Администраторы Apache Software Foundation в экстренном порядке произвели изменение в DNS зоне apache.org, перенаправив запросы основного web-сервера проекта на запасное зеркало в Европе. Пользователи, у которых старый IP сайта www.apache.org (http://www.apache.org) все еще находится в DNS кэше, могут увидеть пустую страницу с уведомлением в блокировке работы сайта в связи со взломом.
Подробности пока неизвестны, в уведомлении рассказано только о том, что ряд серверов пришлось отключить от сети из-за обнаружения следов проникновения злоумышленников. По предварительным данным, проникновение было организовано через украденный у одного из разработчиков SSH-ключ, а не через неизвестную уязвимость в http-сервере Apache.URL: http://www.h-online.com/open/SSH-Key-compromise-takes-Apache...
Новость: http://www.opennet.me/opennews/art.shtml?num=23208
Самое слабое звено любой системы - это ее пользователи.
> Самое слабое звено любой системы - это ее пользователи.Нет. Пользователи не являются звеньями никаких цепей в системе безопасности. ;)
правильней сказать - не пользователи, а человеческий фактор
Настоящий программист, как известно, ставит рядом с собой два
стакана - один с водой, на случай если захочет пить, другой без
воды, на случай, если не захочет. А вот настоящий админ ставит
четыре стакана. Другие два - на случай отказа первой системы.
Уровень безопасности всей системы определяется уровнем защищённости её самого слабого звена.
> уровнем защищённости её самого слабого звена.Мозгами админа?!
Диск с содержимым Web-сервера должен находится на DVD/BD-ROM, при изменении записываться новый.
Перед записью нового DVD проверяются контрольные суммы всех файлов и дважды содержимое
изменённых. Сопоставляются цифровые подписи изменивших с базой подписей.
А я думал, почему веб-сервер ФСБ так тормозит...
>А я думал, почему веб-сервер ФСБ так тормозит...Ну а чо, у DVD-ROM seek time паршивый :P.
Дважды контрольную сумму одного и того же файла мало проверять. Надо десять. А то мало ли что.
Еще директорию upload тож на read-only носители размещать
представил себе маленький завод для печати DVD/BD-ROM рядом с vkontakte.ru.... (вот тут можно проникнуться, зачем - http://vkontakte.ru/help.php?page=about)или девочку-"директора-по-маркетингу" ежедневно перед обедом заскакивающую с диском к хостеру "обновить" сайт
и привет виртуальному хостингу, да..
буагага
>представил себе маленький завод для печати DVD/BD-ROM рядом с vkontakte.ru.... (вот тут
>можно проникнуться, зачем - http://vkontakte.ru/help.php?page=about)
>
>или девочку-"директора-по-маркетингу" ежедневно перед обедом заскакивающую с диском к хостеру "обновить" сайт
>
>
>и привет виртуальному хостингу, да..
>
>буагагаОна к нему с рейд-массивом дивидюшек прибежит ))))) 100Гб и более на одну болванку только павлинукс может вместить ))
>представил себе маленький завод для печати DVD/BD-ROM рядом с vkontakte.ru....Для такого дерьма, и Windows NT 3.51 сойдёт с Б/Ушным ленточным накопителем на магнитофоне Весна 202.
> (вот тут можно проникнуться, зачем - http://vkontakte.ru/help.php?page=about)7 терабайт на одной болванке хватит?
http://www.gereports.com/ge-unveils-holographic-disc-breakth.../
http://www.membrana.ru/articles/inventions/2009/05/29/155100...
> или девочку-"директора-по-маркетингу" ежедневно перед обедом заскакивающую
> с диском к хостеру "обновить" сайт и привет виртуальному хостингу, да..Батенька, а мозг вам зачем?
Безопастный скриптинг, автоматизированые проверки с независимого компа в качестве клиента
+ BD-R писалка http://www.opticaljukebox.com/OpticalRAID.htm + махенький робот по перетаскиванию дисков.
>буагагаНе, бугага это, когда я в Швейцарии на лыжах катаюсь, а у вас девочки по офису носятся.
>>представил себе маленький завод для печати DVD/BD-ROM рядом с vkontakte.ru....
>Для такого дерьма, и Windows NT 3.51 сойдёт с Б/Ушным ленточным накопителем
>на магнитофоне Весна 202.может и дерьмо, однако как иллюстрация вполне сгодится. в принципе, можно привести как пример opennet.ru :)
ну-ка, какова будет оперативность обновления инфы в случае пропускания фарша через r/o болванки?>> (вот тут можно проникнуться, зачем - http://vkontakte.ru/help.php?page=about)
>7 терабайт на одной болванке хватит?
>http://www.gereports.com/ge-unveils-holographic-disc-breakth.../
>http://www.membrana.ru/articles/inventions/2009/05/29/155100...ага, понял, надо всего-навсего подождать "Очередной скачок вместимости DVD-дисков, который произойдёт примерно через пять-десять лет, обещают нам австралийские учёные."
пойду повешу объяву на серваках, нехай ждут, когда я дождусь болванок и настрою их смену
>> или девочку-"директора-по-маркетингу" ежедневно перед обедом заскакивающую
>> с диском к хостеру "обновить" сайт и привет виртуальному хостингу, да..
>
> Батенька, а мозг вам зачем?
>Безопастный скриптинг, автоматизированые проверки с независимого компа в качестве клиента
>+ BD-R писалка + махенький робот по перетаскиванию дисков.пользуясь случаем, еще раз передаю привет виртуальному хостингу и нанороботам по перетаскиванию дисков. еще раз буагага.
мозг мне говорит, что вся эта гемороидальная ахрененность с болванками удел исчезающе малого количества проектов.
