OpenBSD no es tan seguro
Interesantísimo aunque bastante largo el análisis que ha realizado el blog AllThatIsWrong sobre la seguridad en OpenBSD. Tradicionalmente se ha considerado que los sistemas BSD destacaban por su seguridad y estabilidad, pero parece que al menos eso no es cierto en el caso de OpenBSD, una plataforma que dispone de varios aspectos preocupantes.
No soy un experto en seguridad así que me gustaría que si tenéis más conocimientos comentaseis sobre este tema, lo cierto es que las conclusiones de ese artículo -como he dicho, largo pero muy, muy completo- son aplastantes.
Esas conclusiones se derivan de una serie de puntos en los que se analiza el concepto de “Seguridad por defecto” que teóricamente encontramos en OpenBSD o las prácticas de seguridad y la filofofía tras la que se esconden. Yo me leería todo el artículo si estáis interesados, porque es una maravilla, pero para resumir, la citada conclusión es que OpenBSD no es ni de lejos tan seguro como lo pintan:
OpenBSD cannot be considered a secure system until it makes some effort towards facilitating locking down a system with more than the standard UNIX permissions model which has been shown to be insufficient, and stop discounting the possibility that a system will be secure because all bugs have been removed.
En el mismo análisis destaca el enfoque de seguridad que se hace de Linux, aunque con tirón de orejas para Greg Kroah-Hartman,responsable de la rama estable y que por lo visto no presta demasiada atención al tema de la seguridad, o al menos, no para comunicárselo a los usuarios.
As much as I am disappointed with the fix silently without disclosure approach to security the Linux kernel project has taken since Greg K-H took over, and having to rely on sites like xorl.wordpress.com to learn about security problems that were fixed, Linux is the only real project making progress with testing and improving extended access control frameworks. With continued development and support the implementations will become easier to use and the problems eradicated until such technology is common, as it should be.
Lo dicho. Expertos en seguridad del mundo, hablad ahora o callad para siempre :)
El hombre recie’n descubrio’ las ACLs y el MAC y se cree el rey del mundo pero en realidad el arti’culo aunque largo es bastante pobre en contenido. Como alguien comenta ahi’ Windows ha implementado todas las tecnicas de control de permisiones habidas y por haber en su NT(2000 XP Vista 7) y ya se sabe como les fue. Hasta que no empezaron a utilizar las tecnicas de prevencion que popularizo OpenBSD era un coladero con ACLs o sin ellas.
¿Esos tipos quienes son? ¿Son hackers con mas de 30 años de experiencia en Unix, como tienen los muchachos del core de OpenBSD? ¿Alguien los conoce? No la vale la pena molestarse en estos disparates. Por otro lado, estás haciendo una erronea interpretación, el modelo de privilégios de openbsd es practicamente el mismo que el del resto de los bsd, y ya que es en eso en lo que hace incapié el artículo, no tiene sentido que digas “parece que al menos eso no es cierto en el caso de OpenBSD”. Por otra parte, los autores del artículo no parecen haber entendido el modelo de capas en los que se basa la seguridad de openbsd, así como tampoco el concepto de seguridad proactiva. En fin, saludos.
Cuando dije “estas haciendo una interpretación erronea” quise referirme al autor del post en muylinux, y no a “gorila sentado”: No había visto su comentario.
openbsd inseguro? jajajajaja
por qué no comparan packet filter con otra cosa, ejemplo iptables? jejeje
Yo no soy un experto en seguridad en sistemas Unix, pero sólo por el título podría deshacer tristemente la idea en mi cabeza qu de OpenBSD es el SO que viene más seguro “de fábrica”… si ya hablamos del contenido del artículo, no me quedo claro el porqué. :S
Lo siento, Picajoso…
JaD!
Hubiera sido un detalle de agradecer el haber traducido esos dos parrafos que pusiste para los que no saben ingles. No te habría llevado mucho tiempo y habrías facilitado la total comprensión del artítculo a un montón de gente. Un pena.
Buen día:
Señores yo solo quiero decir, que aquellos que intentan destronar reyes con palabras y sin hechos reales simplemente pierden su tiempo y se los hacen perder a los lectores, por favor entren remotamente a un OpenBSD, logren permisos de root, comprometan el Sistema, documéntenlo como es debido y luego postéenlo, no gasten su tiempo en convencer sin pruebas.
Gracias.
Bueno por mi parte quiero agradecer a Picajoso por el articulo, aunque muchos estemos en desacuerdo con la fuente Picajoso ha traido este articulo para nosotros, ese publico de MuyLinux que siempre quiere temas un poco mas sofisticados en cuanto a tecnologia.
