веб-браузеры уже давно имеют в своём распоряжении возможность подключения плагинов, с помощью которой могут быть подключены функциональные расширения третьего производителя. Всемирно распространены плагин Acrobat-Reader-(PDF-) от Adobe, Flash от Macromedia (сейчас тоже принадлежит Adobe) и Java плагин от Sun, которые находятся в репозитариях Ubuntu-Multiverse. С неизвестными плагинами- напротив, если есть сомнения, то лучше от обещанного функционала отказаться.

Java/Javascript

• Java- это кросс-платформенный язык, изобретённый компанией Sun, который приводится в действие соответствующим плагином. Javascript- скриптовый язык, интерпретируемый браузером и не имеющий с Java ничего общего, кроме имени. Оба языка в сущности задуманы так (дыры в системе безопасности уже закрыты), чтобы исключить вредительские манипуляции с компьютером. Однако эффекты, особенно Javascript, могут иногда действовать на нервы, когда, например, открывается тысяча окон, которые просто-напросто не возможно закрыть, правая кнопка мыши перестаёт работать и т.д.
  • Перед посещением веб-сайтов, на котором происходили сомнительные вещи, или о котором известно, что на нём применены такие трюки, можно посоветовать от таких сайтов отключаться.

Электронная почта.

• Хотя существует много людей, которые авторизируются у своего провайдера электронной почты с помощью веб-браузера и читают почту в окне браузера, специализированные программы для работы с электронной почтой, как например, Thunderbird, KMail, Evolution или mutt, если получаешь много почты, обладают более широкой практичностью. Использование одной из этих программ возможно не только с точки зрения дружелюбности к пользователю, но и с позиции системной безопасности.
  • В противоположность веб-страницам, решение о посещении которых принимается свободно, выбирать от кого получать почту не всегда возможно. Правило для браузера избегать сомнительные сайты тут не действует. Поэтому через электронную почту вы подвергаетесь большему риску, чем при обычном посещении страниц. Направленные атаки также гораздо легче выполнимы.

Javascript

• С другой стороны, почтовые программы не имеют дела с таким большим количеством ерунды, как браузеры. Javascript может быть очень практичен для веб-сайтов, но рациональную цель для применения в электронной почте нужно ещё поискать. Если не смотря на это некоторые почтовые агенты поддерживают Javascript, в любом случае его следует отключить.

Комментарий:

• Соответствующий комментарий из предыдущего раздела о различиях в диалогах настройки, имеет силу и здесь.

HTML-почта

• Таким образом мы уже подошли ко второму бессмысленному изобретению после появления электронной почты: HTML почте. Раньше, в старые добрые времена люди были счастливы возможности вообще посылать текст и присоединять картинки и прочие файлы.
  • Но потом, когда-то, злые люди из маркетинга решили, что обязательно нужны пёстрые и сверкающие электронные письма и впредь на рынок выходит всё больше почтовых программ, которые могут отображать, и хотя бы сколько-нибудь генерировать HTML. Из-за этого достаточно быстро стали обнаруживаться проблемы с безопасностью, например следующая основа для фишинга по электронной почте:

Ссылка, которая ведёт не туда, куда показывает: http://www.meine-bank.de

• При возможности следует полностью отключить отображение HTML. Большая часть серьёзных HTML-писем всё равно содержат альтернативную версию в нормальном текстовом виде. К сожалению, возможность такой настройки отсутствует, например, в распространяемой с Breezy версией Evolution. Тогда не остаётся ничего больше, чем быть осторожным и, по возможности, проглядывать исходный код страницы. Также, в свою очередь, не следует осчастливливать других людей HTML-письмами и воздержаться от составления HTML.

Внимание!

• Банки и похожие организации никогда не посылают электронные письма с приглашением нажать на ссылку. Поэтому для пользования услугами онлайн-банка следует вводить адрес банка в чистом окне браузера вместо того, чтобы нажимать на «удобную ссылку».

• Другая неприятность, которая исходит от HTML-почты- это ссылки на внешние изображения, которые подгружаются во время чтения письма. С их помощью можно легко узнать открыл ли получатель письмо, и если да, то когда. Спаммеры с помощью этого проверяют подлинность собранных адресов, которые, таким образом, возрастают в цене. Как следствие, спама после этого приходит гораздо больше. Таким образом следует предотвращать открытие таких изображений. Большинство из общепризнанных почтовых программ дают возможность либо полностью запретить загрузку изображений, или разрешить для писем только тех отправителей, которые занесены в адресную книгу. Оба варианта годятся.

