veiligste web+mail server

[Verwijderd]

Vannacht was het weer zover: m'n servertje gehacked. voor de tweede keer in drie jaar tijd. eerste keer was met een redhat 6.2 installatie in combinatie met een lousy ftp daemon, nu was redhat 7.0 aan de beurt.
Knacker / worm in kwestie had vrolijk adore geinstalleerd, en vond een reboot noodzakelijk. Gelukkig voorkwam een gebrek aan keyboard (min of meer opzettelijk) een succesvolle herstart, maar desalniettetoch ben ik wat teleurgesteld in redhat. alle services dicht, systeem enkele maanden geleden nog up-to-date gemaakt (ssh ed). (ok, ok, ik geef toe, ik zit niet elke week mijn systeem te patchen) maar dit was niet genoeg. Bezoekje aan de website van redhat leert mij dat er genoeg mogelijkheden zijn, van fetchmail t/m kernel...
Kortom, ik zit zonder webserver en zonder mail. Voor de liefhebbers: server in kwestie stond achter een fysieke firewall, met alleen http(poort 80, geen https), smtp en ssh geforward. apache draaide een eigen gecompileerde php4.06

Enfin, mijn dilemma is: what to do. Hoe installeer ik een server zonder me non-stop druk te hoeven maken om patches.
Immunix lijkt een aardige optie, maar helemaal up-to-date vind ik ze ook niet (release stamt uit midden 2001 en is gebaseerd op redhat 7.0). Principe is op zich wel aardig, en berust op het 'sandbox' principe. Met een aangepaste c compiler is alles (behalve de kernel) zo gecompileerd dat het hele zakie bestendig is tegen buffer overflows. Door een soort 'marker' op de heap te plaatsen wordt in geval van een buffer overflow geen code uitgevoerd, maar wordt de applicatie ge-herstart. althans, zo begrijp ik e.e.a. van de website. 100% dicht is het niet.
Trustix is natuurlijk ook een optie, hoewel ik mijn bedenkingen heb omdat het niet veel meer voorstelt dan het systeem 'kaal' installeren. Je moet gewoon blijven patchen.
gentoo spreekt me ook wel aan, doch daar heb ik nog nul komma nada ervaring mee.
Maar eigenlijk was ik zwaar aan het overwegen om met openbsd aan de gang te gaan. Daarmee begeef ik me wel op deels onbekend terrein, doch dat zou wel moeten lukken; een kennis van me klaagde echter dat hij troubles had met bsd en het nooit succesvol aan de praat had gekregen ivm hardware incompatibaliteiten (desbetreffende kennis is overigens mijn persoonlijke linux-'guru').
Op zich heb ik genoeg hardware slingeren om dit probleem te overkomen (heb ook eens solaris voor x86 geinstalleerd, en deze is toch vrij kritisch), en heb ook wel 2 schijfjes van 1 gieg slingeren, plus een serieuze van 40gb, dus ik heb ruimte om e.e.a. te experimenteren.
Maar voordat ik m'n weekend + avonduren opoffer om te experimenteren wou ik eens rondneuzen voor advies. Mijn wensen zijn zeer concreet, gebruikersvriendelijk zal me op zich een biet zijn, maar ik wil dat mijn systeem zo dicht zit als maar kan.
/me vraagt zich toch af hoe IBM dat doet met linux op hun servertjes
suggestions?

[Verwijderd]

Je zegt het zelf eik al. Je hebt bijvoorbeeld een oude php versie. Het uptodate houden van software is erg belangrijk

Misschien een recentere versie redhat nemen. Of je anders eens wagen aan Slackware, Debian of BSD.

Web: Apache met Php icm MySQL oid
Mail: Recente versie exim/postfix etc

Welk programma je wilt is totaal afhankelijk per persoon maar let er wel op dat die up to date is

[narotic]

Is dat gewoon een thuiscomputer die gehackt was? Ik ben misschien een beetje naief, maar heb hier gewoon een server draaien zonder firewall en ook niet op linux..
Ben alleen 's als pub ftp misbruikt, maar had t ook al verwacht (anonymous upload permitteren he...), en heb dat dus ook snel ff gefixt. Voor de rest nooit geen problemen gehad (in ruim 7 maanden dat ie continu aan internet gehangen heeft).