Hmm, estoy algo dividido en cuanto a mi opinion, por un lado como mencionaron anteriormente el sujeto solo habla y no tiene nada de pruebas (sin contar como tambien ya mencionaron que MS ha intentado muchas de esas maniobras y solo vino a ser mas seguro cuando comenzaron a implementar ciertos aspectos de la seguridad de BSD UNIX, si si linux los tiene pero hombre BSD UNIX salio mucho primero que quieres que niegue que alguna vez existio??), por otra parte personalmente no creo que por ser experto en algun area del conocimiento todos tus ideas y argumentos sean 100% perfectos asi que en teoria si lo vemos desde ese ambito aunque este equivocado o no el sujeto del articulo es valido sus opiniones y preocupaciones con el sistema openBSD (ahora otra cosa es probar que lo que el dice es verdad).
El numero de errores de seguridad es proporcional al numero de lineas de codigo,
por que todos son escritos por personas, Linux y BSD son similares.
Un sistema operativo no es seguro únicamente si evita las intrusiones u obtenciones de permisos, abarca más conceptos, como la protección y la gestión de recursos del sistema.
Antes de continuar, me gustaria hacer una afirmación: “Los SSOO actuales definen de forma multiplexada el acceso a los recursos en un sistema mediante el direccionamiento. Por ejemplo: recursos = servidores, daemons, aplicaciones, controladores/drivers, …”
En GNU/Linux por ejemplo hay algunas aplicaciones como AppArmor/SELinux, iptables que realizan la comprovación de estos recursos. No obstante, lo hacen de forma embedida con el kernel (actualmente se está trabajando para reducir su dependencia).
BSD añade mecanismos de protección más complejos con más niveles de seguridad, definiendo a todos los niveles de ejecución regiones específicas con sus gestores/bibliotecas/daemos/recursos específicos. En segundo lugar, el núcleo de BSD no está formado exclusivamente del Kernel (como ocurre en GNU/Linux), sino que incorpora las aplicaciones/daemons/servidores para controlar los recursos.
GNU/Linux se basa únicamente en el esquema SRV4, el famoso arbol de procesos intrd. Adicionalmente se pueden añadir más mòdulos de seguridad (comprovación de recursos) al arrancar el sistema.
Les invito que lean: http://es.wikipedia.org/wiki/OpenBSD#Seguridad
En cuanto a la seguridad me gustaria remarcar los SSOO más seguros:
BSD
—————————————————————
http://es.wikipedia.org/wiki/Categor%C3%ADa:Distribuciones_BSD
Familia System V
—————————————————————
http://es.wikipedia.org/wiki/Categor%C3%ADa:System_V
Saludos,
Robert
FUD…
“El numero de errores de seguridad es proporcional al numero de lineas de codigo,
por que todos son escritos por personas, Linux y BSD son similares.” No es así, depende de quien las escriba y cuanto tiempo dedique a reescribir código.
pero basicamente es eso, mientras mas escribas es mas probable q haiga un error
La seguridad es relativa. No existe seguridad absoluta, sino que implementando medidas se tiene la sensacion de que es seguro. En ese sentido, las distros orientadas a server, como RHEL, debian, slackware y otras distros “a manopla” como gentoo, arch, tienen como ventaja que vienen con una configuracion minima y/o por defecto, y con los servicios/servidores desactivados, y si queremos activarlos necesitamos tener conocimientos de los mismos. En esta linea tambien se encuentran los BSD ( FreeBSD, OpenBSD y el NetBSD )
He visto por ejemplo gente montando servidores basados en Mandriva, Ubuntu Desktop. Ojo, no digo que estas distros sean malas, sino que no tienen los valores ajustados como para desempeñar esas tareas. Como dice uno de los principios basicos de administracion: un lugar para cada cosa, y cada cosa en su lugar.-
Y si, he probado OpenBSD, instale el 4.2 una vez, y lo configure como servidor www. Use el packet filter como firewall, y si, me parecio un sistema operativo bastante solido ( aunque me rompi un poquito la cabeza para que funcione adecuadamente )
…El gran sabor para devorar
Mas seguro que Windows seguro que es xD
y es gratis!
No es por echar leña al fuego, pero creo que se ha malinterpretado lo que ha escrito el autor. El autor hace referenci a que OpenBSD carece de sistemas d eseguridad adicionales como son SELinux o AppArmor. Concretamente dice:
“The OpenBSD approach to security is primarily focused on writing quality code, with the aim being to eliminate vulnerabilities in source code. To this end, the OpenBSD team has been quite successful, with the base system having had very few vulnerabilities in “a heck of a long time”. While this approach is commendable, it is fundamentally flawed when compared to the approach taken by various extended access control frameworks.”
Es decir, alaba el hecho de que auditen el código y que eso mismo (el auditar el código) les ha permitido tener éxito y construir un sistema base que ha tenido muy pocas vulnerabilidades en mucho tiempo.
