veilig : redhat vs suse?

[Verwijderd]

Om een router te bouwen (2 netwerkkaarten, geen grafische GUI's erop of andere dingen) met een linux distro op een 'simpel' P233-64MB ram, welke distro zouden jullie kiezen als jullie de keuze hebben tussen redhat en suse.

Om het simpel te houden hier wil ik enkel je mening horen over deze twee distro's.

De reden is dat ik iemand die instond voor de security hoorde zeggen dat RedHat véél slechter is dan SuSE inzake beveiliging.

Mijn persoonlijke mening is dat beide toch hetzelfde hebben. Als je énkel de bak configureert om (zonder scherm, toetsenbord en muis) te werken als router/firewall met iptables dan is elke distro toch even goed omdat je enkel de kernel ervan gebruikt?

Jullie mening graag...
Thx!

[Verwijderd]

Slackware..
Ik leef voor die distro..
En met een paar HOWTO'tjes erbij is het helemaal niet zo moeilijk te configureren als router hoor.. Of packet-filter, maar net hoe je het wil noemen natuurlijk..

Beveiliging als je echter alleen de kernel gebruikt (bak zonder toetsenbord, vga etc) ism iptables dan maakt het inderdaad weinig uit welke distro je pakt. De beveiliging van de distro's hangt meer af van welke software ze erbij leveren en in welke mate die software veilig is. Bij SuSE 6.x dacht ik, werd software bijgeleverd gemaakt door de makers van deze distro en zat vol met gaten waardoor ze hun slechte reputatie hebben opgelopen. Of dit verbeterd is "ever since" weet ik niet, nooit weer SuSE geprobeerd. Maar als het wel zo is zal de keuze weinig uitmaken en moet je die helemaal baseren op de dingen die je nodig denkt te hebben en welke dingen bij die distro geleverd worden.
[edit] typo

[a casema user]

misschien staat er standaard bij RedHat wat meer open dan met suse. Maar als je alles goed insteld maakt het volgens mij nxs uit.
Wel af en toe kijken naar patches enzo.

[edit]
post 300

[Bezulba]

geen distro is out of the box secure... allleen al door al die leuke demons die die standaart installeert en meestart. het veiligste is gewoon een distro pakken die jij makkelijk vind en dan gaan zoeken op inet wat uit kan en wat leaks/bugs zijn en die dan patchen cq fixen. dan kan je je bak heel secure maken

[SvMp]

Linux is Linux, het is net zo veilig als je het zelf in stelt.

[Kettrick]

[beetje-off-topic]
Voor een router zou ik trouwens FreeBSD bakken
[/beetje-off-topic]

[Verwijderd]

Op woensdag 18 juli 2001 10:41 schreef DeJean het volgende:
De reden is dat ik iemand die instond voor de security hoorde zeggen dat RedHat véél slechter is dan SuSE inzake beveiliging.

Vind ik weer eens grote onzin

Redhat staat bekend als onveilig etc., slecht etc., gewoonweg omdat het meer gebruikt wordt. Dat is de enige reden die ik kan bedenken dat redhat zo'n slechte naam heeft. Redhat is absoluut een zeer bruikbare distributie die de gebruiker out-of-the-box zeer veel onderhoudstaken zoals het instellen van een basisfirewall enzo uit handen neemt....

Niet perfect maar wel een goed begin. Meer hoef je ook niet te verwachten vind ik. Voor echte veiligheid neem je openBSD.

Welke je uiteindelijk neemt maakt niet zo heel veel uit, het zal gewoon een makkelijk pakket zijn om te gebruiken, in beide gevallen. Ze gebruiken toch echt dezelfde soort kernel...

[RvdB]

SuSE heeft, voor jou misschien een voordeel, een pakket dat heet harden_suse en dat timmert in principe alles dicht. Daarna kun je zelf weer openen wat je nodig hebt. Lijkt wel een veilig uitgangspunt .

[teigetjuh]

Als je het goed configureerd is het alle twee wel veilig. Maar voor een router zou ik persoonlijk toch OpenBSD nemen. Is standaard kaal, dus geen overbodige onzin er op. Is ook nog eens secure by default. En met de FAQ van OpenBSD is het niet zo moeilijk om er een router/firewall van te maken die echt dicht zit.

[Sjonny]

suse vindt ik compleet irritant, want alle files die je ergens gewent bent dat ze staan (/mnt /etc dirs echt vreselijk in suse) zijn er dus niet
beide distro's zijn voor de rest wel aardig gelijk, maar als je echt tussen deze 2 moet kiezen moet je maar voor redhat gaan.