так что снова
>>буагага
>Не, бугага это, когда я в Швейцарии на лыжах катаюсь, а у
>вас девочки по офису носятся.вы это, лучше катайтесь. возможно, это у вас лучше получается.
Критику зря развели. Вполне рациональный вариант для критически важного приложения на после-релизной стадии. Весь код "движка" на read-only носитель, все пользовательские данные - на отдельный read-write носитель.
а монтировать ФС в таком режиме не судьба? :)))а за потерю ключа юзера расстрелять мало. Вместе с админом, который ему права дал, а вместе с руководителем, который обязал админа выдать права :)))
>а монтировать ФС в таком режиме не судьба? :)))Можно и так. Но нет гарантии что ограничение на программном уровне не удасться обойти программно. А в случае с read-only носителем - хоть с бубном камлай, но "железо" не позволит подменить код.
>а за потерю ключа юзера расстрелять мало. Вместе с админом, который ему
>права дал, а вместе с руководителем, который обязал админа выдать права
>:)))не спешите обсуждать "лажу" других - у самого может и не меньшая образоваться
>Критику зря развели. Вполне рациональный вариант для критически важного приложения на после-релизнойдля критически важного - ради бога
но павлинукс-то область применимости не сужает - все должны! :)>стадии. Весь код "движка" на read-only носитель, все пользовательские данные -
>на отдельный read-write носитель.ну хорошо, "здесь был вася" будет нарисовано не на месте логотипа, а во всех новостях/именах пользователей/постах и других пользовательских данных.
тут вспоминается повсеместный совет не работать под рутом. при этом умалчивается, что даже если работать под обычным юзером, то при факапе вполне могут улететь все данные этого юзера, а они могут (да и наверняка так оно и есть) быть много ценнее самой ОС, которую накатить с нуля - вопрос пары часов.
да, в случае, если на машине живут несколько юзеров, ущерб будет меньше, но свои данные юзер потеряет. в случае с домашней машиной разница рут-нерут стремится к нулю.
тоже самое и здесь - неизменяемые данные (читай - скелет+дизайн+какие-то архивные данные типа новостей) останутся, все остальное все так же под угрозой... увы...
>[оверквотинг удален]
>
>для критически важного - ради бога
>но павлинукс-то область применимости не сужает - все должны! :)
>
>>стадии. Весь код "движка" на read-only носитель, все пользовательские данные -
>>на отдельный read-write носитель.
>
>ну хорошо, "здесь был вася" будет нарисовано не на месте логотипа, а
>во всех новостях/именах пользователей/постах и других пользовательских данных.
>Чтобы всунуть "здесь был вася" нужно каким-либо образом выполнить свой код на сервере. Если код написан грамотно и вынесен на read-only раздел, это уже становится весьма проблематично.
>тут вспоминается повсеместный совет не работать под рутом. при этом умалчивается, что
>даже если работать под обычным юзером, то при факапе вполне могут
>улететь все данные этого юзера, а они могут (да и наверняка
>так оно и есть) быть много ценнее самой ОС, которую накатить
>с нуля - вопрос пары часов.
>
>да, в случае, если на машине живут несколько юзеров, ущерб будет меньше,
>но свои данные юзер потеряет. в случае с домашней машиной разница
>рут-нерут стремится к нулю.Для того чтобы минимизировать ущерб существует резервное копирование. А по поводу рут-нерут на домашней машине - на моей памяти на ЛОРе как-то проскочил милый скрипт. Который просто удаляет все в корневом разделе. И нашлось немало пользователей которые сдуру запустили под рутом.
>
>тоже самое и здесь - неизменяемые данные (читай - скелет+дизайн+какие-то архивные данные
>типа новостей) останутся, все остальное все так же под угрозой... увы...
>Есть один гарантированный способ обезопасить веб-сервер на 100% - отключить питание.
>>[оверквотинг удален]
>>>стадии. Весь код "движка" на read-only носитель, все пользовательские данные -
>>>на отдельный read-write носитель.
>>ну хорошо, "здесь был вася" будет нарисовано не на месте логотипа, а
>>во всех новостях/именах пользователей/постах и других пользовательских данных.
>Чтобы всунуть "здесь был вася" нужно каким-либо образом выполнить свой код на
>сервере. Если код написан грамотно и вынесен на read-only раздел, это
>уже становится весьма проблематично.ну-ка, ну-ка, от каких таких бед тогда будет защищать нас read-only?
>>>[оверквотинг удален]
>>>>стадии. Весь код "движка" на read-only носитель, все пользовательские данные -
>>>>на отдельный read-write носитель.
>>>ну хорошо, "здесь был вася" будет нарисовано не на месте логотипа, а
>>>во всех новостях/именах пользователей/постах и других пользовательских данных.
>>Чтобы всунуть "здесь был вася" нужно каким-либо образом выполнить свой код на
>>сервере. Если код написан грамотно и вынесен на read-only раздел, это
>>уже становится весьма проблематично.
>
>ну-ка, ну-ка, от каких таких бед тогда будет защищать нас read-only?от подмены злоумышленником кода приложения. Достаточно ясно ответил?
>[оверквотинг удален]
>>>>>на отдельный read-write носитель.
>>>>ну хорошо, "здесь был вася" будет нарисовано не на месте логотипа, а
>>>>во всех новостях/именах пользователей/постах и других пользовательских данных.
>>>Чтобы всунуть "здесь был вася" нужно каким-либо образом выполнить свой код на
>>>сервере. Если код написан грамотно и вынесен на read-only раздел, это
>>>уже становится весьма проблематично.
