Tag: 安全性

OpenSSH：在设置之前被黑了？: 今天我尝试在我的计算机上安装OpenSSH，希望能够在工作时从另一台计算机连接到它。这是我第一次尝试使用open-ssh。我做了以下步骤： sudo apt-get install openssh-server 修改了/etc/ssh/sshd_config 将端口从22更改为2000以上的数字将PermitRootLogin更改为no 将PasswordAuthentication更改为no 做了/etc/init.d/ssh restart 我基本上试图遵循在线文档中建立的所有安全规则。然后，我愚弄了一下，尝试在路由器上设置端口转发。我假设因为我没有生成任何密钥或明确设置任何密码，所以没有人可以访问我认为实际运行的服务器。基本上，我的问题是，我现在已经开始担心一些因素：我的互联网看起来比较慢，而且我有一些应用程序意外崩溃。似乎突然间我的计算机变得不那么可靠了，我的自动思想是检查我的假设，即如果没有生成密钥并且没有设置密码，则无法访问open-ssh服务器。那么我的问题是，open-ssh服务器第一次重启时的状态是什么？是否有任何方式可以被外面的恶意人员访问？由于我没有达到设置密码或证书的程度（因为我害怕），open-ssh服务器在什么时候变成了一个liabilty（即hackable）？我有点无法想象服务器可以通过某种默认密码立即访问：这很容易利用，对吧？但与此同时，我很担心，因为这对我来说都很新鲜。我在/var/log/auth.log中看到的一些令我担心的事情：来自polkitd(authority=local)消息polkitd(authority=local)未注册的身份validation代理反复尝试访问/lib/security/pam_kwallet.so 消息/tmp/.X11-unix/X0已链接到/run/user/112/X11-display （谁是用户112？）我已经查看了其中的每一个，似乎可以解释它们，但与此同时，没有尝试设置openssh的计算机决定更少这样的奇怪消息。希望有人能安慰我。

“你的Java版本已经过时了。”在Ubuntu 2014.04上: 通过完全更新的Ubuntu 2014.04，Firefox告诉我：您的Java版本已过期。如何更新Java？在终端中输入java -version告诉我： java version “1.7.0_51” Java(TM) SE Runtime Environment (build 1.7.0_51-b13) Java HotSpot(TM) 64-Bit Server VM (build 24.51-b03, mixed mode) 键入which java告诉我/usr/bin/java 。

flashplayer安全疑虑: 我是一个Ubuntu新手，我安装了Ubuntu Desktop 12.04,64位。我注意到Firefox是实际版本，但Adobe Flashplayer是11.2版本，我猜，有一些安全问题？在我注意到Flashplayer是11.2之前，我连接到互联网已有好几天了。我的问题是 – 我的电脑现在有可能被感染吗？可以BIOS被感染，或者如果我格式化HD并再次安装Ubuntu一切都会好吗？

从命令行将PKCS＃12（.p12）文件导入Firefox: 我已经在#Ubuntu和#Firefox论坛上发布了这个问题，并且真的可以提供一些帮助..任何人都知道我可以在哪里寻找或帮助解决问题。我希望社交媒体的力量能够通过……我需要执行以下操作： Firefox 3.6.x：引用：打开编辑 – >首选项 – >高级 – >加密 – >查看证书 – >您的证书 – >导入但是我需要bash命令行中的相同function。到目前为止，我已经确定应该使用以下命令： certutil -A -t “u,u,u” -d /home/df001/.mozilla/firefox/qe5y5lht.tc.default/ -n “mycert” -i client.p12 这不会执行，但不会出现在任何Firefox证书存储中。但是，我注意到在运行此命令之前，我在上面的文件夹中有一个cert8.db key3.db和secmod.db文件。运行命令后，certutil似乎创建了一个cert9.db，key4.db和pkcs12.txt文件使用以下命令列出内容： certutil -L -d sql:/home/df001/.mozilla/firefox/qe5y5lht.tc.default/ 确实似乎确认我将文件导入某种证书文件夹的尝试已经奏效。因为我明白证书昵称信任属性SSL，S / MIME，JAR / XPI Thawte SSL CA“Go Daddy Secure Certification Authority”Thawte SGC CA“Entrust Certification […]

默认安装的安全注意事项？: 因此，使用Feisty Fawn的旧烧录安装CD，我完成了对Windows操作系统进行格式化并在旧的XP笔记本电脑上安装Ubuntu的过程。然后我进行了在线升级到10.4 LTS，只在此过程中安装了gnome桌面环境包。我的（公认的非常开放）问题是，在这种状态和在线状态下，我必须立即为默认安装做出哪些安全考虑？我知道很多这种情况都会影响我对服务器的预期用途，但只是坐在网上有什么风险（这显然远远超出了linux的范围，但我不确定这些风险如何适应默认安装）。例如，我相信Ubuntu安装了防火墙，但默认情况下它允许所有流量。我们非常感谢任何其他指导方针。谢谢