Continúa diciendo que lo que le falta es tener un sistema como el que tiene Linux, similar a SELinux o AppArmor (extended access control frameworks). Es decir, no es que no sea seguro, sino que puede mejorar su seguridad si añade dichas “herramientas”.
Más adelante vuelve a decir algo similar:
“An argument often made by proponents of OpenBSD is the extensive code auditing performed on the base system to make sure no vulnerabilities are present. The goal is to produce quality code as most vulnerabilities are caused by errors in the source code. This a noble approach, and it has worked well for the OpenBSD project, with the base system having considerably less vulnerabilities than many other operating systems.”
Diciendo que la labor de auditoría les ha permitido tener un sistema base con muchas menos vulnerabilidades que muchos otros sistemas operativos (vuelve a alabar la tarea de auditoría).
Luego dice:
“[...] as soon as a service is enabled or software from the ports tree installed, it is no longer the default install and the possibility of introduced vulnerabilities is equal to any other platform. Much like software certified against the common criteria, as soon as an external variable is introduced the certification, or in this case the claim can no longer be considered relevant.
It is important to note also that only the base system is audited. The OpenBSD ports tree is not audited [...]”
Es decir, que sólo se audita el sistema base y el sistema de ports no se audita. Esto sí puede (ojo, digo que puede) afectar a la seguridad ya que no se audita o garantiza la seguridad de dichos ports.
Continúa con más alabanzas hacia OpenBSD:
“Providing a default secure configuration is an important practice, and one that is employed by the majority of operating systems these days. OpenBSD followed this practice in the early part of the last decade, when most other operating systems did not bother, and for that the OpenBSD team should be praised.”
Lo que intenta decir el autor es que:
“[...] they continue to erroneously believe that eliminating vulnerabilities in the base system is sufficient.”
OpenBSD hace muchi hincapié en auditar el código del sistema base, pero que no implementa otros métodos de seguridad com opueden ser SELinux o similares. Es decir, que la seguridad informática es más compleja, requiere más cosas. Por ejemplo, dice que OpenBSD usa por defecto Sendmail y BIND, cuando resulta que tienen un histórico lleno de agujeros de seguridad y que deberín optar por otros servidores con menos problemas de seguridad como Postfix y MaraDNS.
Pone el ejemplo del Gobierno Chino eligiendo a FreeBSD en vez de OpenBSD porque este último no tiene dichos sistemas de seguridad.
Continúa diciendo que:
“This is the main problem with OpenBSD, and what prevents it from being able to be considered a secure system. No matter how quality the codebase or how free of vulnerabilities, there is no sufficient way to restrict access other than with standard UNIX permissions.”
Es decir, que OpenBSD basa su seguridad exclusivamente en los permisos típicos de Unix (DAC: Discretionary Access Control, frente al RBAC: Role-Based Access Control)
Vuelve otra vez a reconocer que tiene cosas buenas:
“OpenBSD does offer some basic protections to protect a running system, namely the chroot functionality, chflags and securelevels.”
En resumen, y para no alargar demasiado esta respuesta, veo que el autor no es completamente contrario a OpenBSD y que sea inseguro 100%, sólo que cree que sería más seguro si añadiese otros mecanismos de seguridad adicionales. De hecho, dice:
“While OpenBSD has many innovative technologies that make it harder for an attacker to gain access, it does not provide any way to sufficiently protect a system from an attacker who has gained access.”
Como todos sabemos, la seguridad no es un “producto” sino un proceso y que lo que hoy es seguro … mañana no lo es.
Estoy de acuerdo en lo que dice el autor y es que toda medida es poca cuando hablamos de seguridad.
Hay que tener en cuenta otra cosa y es que los sistemas operativos de usuo cotidiano: *BSD, Linux, Windows, MacOS, BeOS, OS/2, … no han sido diseñados con la seguridad como meta principal y esto es importante ;)
Supercomentario de Thrash.
Como comentario constructivo, Picajoso. Gracias por traernos algo más de variedad en las noticias, pero habría quedado mejor incluyendo el comentario de tu compañero Thrash.
Trash:
Por eso dije que ese señor no entendío el modelo de seguridad por capas de OpenBSD. Es decir, OpenBSD no es sólo código bien escrito, tiene multiples capas de seguridad, muchas de ellas a nivel del compilador. Implementar SELinux contrasta con el modelo de seguridad de OpenBSD ya que implica concentrar todo el control en una única capa. Por ello, añadir algo como SElinux a OpenBSD, en caso de ser posible, resultaría en algo redundante e ineficiente.
En cuanto a los ports, no es verdad que no son auditados, lo que ocurre es que se hace en mucha menor medida que en el base. Además, los ports no deben considerarse parte del sistema operativo, ya que son herramientas del espacio del usuario; lo cual además significa que es más difícil que existan vulnerabilidades críticas en estos paquetes.
En fin, creo que es claro que el autor del artículo no sabe lo que dice.