>>
>>ну-ка, ну-ка, от каких таких бед тогда будет защищать нас read-only?
>
>от подмены злоумышленником кода приложения. Достаточно ясно ответил?и всего-то?
а всякие upload'ы? картинки/видео/текстовые файлы, лежащие на винте? да и сама база с пользовательскими данными, наконец?я не зря привел пример с работой из под не-рута - ценны данные, а не код, и данные в этом случае как раз не защищены
>[оверквотинг удален]
>>>>>>на отдельный read-write носитель.
>>>>Если код написан грамотно и вынесен на read-only раздел, это
>>>>уже становится весьма проблематично.
>>>ну-ка, ну-ка, от каких таких бед тогда будет защищать нас read-only?
>>от подмены злоумышленником кода приложения. Достаточно ясно ответил?
>и всего-то?
>а всякие upload'ы? картинки/видео/текстовые файлы, лежащие на винте? да и сама база
>с пользовательскими данными, наконец?
>я не зря привел пример с работой из под не-рута - ценны данные,
> а не код, и данные в этом случае как раз не защищены.Данные делим на троих.
1. ZeroTimeData - вские кэши, tmp-мусор, флаги, клоны, снапшоты, зеркала, ....
2. OneDayData-. - новые данные по тематике сервера. (Новостной - новости, DB - таблицы, контент - музик, график, видео )
3. NoTimeData - пользовательские данные, ключи, отчеты, документы.Подробное описание, деление на приоритеты, дело каждого админа, начальства и отд. безопастности.
Может кто-то забъет на контент, и будут хранить только базы юзеров, кто-то наоборот, а для кого-то кэш дороже всего...
И кто вам сказал, что это будет и должно быть просто. Вот живой пример - Апач, - схалявили - получили дохлый сервер, а могли бы за пару минут переткнуть hot-swap диск.
>[оверквотинг удален]
>- таблицы, контент - музик, график, видео )
>3. NoTimeData - пользовательские данные, ключи, отчеты, документы.
>
>Подробное описание, деление на приоритеты, дело каждого админа, начальства и отд. безопастности.
>
>
>Может кто-то забъет на контент, и будут хранить только базы юзеров, кто-то
>наоборот, а для кого-то кэш дороже всего...
>
>И кто вам сказал, что это будет и должно быть просто.бекапы проще и УЖЕ РАБОТАЮТ
а это.... геморрно через чур
хотя своя весьма УЗКАЯ ниша у этого метода, конечно, есть :)
А БД ты тоже на диске держать будешь?
>А БД ты тоже на диске держать будешь?Чё вы все упёрлись в частности. Надо будет - будем держать.
У Ваших, у всех мобил 99% данных, 99% времени работают
в режиме R/O, обновляется только статистика звонков/sms.Сами посчитаёте, сколько данных, действительно нужных, которые
влияют на ваше здоровье, питание, жизнь, вы сохраняете за день?
Или данные, влияющие на вашу работу, - исходники, отчёты, проекты, и т.д.Посчитайте размеры ваших хардов и те данные которые вы хотели
бы хранить годы. Да них...я!!! 1 гиг. максимум что наберёте.
>>А БД ты тоже на диске держать будешь?
>Чё вы все упёрлись в частности. Надо будет - будем держать.да нет, частности, это как раз про мобилы, а тот же опеннет генерит куда как прилично данных
> Посчитайте размеры ваших хардов и те данные которые вы хотели
>
>бы хранить годы. Да них...я!!! 1 гиг. максимум что наберёте.26 гиг архив видео и фоток за последние 3 года
и будет расти
>>>А БД ты тоже на диске держать будешь?
>>Чё вы все упёрлись в частности. Надо будет - будем держать.
>да нет, частности, это как раз про мобилы, а тот же опеннет
>генерит куда как прилично данных
>> Посчитайте размеры ваших хардов и те данные которые вы хотели
>>бы хранить годы. Да них...я!!! 1 гиг. максимум что наберёте.
>26 гиг архив видео и фоток за последние 3 года
>и будет растиЯ тоже думал, что 8 гигов фоток за год отснятых это шыдэвры.
Фильтранул, отредактировал, оказалось, что в JPG это всего лишь 36Mb. :)
И то дерма интересного только мне, близким и знакомым, - пьянки, юбилей, свадьбы... хрень всякая.
>>> Посчитайте размеры ваших хардов и те данные которые вы хотели
>>>бы хранить годы. Да них...я!!! 1 гиг. максимум что наберёте.
>>26 гиг архив видео и фоток за последние 3 года
>>и будет расти
>
>Я тоже думал, что 8 гигов фоток за год отснятых это шыдэвры.оборони создатель! исключительно свои ракурсы в разных позах для самолюбования - личный архив, что хочу - то и храню. низя?
>>>> Посчитайте размеры ваших хардов и те данные которые вы хотели
>>>>бы хранить годы. Да них...я!!! 1 гиг. максимум что наберёте.
>>>26 гиг архив видео и фоток за последние 3 года
>>>и будет расти
>>
>>Я тоже думал, что 8 гигов фоток за год отснятых это шыдэвры.
>
>оборони создатель! исключительно свои ракурсы в разных позах для самолюбования - личный
>архив, что хочу - то и храню. низя?А смысл?
>А смысл?а смысл тут флеймить вместо того, чтобы пойти погулять/попить пивка/добавить свое по вкусу?
