„CSRF“ arba „kodėl reikia naudoti naujausią programos versiją“

2 Comments

Nutiko taip jog reikėjo argumentuotai paaiškint kodėl reikia naudot naujausią forumą versiją ir kodėl reikia gaišt savo brangų laiką atnaujinant forumą(ar programinę įrangą). Sausa teorija paprastai nepasiekia adresato:) Reikėjo parodyt praktiškai, tiesiog kad nebeliktų klausimo „kodėl“. Aš nei su saugumu nei su piktavaliais neturiu nieko bendro ir gilių žinių toje srityje neturiu, viskas kas čia parašyta yra paimta iš google, tiesiog surinkta informacija ir pritaikyta praktikoj, tai nėra mano asmeninė ilgametė patirtis.

Iš wikipedia(laisvas vertimas):
Cross-site request forgery, taip pat žinoma kaip vieno spragtelėjimo ataka ar sesijos užvaldymas trumpinama kaip CSRF ar XSRF, tai yra kenkėjiško tipo pažeidžiamumas kai tinklapiui perduodamos komandos/užduotys nelyg jas perduotų patikimas naudotojas. Netaip kaip cross-site scripting (XSS) kuri išnaudoja naudotojo pasitikėjimą konkrečiu tinklapiu, CSRF išnaudoja tinklapio pasitikėjimą naudotoju(jo naršykle).

Praktinė pusė

Pažeidžiamumas phpbb2(sena versija, todėl reik naudot phpbb3) forume, visų gautų naudotojo AŽ pašalinimas(lygiai taip pat galim naudot pridėjimą į administratorių grupę ar šiaip naudotojo pašalinimą, bet pavyzdžiui naudoju nekaltą variantą).

Nueinam į google parašom „phpbb2 exploit“ ir renkamės iš milijono pažeidžiamumų, bet ne tame esmė 🙂 Darom prielaidą jog reikia padaryti tai kas neaprašyta arba aprašyta per daug glaustai. Įsidiegiam(arba nueinam į aukos forumą) phpbb2 forumą, susirandam norimą atlikti(kurį atliks auka) veiksmą, mano atveju tai visų AŽ šalinimas. Nueinam į puslapį kuriame galima trinti visas AŽ mano atveju http://localhost/phpBB2/privmsg.php?folder=inbox matom mygtuką „delete all“, mūsų atakos tikslas – padaryti taip jog forumas galvotų jog naudotojas paspaudė tą mygtuką:) Paspaudžiam jį, mūsų paklausia ar tikrai. Tai yra paskutinis žingsnis prieš atliekant veiksmą, jis mum ir reikalingas, galima naudoti tam skirtas programas arba paanalizuoti pradinį kodą ir pažiūrėti ką ir kur forumas siunčia, aš naudoju firefox tai tiesiog nueinu Firefox->Priemonės->Saityno kūrėjams->Tyriklis->Paspaudžiu ant pasirinkimo galimybės, pasirenku mygtuką „Yes“ ir matau reikalingą kodo dalį:

<input type="hidden" value="" name="mode"></input>
<input type="hidden" value="true" name="deleteall"></input
input type="submit" value="Yes" name="confirm"></input>
<input type="submit" value="No" name="cancel"></input>

Matau jog „post“ metodu siunčiami 3 duomenys(pastaba: aš dabar pagalvojau, jei nemokat programuot(web), nesugebat skaityt pradinio puslapio kodo tai aš rašau ne jums, be reikalo skaitot) :
„mode“, „deleteall“ ir „submit“ tai tikslas tampa aiškus – reikia forumui nusiųsti tuos duomenis, parašom(kalba pagal pageidavimą ir situaciją) maždaug:

<html><body onload=javascrtipt:document.xsrf.submit()>
<form action="http://localhost/phpBB2/privmsg.php?folder=inbox" method="post" name="xsrf">
<input type="hidden" name="mode" value=""/>
<input type="hidden" name="deleteall" value="true"/>
<input type="hidden" name="confirm" value="Yes"/>
</form></body></html>

kadangi sugebat skaityt pradinį kodą, tai manau čia viskas aišku. Išsaugom kaip „csrf.html“. Įkeliam tą failą kurnors į nemokamą talpinimo srevery ar šiaip kurnors. Dabar tikslas yra priversti naudotoją(prisijungusį prie forumo kuriame bus ištrintos AŽ) nueiti į tą puslapį, galim parašyt kažkokį tekstą kuris priverstų auką nueiti į tą puslapį arba vietoj html naudoti paveiksliuką(apie .htaccess ir failų tipus nepasakosiu) arba šiaip kažką sugalvot, tikri piktavaliai manau turi nepalyginamai daugiau socialinės inžinerijos žinių ir turi kažkokių patikimesnių būdų, aš sugalvojau tik tokius variantus. Vienu žodžiu tam forume parašom žmogui AŽ su tekstu:
Labas, paskaityk mano naują įrašą http://akmc.lt/csrf.html parašiau kaip žiūrėti mokamą pornografiją nemokamai:) “ žmogus paspaudžia ant nuorodos, jam parodomas tuščias langas(nes faile csrf.html neparašyta instrukcija kur rast nemokamos pornografijos, bet galim ir parašyt) ir forume kuris yra „auka“ pašalinamos visos to žmogaus AŽ 🙂 Išbandyta praktikoj, viskas veikia 🙂 Kai pašalinamos visos AŽ galima parašyt naują AŽ su tekstu „va todėl reikia naudot naujausią forumo/programinės įrangos versiją, senose žinomi ir viešai prieinami visi pažeidžiamumai ir kiekvienas norintis gali jais pasinaudoti“.

P.S. Aš rašiau su mintimi „naudokit naujausią programos versiją“, o ne „va instrukcija kaip galit pasijust hacker’iais ir pridaryt kažkam bėdų“.

GPG/PGP kas tai?

1 Comment

GPG (GNU Privacy Guard) kas tai? Tai yra nemokama ir atviro kodo PGP (Pretty Good Privacy) alternatyva. Kadangi šis tinklapis skirtas FOSS, PGP daugiau neminėsiu, tiesiog turėkit omeny jog tai tas pats tik autoriai skirtingi. GPG tai yra programa duomenų šifravimui ir iššifravimui. Dažnai naudojama el. laiškų pasirašymui ar/ir šifravimui.

Diegimas

Turbūt visi distributyvai savo saugyklose turi paketą „gnupg“ (arba panašiai pavadintą). Kaip diegti nepasakosiu, visi žino.

Raktai

Yra 3 raktai:

Viešas įkeliamas į kelis raktų saugojimo puslapius, kartais prisegamas prie laiško, dažniausiai paraše būna parašomas tik rakto numeris pvz. GPG: 0x21C70548
Privatus su juo šifruojama/iššifruojama. Neduokdie papuls į blogas rankas.
Atšaukimo raktas, su šiuo raktu atšaukiamas rakto galiojimas, jis pažymimas kaip neveikiantis. Šio rakto prireiks tada jei pamiršite slaptažodį arba privatus raktas pateks į blogas rankas. Jeigu ką, tai laikyt privatų ir atšaukimo raktą toje pačioj laikmenoj visiškai neprotinga 🙂

Generavimas

Pačio rakto generavimas

Komanda:

gpg --gen-key

ir atsakom į visus klausimus, numatytosios reikšmės visiškai tinkamos naudoti. Tik aš siūlyčiau nustatyti galiojimo laiką, pvz. 1 metus. Po metų bus galima pratęsti jo galiojimą. Pametus raktą ir jo neatšaukus tikrai žinosime jog jo nepanaudos niekas kitas.

