Linux wird aus Open Source kompiliert und Tausende von Entwicklern würden jeden schädlichen Quellcode erkennen. Viele Linux-Benutzer, die Windows und Malware / Spyware / "Spook" -Ware-Software (CIA) dual booten, könnten jedoch die kompilierten Binärdateien von Linux hacken, nachdem eine saubere Version installiert wurde.
Ich denke, die Lösung besteht darin, unmittelbar nach der Installation eines Updates, dh unter 4.4.0-63-generic, eine Hash-Summe auf Linux-Kernel-Binärdateien auszuführen .
Die Frage ist, welche Dateien enthalten sein müssen? dh / boot / 4.4.0-63-generic oder mehr?
Nachdem die Hash-Summe generiert wurde, kann ein cronJob monatlich, wöchentlich oder täglich ausgeführt werden, um die Hash-Summe neu zu generieren und mit der Originalversion zu vergleichen, um sicherzustellen, dass sie sich nicht geändert hat. Wenn die Hash-Summen nicht übereinstimmen, ist eine Infektion aufgetreten und ein sauberer Kernel muss neu installiert werden.
Bearbeiten 1 Die bisherigen Antworten ähneln eher Kommentaren. Diese Antworten und Kommentare unten scheinen zu sagen , „Die CIA ist zu klug und zu reich , sich zu schützen , damit nicht die Mühe versuchen“ . Wenn ich das richtig lese, könnten alle Antworten genauso gut von einem der CIA-, NSA-, MI6- oder Mossad-bezahlten Trolle oder von jemandem auf der Spook-Gehaltsliste geschrieben werden. Eine Analogie wäre: "Ihre Verbrecher in der Nachbarschaft sind zu klug und raffiniert. Sie beobachten Ihr Haus und lernen Ihre Gewohnheiten. Es macht keinen Sinn, Ihre Türen zu verschließen oder ein Alarmsystem zu installieren."
Jemand anderes sagt, dass nach dem Neustart mit Windows das Kennwort, mit dem Sie Ihre Hash-Summen verschlüsselt haben, von Spyware gelesen werden kann. Ich bezweifle, dass der Windows-RAM-Footprint größer als der Linux-RAM-Footprint ist und das Laden von Fenstern jeden wertvollen durchsuchbaren RAM auslöschen würde, den Linux möglicherweise hinterlassen hat. Außerdem würde ein einfaches Ausschalten von 10 Sekunden den gesamten RAM löschen.
Am anderen Ende des Spektrums schlug jemand vor, "Windows nicht verwenden" . Ähm ... nein, ich werde mich nicht in Angst verstecken und die Plattformen meiden, die ich benutzen muss, wenn ich sie benutzen muss. Es ist ein superschneller Laptop mit einer hybriden nVidia-Grafik und wenn es Zeit für Windows-Spiele ist, wird er als solcher verwendet.
- Dies ist eher eine Vorgehensweise, aber mit dem Kernel-Update müssten Sie den Hash offensichtlich erneut ausführen, um einen neuen zu erstellen. Aber was würde dann passieren, wenn Sie vergessen hätten, es erneut auszuführen?
Mit einem Kernel-Update wird ein völlig neuer Kernel installiert /boot. Wenn Sie vergessen, den Job auszuführen, um neue Hash-Summen zu erstellen, gibt Ihnen der Cron-Job, der die Summen vergleicht, einen Fehler auf die gleiche Weise, als hätte jemand die Kernel-Binärdateien hinter Ihrem Rücken geändert.
Das eigentliche Design von Skripten und die Verschlüsselung von Hash-Summen erfolgt später. Wir stellen den Wagen vor das Pferd. Der erste Schritt besteht darin, zu identifizieren, was geschützt werden muss. Es ist NAA (Not An Answer), Fragen zu "Wie würden Sie das machen?" Zu posten. eingebettet in eine Antwort.
Bei der teilweisen Beantwortung meiner Frage und der Ausführung von Hash-Summen für Kernel-Images sollten ausgewählte Treiber enthalten sein. Insbesondere denke ich an die, bei der sie die Stromversorgung der Webcam-LEDs ausschalten können, was die Illusion vermittelt, dass sie ausgeschaltet sind, und dann die Kamera aktiviert. Ähnliches vielleicht mit Mikrofonen?
Entfernen Sie alle Spekulationen darüber, ob Sie nicht autorisierte Änderungen an Ihrem Kernel-Space überwachen sollten oder nicht - welche Binärdateien sollten vor externen Manipulationen geschützt werden?
Antworten:
Die einzige Möglichkeit, dieses Szenario zu vermeiden, besteht darin, Dual-Boot zu vermeiden: Windows entfernen. Wenn Sie der Meinung sind, dass die CIA keine Malware installieren kann, die sich in einem Desktop- / Laptop-Linux-System versteckt, sind Sie natürlich nicht paranoid genug ...
quelle
Erfahren Sie, wie Grub für Sie funktioniert, und richten Sie es ein, um Linux-Distributionen zu booten, die bei jedem Start in .iso-Archiven gespeichert werden. Lassen Sie Ihren Windoze-Computer zu Hause und lassen Sie ihn nur über eine direkte, fest verbundene Verbindung mit der Linux-Box kommunizieren, mit der Sie bei jedem Start mit dem Internet kommunizieren können, und konfigurieren Sie alle Internetaktivitäten remote über das jeweils initialisierte Linux-System Mal wird es gebootet. Für diejenigen, die hyperparanoid sind, machen Sie bootfähige Flash-Laufwerke, die Sie in Ihrer Tasche aufbewahren, und deaktivieren Sie das Booten von USB, wenn Sie das Haus verlassen, auf dem Linux-Gerät. Alle beteiligten Boxen wären passwortgeschützt, natürlich auf BIOS-Ebene! ; ^)
quelle
Hier finden Sie eine Auswahl anderer Kernel-Binärdateien, die neben den folgenden geschützt werden sollen
/boot:Ein rekursiver Algorithmus ist erforderlich, um einen md5sum-Snapshot (oder einen von Ihnen bevorzugten Sicherheits-Hashsum) aller Unterverzeichnisse und Dateien im Verzeichnis zu erstellen
/lib/modules/kernel_version/*Es gibt wahrscheinlich andere Binärdateien, aber ich wollte eine Antwort auf das veröffentlichen, was bisher entdeckt wurde.
quelle