[_JGC_]

Op dit moment heb ik zeer goede ervaringen met Debian 3.0 (Woody), op dit moment de stable versie van debian.
regelmatig updates via security.debian.org, worden automatisch via cron geinstalleerd (wel zelf ff in cron moeten zetten, maar das niet zo moeilijk om "apt-get update; apt-get upgrade -y" in een script te zetten )

Verder draai ik als webserver Apache 1.3.26 met PHP 4.1.2 (op dit moment de versies in Debian stable met laatste security updates, alhoewel ik me afvraag waar 1.3.27 blijft, aangezien daar ook een security bug in is gefixt)

Voor mail draai ik Qmail met Courier-IMAP als POP3 en IMAP daemon. Heb nog geen enkele hacker aan de deur gehad in het jaar tijd dat ik em draai.

[Verwijderd]

Verwijderd schreef op 26 oktober 2002 @ 22:15:
Je zegt het zelf eik al. Je hebt bijvoorbeeld een oude php versie. Het uptodate houden van software is erg belangrijk

Misschien een recentere versie redhat nemen. Of je anders eens wagen aan Slackware, Debian of BSD.

Web: Apache met Php icm MySQL oid
Mail: Recente versie exim/postfix etc

Welk programma je wilt is totaal afhankelijk per persoon maar let er wel op dat die up to date is

Tja ik vind het een nadeel dat je dan toch vastzit aan standaardpackages of elke keer opnieuw je zakies compileren. Bovendien is 'het nieuwste' niet altijd beter, kijk naar sendmail... maar je hebt gelijk dat ik ieg vaker moet patchen.

[Cipri]

Zoals _JGC_ al zegt, nieuwste Debian Stable erop, met een auto update scriptje, dat is zeer veilig. Updates gaan bij Debian ook erg snel, en simpel. En ook niet compilen met Debian, en geen dependancies geklooi zoals bij redhat, want gebeurt allemaal automagisch via apt

[narotic]

Apache 1.3.27 is op de apache site allang uit... kan je toch ook dan wel zelf handmatig installeren

[Cipri]

De bugfixes in apache 1.3.27 zijn in de debian packages wel ingevoert hoor, die zitten in 1.3.26woody0. We raken nu echter off-topic.

Nog een goede tip voor Nieko. Subscribe jezelf op security lists van de distro die je neemt, en meer general buglists. Daarmee blijf je ook goed op de hoogte

[Verwijderd]

ieg thanx voor de goede adviezen. als ik het zo hoor is apt duidelijk superieur aan rpm, dus dat ik zeker een beslissingsargument.

Nog niemand die zegt: ja, je kunt beter bsd nemen, en die draait ook linux apps? stick to linux dus.. [...thinking....]

[Cipri]

BSD heeft ook heus zijn voordelen hoor, al denk ik dat Debian net zo veilig is, maar wel veel meer support, en veel simpeler up to date te houden is

[Verwijderd]

Dat is dus distro afhankelijk. Voordat de distrowar los gaat barsten kan de topicstarter beter vragen in het draadje van "welke distro moet ik deel2". Welke distro het best bij hem past.

[Verwijderd]

Ik zou ook kiezen voor Debian. Éénmaal secured en update scriptje in cron gezet heb je er geen werk meer aan

[scorpie]

RedHat 7.3 erop knallen en leren van je fouten.
je zegt dat je ssh al een paar maanden (!!!!) niet hebt geupdate, en een ouwe php versie hebt etc.
Beveiliging is NIET OS-afhankelijk, het ligt er maar net aan hoe je hem zelf beveiligd.
de laatste maanden zijn er zat ssh exploits uitgekomen, zat remote kernel exploits (buffer overflows etc.) en remote php vulnerabilities.
Het is de taak van de sysadmin (= JIJ!!!) om het systeem up2date te houden (vandaar ook het up2date programma van redhat).
En tjah, je vraagt wat je dit keer moet doen: nou, gewoon hetzelfde als vorige keer, alleen beter op security letten.

[Infern0]

De verschillende *BSD's zijn in principe net zo veilig als de sysadmin ze maakt. Misschien dat je kunt zeggen dat een standaard install van *BSD iets veiliger is. FreeBSD heeft ook een soort apt (portupgrade) hiermee kun je ook controleren welke programma's out off date zijn. Mijn persoonlijke voorkeur is FreeBSD, maar het apt systeem van Debian is wat meer geschikt voor een luie sysadmin (no offence).

Maar de eerste fout ligt bij jezelf, als je een server wilt draaien, zul je je toch een beetje moeten concentreren op security.