Шифрование

• Таким же образом в электронной почте существует возможность шифровать передачу данных с помощью SSL. К сожалению, пока не все провайдеры электронной почты поддерживают SSL/TLS, а у некоторых за такой сервис требуется платить отдельно. Воспринимать ли это как повод сменить свой почтовый ящик, каждый должен для себя решить сам. В любом случае следует уделить внимание тому. чтобы активировать шифрование в обоих направлениях. Протоколы входящей (POP3, IMAP) и исходящей (SMTP) почьты конфигурируются отдельно.
  • Также важно понимать, что SSL защищает только соединение между почтовым сервером и абонентом (включая передачу паролей). Дальнейший путь письма до почтового ящика получателя проходит без шифрования и, примерно, на столько же секретный, как содержание почтовой карточки. Тем, кому это не нравится. следует зашифровывать свою почту с помощью GnuPG.

Прочее программное обеспечение настольного компьютера

• От программ мгновенного обмена сообщениями, IRC, видеоконференций и открытия доступа к файлам, до онлайн-игр существует ещё очень много программ, которые взаимодействуют с другими компьютере в интернет. Также здесь действует такое правило: по возможности быстро устанавливать обновления и не отбрасывать чувство здравого смысла. Не следовать сомнительным советам незнакомых людей и не запускать на компьютере программное обеспечение с сомнительным или неизвестным происхождением.

Сервер

• Это раздел посвящён особенным требованиям к безопасности интернет-сервера, т.е. сервера, который доступен не только из локальной сети. Что-то можно настроить дома, если есть широкополосное соединение. Или арендовать, так называемый, выделенный, или Root-Сервер у провайдера хостинга. Домашнее решение дешевле, но хуже соединение (особенно загрузки). Что касается безопасности обоих,- все сводится к одному. Еще не много предложений, если вообще не отсутствует, Root-серверов с Ubuntu. Кто в качестве замены выбирал Debian, не испытывал никаких проблем.

Никаких новичков.

• Нужно заранее отметить: администрирование сервера, который должен предоставлять интернет-услуги не для новичков! Без знаний о предмете, а только о выделенной хостером веб-площади, невозможноадминистрировать Root-сервер. Находящийся в сети, имеющий такое соединение, о котором нормальный смертный может только молчать, неправильно настроенный, он может представлять серьёзную угрозу как для владельца, так и для каждого второго пользователя интернета. Таким же образом редко можно полагаться на то, что домашний сервер под управлением DSL «просто невозможно найти». Слишком много людей полагаются на то, что Linux «просто безопасен». Рано или поздно ваш сервер будет взломан и использован в нелегальных целях. Это может обойтись вам очень дорого. Каждый серверный пакет обычно имеет в своём распоряжении определённую квоту трафика. При перерасходовании может оказаться ощутимо дороже.

Пример:

• Хакер загружает образ DVD на сервер, который он хочет скомпрометировать и делится ссылкой со 100 людьми. Это произведёт примерно половину терабайта трафика!
  • Дополнительно можно легко заработать неприятности с полицией или прокуратурой, если речь идёт от незаконных товарах, как например пиратские копии, право-радикальная пропаганда или детская пропаганда, или о том, что взломанный сервер атаковал другие машины в сети, как почти всегда и случается. В этом случае нельзя предъявить претензию провайдеру, так, как это персональная ответственность за безопасность Root-сервера, что и прописано в договоре.
    • Тому, кто ещё более или менее обстоятельно не знаком с Unix/Linux, а особенно с командной строкой и конфигурационными файлами, следует серьёзно подумать о том, чтобы остановиться на предложении о хостинге с поддержкой. Понятие «поддерживаемый сервер» означает, что вы имеете только «производительность» и »командную власть» над сервером. О конфигурации системы, безопасности и обо всём прочем беспокоится провайдер. само собой, такие предложения дороже обычного root-сервера. За это вы получаете адекватную услугу- можно почти ни о чём не беспокоиться и риск ущерба лежит на провайдере.

Быть ещё более актуальным.

• Во первых: Нужно быть ещё более расторопным и добросовестным по отношению к обновлениям, чем на настольном компьютере. Прямо сейчас подписаться на соответствующие почтовые рассылки безопасности используемого дистрибутива и на рассылки всех пакетов ПО, которые у вас установлены дополнительно. Игровые серверы и системы управления контентом, т.е. вещи, которые очень часто хочется установить на свой сервер и при развитии которые, основное внимание уделяется не безопасности и в которых часто обнаруживаются большие дыры в в системе безопасности, которыми сразу начинают пользоваться в больших объёмах. единственное, что здесь может защитить- это поддерживать систему постоянно обновлённой.

