[>a2298.html>] [<a2296.html<] [^a2.html^]
Anche quando l'elaboratore non è connesso a una rete, potrebbe essere vulnerabile per il solo fatto di essere accessibile fisicamente da parte di altre persone. In questo capitolo vengono raccolte solo alcune note al riguardo.
Il primo punto debole di un elaboratore che può essere raggiunto fisicamente da un intruso, sta nella possibilità di essere avviato, o riavviato, in modo da poterne controllare il funzionamento. In pratica, se si esclude la possibilità del furto del disco fisso (che comunque non è poi tanto remota), bisogna impedire che si possa riavviare l'elaboratore attraverso un dischetto o un CD-ROM, perché in questo modo si potrebbe prendere il controllo della macchina e accedere ai dati come si vuole. Questo si impedisce a livello di firmware (il BIOS), definendo una password da inserire ogni volta che si avvia l'elaboratore.
Oltre a questa soluzione che riguarda l'hardware, si potrebbe intervenire ulteriormente anche sul programma che si occupa di avviare il kernel. Nel caso si LILO si può aggiungere la direttiva
password=password
con la quale questa password viene chiesta ogni volta che si avvia. Eventualmente, si può aggiungere la direttiva
restricted
per fare in modo che questa password venga richiesta solo quando si aggiunge un comando di avvio. Evidentemente, se si interviene in questo modo, bisogna considerare i permessi del file di configurazione /etc/lilo.conf
: se si vuole evitare che gli utenti comuni possano leggerlo, basta togliere tutti i permessi per il gruppo proprietario e per tutti gli altri utenti.
#
chmod 0600 /etc/lilo.conf
È bene tenere presente che la direttiva password può essere utilizzata prima delle sezioni che si riferiscono alle varie immagini, ovvero nella parte delle opzioni globali, oppure può essere collocata all'interno di una di queste sezioni. Nel primo caso la password viene chiesta sempre, mentre nel secondo viene chiesta solo alla selezione di un'immagine determinata. Lo stesso ragionamento vale per la direttiva restricted.
Il riavvio dell'elaboratore potrebbe essere un altro problema da considerare. Di certo, se c'è un accesso fisico alla macchina da parte del solito ignoto, è difficile impedire che questo possa spegnere e riaccendere l'elaboratore, tuttavia gli può essere impedito di utilizzare la nota combinazione [Ctrl+Alt+Canc]. Per questo basta modificare il file /etc/inittab
, dove di solito si trova un record simile a quello seguente:
# What to do when CTRL-ALT-DEL is pressed. ca:12345:ctrlaltdel:/sbin/shutdown -t1 -a -r now
Per impedirlo, basta modificare il comando abbinato alla combinazione. Si osservi la modifica seguente, in cui il record originale è stato conservato all'interno di un commento:
# What to do when CTRL-ALT-DEL is pressed. #ca:12345:ctrlaltdel:/sbin/shutdown -t1 -a -r now ca:12345:ctrlaltdel:/bin/echo "La combinazione Ctrl+Alt+Canc è disabilitata"
Se quello che si utilizza è un terminale seriale, o un terminale remoto, la cosa migliore da fare per proteggere il proprio lavoro mentre ci si allontana è quello di chiudere la sessione di lavoro. Se si avviano dei processi sullo sfondo è bene prevedere in anticipo questo fatto, avviandoli attraverso nohup (32.4.3), oppure si può utilizzare Screen (36.5).
Se si utilizza una console, dal momento che è molto probabile che si stiano utilizzando diverse console virtuali simultaneamente, questo tipo di soluzione potrebbe essere un po' troppo complicato. In questi casi si preferisce usare un programma apposito che blocca l'accesso a tutte le console virtuali.
lockvc è un programma molto semplice che fa uso della libreria SVGAlib, e si comporta come un salva-schermo protetto da password. Il suo funzionamento è molto semplice, tanto da riassumersi nello schema sintattico seguente:
lockvc [stars|morph|fudge|fire]
In pratica, l'argomento composto da una parola chiave, stabilisce il tipo di effetto che si vuole visualizzare come salva-schermo, che interviene subito, e blocca tutte le console virtuali.
Quando si preme un tasto alfanumerico, il salva-schermo si interrompe, e viene richiesto l'inserimento della password dell'utente che lo ha avviato (viene specificato di quale utente si tratta); se l'identificazione fallisce il salva-schermo riprende, altrimenti vlock termina di funzionare.
vlock [opzioni]
vlock è un programma ancora più semplice di lockvc, senza alcuna pretesa di funzionare come salva-schermo, che si limita a bloccare la console virtuale in cui viene avviato, a meno che sia utilizzata l'opzione -a, con la quale vengono bloccate anche tutte le altre console virtuali.
A differenza di lockvc, il funzionamento di vlock può essere concluso anche con l'inserimento della password dell'utente root.
La protezione del lavoro su una stazione grafica può essere fatta in modo simile a quello che riguarda la console, attraverso programmi che la bloccano, eventualmente attivando un salva-schermo. Tuttavia, esiste un problema in più: per evitare che sia possibile interrompere il funzionamento del servente grafico attraverso la combinazione [Ctrl+Alt+Backspace], occorre la direttiva DontZap nella sezione ServerFlags:
Section "ServerFlags" DontZap # DontZoom EndSection
xlock [opzioni]
xlock è il programma più comune per il blocco di una stazione grafica X. Sono disponibili una grande quantità di opzioni; in particolare l'opzione -mode prevede un elenco molto lungo di argomenti composti da una sola parola chiave, che serve a definire il tipo di effetto grafico da utilizzare come salva-schermo.
In condizioni normali, se non si usano opzioni che vadano in senso contrario, basta premere un tasto qualunque per interrompere il salva-schermo, e con l'inserimento della password dell'utente che lo ha avviato, si può concludere il funzionamento di xlock.
A titolo di esempio viene mostrato il caso di un salva-schermo nero:
$
xlock -mode blank
Nel caso non si utilizzasse alcuna opzione, si otterrebbe un effetto grafico salva-schermo, scelto casualmente tra quelli disponibili.
xtrlock
xtrlock è un programma molto semplice, che non prevede alcun argomento. Il suo scopo è solo quello di bloccare l'uso della tastiera e del mouse, senza attivare alcun salva-schermo. Lo sblocco della stazione grafica si ottiene soltanto digitando la password dell'utente (senza alcun campo di inserimento), concludendo con la pressione di [Invio]. Se la password inserita è errata, viene emesso un segnale acustico, e quindi si può riprovare l'inserimento.
Appunti di informatica libera 2000.07.31 --- Copyright © 2000 Daniele Giacomini -- daniele @ swlibero.org