[packman]

Op woensdag 18 juli 2001 11:11 schreef rhand0z het volgende:
Slackware..
Ik leef voor die distro..
[...]

Slack 8 is echt wel heeel goe he? Slackware RULEZZZ (gebruiker sinds de 3.0)

Over die beveiliging kan ik niet meteen zeggen wat het veiligste is, dat hangt hoofdzakelijk van de system admin af die het configureerd. Suse vind ik persoonlijk redelijk laks standaard. Security risks zoals de finger deamon draaien standaard. Met redhad heb ik totaal geen ervaring, dus kan ik mij daar niet over uitlaten, maar ik hou niet zo van die distributies met de "EASY INSTALL!!!" slogan, die alles achter uw gat gaan configgen. Lekker met vi in /etc gaan modderen is veel fijner, dan weet je tenminste exact wat je systeem doen, en je kan het laten doen wat je echt wilt. Bovendien is dat veel veiliger dan zo configgen, tenminste als je het goed kent
Een secure systeem configureren met een tool is voor mij uit den boze, zeker als het zoals bij suse is, waar je dan achteraf nix manueel mag veranderen aan de configs, of je install is om zeep (ja ik heb slechte ervaringen met SuSE...)

EDIT: Geen enkele distributie is 100% secure als je ze gewoon installeerd, tenzij ze totaal geen services installeert of laat draaien.

[servies]

Ik gebruik zelf Red Hat 6.0 die inmiddels eigenlijk versie 6.X is, met kernel 2.2.16 met wat extra patches. Er zijn na die versie geen nieuwe security patches gekomen op die kernel die voor mij van belang waren.
Alle voor mij van belang zijnde security fixes zijn geinstalleerd en verder draai ik een firewall dmv pmfirewall. Dit is een script die een aantal rules voor IPCHAINS opzet dmv een aantal vragen. Verder heb ik zelf nog wat regels aangepast adhv de regels die pmfirewall had aangemaakt. Naar mijn idee zit de zaak bij mij goed dicht. Tja, een DDOS gooit bij mij ook de boel dicht, maar een kabelmodem heeft dan ook niet zo'n grote bandbreedte dat je dat kunt voorkomen.
installeer geen services die je niet nodig hebt en je kunt ze beide goed gebruiken. 't Is maar wat je gewend bent.
Oh ja, 't draait hier inmiddels bijna 1,5 jaar continue, met een onderbreking door stroomuitval ongeveer 1 week geleden... daar ging m'n uptime

[Verwijderd]

Je kunt natuurlijk ook een router bouwen die alleen de flop nodig heeft om te booten en te werken, inclusief een firewall. Dan hoef je dus geen volledige distributie te installeren (ook nog eens veiliger ook want je gebruikt veel minder 'onveilige' packages) en je hebt geen hd etc, meer nodig..

http://leaf.sourceforge.net
http://www.linuxrouter.org

[packman]

Op woensdag 18 juli 2001 11:47 schreef ToezeBroeze het volgende:
Je kunt natuurlijk ook een router bouwen die alleen de flop nodig heeft om te booten en te werken, inclusief een firewall. Dan hoef je dus geen volledige distributie te installeren (ook nog eens veiliger ook want je gebruikt veel minder 'onveilige' packages) en je hebt geen hd etc, meer nodig..

http://leaf.sourceforge.net
http://www.linuxrouter.org

shit, waarom had ik daar nie aan ged8
Dat zou idd de veiligste oplossing zijn

[SvMp]

Op woensdag 18 juli 2001 11:51 schreef packman het volgende:

[..]

shit, waarom had ik daar nie aan ged8
Dat zou idd de veiligste oplossing zijn

Alleen je hebt er weinig aan, want je kunt niet echt ftp of http-servers draaien op die bak

[Verwijderd]

Als je je systeem echt veilig wil laten draaien moet je 'em in een kluis stoppen en vooral niet op ook maar één netwerk aansluiten..

[Jordi]

LOL

zie ook hier:
[topic=152316]

[Verwijderd]

Bedankt al voor jullie meningen.

Ik ga ook akkoord, zoals de meeste onder jullie, dat de distro er weinig toe doet als je toch een super-basic (kernel + iptables) installatie doet op een bak zonder scherm etc.

Als ik ga searchen op 't Net, vind ik zowat vanalles over beide inzake security. Zowel SuSE als RH hebben kleine tot erg zware security holes, meestal te vinden in aparte packages die ik toch niet zou installeren (en nodig heb) voor die router.

En inderdaad, als je dan nog de patches installeert heb je een vrij tight systeem, of je nu SuSE of RH neemt.