[scorpie]

rlensen schreef op 27 oktober 2002 @ 01:06:
De verschillende *BSD's zijn in principe net zo veilig als de sysadmin ze maakt. Misschien dat je kunt zeggen dat een standaard install van *BSD iets veiliger is. FreeBSD heeft ook een soort apt (portupgrade) hiermee kun je ook controleren welke programma's out off date zijn. Mijn persoonlijke voorkeur is FreeBSD, maar het apt systeem van Debian is wat meer geschikt voor een luie sysadmin (no offence).

Maar de eerste fout ligt bij jezelf, als je een server wilt draaien, zul je je toch een beetje moeten concentreren op security.

Waarom noem je dan geen OpenBSD, dat is met een default install wel zo ongeveer het veiligste wat je kunt installeren...
maarja, hoe meer functionaliteit, hoe meer vulnerabilities.

[Hagar]

Cipri schreef op 26 oktober 2002 @ 22:34:
Zoals _JGC_ al zegt, nieuwste Debian Stable erop, met een auto update scriptje, dat is zeer veilig. Updates gaan bij Debian ook erg snel, en simpel. En ook niet compilen met Debian, en geen dependancies geklooi zoals bij redhat, want gebeurt allemaal automagisch via apt

offtopic:
Wat is dat toch voor raar fenomeen dat er overall automagisch ipv automatisch zie staan
Is dit een nieuwe trend of de opkomst van een aantal abn n00bs

[Verwijderd]

Ik vind (persoonlijk) postfix (met mysql-koppeling) zeer lekker werken...

Daarnaast courier-imap draaien: ideaal

[_nethack]

Hagar schreef op 27 oktober 2002 @ 03:33:
[...]

offtopic:
Wat is dat toch voor raar fenomeen dat er overall automagisch ipv automatisch zie staan
Is dit een nieuwe trend of de opkomst van een aantal abn n00bs

Zeker geen nieuwe trend, en ook niet voor n00bs...
Zie: automagically

[pinball]

Verwijderd schreef op 26 oktober 2002 @ 22:11:
<..>
ok, ok, ik geef toe, ik zit niet elke week mijn systeem te patchen
<..>
/me vraagt zich toch af hoe IBM dat doet met linux op hun servertjes

Wel elke week patchen lijkt me het voor de hand liggende antwoord. Wat je ook installeert, er is altijd een mogelijkheid dat er een exploit bekend wordt, en dat gat zul je moeten dichten.

[mpol]

Verwijderd schreef op 26 oktober 2002 @ 22:11:
alle services dicht, systeem enkele maanden geleden nog up-to-date gemaakt (ssh ed). (ok, ok, ik geef toe, ik zit niet elke week mijn systeem te patchen) maar dit was niet genoeg. Bezoekje aan de website van redhat leert mij dat er genoeg mogelijkheden zijn, van fetchmail t/m kernel...
Kortom, ik zit zonder webserver en zonder mail. Voor de liefhebbers: server in kwestie stond achter een fysieke firewall, met alleen http(poort 80, geen https), smtp en ssh geforward. apache draaide een eigen gecompileerde php4.06

Het is lief en aardig van veel mensen hier dat ze zeggen welke distro's zij beter vinden dan Redhat. Feit is dat de gaten in de software onafhankelijk zijn van de distro. Lekken in Apache, Php, smtp-servers en sshd komen gewoon voor. En in het geval van apache en ssh kwamen er al snel exploits op het internet. Meestal duurt dat toch een maand voordat je problemen kunt verwachten.
Bij jou was het al een aantal maanden geleden dat je gepatched hebt, dus je had een aantal exploits draaien, simpel. En of je die services nou op Redhat, Debian, of een *BSD draait, meestal zijn de exploits toch wel bruikbaar op verschillende platformen.

Simpele conclusie; vaker patches installeren (van je distro, of do-it-yourself), of wachten tot er ingebroken wordt, zoals nu.

[Verwijderd]

Zoals al wordt gezegd, vaker updates, patches etc. doen.

offtopic:
Hagar, ik ben het volkomen met jou eens, mensen gaan steeds dommer Nederlands praten op fora bijvoorbeeld: automagisch.

[metalant]

Denk er eens aan om het over een compleet andere boeg te gooien:
Installeer een server met Netware 6. Dat verwacht men niet, je kunt er dus vanuit gaan dat er minder mensen kennis van hebben, dus de kans om een succesvolle hack te doen is kleiner.

Op Netware 6 draait ook Apache en (beta)PHP. Ook email (via GroupWise of Netmail) is mogelijk.

[Heidistein]

Wat dacht je van een linux dissro, zoals redhat of debian, n gewoon elke week up2date of apt-get in een crontab te zetten?
Het is niet de verstandigste optie, maar ELK comoputersyteem zall geupdate moeten blijven worden, wil het veilig blijven.

