Afgelopen jaar kwamen talloze bedrijven in de problemen vanwege ransomware. De besmette servers draaiden voornamelijk Windows; Linux-servers kwamen er zonder al te veel kleerscheuren van af. Naar aanleiding van dit incident vragen veel beheerders zich af hoe veilig Linux eigenlijk is.

Door de manier waarop Linux ontworpen is, is het systeem van nature behoorlijk veilig. Dit is voor een groot deel te herleiden tot het gebruik van de execute-permissie. Zonder de execute-permissie kan geen enkel programma automatisch worden uitgevoerd. De beheerder van de betreffende computer zal eerst als bewuste actie de execute-permissie op een script of programmabestand moeten toepassen voordat een programma wordt uitgevoerd.

Bij het aanmaken van een bestand op een systeem zal dat bestand nooit automatisch uitvoerbaar worden gemaakt. Vanwege de manier waarop Linux omgaat met de execute-permissie, krijgen ook virussen op Linux weinig kans. Er zijn dan ook eigenlijk geen bekende virussen, noch zijn er virusscanners die veel meer scannen dan in- en uitgaande mail wanneer Linux gebruikt wordt als mailserver.

Een tweede kernelement is het gebruik van het root-gebruikersaccount. De gebruiker root is de almachtige systeembeheerder voor wie geen enkele beperking geldt. Alle andere gebruikers kunnen alleen bestanden aanmaken in hun eigen home directory of in /tmp. Dat betekent dat de schade, die een gebruiker bewust of onbewust kan uitvoeren, meestal slechts impact heeft op een beperkte omgeving.

Mandatory Access Control

Een ander belangrijk onderdeel van Linux’ beveiliging is Mandatory Access Control (MAC). Er zijn twee belangrijke systemen voor MAC: SELinux en AppArmor. Beide systemen hebben als doel om ervoor te zorgen dat alleen acties die specifiek zijn toegestaan mogen worden uitgevoerd. Hiervoor wordt gewerkt met profielen, die aan toepassingen worden gekoppeld. In deze profielen wordt op system call-niveau bepaald wat is toegestaan. Alles wat niet in zo’n profiel is gedefinieerd, wordt geblokkeerd.

Tot zover lijkt het alsof Linux zijn zaakjes goed voor elkaar heeft en het nagenoeg onmogelijk is om in te breken. Maar schijn bedriegt! Er zijn namelijk enkele precaire zaken die ervoor kunnen zorgen dat een verkeerd beheerde Linux-machine de deur wagenwijd openzet voor ongeoorloofde activiteit. In het vervolg van dit artikel gaan we verder in op aanvallen op het root-wachtwoord, de installatie van onbetrouwbare software, het uitvoeren van instabiele of onbetrouwbare scripts, brute-force attacks op ssh en zero-day-exploits.

Gevaar van root-gebruiker

De grootste zwakke plek in Linux is de root-gebruiker. Bij het ontwerp van het besturingssysteem werd onderscheid gemaakt tussen geprivilegieerde gebruikers en niet-geprivilegieerde gebruikers. Een niet-geprivilegieerde gebruiker is een gebruiker die slechts toegang heeft tot beperkte onderdelen van het besturingssysteem. De root-gebruiker is de geprivilegieerde gebruiker voor wie geen enkele beperking geldt. Je zou kunnen stellen dat de root-gebruiker onbeperkt toegang heeft tot de Linux-kernel. Zodra een aanvaller een root-shell kan openen, is hij dus binnen.

Het spreekt voor zich dat je de root-gebruiker voorziet van een zeer sterk en ingewikkeld wachtwoord. Daarnaast zorg je er als Linux-gebruiker voor om nooit in te loggen als root, want dan wordt elk proces dat je start met root-privileges opgestart. Het zwakke punt blijft echter dat de root-gebruiker überhaupt bestaat en dat het onder bepaalde omstandigheden mogelijk is om in te loggen als root. De enige beperkende factor is dat je hiervoor bij het opstarten wel consoletoegang moet hebben tot het Linux-systeem

Op een modern Linux-systeem geeft de volgende procedure vrijwel altijd toegang tot een root-shell zonder dat een wachtwoord hoeft te worden ingevoerd.