Составить план

• До того, как поднимать сервер следует составить план, что вы хотите с помощью этого сервера достичь и какой программное обеспечение вам для этого нужно. Для основных целей под Linux существует много альтернатив, из которых по следующим критериям следует выбрать одну:

Какой нужен функционал? Какое программное обеспечение обладает им и какой обладает именно этим функционалом лучше всего.

Какая у этого программного обеспечения история безопасности, или иначе какая у него репутация? Принадлежит ли безопасность к основным критериям построения? Хватает ли способностей, чтобы понять конфигурацию этого программного обеспечения, или иначе овладеть этим программным обеспечением? Поддерживается ли это программное обеспечение дистрибутивом? (в случае Ubuntu, это относится к неограниченно всем пакетам, находящимся в репозитариях main!).

• Лучше всего сначала поднять тестовый сервер дома, чтобы была возможность на нём всё безопасно проверить. особенно следует проверить безопасность сервера, кроме всего прочего сканером портов. Если сервер движим (т.е. стоит не в вычислительном центре), можно сперва установить его в локальную сеть, а потом в состоянии готовности соединить с интернетом.

Безопасная авторизация

• Еще более важна, чем для относительно не подверженного нападениям настольного компьютера, безопасная авторизация для сервера. Все основные принципы парольной безопасности, описанные выше в разделе Настольный компьютер, разумеется действуют и здесь и должны быть восприняты с особой серьёзностью. Кому уже случалось администрировать сервер (и кто иногда читал логи), тот знает как часто заморские иностранцы с помощью атак по вскрытию лёгких паролей принимают попытки такие пароли отгадать.
  • Кроме того следует обратить внимание на то, что если сервер находится вне дома, по возможности не должно передаваться пароль в открытом тексте. В частности следует применять для администрирования протокол ssh2 (openssh), которые предлагает надёжное шифрование для использования из дома. С помощью команд scp и sftp можно реализовать передачу данных по этому протоколу, таким образом можно отказаться от использования небезопасного протокола FTP. Некоторые FTP-программы с графической оболочкой, как например gftp также защищены протоколом ssh.

Внимание!

• Очень важно использовать версию 2 протокола ssh, так как в версии 1 были найдены серьёзные недостатки. Это достигается параметром Protocol 2 в файле ssh_config, который находится либо в директории /etc либо в /etc/ssh. Правда эта опция установлена по умолчанию.
  • Другие службы, как например различные почтовые протоколы, могут быть с меньшими затратами переведены на использование SSL-шифрования, что тоже следует по возможности сделать.
    • Если предоставляется возможность более надёжной авторизации, следует полностью отказаться от использования обычных паролей. SSH, например, может работать и с криптографическими ключами, что в любом случае предпочтительнее методу паролей. Дополнительно к повышенной безопасности, использование агентов ssh позволяет хранить ключ в оперативной памяти, и поэтому не нужно при каждом входе вводить пароль. Здесь мы наблюдаем редкий случай, когда повышенная безопасность означает повышенное удобство. подробнее можно прочитать в статье Wiki SSH и в руководстве по OpenSSH-Suite (apropos ssh), в частности в man ssh-keygen.

Брандмауэр

• Тому, кто настраивает сервер для работы в интернете не следует ни в каком случае размещать компьютер во внутренней локальной сети, где он предоставляет такие локальные службы, как Cups, Samba, NFS, и т.д. Опасность, что сервер будет взломан слишком высока, и тогда у атакующего будет прекрасный плацдарм в частной сети. Таким образом, если серверные службы предлагаются не на выделенном сервере в вычислительном центре, а из дома или офиса, следует заключить сервер с помощью брандмауера в демилитаризованную зону.
  • Это должно огородить как от интернета, так и от частной сети настолько надёжно, насколько это возможно. Это означает, что будут допущены только те соединения, которые либо служат целям сервера, либо обязательны для администрирования.
    • Кроме того, все необычные соединения, которые идут из демилитаризованной зоны должны быть подробно запротоколированы брандмауэром (а протоколы следует регулярно читать), чтобы была возможность вовремя выявить взломы. В этом помогает установка Intrusion Detection Systemen (IDS). В источниках пакетов Ubuntu для этого можно найти например tripwire и Aide, основанную на принципе проверки контрольных сумм IDS, а также snort, основанную на сигнатурах сетевую IDS.