/ Forside / Teknologi / Operativsystemer / Linux / Nyhedsindlæg
Login
Glemt dit kodeord?
Brugernavn

Kodeord


Reklame
Top 10 brugere
Linux
#NavnPoint
o.v.n. 11177
peque 7911
dk 4814
e.c 2359
Uranus 1334
emesen 1334
stone47 1307
linuxrules 1214
Octon 1100
10  BjarneD 875
auditing af mails
Fra : Jon


Dato : 20-10-05 18:09

Jeg har en mailserver, som jeg gerne vil bruge internt i vores forening:
FreeBSD
Postfix
Courier-imap
Virtual mail
Mit problem er at jeg som root altid vil have adgang til andre folks mails.
Selv om jeg kan forsikre folk om at der ikke er noget der ville kede mig
mere, ville jeg gerne have et værktøj der kunne logge min (roots) tilgang
til de pågældende directories. Så kunne jeg evt. maile en log-fil til de
enkelte brugere vha. cron eller lignende.
Findes der en simpel måde at gøre det på.
Mvh Jon

 
 
Peter Mogensen (20-10-2005)
Kommentar
Fra : Peter Mogensen


Dato : 20-10-05 19:52

Jon wrote:
> Jeg har en mailserver, som jeg gerne vil bruge internt i vores forening:
> FreeBSD
> Postfix
> Courier-imap
> Virtual mail
> Mit problem er at jeg som root altid vil have adgang til andre folks mails.
> Selv om jeg kan forsikre folk om at der ikke er noget der ville kede mig
> mere, ville jeg gerne have et værktøj der kunne logge min (roots) tilgang
> til de pågældende directories. Så kunne jeg evt. maile en log-fil til de
> enkelte brugere vha. cron eller lignende.

Hvordan ville brugerne være sikre på at den log-fil de modtog ikke var
en du selv havde designet?

Peter

Jon (22-10-2005)
Kommentar
Fra : Jon


Dato : 22-10-05 10:58

Peter Mogensen wrote:

> Jon wrote:
>> Jeg har en mailserver, som jeg gerne vil bruge internt i vores forening:
>> FreeBSD
>> Postfix
>> Courier-imap
>> Virtual mail
>> Mit problem er at jeg som root altid vil have adgang til andre folks
>> mails. Selv om jeg kan forsikre folk om at der ikke er noget der ville
>> kede mig mere, ville jeg gerne have et værktøj der kunne logge min
>> (roots) tilgang til de pågældende directories. Så kunne jeg evt. maile en
>> log-fil til de enkelte brugere vha. cron eller lignende.
>
> Hvordan ville brugerne være sikre på at den log-fil de modtog ikke var
> en du selv havde designet?
>
> Peter
Nej, den tanke har også strejfet mig. Men for det første ved de ikke en pind
om Unix. For det andet ville jeg da for alvor få travlt hvis jeg dels
skulle læse alle deres kedelige mails og så sidde og redigere i en hel
samling logfiler.
Det er faktisk mest for min egen skyld - at jeg kunne sige at nu jeg gjort
_alt_ for at overbevise folk om at jeg er en ansvarsfuld administrator.
I sin yderste konsekvens kunne jeg jo lave et script der mailede dem
logfilen hver time. Men det ville de nok hurtigt blive trætte af
Men tilbage til emnet: Jeg har det meget svært ved tanken om at Windows kan
noget på administratorniveau som Unix ikke kan... Er der ikke et eller
andet - som jeg har overset - der kan logge brugertilgang til en bestemt
fil eller directory?
/Jon

Peter Mogensen (23-10-2005)
Kommentar
Fra : Peter Mogensen


Dato : 23-10-05 23:12

Jon wrote:
> Nej, den tanke har også strejfet mig. Men for det første ved de ikke en pind
> om Unix. For det andet ville jeg da for alvor få travlt hvis jeg dels
> skulle læse alle deres kedelige mails og så sidde og redigere i en hel
> samling logfiler.

Kunne du så ikke bare skrive ovenstående til dem i en email? Så kan de
vel selv konkludere om problemstillingen.

> Det er faktisk mest for min egen skyld - at jeg kunne sige at nu jeg gjort
> _alt_ for at overbevise folk om at jeg er en ansvarsfuld administrator.

En ansvarsfuld administrator bilder ikke sine brugere ind at de har en
sikkerhed de ikke har.

> I sin yderste konsekvens kunne jeg jo lave et script der mailede dem
> logfilen hver time. Men det ville de nok hurtigt blive trætte af
> Men tilbage til emnet: Jeg har det meget svært ved tanken om at Windows kan
> noget på administratorniveau som Unix ikke kan...

Det kan Windows heller ikke. Windows er bare ikke særlig ansvarsbevidst,
hvis det bilder folk (inkl. administratorer ind at der er sikkerhed i det).

> Er der ikke et eller
> andet - som jeg har overset - der kan logge brugertilgang til en bestemt
> fil eller directory?

Måske. Det er ikke noget VFS understøtter. men måske kan grsecurity.
Jeg kan ihvertfald komme i tanke om flere måder det kan simuleres på.
Du kunne f.eks. lægge de aktuelle filer på en lokal WebDAV server, og
mounte den med davfs. Så vil Apache automatisk lave en log.
Men det vil nok ikke være godt til filer som mail-serveren skriver til.
De plejer ikke så gerne at måtte ligge på netværksdrev.

Men husk at den eneste sikkerhed du vil kunne opnå med dette er
sikkerhed for root-brugerne. Hvis dine brugere ikke stoler på root, så
bør de kryptere deres emails, eller skifte "udbyder".