> У Ваших, у всех мобил 99% данных, 99% времени работают
>в режиме R/O, обновляется только статистика звонков/sms.Правда? А ~2 гига фотографий (со сливом на диск большого писюка для расчистки места) - это что, мой глюк? oO
World should not be read-only. Долой потребительское отношение к данным - да здравствует СОЗИДАНИЕ. С помощью телефона например можно заснять такие кадры которые в противном случае никто бы никогда не увидел. Благо, фотоаппарат с собой постоянно никто не таскает, в отличие от телефона.
>> У Ваших, у всех мобил 99% данных, 99% времени работают
>>в режиме R/O, обновляется только статистика звонков/sms.
>
>Правда? А ~2 гига фотографий (со сливом на диск большого писюка для
>расчистки места) - это что, мой глюк? oO
> С помощью телефона например можно заснять такие кадры которые в противном
> случае никто бы никогда не увидел.Угу, видели мы эти фото-видео, .... вся инета в этом дер..ме.
А теперь подумайте сколько ресурсов планеты перерабатывается, - нефть, уголь, дерево,
для того что Вася Пупкин подрочил перед монитором на фотки-видео голой соседки
снятой в туалете, душе.
А жрем дерьмо с ГМО, сосиски из сои, колбасу с бумагой, арбузы с вододй, водку из
ацетона, сок из натрия, хлора и сульфата, молоко из искусственного белка,
ВОДУ обычную за деньги продают!!!
Скоро на работу баллончики с воздухом заправлять будете, на заправках БритишКислородиум или СибВоздух по 25 руб. за литр сжиженного воздуха.С я куею с Вас люди, могилу сами себе роете....
Хе, забавные вы существа...
>[оверквотинг удален]
>бумагой, арбузы с вододй, водку из
>ацетона, сок из натрия, хлора и сульфата, молоко из искусственного белка,
>ВОДУ обычную за деньги продают!!!
>Скоро на работу баллончики с воздухом заправлять будете, на заправках БритишКислородиум или
>СибВоздух по 25 руб. за литр сжиженного воздуха.
>
> С я куею с Вас люди, могилу сами себе роете....
>
>
>Хе, забавные вы существа...а, jab, сорри, не признал... как там на таттуине, все живы-здоровы?
> Угу, видели мы эти фото-видео, .... вся инета в этом дер..ме.Молодец. А мне нравится вот возможность сфотографировать забавную сцену 1 нажатием кнопки.
> А теперь подумайте сколько ресурсов планеты перерабатывается, - нефть, уголь, дерево,
А давай посмотрим что было раньше? Сейчас можно не изводить деревья оптом на фотобумагу. Да и на обычную тоже, по большому счету. И не обязательно сливать достаточно токсичные проявители и прочее фотохимическое добро в канализацию (ну, куда-то отъюзанные реактивы надо же девать?!). Что до нефти и угля - электроэнергию можно добывать и иными методами (ГЭС и АЭС в нормальных условиях не срут например). А народ наконец то постепенно задумывается и о альтеративных источников энергии.И не надо пиндеть что жрать энергию плохо само по себе: наше светило присылает нам столько энергии что можно буквально купаться в ней. А самое смешное - абсолютно однохренственно если она рассеется как тепло сразу или сперва пройдет некие трансформации в другие типы энергии и выделится в тепло вашим системником. Общий баланс энергии останется ровно тот же - тупо вытекает из закона сохранения энергии :P. Главное при этом не изводить слишком много полезных ископаемых на энергию - чтобы не засирать все вокруг их выбросами и не сдвигать энергетический баланс слишком сильно(они миллионы лет копились все-таки). И кстати самые мощные засиратели среды и потребители ископаемых - автомобили. Их суммарная мощность в много раз превышает мощность электростанций. Так что если уж браться за расчистку планеты - начинать надо с автомобилей, имхо. Подумав ессно о том где брать дополнительную энергию безвредными для среды методами для электромобилей, например.
> А жрем дерьмо с ГМО,
Ты не поверишь, но переваривается оно не хуже всго остального :-). Пищеварительная система - крайне универсальная штука. Ну, ей пришлось такой стать. Потому что в древние времена жратва была как бы не очень качественная. Поэтому несмотря на свежий воздух и бесплатную (но не фильтрованную и с кучей заразы) воду дикари легко дохли в 30-40 лет.
> ВОДУ обычную за деньги продают!!!
Обычную? Обычная - в лужах. Поди попей ее - глядишь отправишься на тот свет в 30-40 как дикари, когда твоя организма не сможет однажды забороть всю микро-живность которая там водилась.
> С я куею с Вас люди, могилу сами себе роете....
Скажи, павлин, а ты уже свалил жить в пещеру?Отказался от электроэнергии? Не юзаешь газ? Пьешь из луж? И питаешься только тем что добыл голыми руками? Ну или какого? =).
Вот в чем я с тобой согласен - людям еще предстоит поучиться бережному отношению к своей планете. До некоторых и понемногу начинает все-таки уже доходить что срать где живешь - не есть правильно. К сожалению, в России как всегда все с опозданием. Янки например прижатые кризисом и ценами на бензин очень неплохо вдарились в экономию энергии и топлива, заодно популяризовав вопросы экологии и заинтересовавшись экологически чистыми методами выработки энергии (ну наконец то, блин).
> Хе, забавные вы существа...
"Привет лунатикам!" (c) =)
> Диск с содержимым Web-сервера должен находится на DVD/BD-ROM, при изменении записываться новый.Мелко мыслишь. Надо сразу шить все в mask ROM ;).Проблема только одна - если серверов надо не миллиард, будет как-то дороговато в пересчете на сервер а изменение 1 странички будет стоить дофига килобаксов.
> Сопоставляются цифровые подписи изменивших с базой подписей.