Viešojo rakto failo generavimas
Sugeneravus raktą reikia sukurti viešą raktą:
pirmiausia pažiūrim kokie raktai saugomi raktinėj

gpg --list-keys

matom maždaug:

------------------------------
pub 2048R/21C70548 2011-12-14 [expires: 2016-12-12]
uid Algimantas Margevičius <margevicius.algimantas@xxxxxxx>
uid gymka <gymka@xxxxxxx>
uid archlinux <gymka@xxxxxxx>

mūsų rakto id yra 21C70548 (toliau visur bus naudojamas šis skaičius, o ne „rakto_id“, nes taip lengviau skaityt)

gpg --export --armor -a 21C70548 >21C70548.asc

sukuriamas failas „21C70548.asc“ jį galima dalinti bet kam ir bet kur, pvz. prisegti prie pasirašyto/užšifruoto laiško.

Yra daug raktų serverių, aš siunčiu į šiuos 3:

gpg --keyserver pgp.mit.edu --send-keys 21C70548
gpg --keyserver subkeys.pgp.net --send-keys 21C70548
gpg --keyserver pool.sks-keyservers.net --send-keys 21C70548

Dabar mūsų raktas yra raktų serveryje ir visi kiti žmonės galės patikrinti mūsų raktą turėdami tik rakto ID t. y. „21C70548“, nebūtina duoti failo „21C70548.asc“. Tam skirta programa jį parsiųs iš serverio ir patikrins.

Privataus rakto failo generavimas

gpg --export-secret-keys 21C70548 --output privatus_raktas_iskart_perkelti_i_saugia_vieta

Atšaukimo rakto generavimas

gpg --output atsaukimo_raktas_saugoti_ne_ten_pat_kur_privatus_raktas.asc --gen-revoke 21C70548

ir atsakom į užduotus klausimus. Jei raktas tampa sukompromituotas, pvz. piktavaliai pavagia slaptažodį ar šiaip privatų raktą. Atšaukiam mūsų rakto galiojimą:

gpg --import atsaukimo_raktas_saugoti_ne_ten_pat_kur_privatus_raktas.asc

tada išsiunčiam jį į serverį jog visi žinotų jog šis raktas sukompromituotas:

gpg --keyserver pgp.mit.edu --send-keys 21C70548
gpg --keyserver subkeys.pgp.net --send-keys 21C70548
gpg --keyserver pool.sks-keyservers.net --send-keys 21C70548

Naudojimas

Rakto importavimas
Jei reikia importuoti raktą ir to nepadarė jūsų pašto programa ar failų tvarkyklė:

gpg --import raktas.asc

Failo užšifravimas

gpg -o naujas_uzsifruotas_failas_kuri_siusime.txt --encrypt -r 21C70548 failas_kuris_bus_uzsifruotas.txt

Failo iššifravimas

gpg --decrypt naujas_uzsifruotas_failas_kuri_siusime.txt

Rakto redagavimas, galiojimo laiko keitimas

gpg --edit-key 21C70548

Patenkam į gpg shell, parašius „help“ gausim visas galimas komandas, dėl savaime suprantamų priežasčių aš neaprašinėsiu jų.
Parašom „key“ matom maždaug:

gpg> key
pub 2048R/21C70548 created: 2011-12-14 expires: 2016-12-12 usage: SCA
trust: ultimate validity: ultimate
sub 2048R/803B871A created: 2011-12-14 expires: 2016-12-12 usage: E
[ultimate] (1). Algimantas Margevičius <margevicius.algimantas@xxxxxxx>
[ultimate] (2) gymka <gymka@xxxxxxx>
[ultimate] (3) archlinux <gymka@xxxxxxx>

galima redaguoti ne pagrindinį raktą, bet ir papildomus raktus. Pvz. norint redaguoti tą kuris pavadintas „archlinux“ turėčiau parašyt „key 3“.
Tada parašom „expire“ matom maždaug:

gpg> expire
Changing expiration time for the primary key.
Please specify how long the key should be valid.
0 = key does not expire
<n> = key expires in n days
<n>w = key expires in n weeks
<n>m = key expires in n months
<n>y = key expires in n years
Key is valid for? (0)

ir įrašom galiojimo laiką, aš noriu jog mano raktas galiotų metus, skaičiuojant nuo šiandien, todėl parašau „1y“. Patvirtinus pakeitimus išsaugom pakeitimus parašydami „save“. Pakeitimai kol kas yra tik mūsų kompiuteryje, juos reikia išsiųsti į serverį, kad visas pasaulis žinotų kada baigsis mūsų rakto galiojimas.