Ubuntu Server最小包: 安装Ubuntu Server映像的最佳原因是什么，尽可能少的包（没有默认值，没有extrat）只能允许ssh连接到它而不是其他任何东西。

为什么apt-get安装Virtual Box而不是g ++？: 我刚刚遇到一些我不知道可能是Linux终端的主要安全问题的东西。我试图安装g ++ 5.0。我是Linux的新手，所以我只输入了sudo apt-get install g++ 5.0 。它不是只返回错误或其他东西，而是安装了Virtual Box！如果我尝试从终端安装一件东西并安装完全不同的东西，这是否意味着它可能发生在其他东西上，可能是恶意软件？无论如何，当我输入完全不同的东西时，为什么要安装Virtual Box？

使用root privelidges运行的Ubuntu的Autoexec.bat等价物？: 在Ubuntu上必须有几个“ autoexec.bat ”等价物，因为我可以看到像rc.local这样的文件似乎做得很少，因为文件中的注释说它默认不起作用我尝试将此命令放在那里它不起作用。我需要知道的是我放置这条线的地方。 echo 0 | /usr/bin/tee -a /sys/class/leds/smc::kbd_backlight/brightness 我也在/etc/init.d看到了一个rc.local ，但是我放置cmd以使其工作是一个谜，因为那里有两个函数，所以我把它放在其中一个函数的末尾还是在最后一行？该命令需要root权限才能运行，理想情况下，它应该在计算机启动时执行。当命令使MacBook Air的键盘变暗时。此外，如果只有特定用户运行此命令，我还想知道我需要编辑哪个文件。作为一个root命令，我不想给该用户提供admin或sudo访问权限，我希望这个命令在用户登录时以root身份执行，并且用户无法停止该命令的运行。其他发现 $HOME/.profile是登录脚本，但不以root用户身份运行，如果你sudo命令但是我不需要它就可以。 /etc/profile很奇怪，它不会在启动时执行，但是当我进入shell并执行sudo -i它会在sudo进入交互模式时立即运行一个整洁的捷径对于版本14.04，可能在早期版本中工作，您只需使用sudo crontab -e向crontab添加一行并添加一行“@reboot whatevercommandwithfullpath”并且它可以正常工作。但是在这个新版本中，我创建了一个新的脚本，它更接近应该如何完成。

我怎么知道我的系统更新是值得信赖的？: 每当它通知我软件更新时，我都会定期更新系统。这是我不相信工作而不知道细节的事情之一，但最近我变得很好奇：我怎么知道那个检查更新的过程只会显示合法的更新？我收到并安装的更新不是恶意的？我知道我有一组软件源，我通过URL指定自己，我是否相信这些来源是我的决定。但是一旦我指定了这些url会发生什么？从现在常见的情况来看，我怀疑这些来源的真实性是用HTTPS / SSL的方式来validation的，即我有一些证书可以通过某些权限进行validation，这意味着我需要在某处安装可靠的根证书（可能他们来自系统）。此外，我猜这些包是加密签名的，就像GPG或类似的一样。这些假设是否正确？我在哪里可以检查使用的钥匙/证书？如何validation它们是否正确？我如何validation它们实际上是否已被使用？是否有配置选项使流程或多或少谨慎，它们的默认值是什么？是否存在已知的攻击，或者最近是否存在漏洞？我似乎记得Windows不久前有这样的问题。我在12.04，但我认为这可以更普遍地回答。

如何强制sudo在挂起唤醒后始终要求输入密码？: 假设我用sudo执行一个命令，那么如果我在接下来的15/5分钟内使用sudo （不知道它记得多长时间）它就不会提示我输入密码。如果我至少没有使用它，它只会再次提示我。但是，如果我暂停我的机器，将其唤醒，并在该时间段结束前登录，我可以再次执行sudo命令，它不会要求我输入密码，因为我没有让它成为特定的多少时间。所以我怎么能做到这一点，无论我多久没有使用sudo ，一旦我再次登录，它肯定会在暂停后提示我输入密码，即使我仍然在那个时间范围内不使用sudo的15/5分钟还没过？最有可能的工作是让它执行一个命令，在执行唤醒时执行的某个命令时删除sudo所有身份缓存。我正在使用GNOME 3.18运行Ubuntu GNOME 15.10。