Zorg ervoor dat de doelwitmachine opnieuw wordt opgestart. Zodra je de Grub2 boot-prompt ziet, druk je op e om de editor te openen:

©PXimport

Eenmaal in de editor zoek je de regel op die begint met linux16. Voeg aan het eind van deze regel de tekst

in. Gebruik nu de toetscombinatie Ctrl+X. Het Linux-systeem zal nu opstarten, waarbij alleen een kernel en het initramfs geladen worden. Initramfs is een minimaal besturingssysteem van waaruit je toegang hebt tot je volledige harde schijf, zonder dat je een root-wachtwoord hoeft in te voeren.

Na het opstarten wordt nu een root-shell weergegeven, maar dan ben je er nog niet. Als je het wachtwoord wilt resetten, dien je eerst de volledige toegang tot het root-filesystem op de schijf te herstellen. Hiervoor zijn nog een paar commando’s nodig. Tik eerst

om uit te vinden op welke directory je root-filesystem is gemount. In het onderstaande voorbeeld gaan we uit van CentOS, waar het root-bestandssysteem op /sysroot wordt gemount. Typ nu:

Dit zorgt ervoor dat alle device files beschikbaar zijn. Gebruik nu deze opdracht, zodat ook de belangrijke kernel interface /proc beschikbaar is op het tijdelijke root-mountpunt:

Als deze essentiële bestandssystemen zijn gemount, typ je

sysroot om het tijdelijke mountpunt van het root-filesystem om te zetten naar de / directory. Wanneer je tools gebruikt die toegang vereisen tot de / directory op de schijf, zullen die het nu allemaal doen. Je kunt nu

gebruiken om het root-wachtwoord in te stellen. Tot slot: als je op een distributie werkt waar SELinux is ingeschakeld, moet je ervoor zorgen dat het hele bestandssysteem opnieuw wordt voorzien van SELinux contextlabels. Dat doe je met de opdracht

Typ nu reboot om opnieuw op te starten en in te loggen met je eigen rootwachtwoord. Veel plezier met de onbeperkte toegang tot het betreffende systeem!

Bescherming

Wellicht vraag je je af of het nu echt zo simpel is. Als je geen tegenmaatregelen getroffen hebt: ja, helaas wel. Gelukkig zijn er maatregelen die je als eigenaar van een Linux-systeem kunt treffen om deze zwakke plek te beschermen. Daarover meer in een later artikel.

Tekst: Sander van Vugt

Op zoek naar een nieuw scheerapparaat? Op Kieskeurig.nl vind een groot assortiment. Wij bekeken scheerapparaten met roterende koppen met een prijs van onder de 65 euro. De meeste modellen zijn zowel nat als droog te gebruiken en het merendeel van de door ons gevonden scheerapparaten hebben een reviewscore van 7,5 en hoger.

Philips Shaver 3000 Series S3143/00

De Philips Shaver 3000 Series S3143/00 wordt op Kieskeurig.nl aangeboden als elektrisch scheerapparaat voor nat en droog scheren, met roterende scheerkoppen. Het apparaat heeft een opgegeven batterijduur van 60 minuten, maar heeft even lang nodig om volledig op te laden. Het apparaat is afspoelbaar en bedoeld om ook onder de kraan te reinigen.

De messen van dit scheerapparaat zijn zelfslijpend. De Philips Shaver 3000 wordt goed beoordeeld op Kieskeurig.nl: bij dit product staat een gemiddelde score van 9,0, gebaseerd op 56 reviews van gebruikers.

Remington XR1600

Bij de Remington XR1600 zie je meteen dat het om een roterend elektrisch scheerapparaat gaat met een ingestelde minimale haarlengte van 0,02 cm (0,2 mm). De kop werkt met vijf ringen/mesjes en is bedoeld voor heel kort scheren, bijvoorbeeld hoofdhaar of een heel korte stoppel. De voeding loopt via een oplaadbare batterij; bij een volle lading geeft de fabrikant een gebruiksduur van 60 minuten op.

Laden gebeurt in ongeveer een uur via de meegeleverde lader. Dit scheerapparaat kun je nat en droog gebruiken. De XR1600 heeft een geïntegreerde trimmersetfunctie en een minimale verstelbare lengte die gelijk is aan de kortste stand. In de reviewsectie op Kieskeurig.nl wordt een gemiddelde gebruikersscore van 8,2 op basis van zes reviews genoemd.