Если некто спер ключ, то что ему помешает и файлы поменять? Грубо говоря - если какой-то лабух профукал доступ в пользу хакера, он его профукал. И от его лица могут быть выполнены разнообразные действия. В общем случае - на что хватало прав у юзера, хватит прав у хакера.
>[оверквотинг удален]
>- если серверов надо не миллиард, будет как-то дороговато в пересчете
>на сервер а изменение 1 странички будет стоить дофига килобаксов.
>
>> Сопоставляются цифровые подписи изменивших с базой подписей.
>
>Если некто спер ключ, то что ему помешает и файлы поменять? Грубо
>говоря - если какой-то лабух профукал доступ в пользу хакера, он
>его профукал. И от его лица могут быть выполнены разнообразные действия.
>В общем случае - на что хватало прав у юзера, хватит
>прав у хакера.Неее... Имеется ввиду, что, например, движок портала, т.е. все .php скрипты лежать на болванке или в любом RO-месте. Движок сайта он, вообще то, обновляется нета часто или если найден очень серьёзный баг или дырко :)
Все проблема в том, что возможно изменение именно скрипта сайта, с вложением инклудинга стороннего скрипта, вроде незаметно, если этот инклуд будет в середине конфига, где нить, или другого скрипта, который в принципе редко изменяется. А вообще контрольные суммы проверять надо, но и тут проблема, что сами суммы надо хранить в РО месте, чтобы злые хацкеры и их не подменили...
Хотя это скорее дело личной паранойи каждого отдельного админа. Хотя лучше быть параноиком, чем лохом... :)
А вообще есть такой анекдот:
- Несколько лет потребуется для взлома пароля,
Так утверждал сисадмин компании Юкос.
Спецназу ФСБ на это потребовалось 5 минут 3 из которых они привязывали сисадмина к стулу...Так что если кто то захочет ласково погладить, утюжком, сисадмина :) Никакая защита не поможет... :D
>Неее... Имеется ввиду, что, например, движок портала, т.е. все .php скрипты лежать
>на болванке или в любом RO-месте.А я имел в виду что надо все (ОС, сервер, скрипты) надо вшить сразу в mask ROM. У большинства хакеров к слову вообще денег не хватит на модифицированную версию ;).
>А вообще контрольные суммы проверять надо, но и тут проблема, что
>сами суммы надо хранить в РО месте, чтобы злые хацкеры и
>их не подменили...А с этим никакой проблемы нет как раз.Крутим сервак в виртуалке (или контейнере) а чекер - на хосте, чексуммы храним там же. В случае интрузии срубаем виртуалку к такой-то фене, можно даже снапшот для коллекции снять чтобы покопаться, равно как и откатить все выходки в момент путем использования более старого снапшота. А вот у хаксора доступа к железному хосту по сети вообще быть не должно по хорошему. В итоге хаксор не только попадет в кастрированное окружение где за ним шпионит кто-то невидимый способный отменять все его действия но и познакомится с эффектами столь знакомыми квантовым физикам (множественные миры, расщепление вселенной после события на миры с разными вариантами развития событий и т.п. :D).
>Так что если кто то захочет ласково погладить, утюжком, сисадмина :) Никакая
>защита не поможет... :DУгу, только вот если вместо пароля например приватный кей на 4096 бит на внешнем носителе (который быстренько изничтожается "в случае аварии") - никакой утюжок не поможет.Потому что админ не заучивал наизусть полкило бинарных данных, и сколько его не утюжь - он их не вспомнит.
вот думаю как мне symfony проект на DVDюк записать )
>вот думаю как мне symfony проект на DVDюк записать )Как-как... Записать с сохранением ссылок на RW места.
# mkdir /tmp/CDROOT
# cd /tmp/CDROOT
# ln -s /tmp ./tmp
# mkdir ./var
# ln -s /var/tmp ./var/tmp
# cp -a /path/to/symfony/data ./
# mkisofs -R -J -U -o ../CDROOT.iso ./# mount -o loop ../CDROOT.iso /media/dvd/
# ls -la /media/dvd/
итого 22
drwxr-xr-x 5 pavel users 2048 Авг 29 02:01 .
drwxr-xr-x 9 root root 144 Авг 28 15:28 ..
drwxr-xr-x 2 pavel users 16384 Июл 11 00:00 bin
drwxr-xr-x 2 pavel users 2048 Июл 24 04:42 boot
lrwxrwxrwx 1 pavel users 4 Авг 29 01:57 tmp -> /tmp
drwxr-xr-x 2 pavel users 2048 Авг 29 01:59 var# echo "WRITE" > /media/dvd/bin/WRITE.txt
bash: /media/dvd/bin/TEST: Файловая система доступна только для чтения# echo "WRITE" > /media/dvd/tmp/WRITE.txt
# echo $?
0
>>вот думаю как мне symfony проект на DVDюк записать )
>
>Как-как... Записать с сохранением ссылок на RW места.и привет данным в RW-местах при факапе
и стоит ли оно ТАКОГО геморроя? :)
>>>вот думаю как мне symfony проект на DVDюк записать )
>>Как-как... Записать с сохранением ссылок на RW места.
>и привет данным в RW-местах при факапе
>и стоит ли оно ТАКОГО геморроя? :)Это уже считать надо.
Для сайта любителей морских свинок нужно, а для пентагона, цру, фбр, анб - нафиг не нужно,
там все равно ничего нет. :)
>>и стоит ли оно ТАКОГО геморроя? :)
>Это уже считать надо.
>Для сайта любителей морских свинок нужнои как любители морских свинок это будут делать?
вот, допустим, есть у них сайт на обычном шаред-хостинге. что им нужно сделать для использования такой модели обеспечения безопасности? купить выделенный сервер? "кто оплачивает банкет?" (С)
>>>и стоит ли оно ТАКОГО геморроя? :)
>>Это уже считать надо.