Savaime aišku yra ir tam skirtų programų kurios gali kurti ir redaguoti raktus ir jos turi GUI. Pvz. „seahorse“. Ten savaime viskas aišku todėl nerašysiu kas ir kaip.

Praktika

Aš asmeniškai paštui naudoju programą „thunderbird“, ji pagal nutylėjimą nesusitvarko su gpg. Tam yra plėtinys „enigmail“. Įdiegus jį ten viskas aišku kas ir kaip, todėl taipogi nerašysiu kaip naudotis.

Praktiniai panaudojimo pavyzdžiai:

  1. Siunčiat ne viešus duomenis el. paštu, net jei ir piktavaliai nenulauš jūsų pašto dėžutės vistiek tuos duomenis gali perskaityt pašto serverio administratorius, teisėsauga ir google bot’as 😀 kai duomenys vieši tai nebėda, bet jei reik perduot neviešus duomenis tada į pagalbą ateina laiškų šifravimas. Užšifravus laišką jį gali perskaityt tik žmogus kuriam skirtas tas laiškas(siuntėjas užšifruoja laišką viešu gavėjo raktu, jį iššifruoti galima tik to gavėjo privačiu raktu).
  2. Failų tapatumo patikrinimas, jei parsisiunčiat ubuntu cd atvaizdį ir jis yra išskirstytas į daug .rar failų jų tapatumą/vientisumą galima patikrinti su kartu pridėtu .sfv failu, bet jei žmogus jums atsiuntė programą kuriai reikia „root“ teisių tai jūs tikrai nepasitikėsit nežinia kieno parašytu sfv failu ir nediegsit tokios programos į savo sistemą. Čia į pagalbą ateina gpg, jūs turit siuntėjo viešą raktą ir galit patikrint ar gavote tikrai tą failą kurį siuntė siuntėjas. Siuntėjas jums atsiųs, jūsų viešu raktu pasirašytą failą ir iššifruoti tą failą galėsite tik jūs. Praktikoj „archlinux“ paketai yra pasirašyti gpg raktais ir diegiant yra patvirtinamas jų tapatumas, įsitikinama ar tikrai tai tie failai kuriuos įdėjo „archlinux“ kūrėjai, o ne piktavaliai įsilaužę į „archlinux“ paketų saugyklas. Apie tai plačiau galima paskaityti archwiki.

P. S. dar daug ko neparašiau, bet ir taip labai jau ilgas tekstas gavosi. Gali būt jog kada nors parašysiu antrą šio straipsnio dalį, taip sakant pratęsimą.

Slaptažodžiai

3 Comments

OLYMPUS DIGITAL CAMERA

Slaptažodis – tai žodis ar simbolių kratinys naudojamas tapatybės patvirtinimui, nustatyti ar tai tikrai tas žmogus kuris sakosi esąs.

Jei jūsų slaptažodis „password“, „123456“, „qwerty“, „abc123“ ar panašus tai šis straipsnis skirtas ne jums, tiesiog kai prarasite pašto, žaidimo ar facebook slaptažodį prisiminkite šį straipsnį ir jį perskaitykite, dabar galite neskaityti, nes jame parašytos vienos nesąmonės, nepraktiški ir niekam nereikalingi dalykai. Kuriuos greičiausiai parašė nesaugumo ir paranojos kankinamas žmogus.

Šiame straipsnyje pasidalinsiu savo (ir ne tik) patirtimi apie slaptažodžius ir taisykles kuriomis reiktų naudotis kuriant ir naudojant slaptažodžius.

