BSD-FAQ-it
Indietro | Capitolo 6. Installare FreeBSD | Avanti

# 6.4. Sicurezza dei file e del file system

Nei sistemi UNIX® like come FreeBSD, è molto importante tenere sotto controllo i files ed il filesystem, il processo di analisi che definisce la protezione di un filesystem è molto spesso antecendente all'installazione del Sistema Operativo. E' infatti una buona norma pianificare l'utilizzo del filesystem sulla base di esigenze reali, pianificando prima su carta l'assegnazione dello spazio su disco.

I files SUID e SGID rappresentano un potenziale rischio visto che assegnano speciali privilegi all'utente che li esegue ed i processi che vengono scaturiti da questi files, se eseguibili, hanno accesso diretto alle risorse del sistema. Questo tipo di files dovrebbero sempre essere tenuti sotto controllo, l'attributo SUID viene definito per i files mentre lo SGID definisce per il ``group id''.

    # See the fstab(5) manual page for information on automatic mounts
    # of network filesystems before modifying this file.
    #
    # Device       Mountpoint      FStype  Options                 Dump Pass
    /dev/ad0s1b    none            swap    sw                      0    0
    /dev/ad0s1a    /               ufs     rw                      1    1
    /dev/ad0s1f    /tmp            ufs     rw,nosuid               2    2
    /dev/ad0s1g    /usr            ufs     rw                      2    2
    /dev/ad0s1e    /var            ufs     rw,nosuid               2    2
    /dev/ad2s2a    /home           ufs     rw,nosuid               2    2
    /dev/acd0c     /cdrom          cd9660  ro,noauto               0    0
    proc           /proc           procfs  rw                      0    0

Non vi è alcun valido motivo per il quale le home directory permettano agli utenti di usare programmi SUID/SGID, nell'esempio a margine vediamo un file /etc/fstab in cui è stata impostata l'opzione nosuid per quello che concerne le partizioni di /home, /var e /tmp. Settando anche le opzioni noexec e nodev possiamo proibire agli utenti normali l'utilizzo dei programmi, l'eventuale creazione di files eseguibili nonchè la possibilità di montare sul sistema possibili device

    # Device       Mountpoint      FStype  Options                 Dump Pass
    /dev/ad1s1f    /tmp            ufs     rw,nosuid,noexec,nodev  2    2
    /dev/ad1s1g    /usr            ufs     rw,nodev                2    2
    /dev/ad1s1e    /var            ufs     rw,nosuid,noexec,nodev  2    2
    /dev/ad2s2a    /home           ufs     rw,nosuid,noexex,nodev  2    2

In questo esempio vediamo un sistema ``blindato'' sul quale però non sarà possibile eseguire la rebuild del sistema, si rammenta anche che nelle procedure periodiche giornaliere di FreeBSD troviamo una utility studiata per controllare le eventuali variazioni dello SUID notificando il report, positivo o negativo che sia, via e-mail. Un'altro strumento molto potente per il controllo dell'integrità del filesystem è TripWire.

Indietro | Partenza | Avanti
Strumenti per il Backup | Risali | Il boot loader di FreeBSD