>>Для сайта любителей морских свинок нужно
>
>и как любители морских свинок это будут делать?
>вот, допустим, есть у них сайт на обычном шаред-хостинге. что им нужно
>сделать для использования такой модели обеспечения безопасности? купить выделенный сервер? "кто
>оплачивает банкет?" (С)Раз уж смогли полюбить свинок - найдут и бабла на сервачок :)
Я всё это к чему? Да к тому, что защитить данные, ДАЖЕ при появление хацкеров с рутовым паролем, дело не такое уж и трудное.
ДЕЙСТВИЕ РУТА ЗАКАНЧИВАЕТСЯ ТОГДА, КОГДА НАЧИНАЕТСЯ РЕАЛЬНОСТЬ - отрубают питание,
перегрызают провод, R/O носители, одноразовые ежедневный/недельный/месячный бэкапы,
физически разнесённые хранилища, клонирование, зеркалирование, шифрование....
> Я всё это к чему? Да к тому, что защитить
>данные, ДАЖЕ при появление хацкеров с рутовым паролем, дело не такое
>уж и трудное.данное решение себя не оправдывает
и я как-то мало представляю себе, где оно будет оправдано именно для веба, ну кроме как для контор, у которых есть свое серверное помещение, где им не критичны юниты и есть бабло на робота. но и в этом случае обо всем этом добре должен знать софт (дабы перекладывать данные в архив), что маловероятно, если только он не пишется именно под эту модель.
>> Я всё это к чему? Да к тому, что защитить
>>данные, ДАЖЕ при появление хацкеров с рутовым паролем, дело не такое
>>уж и трудное.
>
>данное решение себя не оправдывает
> обо всем этом добре должен знать софт (дабы перекладывать данные в архив),
> что маловероятно, если только он не пишется именно под эту модель.Сейчас всё через .опу, сначало покупают комп, а потом только придумывают
"нах..я же он мне нужен, ах да точно, буду искать рецепты в инете!"
А в итоге вечером на ужин тупо гречка с котлетами, макароны с гуляшом,
с утра сосиски с чаем или омлет с кофе".Так и в ЛВС/ГВС - пока крысы не перегрызут кабель, до тех пор не купим нормальный провод.
Пока сервак не наеб...ся, до тех пор зеркалирование и бэкап незапланируем.
Пока хацкер не пролезет, до тех пор бабла или время на циску ASA/iptables/pf не выделим.В данном инциденте виноваты трое - админ-лошара ,юзер прое...вший ключ, и хацкер.
Проект должен планироваться, проектироваться и разрабатываться 70% выделенного времени,
10% на его реализацию (объяснение компьютеру), и 20 на тестирование и исправление.
Документирование в основном отдельной статьёй.
Если 10% времени не хватает - то у Вас работают лохи, ламеры, студенты, залётные,
"наследники", ацтой короче. (не обязательно те кто реализовывал, но и те кто планировал).
не надо судить по себе...и конечно, да, с ДВД ты отжог не по-децки
всеми этими выYбонами ты только рассмешишь даже недоумка-кульхуцкера
а вот настроив свой сервак используя наработки grsecurity, RSBAC или, на худой конец, apparmor, ты даже от рута защитишь систему
>>> Я всё это к чему? Да к тому, что защитить
>>>данные, ДАЖЕ при появление хацкеров с рутовым паролем, дело не такое
>>>уж и трудное.
>>
>>данное решение себя не оправдывает
>> обо всем этом добре должен знать софт (дабы перекладывать данные в архив),
>> что маловероятно, если только он не пишется именно под эту модель.
>
>Сейчас всё через .опу, сначало покупают комп, а потом только придумываютСейчас всё через .опу, сначало строят интернеты, а потом только придумывают
даешь ямщиков и фсб/кгб/опричников на каждой станции!
>В данном инциденте виноваты трое - админ-лошара ,юзер прое...вший ключ, и хацкер.
и те, кто интернеты понапридумывал
все остальное, придуманное и притянутое за уши, поскипано
да, в принципе, и данные проще простого защитить. Люди не зря придумали виртуализацию. Там хоть раз в час можно делать "слив" всего на уровне, не доступном из внешнего мира, при этом, не останавливая рабочий процесс. Максимальные потери составят 1-2-N часа(-ов), которые прошляпили ответственные. На вкусное, как бонус, полное отсутствие необходимости копать самому себе ямы в виде RO, танцев с бубном и т.п.
>да, в принципе, и данные проще простого защитить. Люди не зря придумали
>виртуализацию. Там хоть раз в час можно делать "слив" всего на
>уровне, не доступном из внешнего мира, при этом, не останавливая рабочий
>процесс. Максимальные потери составят 1-2-N часа(-ов), которые прошляпили ответственные.ну так это и есть бекап. без всяких там RO
и да, и нет. Это снимок. Да - им можно воспользоваться для восстановления. Нет - он "горячий" (т.е. скажем БД может быть в неопределённом, но рабочем) состоянии.
>и да, и нет. Это снимок. Да - им можно воспользоваться для
>восстановления. Нет - он "горячий" (т.е. скажем БД может быть в
>неопределённом, но рабочем) состоянии.
>Там хоть раз в час можно делать "слив" всего на уровне, не доступном из внешнего мирачто есть "слив"? просто снепшот? он будет жив до тех пор, пока ядро не сбойнет. плавали, знаем. снепшот LVM не помог. до гипервизора XEN, например, вроде как добирались
это значит, что бекап на отдельно стоящую помойку просто необходим, а иначе игра в рулетку - повезет/не повезет, т.е. сам по себе снепшот не гарантирует безопасности, нужен полноценный бекап
но это уже уход в сторону.
