[knoppix:1092] Re: knoppix のインターネットセキュリティ

宮脇です。

> 開発者には感謝の念に堪えません。
同感です。

> ところで、Knoppix を立ち上げている間、インターネット外部からのア
> タックにはどれぐらい強いのでしょうか?　一応、/etc/hosts.deny や
> /etc/hosts.allow を見たところ、それらしくやっているようですが、
> DoS 攻撃とかは大丈夫なのでしょうか?　インターネット中に侵入者に乗っ
> 取られる可能性はないのでしょうか?　それが少し心配です。
> たやすく Root ユーザになれるようですし...
そうですね。sudoにパスワードが付いていないのが一番心配です。
　　sudo dd if=/dev/zero of=/dev/hda size=1024 count=126
などと実行されたら、ＯＳが起動しないだけでなく、ドライブＣの内容を回復
することもできなくなってしまうでしょうから。

でも、最低限、以下の設定をしておけば、KNOPPIXのセキュリティは相当に
高くなると思います。
（１）rootのパスワードを設定する。
（２）sudoのパスワードを必須にする。
（３）/dev/hdaの先頭２トラック（ＭＢＲとドライブCのＰＢＲ）のバックアップ
　　（dd if=/dev/hda of=ファイル名 size=1024 count=63）

設定方法はうろ覚えなので、この後でKNOPPIXを立ち上げて調べてみます。

KNOPPIXのセキュリティは相当に高いという根拠は以下のようなものです。
KNOPPIXでは、起動しただけでは、CDROMとＲＡＭしか使用しません。
多くのウィルスはメモリ上か、すでにマウントされているファイルシステムの
ファイルに感染すると思います。
しかし、CDROMには感染できませんし、ＲＡＭ上のファイルなら感染しても、
再起動すれば、元に戻っています。
NTFSのようにRead Onlyというのは、ＯＳが感染防止に一役買ってくれて
いるようなもの。NTFS中にext2ファイルシステム形式のファイルを作って
おいて、起動時(knoppix.sh)に、その内容をRAMディスクに読み込むように
すれば、わざわざ、更新可能なディスクパーティションをマウントする必要も
なくなります。

通常のLinuxやWindowsのような、ディスクベースのシステムでは、こうは
いきません。KNOPPIXのようなＣＤブートＬｉｎｕｘだけの大きな特長の一つ
だと私は考えていますが、どうでしょうか。

＃パッケージ削除版のシステムでオンメモリのKNOPPIXが実現したら、
＃この点でも大きなメリットが得られそう。小型サーバ用途にはうって
＃つけのシステムになりそうな気がします。