 

1. Slaptažodžių sudėtingumas

Aš asmeniškai naudoju tris slaptažodžių saugumo lygius:

a) man visiškai nerūpi nesaugumas. Dažnai pasitaiko tokių atvejų jog ieškant informacijos googlėj patenki į forumą kuriame norint parsisiųsti priedą prisegtą prie temos reikia prisiregistruoti, tam puslapy aš registruosiuosi ir prisijungsiu tik 1 kartą, todėl man visiškai nerūpi jo saugumas. Net jei ir kažkas jį atspės man nuo to nei šilta nei šalta, be to aš registravausi su laikinu el. pašto adresu tai ir su manim ta paskyra niekaip nesusiejama. Tokiems atvejam naudoju 1 paprastą slaptažodį, visur tą patį ir niekad nekeičiu.

b) man ne tas pats. Aš turiu milijoną paskyrų, forumai, irc kanalai, etc. Tos paskyros kaip ir nelabai vertingos, bet nelabai norėtųsi jas prarast. Praradus, didelės žalos nepatirčiau. Tokiems atvejam naudoju nesaugius, bet nevisai paprastus slaptažodžius. Paprastai juos sudaro bent 8 simboliai, be spec. ženklų, tik raidės ir skaičiai. Visom paskyrom naudoju 1 iš 5 slaptažodžių. Kadangi paskyrų yra labai daug, kartais pamirštu kur kuris slaptažodis, tai blogiausiu atveju suvedu visus 5 ir vistiek prisijungiu 🙂

c) strateginiai objektai. Yra ir trečia grupė kurioje naudoju tikrus (saugius) slaptažodžius. Praradus šias paskyras gali būt problemų, todėl čia naudojami unikalūs bent 12 simbolių slaptažodžiai su visais leidžiamais simboliais, didžiosiomis/mažosiomis raidėmis. Vienas iš tokių objektų yra el. paštas. Piktavaliui pavogus jo slaptažodį jis ne vien perskaitys jūsų laiškus, bet gaus priėjimą prie visų jūsų paskyrų. Todėl čia jau reikia rimto slaptažodžio.

 

2. Slaptažodžio kūrimas

Savaime aišku geriausią slaptažodį gali sugalvot mašina, ji tikrai panaudos visas būtinas ir nebūtinas taisykles. Problema su tokiu slaptažodžiu yra tame jog jį be galo sunku prisiminti. Galima sugalvoti ir savo algoritmą pagal kurį sudarinėsite savo slaptažodį. Pvz. „langas“, „laikrodis“, „spausdintuvas“, etc. nėra sunku įsiminti, nes aš tuos daiktus matau sėdėdamas prie kompiuterio ir nepamiršiu, nes jie visada po ranka (akim). Tokie slaptažodžiai visiškai nesaugūs ir piktavaliui turbūt prireiktų kelių sekundžių ar minučių jį atspėti („bruteforce“).

Dėkui dievui, žmogus turi fantaziją ir tuos slaptažodžius galima užrašyti taip jog jie pataptų saugūs. Pavyzdinis algoritmas: „langas“->balses pakeičiam į atitinkamus skaičius->„l4ng4s“->pirmą raidę užrašom du kartus->„ll4ng4s“->pirmą ir paskutinę raidę užrašom didžiosiomis->„Ll4ng4S“->pridedam nereikalingų simbolių->„…Ll4ng4S,,,“

 

„langas“ – atspėti slaptažodžiui prireiktų 0.002970344 sekundės

„…Ll4ng4S,,,“ – atspėti slaptažodžiui prireiktų 51 milijono metų

 

Prisiminti tiek vieną tiek kitą reikia panašiai pastangų, bet piktavaliui tai nežmoniškai didelis skirtumas.

Jei atmintis prasta tai sugalvokit kuo ilgesnį slaptažodį, kad ir iš nesusijusių žodžių „lempaspausdintuvas“ nebus saugus, bet vistiek geriau nei „123456“.