Remington Style Series R3

Dit model uit de Style Series R3-lijn heeft een scheerunit dat vast is gemonteerd en ontworpen is voor droog scheren. De opgegeven accuduur bedraagt 40 minuten, met een opvallend lange laadtijd van ongeveer 4 uur via netstroom.

Deze Remington is afspoelbaar onder de kraan en is voorzien van een geïntegreerde precisietrimmer voor het bijwerken van randen. op Kieskeurig.nl krijgt de Remington Style Series R3 een gemiddelde gebruikersscore van 7,5 op basis van 14 reviews.

Philips Shaver Series 1000 S1142/00

De Philips Shaver Series 1000 S1142/00 is een model in de lagere nummerreeks van Philips en is eigenlijk een scheerkit. De batterijduur van deze shaver is rond de 40 minuten, maar heeft maar liefst 8 uur nodig om volledig opgeladen te worden.

De kop is opgebouwd uit drie ringen. Het scheerapparaat is onder de kraan af te spoelen en dus ook geschikt voor nat scheren; bij de accessoires vinden we een extra beschermkapje

Remington PR1350 PowerSeries Plus

Bij de Remington PR1350 gaat het om een PowerSeries-model met drie roterende scheerringen. In de productspecificaties op Kieskeurig.nl staat dat dit een draadloos te gebruiken elektrisch scheerapparaat is voor droog scheren, met een opgegeven accuduur van 40 minuten en een laadtijd van ongeveer 4 uur. Er zit een geïntegreerde precisietrimmer op.

De shaver is verder waterdicht, waardoor je de kop onder de kraan kunt reinigen. In de productinformatie is verder opgenomen dat het apparaat op een ingebouwde accu/netstroom werkt en dat er een gebruikshandleiding wordt meegeleverd. Op de reviewpagina van Kieskeurig.nl staat een gemiddelde beoordeling van 8,5, gebaseerd op 61 goedgekeurde reviews.

Guerrilla Games en Sony hebben vanmiddag de coöperatieve actiegame Horizon Hunters Gathering aangekondigd, een nieuwe game binnen de Horizon-reeks.

Het spel, dat op een nog onbekend moment op PlayStation 5 en pc uitkomt, was enkele jaren geleden al deels gelekt. Toen was al bekend dat de game een speelser uiterlijk zou krijgen dan de wat volwassener vormgegeven Horizon-hoofddelen.

Op PlayStation Blog wordt gemeld dat spelers met z'n drieën een team kunnen vormen en als Hunters de wereld kunnen beschermen van dodelijke machines. De setting blijft daarbij gelijk aan eerdere games uit de reeks van de Amsterdamse ontwikkelaar. Het is daarnaast ook mogelijk om de game alleen te spelen, of om een team met computergestuurde personages samen te stellen.

Verschillende modi en Hunters

Er zijn twee verschillende modi onthuld. In Machine Incursion is het de bedoeling dat spelers het opnemen tegen golven aan machines, gevolgd door een eindbaas, terwijl Cauldron Descent langere potjes omslaat met constant veranderende ruimtes die het uiterste van spelers vragen.

Spelers kunnen kiezen uit een uniek aantal Hunters, elk met hun eigen speelstijl, zoals mêlee of van een afstand aanvallen. Tussen missies waarbij er gejaagd wordt op machines door kan men socializen in de Hunters Gathering, waar men ook hun personages kan aanpassen, aankopen kan doen en gear kan upgraden.

Aankomende februari wordt een kleinschalige speeltest gehouden, waarvoor mensen zich kunnen aanmelden via het PlayStation Beta Program. In deze test zal het overigens alleen mogelijk zijn om in teamverband te spelen. Een releasedatum voor de uiteindelijke versie van het spel is nog niet bekend.

Over de Horizon-reeks

Horizon Zero Dawn verscheen in 2017 en is zoals gezegd ontwikkeld door het in Amsterdam gevestigde Guerrilla Games. Sindsdien is ook vervolg Horizon Forbidden West uitgekomen, alsmede vr-spel Horizon: Call of the Mountain en Lego Horizon Adventures. Voor het origineel is ook een remaster op de PS5 en pc verschenen.

Ondertussen werkt NCSoft in samenwerking met Sony ook aan Horizon Steel Frontiers, een mmorpg gebaseerd op de franchise die op een nog onbekend moment naar pc, iOS en Android komt.