[OpenBSD] securelevel

[Z!oN]

Ik ben sinds korte tijd hier helemaal aan verslingerd geraakt

Maar is het ook mogelijk, om als je console access hebt, de securelevel terug te zetten van 3 naar bijvoorbeeld -1, om een verandering door te voeren in de firewall. Anders is het een beetje zonde van je uptime, als je er bijvoorbeeld een host bij krijgt die oook nog geforward moet worden,

[Sjonny]

geen verstand van bsd, maar kom je met 'init 1' ook niet in een soort single user mode die dan toevallig ook in je securelevel -1 komt?

[Infern0]

onder FreeBSD kun je met
sysctl kern.securelevel= -1
de boel terug zetten

[Jordi]

Het hele idee van een securelevel is juist dat je hem na een raise niet meer kan verlagen (niet zonder reboot dan). Als je een manier wilt om dat weer te kunnen verlagen, kan je IMO beter helemaal geen securelevel gebruiken.

[Z!oN]

Jotti, dat snap ik wel, maar init kan dat wel terug zetten, dus vraag ik me af, is er geen manier om het via de console weer terug op -1 te zetten..... Die console die staat toch achter een of andere zware deur, waar maar 4 mensen door kunnen met een speciale badge..... En 3 van de 4 hebben liever een GUI, dus die zullen er niet aan zitten

[Wilke]

Kan er iets meer in de topic dan alleen 'openBSD' misschien?

Hmm, klinkt wel als een goed idee die securelevels. Je zou zeggen dat het in theorie best moet kunnen - terugzetten vanaf de console. Alleen ook dat zou nog wel een beetje gevoelig zijn voor hacken (als je kunt 'faken' dat je op de console zit - onder Linux zou dit denk ik makkelijk lukken. Okay, OpenBSD is wel ff wat anders, dat weet ik )

[igmar]

Wilke schreef op 25 augustus 2002 @ 00:12:
Kan er iets meer in de topic dan alleen 'openBSD' misschien?

Hmm, klinkt wel als een goed idee die securelevels. Je zou zeggen dat het in theorie best moet kunnen - terugzetten vanaf de console. Alleen ook dat zou nog wel een beetje gevoelig zijn voor hacken (als je kunt 'faken' dat je op de console zit - onder Linux zou dit denk ik makkelijk lukken. Okay, OpenBSD is wel ff wat anders, dat weet ik )

Dat is echt niet te faken. Securelevels zijn antiek, en niet flexibel genoeg. Linux kan werken met capabilities, helaas wordt dit nog betrekkelijk weinig gebruikt.

[Z!oN]

Sorry, dat me topic titel een beetje kort is, ik denk dat ik de rest er bij vergeten typen ben

Maar dat is in der daad een goed punt, dat alles gefaked kan worden, alsof het van de console komt, maar dan heb ik zoiets van, waarom kan init het dan wel terug zetten?
Misschien kan ik init op 1 of andere manier dwingen de securelevel terug te zetten....

Iemand enig idee ?

[serkoon]

init kan het niet terugzetten. Securelevel wordt bij het booten door init gezet. Voordat init dat doet is het dus nog -1.

Terugzetten kan dus alleen door de configfile (rc.conf?) aan te passen en te rebooten. Daardoor zal init bij de volgende boot securelevel niet meer zetten, of lager.

[deadinspace]

Het is nou al een paar keer gezegd, je securelevel kan niet omlaag zonder een reboot, en zoals Jotti heeft uitgelegd: dat is het hele idee.
Zo kan iemand die ingebroken is een hoop dingen gewoon *onmogelijk* veranderen zonder dat de bak gereboot wordt. Als die cracker dat via init 1; init 2 alsnog zou kunnen veranderen zou het nut vrij ver weg zijn.

[Verwijderd]

rlensen schreef op 24 augustus 2002 @ 21:34:
onder FreeBSD kun je met
sysctl kern.securelevel= -1
de boel terug zetten

das ook lekker dan!

[Verwijderd]

Verwijderd schreef op 25 augustus 2002 @ 17:56:
[...]

das ook lekker dan!

Nogmaals. Dat kan dus niet. Je kunt alleen via single-user mode het securelevel verlagen (en daar kom je remote niet in). Als ik het goed heb is zelfs /etc/rc.conf (waarin je het securitylevel kunt bepalen) read-only als het securelevel 1 of hoger is.

[Z!oN]

Maar wat voor zin heeft het dan dat init het WEL terug kan zetten, ik snap dat het allemaal veilig moet zijn enzo, maar toch......


-----------------------

man secure level

1 Secure mode
- default mode when system is multi-user
- securelevel may no longer be lowered except by init
2 Highly secure mode
- all effects of securelevel 1

[ Voor 0% gewijzigd door Z!oN op 25-08-2002 20:48 . Reden: nog een keer url van man erbij ]