 

3. Slaptažodžio tvirtumo tikrinimas

Svetainėse:

http://howsecureismypassword.net/

http://www.passwordmeter.com/

galima patikrinti slaptažodžio tvirtumą ir sužinoti ko reikia norint sudaryti sudėtingą slaptažodį.

Dauguma puslapių savo duomenų bazėse naudotojų slaptažodžius saugo užšifruotus md5 algoritmu. Jei piktavalis nulauš tą svetainę jis gaus maždaug tokį tekstą: „f447b20a7fcbf53a5d5be013ea0b15af“ svetainės administracija galvoja jog tai neįveikiamas algoritmas ir niekas jo nesugebės panaudoti, bet md5 jau senai nėra saugus. Nueinam pvz. į http://www.md5decrypter.co.uk/ ir gaunam atsakymą „f447b20a7fcbf53a5d5be013ea0b15af MD5($pass.LF): 123456“ ir dabar žinom jog slaptažodis, saugotas duomenų bazėje, yra „123456“ galima jungtis prie tos paskyros.

Googlėj yra begalė svetainių kurios leidžia iššifruoti tekstą užšifruotą md5, dėl visa ko galima užšifruoti savo slaptažodį ir patikrinti ar piktavaliai gavę md5 maišos sumą sužinotų jūsų slaptažodį.

 

4. Slaptažodžio saugojimas

Aš laikausi filosofijos: jei nenori viešint – neužrašyk, neįkelk į kompą, nefotografuok, etc. viskas kas patampa skaitmeniniu formatu anksčiau ar vėliau tampa vieša. Versle turbūt ant kas antro pc monitoriaus užklijuotas lapukas su tekstu „user – antanas; pass – 123456“… be komentarų.

Kitas dalykas programos kurios saugoja slaptažodžius – akmc.lt administracija jas naudoja ir vargo nemato, bet mano nuomone tai visiška kvailystė, dalintis savo slaptažodžiais su kažkuo kažkur, naudojant nemokamą programą, kurios autoriai neturi jokių teisinių įsipareigojimų tinkamai saugot tuos duomenis. Be to kad ir kokia saugi būtų programa visas anksčiau ar vėliau nulaužia, tai klausimas ar jūsų slaptažodžiai taps vieši net nekyla, man tik kyla klausimas „kada jie taps vieši?“. Man ne 60 metų ir tikrai galiu be didelio vargo prisiminti 10-15 slaptažodžių. Jei jau moku 2 užsienio kalbas tai 15 žodžių tikrai ne bėda. Juk visi prisimenam savo vardą, pavardę, kur gyvenam, telefono numerį tai tikrai daugiau informacijos nei visi reikalingi slaptažodžiai.

Kitas dalykas, kad ir koks sudėtingas būtų slaptažodis vien tik jis jūsų neapsaugos, tai yra tik raktas nuo durų. Jei jūsų durys šarvuotos, vagis lips pro langą. Taipogi tas pats vagis gali palaukti laiptinėje kol jūs atrakinsite duris. (turiu omeny duomenų perdavimą ne ssl, phishing attack, slaptažodžio užsirašymą, etc.)

 

5. Keli patarimai

  • Visose paskyrose nustatykite slaptažodžio atkūrimo funkcijas, ten parašykit naudojamą el. pašto adresą, taipogi parašykit tokį klausimą į kurį galėtumėt atsakyti tik jūs.
  • Slaptažodžio galiojimas yra ne ilgiau nei 1 metai. Slaptažodį reiktų keisti bent kartą per metus. Toli gražu ne visi puslapiai suteikia galimybę peržiūrėt su kokiu IP jungiamasi prie jūsų paskyros, niekad nežinai kas naudojasi ta paskyra.
  • Tokiose programose kaip thunderbird ar panašiose tenka saugot slaptažodžius, aš naudoju 3 email ir tikrai neturiu laiko eit į kiekvieno puslapy ir prisijunginėt, tai tokioj programoj reik uždėt kaip įmanoma sudėtingesnį „master“ slaptažodį.
  • Niekad niekam neduokit savo slaptažodžio, net jei ir klausia tikras puslapio adminas tiesiog iškeikit jį, pasakykit jog jis asilas ir nesugeba padaryt atsarginės duomenų kopijos, pasiųskit kuo toliau ir tuo baikit pokalbį.
  • Niekad nepalikit numatytųjų slaptažodžių, jei registruojantis jums davė slaptažodį tai iškart pakeiskit jį, turbūt visi maršrutizatoriai turi numatytąjį slaptažodį, nepalikit jo – pakeiskit.
  • Prieš vedant slaptažodį pažiūrėkit į svetainės, kurioje vedate slaptažodį, adresą. Ar tikrai nei viena raidė neparašyta blogai? Ar vietoj adreso nerodo 92.145.666.666?