Peter

Jon (31-10-2005)
Kommentar
Fra : Jon


Dato : 31-10-05 17:48

Peter Mogensen wrote:

> Jon wrote:
>> Nej, den tanke har også strejfet mig. Men for det første ved de ikke en
>> pind om Unix. For det andet ville jeg da for alvor få travlt hvis jeg
>> dels skulle læse alle deres kedelige mails og så sidde og redigere i en
>> hel samling logfiler.
>
> Kunne du så ikke bare skrive ovenstående til dem i en email? Så kan de
> vel selv konkludere om problemstillingen.

Jo, det kunne jeg gøre, det ville vel være mest fair. Omvendt frygter jeg at
folk så vil begynde at spekulere over noget som de ikke behøver.

>> Det er faktisk mest for min egen skyld - at jeg kunne sige at nu jeg
>> gjort _alt_ for at overbevise folk om at jeg er en ansvarsfuld
>> administrator.
>
> En ansvarsfuld administrator bilder ikke sine brugere ind at de har en
> sikkerhed de ikke har.
>
>> I sin yderste konsekvens kunne jeg jo lave et script der mailede dem
>> logfilen hver time. Men det ville de nok hurtigt blive trætte af
>> Men tilbage til emnet: Jeg har det meget svært ved tanken om at Windows
>> kan noget på administratorniveau som Unix ikke kan...
>
> Det kan Windows heller ikke. Windows er bare ikke særlig ansvarsbevidst,
> hvis det bilder folk (inkl. administratorer ind at der er sikkerhed i
> det).

Det ved jeg ikke. Jeg tænker ikke så meget på "sikkerhed". Jeg ved bare at
jeg kan sætte Windows op til at skrive til event log, hvem der har haft
adgang til hvad og hvornår.

>
> Men husk at den eneste sikkerhed du vil kunne opnå med dette er
> sikkerhed for root-brugerne. Hvis dine brugere ikke stoler på root, så
> bør de kryptere deres emails, eller skifte "udbyder".

Ja, helt enig. Da folk nok også har mail accounts indtil flere steder, var
dettte mest tænkt på en måde at højne informationsniveauet i vores
forening. Så hvis de virkelig skriver noget meget hemmeligt og forfærdeligt
(om mig, fx ) kan de jo bare bruge deres andre konti. Og jeg kan jo
komme med en klar udmelding á la den du foreslår. Eller endnu bedre lave et
sæt regler for netværket hvoraf det også fremgår hvordan administratoren
bør handle.

Jeg vil prøve at se på dine forslag til logning, men nok ikke med den helt
store entusiasme...
Jon


Jon (31-10-2005)
Kommentar
Fra : Jon


Dato : 31-10-05 23:45

Peter Mogensen wrote:

>> Er der ikke et eller
>> andet - som jeg har overset - der kan logge brugertilgang til en bestemt
>> fil eller directory?
>
> Måske. Det er ikke noget VFS understøtter. men måske kan grsecurity.
> Jeg kan ihvertfald komme i tanke om flere måder det kan simuleres på.
> Du kunne f.eks. lægge de aktuelle filer på en lokal WebDAV server, og
> mounte den med davfs. Så vil Apache automatisk lave en log.
> Men det vil nok ikke være godt til filer som mail-serveren skriver til.
> De plejer ikke så gerne at måtte ligge på netværksdrev.

davfs er næppe "løsningen", som du selv antyder. Som jeg antydede i min
første post, er jeg ikke nogen haj på området. Så jeg ville sætte pris på
at forstå hvad du konkret mente med at grsecurity kunne være en mulighed.
Så vidt jeg kan forstå er at det er noget der hører Linux til. Så hvad gør
jeg, nu da jeg har commited mig til FreeBSD?

Jon

Carsten Keller (21-10-2005)
Kommentar
Fra : Carsten Keller


Dato : 21-10-05 14:01

"Jon" <Jon@mfl.dk> wrote in message
news:4357cf24$0$171$edfadb0f@dread11.news.tele.dk...
> Jeg har en mailserver, som jeg gerne vil bruge internt i vores forening:
> FreeBSD
> Postfix
> Courier-imap
> Virtual mail
> Mit problem er at jeg som root altid vil have adgang til andre folks
> mails.
> Selv om jeg kan forsikre folk om at der ikke er noget der ville kede mig
> mere, ville jeg gerne have et værktøj der kunne logge min (roots) tilgang
> til de pågældende directories. Så kunne jeg evt. maile en log-fil til de
> enkelte brugere vha. cron eller lignende.
> Findes der en simpel måde at gøre det på.


Hvis brugerne ikke stoler på dig må du nødvendigvis udlicitere kontrollen af
dig selv til en 3. part som de stoler på. Nok ikke specielt realistisk

Keller



Peter Mogensen (21-10-2005)
Kommentar
Fra : Peter Mogensen


Dato : 21-10-05 14:15

Carsten Keller wrote:
> Hvis brugerne ikke stoler på dig må du nødvendigvis udlicitere kontrollen af
> dig selv til en 3. part som de stoler på. Nok ikke specielt realistisk

Jo... antaget at den 3. part har den fulde kontrol over hardwaren.
Konceptet kaldes (lidt misvisende) for "trusted computing". Hvis
brugerne har mulighed for at spørge 3. part om der er ændret i det
program, der genererer log-filerne og mailer dem, og 3. part har
mulighed for v.h.a. hardwaren at verificere integriteten af den software
over nettet, så er det skam realistisk nok... at det så er noget som en
fornuftig system-admin ikke i sin vildeste fantasi kunne finde på at
basere en server på er noget helt andet.

Peter

Søg
Reklame
Statistik
Spørgsmål : 177548
Tips : 31968
Nyheder : 719565
Indlæg : 6408804
Brugere : 218887

Månedens bedste
Årets bedste
Sidste års bedste