[deadinspace]

_JGC_ schreef op 26 oktober 2002 @ 22:23:
Verder draai ik als webserver Apache 1.3.26 met PHP 4.1.2 (op dit moment de versies in Debian stable met laatste security updates, alhoewel ik me afvraag waar 1.3.27 blijft, aangezien daar ook een security bug in is gefixt)

Debian backport security fixes vaak naar de software versie in Stable. Dat is aanzienlijk minder werk dan een nieuwe versie nemen, uitgebreid testen of die betrouwbaar werkt icm de andere software in Debian Stable, en hem dan in de security updates stoppen.

Verwijderd schreef op 26 oktober 2002 @ 23:42:
Dat is dus distro afhankelijk. Voordat de distrowar los gaat barsten kan de topicstarter beter vragen in het draadje van "welke distro moet ik deel2". Welke distro het best bij hem past.

Ja, daar wil ik ook op wijzen.
Ik vind een discussie over security en updates/patches prima, maar als je wilt weten wat je moet nemen kun je je vraag beter daar stellen.

[Vaagharses]

Tja misschien is FreeBSD draaien toch een optie, niet omdat het veiliger is, maar omdat de security list heel makkelijk bij te houden is >>
http://www.freebsd.org/security/index.html die pagina check je af en toe, mocht er sinds je laatste install niks bijgekomen zijn dan kan je je install als secure beschouwen.

Voor linux enzo zijn er ook veel security pages, alleen moet je dan veel meer gaan uitzoeken welke versies je draait enzo.

En geen een server is 100% secure. OpenVMS schijnt btw ook heel secure te zijn, maar dan moet je ff een 2e hands VAX zien te bemachtigen

[Verwijderd]

Maakt niet veel uit wat je draait. Een goede "hacker" komt overal doorheen (zelfs grote bedrijven kennen het probleem). Het enigste is het ze zo moeilijk mogelijk te maken en dat doe je door in ieder geval ELKE WEEK op updates te controleren. Doe je dat niet (sorry) maar dan vraag je er een beetje zelf om.

En natuurlijk een echt wachtwoord gebruiken. Maw, gebruik niet alleen letters maar ook cijfers en leestekens !

Maar controleer ook je logfiles regelmatig.

Anders moet je misschien een hardwarematige router gaan draaien.

[terrapin]

Het hangt er heel erg vanaf welke software je draait.. Helaas zijn heel veel programma's gewoon niet goed en veilig genoeg geschreven, zoals recente exploits in openssh en apache bewijzen..
Dat het zeker wel mogelijk is om veilige software te schrijven bewijzen qmail en djbdns al enkele jaren!
Alle andere software moet je gewoon extreem up to date houden.. Mij bevalt het debian systeem hiervoor uitstekend.

[xychix]

Verwijderd schreef op 26 oktober 2002 @ 22:11:
Vannacht was het weer zover: m'n servertje gehacked. voor de tweede keer in drie jaar tijd. eerste keer was met een redhat 6.2 installatie in combinatie met een lousy ftp daemon, nu was redhat 7.0 aan de beurt.
Knacker / worm in kwestie had vrolijk adore geinstalleerd, en vond een reboot noodzakelijk. Gelukkig voorkwam een gebrek aan keyboard (min of meer opzettelijk) een succesvolle herstart, maar desalniettetoch ben ik wat teleurgesteld in redhat. alle services dicht, systeem enkele maanden geleden nog up-to-date gemaakt (ssh ed). (ok, ok, ik geef toe, ik zit niet elke week mijn systeem te patchen) maar dit was niet genoeg. Bezoekje aan de website van redhat leert mij dat er genoeg mogelijkheden zijn, van fetchmail t/m kernel...
Kortom, ik zit zonder webserver en zonder mail. Voor de liefhebbers: server in kwestie stond achter een fysieke firewall, met alleen http(poort 80, geen https), smtp en ssh geforward. apache draaide een eigen gecompileerde php4.06