6. Statistika

Paėmiau pavogtą(ne aš pavogiau ir išvis aš jos neturiu ir niekad neturėjau) duomenų bazę, lietuviško puslapio, kur nariai lietuviai. Ir pabandžiau iššifruot pirmus 100 slaptažodžių, statistika bauginanti – 51 iš 100 buvo iššifruoti. O jei iš tų 51 bent pusė naudoja tą patį slaptažodį visur…

Slaptažodžiai kuriuos pavyko iššifruoti:

„dbd495“, „ubauba“, „863998707“, „zigmantas“, „19921225“, „zxcvbnm123“, „coolman“, „karolukas“, „karolukas“, „m4zylis“, „drz400“, „710000“, „skaiste“, „pokemon“, „pokemon“, „77777778“, „*123456“, „golfas“, „anomis“, „05051201“, „vikute“, „antaniukas“, „kaunas“, „nanukas“, „manatas“, „18735224“, „lakunas“, „710203“, „manchester“, „adelija1“, „pathfinder94“, „19771211“, „velnias“, „862427985“, „viktoras“, „viktoras“, „viktoras“, „19930108“, „xfailas“, „mantasx“, „olka2003“, „zxcvbnm,./“, „diesel“, „motors“, „manirtau“, „ignasjatas“, „kaktusas“, „subwoofer“, „alibaba“, „milagra“, „19911227“.

Nematai čia savo slaptažodžio? Nekuriem personažam galima net ir paskambinti 😀

 

P. S. šis straipsnis gimė akmc.lt forume temoje apie keepas, aplankykit ir perskaitysit straipsnius kurie dar nėra straipsniai, o tik atskirų žmonių atskiros mintys 🙂

Prie šio straipsnio fundamentaliomis mintimis prisidėjo minde (akmc.lt pilkasis kardinolas).

 

Paprastai ir suprantamai apie saugumą internete galima paskaityti www.esaugumas.lt

 

PC sanitarinė diena

5 Comments

„Sanitarinė diena, lankytojus priimsime 2012.12.14. Galite naudotis kompiuteriais esančiais viešojoje bibliotekoje.“

O jei rimtai tai karts nuo karto viskam reikia „profilaktikos“ ar „sanitarinės dienos“, geriau išvengt bėdų nei jas taisyt. Bėdos visada atsitinka tada kai žūtbūt reikia kompiuterio, o profilaktiką galima atlikti tada kai turi laiko. Tai nusprendžiau pasidalint savo „sanitarinės dienos“ ypatumais.

 

Atsarginė duomenų kopija

Visų pirma reikia padaryt atsarginę duomenų kopiją, šiam pasauly visko būna ir kartais profilaktika pridaro bėdų, o ne padeda jų išvengti 🙂

Prie atsarginė kopijos vertėtų pridėti ir įdiegtų paketų sąrašą (kad būtų galima reikalui esant įrašyti tuos pačius paketus, pvz. sugedus sistemai, norint atkurti buvusią sistemą)

Komanda (archlinux):

sudo pacman -Qeq > ~/idiegti_paketai.txt

Visų paketų iš to sąrašo įdiegimas (archlinux):

 for x in $(cat ~/idiegti_paketai.txt); do pacman -S $x; done

Aš darau tik namų aplanko atsarginę kopiją, man visiškai negaila prarast filmų ar muzikos, viską kas reikalinga laikau namų aplanke.