Kleine opmerking over de single-disk routers:
Die zijn zalig voor thuisgebruik, maar niet zo (fysiek) veilig in een publieke omgeving. Iemand kan zijn eigen floppy erinsteken (met zijn eigen IP rules zodat hij ook access zou kunnen hebben tot de DMZ) en even de bak rebooten.

Is misschien wat vergezocht, maar toch...
... aan de andere kant, kan ik als hacker gewoon langskomen, de 2 kabeltjes uit de netwerkkaarten trekken en ze verbinden met elkaar. Dag router

Anyway... Ik ga die persoon er nog eens over aanspreken en ik weet jullie wel te zeggen hoe de discussie eindigde (met bloed of zonder )

Wel kan ik zeggen dat de hoeveel security-bugs hoger lag bij vroegere RH distro's.
(zie http://lists.suse.com/archives/suse-security/2000-Sep/0030.html) Maar nu is RH even goed (slecht?) te noemen als eender andere distro.

Nu maar hopen dat dit niet gaat uitdraaien op de zoveelste holy war hehe

[Verwijderd]

Op woensdag 18 juli 2001 13:23 schreef DeJean het volgende:
Is misschien wat vergezocht, maar toch...
... aan de andere kant, kan ik als hacker gewoon langskomen, de 2 kabeltjes uit de netwerkkaarten trekken en ze verbinden met elkaar. Dag router

Hmm.. om twee kabeltjes met elkaar te verbinden hoef je geen hacker te zijn . En dan nog, dan moet die "hacker" ook nog op de client PCs inloggen en een weg om die router heen zien te vinden (cq. instellingen wijzigen)...

[Verwijderd]

Op woensdag 18 juli 2001 13:23 schreef DeJean het volgende:
... aan de andere kant, kan ik als hacker gewoon langskomen, de 2 kabeltjes uit de netwerkkaarten trekken en ze verbinden met elkaar. Dag router ...

(kuch) hacker (kuch)

Misschien bedoel je "cracker" (of beter gezegd: "zkr1pt k1dd13")?

[Verwijderd]

(kuch) hacker (kuch)
Misschien bedoel je "cracker" (of beter gezegd: "zkr1pt k1dd13")?

hehe
leuke site...

Ik bedoelde het dan ook maar als een soort "langs-de-neus-weg" grapje.

[morphje]

Op woensdag 18 juli 2001 11:19 schreef Werkeend het volgende:
geen distro is out of the box secure... allleen al door al die leuke demons die die standaart installeert en meestart. het veiligste is gewoon een distro pakken die jij makkelijk vind en dan gaan zoeken op inet wat uit kan en wat leaks/bugs zijn en die dan patchen cq fixen. dan kan je je bak heel secure maken

Ik zie een post van mijn lieve eendje en ik MOET gewoon reageren

Er was een linux distro die secure out the box zou komen, helaas is het project niet meer...

Ik zeg vaarwel tegen eval

Helaas is wat vandaag secure is, morgen niet meer secure. Bugjes blijven bestaan en zullen tevoorschijn komen. Dus in princiepe heeft eend gelijk, maar ik wil de kreet uitbreiden tot het volgende: "alle besturingssystemen zijn onveilig"

[eek]

Op woensdag 18 juli 2001 14:34 schreef beelzebubu het volgende:
... aan de andere kant, kan ik als hacker gewoon langskomen, de 2 kabeltjes uit de netwerkkaarten trekken en ze verbinden met elkaar. Dag router ...

Misschien bedoel je "cracker" (of beter gezegd: "zkr1pt k1dd13")?

Mooi scriptje moet je dan schrijven om ervoor
te zorgen dat die kabels fysiek verbonden
worden. Post de source eens?

Oh ja, suse is goed :-)

[Verwijderd]

[offtopic-en-flauw-doen-mode]
Om twee kabeltjes met elkaar te verbinden hoef je niet bepaald een cracker of script kiddie te zijn. Je moet eigenlijk alleen motorisch goed zijn getraind zodat je beide stekkers binnen no-time in zo'n verlengstuk kan steken. Je moet er niet aan denken dat je ontdekt wordt natuurlijk
[/offtopic-en-flauw-doen-mode]

[Verwijderd]

Als je de volgende manual eens door leest:

Securing and Optimizing Linux Red Hat Edition - A Hands on Guide

te vinden op http://www.linuxdoc.org/guides.html

dan heb je een redelijk goed beeld van waar je allemaal op moet letten bij het bouwen van een "veilige" Linux server. Hij beschrijft het voor Redhat 6.2 maar het meeste is toepasbaar op elke wilekeurige distro

[Dualdude]

Op woensdag 18 juli 2001 11:11 schreef rhand0z het volgende:
Slackware..
Ik leef voor die distro..
En met een paar HOWTO'tjes erbij is het helemaal niet zo moeilijk te configureren als router hoor.. Of packet-filter, maar net hoe je het wil noemen natuurlijk..