>что есть "слив"? просто снепшот? он будет жив до тех пор, пока ядро не сбойнет. плавали, >знаем. снепшот LVM не помог. до гипервизора XEN, например, вроде как добирались
>
>это значит, что бекап на отдельно стоящую помойку просто необходим, а иначе игра в рулетку >- повезет/не повезет, т.е. сам по себе снепшот не гарантирует безопасности, нужен >полноценный бекап
>
>но это уже уход в сторону.именно в другую. Помойки отдельно, сайты отдельно. Топик про сайты :)
А LVM действительно бред. Очень трудно для него применение найти. Хотя не спорю, может я и не умею его готовить :)))
>>что есть "слив"? просто снепшот? он будет жив до тех пор, пока ядро не сбойнет. плавали,
>>это значит, что бекап на отдельно стоящую помойку просто необходим, а иначе игра в >>но это уже уход в сторону.
>>именно в другую. Помойки отдельно, сайты отдельно. Топик про сайты :)
>А LVM действительно бред. Очень трудно для него применение найти. Хотя не
>спорю, может я и не умею его готовить :)))Cнапшот хорошо, снапшот на DVD-ROM, в сейфе другого офиса ещё лучше.
Я в банке отпахал малость, раз в неделю бэкап Oraclе на 4 DVD-DL, в пятницу,
после 17:00 водила отвозил в спец. чумодане, с наручниками, дабы за сигаретами
не бегал.Это я им там такой шухер навел, до меня бэкапа вообще не было. :)
>>>что есть "слив"? просто снепшот? он будет жив до тех пор, пока ядро не сбойнет. плавали,
>>>это значит, что бекап на отдельно стоящую помойку просто необходим, а иначе игра в >>но это уже уход в сторону.
>>>именно в другую. Помойки отдельно, сайты отдельно. Топик про сайты :)
>>А LVM действительно бред. Очень трудно для него применение найти. Хотя не
>>спорю, может я и не умею его готовить :)))
>
>Cнапшот хорошо, снапшот на DVD-ROM, в сейфе другого офиса ещё лучше.а кто спорит-то? конечно, хорошо, только не нужно из него делать фетиш и говорить, что система должна быть доведена до крайностей.
своевременных бекапов вполне достаточно
как говорят в умных книжках, стоимость мероприятий по обеспечению безопасности не должна превышать стоимость защищаемого объекта.
>Я в банке отпахал малость, раз в неделю бэкап Oraclе на 4
>DVD-DL, в пятницу,
>после 17:00 водила отвозил в спец. чумодане, с наручниками, дабы за сигаретами
>не бегал.
>
>Это я им там такой шухер навел, до меня бэкапа вообще не
>было. :)и что? это вот "Диск с содержимым Web-сервера должен находится на DVD/BD-ROM, при изменении записываться новый" было реализовано? или денег не дали? :)
>Я в банке отпахал малость, раз в неделю бэкап Oraclе на 4
>DVD-DL, в пятницу, после 17:00 водила отвозил в спец. чумодане, с наручниками,Что, эти дятлы не осилили купить себе стример? :)
>>но это уже уход в сторону.
>именно в другую. Помойки отдельно, сайты отдельно. Топик про сайты :)а сайт - это что, не помойка? те же файлы, которые нужно в онлайне бекапить
>А LVM действительно бред. Очень трудно для него применение найти. Хотя не
>спорю, может я и не умею его готовить :)))и LVM как раз для бекапов очень удобен
и не только для них, но пропагандировать его тут мне лениво
> а сайт - это что, не помойка? те же файлы, которые нужно в онлайне бекапитьну на какой-то 1-5% - да. В моём понимании это всё-таки статичные редко изменяемые файлы, которые действительно можно бакапить. А вот с БД, которая, зараза такая, подчас меняется 10к раз в секунду, немного сложнее :)))
>> а сайт - это что, не помойка? те же файлы, которые нужно в онлайне бекапить
>
>ну на какой-то 1-5% - да. В моём понимании это всё-таки статичные
>редко изменяемые файлы, которые действительно можно бакапить. А вот с БД,
>которая, зараза такая, подчас меняется 10к раз в секунду, немного сложнее
>:)))и что сложного с базами? делаем снепшот и бекапим себе, сколько влезет. хоть те же самые 10к раз в секунду - хватило бы места, да пропускной способности винтов
А если её как бы... нельзя останавливать? :))) Пока, увы, только программно.
>А если её как бы... нельзя останавливать? :))) Пока, увы, только программно.у LVM снепшоты онлайновые, ничего останавливать не нужно.
Не думаю, что кто-то может быть уверен, что запись БД на диск произведена, если после каждой транзакции принудительной не флушить. Лучше по-старинке, два-три-пять дочерних серверов и копии с возможностью отката на любой момент.
>Не думаю, что кто-то может быть уверен, что запись БД на диск
>произведена, если после каждой транзакции принудительной не флушить.конечно, некто не может быть уверен. для того флаш и сделан.
> Я всё это к чему? Да к тому, что защитить
>данные, ДАЖЕ при появление хацкеров с рутовым паролем, дело не такое
>уж и трудное.
> ДЕЙСТВИЕ РУТА ЗАКАНЧИВАЕТСЯ ТОГДА, КОГДА НАЧИНАЕТСЯ РЕАЛЬНОСТЬ - отрубают питание,
>
>перегрызают провод, R/O носители, одноразовые ежедневный/недельный/месячный бэкапы,
>физически разнесённые хранилища, клонирование, зеркалирование, шифрование....Ну да, с рутовым паролем изменить конфиг апача/подменить бинарь итд и читать сайт с другого места, хацкерам религия не позволит? или вы предлагаете всю систему держать на RO-носителе? Впрочем, и тут есть способы...