Komanda:

tar -cvzf /paskirties/aplankas/home_back.tar.gz /home/naudotojas

Mano naudojama komanda (ji įdėta į bashrc alias, realiai nerašau tokios ilgos):

tar --exclude=/home/gymka/.wine --exclude=/home/gymka/.wine-chessmaster -cvzf /media/media2/home_back.tar.gz /home/gymka

Aš nedarau „wine“ failų kopijos, nes jie užima daug ir iš jų naudos nedaug. Reikalui esant žymiai patogiau iš naujo įdiegt programą.

Atsarginę failų kopiją laikau kitam fiziniam diske (pas mane 3 HDD, dėja) ir usb atmintinėje (ją laikau kitame kambaryje).

Nereikalingų failų šalinimas

Laikui bėgant prisikaupia daug nereikalingų failų, pvz. laikini failai, programų vertimai, ir t.t. Beto dar yra failų kuriuos verta pašalint saugumo/privatumo sumetimais. Čia į pagalbą ateina programa „bleachbit“, ji turėtų būti betkurio distributyvo saugykloj.

Programa paprasta ir aiški, išversta į Lietuvių kalbą, šiaip nereiktų jokių komentarų, bet pakomentuosiu. Atveriam programą („root“ teisėmis) -> Peržiūrim visas eilutes, pažymim/atžymim ką reikia. Pagal nutylėjimą „Sistema -> Lokalizacijos“ yra nepažymėta, bet mano nuomone tai nėra prasmės laikyt vertimų kurių nenaudoji, o mano sistemoj jie užėmė 600mb. Nustatymuose pasirenkam kurias kalbas palikti ir pažymim anksčiau minėtą langelį.  Spaudžiam „Peržiūra“, peržiūrim ką programa ruošiasi pašalinti ir jei viskas tenkina spaudžiam „Išvalyti“.

*.pac* failai (tik archlinux)

Bėgant laikui prisikaupia  visokių *.pac* failų, visi žinom kas jie ir kam jie reikalingi (kas nežino – archwiki). Savaime aišku geriausia konfigūraciją atnaujint iškart po paketo įdiegimo, bet kartais atnaujinimo metu nėra laiko/noro dar ir konfigūraciją atnaujint.

Surinkt visiem *.pac* failams naudoju programą „yaourt“ (ji skirta siųstis paketam iš AUR).

sudo yaourt -C

matom maždaug:

1 10/23/12 23:31:57  /etc/pam.d/lxdm.pacnew
2 10/28/12 16:24:15  /etc/yaourtrc.pacnew
3 11/22/12 16:20:58  /etc/fstab.pacnew
4 11/29/12 09:50:00  /etc/pacman.d/mirrorlist.pacnew
5 12/04/12 03:02:24  /etc/group.pacnew
6 12/04/12 03:02:24  /etc/gshadow.pacnew
7 12/04/12 03:02:24  /etc/passwd.pacnew
8 12/04/12 03:02:24  /etc/shadow.pacnew

Pradedam nuo pradžių, pasirenkam 1.

Jei pakeitimai nebūtini arba jie jau atlikti, parašom „:q“ ir išeinam nesaugodami failo. Tada yourt meniu pasirenkam „nustelbti“ (supress) ir naujas failas bus pašalintas.

Jei matom naują eilutę ir ją reikia tiesiog nukopijuoti surenkam „dp“.

Jei eilutė pasikeitė, paredaguojam ją. „Insert“ įeiti į redagavimo režimą, „Esc“ grįžti į komandų įvedimo režimą.

Kitos reikalingos „vimdiff“ komandos:

CTRL +W CTRL +W – pereiti į kitos pusės langą

yy – nukopijuoti eilutę

p – įklijuoti eilutę

]c – peršokti prie sekančio skirtumo