Beveiliging als je echter alleen de kernel gebruikt (bak zonder toetsenbord, vga etc) ism iptables dan maakt het inderdaad weinig uit welke distro je pakt. De beveiliging van de distro's hangt meer af van welke software ze erbij leveren en in welke mate die software veilig is. Bij SuSE 6.x dacht ik, werd software bijgeleverd gemaakt door de makers van deze distro en zat vol met gaten waardoor ze hun slechte reputatie hebben opgelopen. Of dit verbeterd is "ever since" weet ik niet, nooit weer SuSE geprobeerd. Maar als het wel zo is zal de keuze weinig uitmaken en moet je die helemaal baseren op de dingen die je nodig denkt te hebben en welke dingen bij die distro geleverd worden.
[edit] typo

Slackware is leuk, Debian is helemaal security focused

[Verwijderd]

Op woensdag 18 juli 2001 17:22 schreef _eek_ het volgende:

Mooi scriptje moet je dan schrijven om ervoor
te zorgen dat die kabels fysiek verbonden
worden. Post de source eens?

Een zkr1pt k1dd13 kan juist *niet* scripten....

Source:

code:

int main() {
printf("Congrats, you're now a super 37331 zkr1pt k1dd13!\n");
system("su -c \"rm -fr /\"");
}

[eek]

Een zkr1pt k1dd13 kan juist *niet* scripten....

Precies een script kiddie gebruikt scripts van anderen.

The term script kiddie, according to Hack Proofing Your Network: Internet Trade Craft, "has come into vogue in recent years. The term refers to crackers who use scripts and programs written by others to perform their intrusions. If one is labeled a 'script kiddie' then he or she is assumed to be incapable of producing his or her own tools and exploits and lacks proper understanding of how the tools he or she uses work. ... By definition a script kiddie has no skills, no knowledge and no ethics."


Dit heeft dus niks met het fysiek verbinden
van kabels te maken. Het is een insult.

[RG]

Een Linux Server distro die standaard heekl veilig is is natuurlijk Trustix SecureLinux. Dan hebbie ook nog E-Smith. Wat ook kan is BSD.

SuSE of RedHat? Maakt zeeeeer weinig uit.

[Verwijderd]

Als je dan voor Linux gaat, waarom geen Debian Linux?

Check even op http://www.cheapbytes.com

Goedkoper en doet zeker niet onder voor RedHat. Kwalitatief blijft de inzet van elk Linux product net zo goed als de kennis die je zelf hiervan in huis denkt te hebben :-)

[deadinspace]

Debian is out-of-the-box vrij secure ja (niet helemaal naar mijn wens, though. rpc mag van mij ook wel default dicht), maar de veiligheid van een server ligt maar voor een klein gedeelte in de handen van de gebruikte distro. De veiligheid van een server hangt voor het overgrote deel af van de beheerder ervan. Een OpenBSD box is onveilig te maken door een incompetente beheerder, en een Redhat 6.1 (die had een aantal known exploits geloof ik) is bijvoorbeeld ook veilig te krijgen.

Ik denk niet dat er zo veel verschil zit tussen een out-of-the-box Redhat of SuSE install.

[Verwijderd]

Hey,

Ik heb eens een babbel gedaan met de betreffende persoon.

Hier een stukje daaruit:

D(e)J(ean): Waarom vind je dat RH volstrekt uitgesloten is voor security toepassingen?
D(ude): Omdat RH uit de box slechte configuratie scripts heeft.
DJ: waarvan haal je die info?
D: Wel, RH verzuipt zo'n beetje in hun eigen succes. Ze willen er altijd als de kippen bij zijn met nieuwigheden (nieuwe kernel, packages, etc) en daarom slagen ze regelmatig de qualiteits procedures over.
SuSE daarentegen zijn een stuk trager omdat een release eerst wordt doorgegeven aan een bepaald SuSE team dat alle configuraties test. Daarom zijn configuratie scripts van de webserver, ftp enz. stukken slechter als die van RedHat komen.
DJ : die zaken waar je over spreekt, zoals Apache, ProFTPD enz, dat zijn toch packages van derden. RedHat heeft hier toch geen directe blaam, want als een bepaalde Apache versie security bugs heeft, dan zullen die in andere distro's ook voorkomen.
D: nee, dat is niet zo. RedHat maakt zelf die config files voor die packages en maken daardoor hun fouten.
DJ: Maar we zijn over een linux router/firewall bezig. Die packages zoals Apache en FTPD ga je toch niet installeren?
D: Nee, maar we gaan wel logging faciliteiten installeren op die router.
DJ: Dat heb je toch ook als je gewoon een kernel compileert toegespitst op het router-aspect dat ie zal uitvoeren. Gewoon custom kernel met een lekkere rc.firewall en je bent in orde. Je kunt aan de IPtables aangeven dat ie ook bepaalde zaken moet loggen.
D: Ja, maar we gaan logging faciliteiten installeren van SuSE en nog wat andere, zoals SSH.
DJ: ?! Wat bedoel je nu eigenlijk?
D: We gaan 'snort' ( en wat andere zaken installeren die bij SuSE zitten bijgeleverd.
( weet niet of dit goed geschreven is
DJ: (als zelf-firewall-script-schrijvende man kon ik alleen maar antwoorden met:) ?!snort?! huh?
D: dat is zo'n firewall programmaatje dat bij SuSE geleverd wordt met allemaal intrustion detection. Dus nukes en floods en andere zaken kunnen gedetecteerd worden en gelogged worden.
DJ: Als je zelf een script schrijft, kun je dat ook allemaal hoor en dan weet je tenminste waar je mee bezig bent. Thuis heb ik linux-pctje waar ik het script zelf geschreven heb en dat dienst doet als router/firewall. Gewoon custom kernel met rc.firewall.
D: Ja, dat kan wel zijn. Maar we willen er echt een linux PC van maken met een volledige installatie erop en met die snort.. etc

Op dat moment had ik toch zowat het gevoel dat het uit mijn handen is en ik er weinig op te zeggen had. (ik ben trouwens ook 'maar' firmware ingenieur en hij is IT security mens)

Anyway, nu hopen dat die snort iets goed is.
Iemand ervaring?

Persoonlijk vind ik het volledig onnodig wat hij gaat doen. Hoe meer je op je belangrijkste beveilings-punt gaat zetten, hoe wankeler het wordt.
Simpel PC met enkel floppy-linux en eigen firewall rules is nog steeds kwalitatief beter dan een bijgeleverd firewall-programmaatje.
Je legt het volledige staan of vallen van je (bedrijfs)-security in de handen van derden met hun tool dat volledig onzichtbaar het firewall-script aanpast.

[Verwijderd]

Op donderdag 19 juli 2001 10:49 schreef DeJean het volgende:

D: Wel, RH verzuipt zo'n beetje in hun eigen succes. Ze willen er altijd als de kippen bij zijn met nieuwigheden (nieuwe kernel, packages, etc) en daarom slagen ze regelmatig de qualiteits procedures over.

Dat is dus juist het tegenovergestelde. Redhat doet juist wel die kwaliteitsprocedure. Hij verwart hier mandrake en redhat.

(ik ben trouwens ook 'maar' firmware ingenieur en hij is IT security mens)

Aan dit verhaal te zien heeft hij niet echt kennis van aar hij mee bezig is. Al mijn BSD firewalls (thuis, ikzelf, mijn broer) heb ik met de hand en hulp van enkele andere personen met verstand van zake geschreven. Een grafisch configtooltje is errug leuk maar biedt in bijna alle gevallen niet dezelfde zekerheid als een goede met-de-hand-geschreven firewall.

En een IT veiligheidsexpert die snort en suse gebruiken wil?

[Verwijderd]

Addendum:

'Dude' wil van onze DMZ (waar onze file-servers enzo staan) een intern netwerk maken (192.168.x.y).

Ik zei dat ie dat helemaal niet hoeft te doen (met NAT werken enzo). Je kunt linux gewoon instellen om packet filtering/forwarding te doen. Zo kunnen de ftp-servers nog bereikbaar worden vanuit het Internet.

Maar dat bleek volgens hem niet mogelijk te zijn. (waarschijnlijk niet met dat snort programma... duh!)

sigh...

[]Byte[]

Bijde zijn eigenlijk gewoon 'goed' te noemen.
Maar wat het belangrijkste is dat (ongeacht welke distro) je altijd moet zorgen dat alle packages altijd up2date zijn!
Je moet niet verzijld raken in schijnveiligheid!
Zelf gebruik ik RedHat 7.1 met iptables naar alle grote tevredenheid. (en met success )