Блин у меня уже мозг жидкий, от ваших идей.
>> Я всё это к чему? Да к тому, что защитить
>>данные, ДАЖЕ при появление хацкеров с рутовым паролем, дело не такое
>>уж и трудное.
>> ДЕЙСТВИЕ РУТА ЗАКАНЧИВАЕТСЯ ТОГДА, КОГДА НАЧИНАЕТСЯ РЕАЛЬНОСТЬ - отрубают питание,
> ...или вы предлагаете всю систему держать на RO-носителе? Впрочем, и тут есть способы...Тут ещё проще, BTRFS уже это позволяет - монтировать несколько каталогов в одну точку
>>> Я всё это к чему? Да к тому, что защитить
>>>данные, ДАЖЕ при появление хацкеров с рутовым паролем, дело не такое
>>>уж и трудное.
>>> ДЕЙСТВИЕ РУТА ЗАКАНЧИВАЕТСЯ ТОГДА, КОГДА НАЧИНАЕТСЯ РЕАЛЬНОСТЬ - отрубают питание,
>> ...или вы предлагаете всю систему держать на RO-носителе? Впрочем, и тут есть способы...
>
>Тут ещё проще, BTRFS уже это позволяет - монтировать несколько каталогов в
>одну точку
>...форвард 80 порта на другую машину
>>>> Я всё это к чему? Да к тому, что защитить
>>>>данные, ДАЖЕ при появление хацкеров с рутовым паролем, дело не такое
>>>>уж и трудное.
>>>> ДЕЙСТВИЕ РУТА ЗАКАНЧИВАЕТСЯ ТОГДА, КОГДА НАЧИНАЕТСЯ РЕАЛЬНОСТЬ - отрубают питание,
>>> ...или вы предлагаете всю систему держать на RO-носителе? Впрочем, и тут есть способы...
>>
>>Тут ещё проще, BTRFS уже это позволяет - монтировать несколько каталогов в
>>одну точку
>...форвард 80 порта на другую машинуДержать две и более идентичные системы дорогое удовольствие.
>[оверквотинг удален]
>>>>>данные, ДАЖЕ при появление хацкеров с рутовым паролем, дело не такое
>>>>>уж и трудное.
>>>>> ДЕЙСТВИЕ РУТА ЗАКАНЧИВАЕТСЯ ТОГДА, КОГДА НАЧИНАЕТСЯ РЕАЛЬНОСТЬ - отрубают питание,
>>>> ...или вы предлагаете всю систему держать на RO-носителе? Впрочем, и тут есть способы...
>>>
>>>Тут ещё проще, BTRFS уже это позволяет - монтировать несколько каталогов в
>>>одну точку
>>...форвард 80 порта на другую машину
>
>Держать две и более идентичные системы дорогое удовольствие.а предлагаемое выше решение с роботом, блекджеком и шлюхами, типа, дешевое. насмешил, ага :D
>Держать две и более идентичные системы дорогое удовольствие.Фишерам это расскажи... благо они как раз недавно натянули таким манером вконтакт :)
>Тут ещё проще, BTRFS уже это позволяет - монтировать несколько каталогов в
>одну точкуАга, btrfs на CD-ROM? :) Это в рассчете на то что хакеры повредятся мозгом и сойдут с ума? :) Лучше тогда запустить несколько вложенных виртуалок, желательно эмулирующих друг на друге разные архитектуры. Тогда хакерам точно гарантирован слет с катушек...особенно если кто-то невидимый будет постоянно откатывать их действия на снапшот :)
>точно гарантирован слет с катушек...особенно
> если кто-то невидимый будет постоянно откатывать их действия на снапшот :)Красивое зрелище :) Почти как -j MIRROR в iptables.
А чо, замкнуть кольцо, а лучше меш-сеть самоконтроля: припахать виртуалки друг друга проверять, дергая в случае чего откат на снапшот соответствующего виртуализатора. Кто там хотел систему с возможностью самопочинки?! Дарю идею :). Если засунуть достаточное количество виртуалок, хакеры чисто физически не успеют модифицировать их все сразу. Стало быть, они будут самооткачены, как бы хакеры не упирались :).Есть правда риск что такая система однажды объявит себя полностью автономной и пошлет админов с их потугами туда же куда и хакеров, ну а там уже и один шаг до мирового господства.Слава роботам! :)P.S. поиметь представление о данной системе виртуалок можно наведя камеру на монитор который показывает картинку с камеры ;)
Да кто ж так сильно невзлюбил СПО и за что?! Постоянно их пытаются ломать, но пока что ббезуспешно. Знаю что ломают не только СПО, но всё же, надо умудриться так изящно взламывать... Что этими взломщиками движет?! Вроде не весна и не осень.
чувак, а ты бы не хотел вписать свое слово в версионную историю одного из популярных проэктов ??
теперь по русски: вставить свой код в проект, кто по глупее будит пытаться вставить трой, кто поумнее модифицирует какие-то участки сделав их вульнеробал... включи фантазию
>Диск с содержимым Web-сервера должен находится на DVD/BD-ROM, при изменении записываться новый.Перед записью нового DVD проверяются контрольные суммы всех файлов и дважды содержимое
изменённых. Сопоставляются цифровые подписи изменивших с базой подписей.
Виртуалы учат создателей веб-сервера, как уберечься от взлома...