Enfin, mijn dilemma is: what to do. Hoe installeer ik een server zonder me non-stop druk te hoeven maken om patches.
Immunix lijkt een aardige optie, maar helemaal up-to-date vind ik ze ook niet (release stamt uit midden 2001 en is gebaseerd op redhat 7.0). Principe is op zich wel aardig, en berust op het 'sandbox' principe. Met een aangepaste c compiler is alles (behalve de kernel) zo gecompileerd dat het hele zakie bestendig is tegen buffer overflows. Door een soort 'marker' op de heap te plaatsen wordt in geval van een buffer overflow geen code uitgevoerd, maar wordt de applicatie ge-herstart. althans, zo begrijp ik e.e.a. van de website. 100% dicht is het niet.
Trustix is natuurlijk ook een optie, hoewel ik mijn bedenkingen heb omdat het niet veel meer voorstelt dan het systeem 'kaal' installeren. Je moet gewoon blijven patchen.
gentoo spreekt me ook wel aan, doch daar heb ik nog nul komma nada ervaring mee.
Maar eigenlijk was ik zwaar aan het overwegen om met openbsd aan de gang te gaan. Daarmee begeef ik me wel op deels onbekend terrein, doch dat zou wel moeten lukken; een kennis van me klaagde echter dat hij troubles had met bsd en het nooit succesvol aan de praat had gekregen ivm hardware incompatibaliteiten (desbetreffende kennis is overigens mijn persoonlijke linux-'guru').
Op zich heb ik genoeg hardware slingeren om dit probleem te overkomen (heb ook eens solaris voor x86 geinstalleerd, en deze is toch vrij kritisch), en heb ook wel 2 schijfjes van 1 gieg slingeren, plus een serieuze van 40gb, dus ik heb ruimte om e.e.a. te experimenteren.
Maar voordat ik m'n weekend + avonduren opoffer om te experimenteren wou ik eens rondneuzen voor advies. Mijn wensen zijn zeer concreet, gebruikersvriendelijk zal me op zich een biet zijn, maar ik wil dat mijn systeem zo dicht zit als maar kan.
/me vraagt zich toch af hoe IBM dat doet met linux op hun servertjes
suggestions?

Maandelijks updaten
maargoed.

OpenBSD
Om te beginnen, ik ben een BSD fan. Toch zal openBSd je in deze situatie niet helpen. Als er bijv een lek je je sendmail zat dan zal BSD deze overflow waaraschijnlijk ook hebben. OpenBSD is wel veilig maar je gaat daarna web- en mailservers installern en deze zijn net zo "lek" als dezelfde servers op een andere distro. dat zal je dus niet helpen.

Ik denk dat het met een Linux net zo goed kan als met een BSD.

Verwijderd schreef op 27 oktober 2002 @ 22:30:
Maakt niet veel uit wat je draait. Een goede "hacker" komt overal doorheen (zelfs grote bedrijven kennen het probleem). Het enigste is het ze zo moeilijk mogelijk te maken en dat doe je door in ieder geval ELKE WEEK op updates te controleren. Doe je dat niet (sorry) maar dan vraag je er een beetje zelf om.

En natuurlijk een echt wachtwoord gebruiken. Maw, gebruik niet alleen letters maar ook cijfers en leestekens !

Maar controleer ook je logfiles regelmatig.

Anders moet je misschien een hardwarematige router gaan draaien.

WHAAAA, zelf grote bedrijven kennen het probleem ?? waarom omdat deze sysadmins vaak heel heel heel veel update steekjes laten vallen !!!

ze zetten vaak( / laten vaak zetten) in eerste instantie een zeer mooi en dicht systeem neer. Daarna komt er een systeem beheerder op die nog nooit van Bugtraq gehoord heeft. vandaar al die lekken !

rlensen schreef op 27 oktober 2002 @ 01:06:
De verschillende *BSD's zijn in principe net zo veilig als de sysadmin ze maakt. Misschien dat je kunt zeggen dat een standaard install van *BSD iets veiliger is. FreeBSD heeft ook een soort apt (portupgrade) hiermee kun je ook controleren welke programma's out off date zijn. Mijn persoonlijke voorkeur is FreeBSD, maar het apt systeem van Debian is wat meer geschikt voor een luie sysadmin (no offence).

Maar de eerste fout ligt bij jezelf, als je een server wilt draaien, zul je je toch een beetje moeten concentreren op security.

Idd zo doe ik het ook. Ik krijg dagelijks een mail van mijn server met een overzicht van mijn packages en hoe up-to-date deze zijn (dagelijks word dus ook mijn portscollectie up-to-date gehouden).

als ik vervolgens een outdates package zie terug komen in een security mailinglist dan update ik hem (of alles met portupgrade -ra)

toch word ik nu ook neiuwsgierig naar het debian systeem. en laat ik nu net gisteren een Debian Woody geinstalleerd hebben op een oude machine van mij.

alleen ik heb slechts een ISDN verbinding.....