@Thrash
Recuerda que SELinux y AppArmor aunque buenas opciones desde el punto de vista de un programador de sistemas son ineficientes. Me explico, ambas solo son mas codigo sobre el Linux, al no estar implementados dentro del core del OS en si solo son “armaduras” sobre un codigo que tiene fallas (sino tuviese falla no hubiesen nacido los proyectos SELinux ni AppArmor). En mi opinion es una solucion temporal, si te protege hoy pero de seguir por el mismo camino (en vez de reparar abajo ponerle armaduras a la armadura) solo nos dejara con un Linux gordo, feo, lento y poco seguro.
Siempre he admirado la destreza de los lideres de los proyectos freeBSD, openBSD y dragonflyBSD (no he usado netBSD ni he leido dle trabajo de sus lideres en detalle), siempre tienen ideas sorprendentes de como se debe realizar un OS, asi que veo las quejas del autor como ridiculas, no por su contenido sino por su infantil intencion, el autor del mencionado articulo pretende que como otros sistemas utilizan esas formas ya mencionadas para incrementar su seguridad openBSD deberia hacer lo mismo y yo no podria estar mas en desacuerdo.
El dilema es simple, openBSD tiene la fama de ser el sistema mas seguro de fabrica hoy por hoy en la “calle” y tambien de ser el que mas recibe auditorias a su codigo fuente haciendolo asi uno de las mas optimizados y seguros de caja o fabrica lo que prefiera o se diga en su pais y es muy ingenuo del autor pensar que esa gente no han visto estos “defectos” de su sistema y han pensado en formas de protegerlo, la forma en que Linux se protege no es necesariamente la mejor y el autor solo recomienda usar lo que todos usan y ya. openBSD tiene mucho tiempo siendo igual y no he escuchado de massive outbreaks, massive DDoSs o otras cosas hacia openBSD asi que la evidencia (como le dijeron aqui y en su mismo foro al autor) apunta a que openBSD se protege de una forma diferente.
En conclusion deje a la gente de openBSD proteger su sistema como mejor le parezca y n osalte que porque Linux es mucho mas famoso y comercial que openBSD y se protege diferente automaticamente openBSD tiene agujeros de seguridad, total la forma en que Linux se protege solo apunta en hacer los sistemas Linux bloated y mas lentos en el futuro asi que nuevas formas de proteger los sistemas solo benefician a todos los sistemas operativos.
Pero qué se cree que es ese looser? ¿Que acaso OpenBSD no le satisfizo cuando lo instaló y por eso dice tanta puerqueza y media? WTF
no es tan seguro? respecto a que? a linux? a mac os? a unix?, leí el articulo, y me parece que en la práctica ninguna de los huecos de seguridad que supuestamente tiene openBSD, no son aun un riesgo. pero hay que tomarlos encuenta y trabajar sobre esos puntos
“El numero de errores de seguridad es proporcional al numero de lineas de codigo,
por que todos son escritos por personas, Linux y BSD son similares.”
Mmmh… me parece que eso es totalmente erróneo. Muchos errores se pueden solventar con más líneas de código o modificando el mismo.
No quiero dar la imagen de estar defendiendo al autor, sólo que no veo que esté atacando radicalmente a OpenBSD sino que opina que OpenBSD debería implementar más medidas de seguridad.
Como siempre, esto son todo opiniones y bien sabemos que las opiniones son como las flatulencias: sólo le huelen bien a su dueño ;)
MHO es que la seguridad es un proceso, la seguridad es compleja y, por mucho que se intente mejorar un sistema en cuanto a seguridad, estabilidad, fiabilidad, … SIEMPRE va a haber un usuario y un jefe que tiren todos esos esfuerzos por la borda ;)
OpenBSD, al igual que el resto de BSDs, OpenSolaris y Linux, es un proyecto FLOSS por lo que lo importante es que todos colaboremos y que entre todos hagamos un sistema mucho más fiable, robusto y seguro. Sin olvidarnos de las aplicaciones ;)
Por cierto, no sé si habéis llegado a leer los enlaces que adjunta el autor original al final de su post, hay uno sobre OpenVMS bastante interesante. Lástima que DEC se fuera al garete porque los ALFA y sus sistemas operativos fueron muy buenos en su época (MHO).
“y es gratis”
Malcer, tu vuelve a usar mi nick y te destruyo usando el tuyo. Cada uno tiene su nick ¿te enteras?
Vamos a ver.. @zcully, no sé lo que pasó aquí con tu nick o lo que sea pero yo no me pasé para nana por este post salvo ahora para comentar. Que quede claro que YO NO he manipulado el nick de nadie, nunca lo hice y nunca lo haré.
@zcully, podré caerte todo lo mal que quieras pero si tengo una cosa, eso se llama principios, y yo siempre juego limpio. Que quede claro.
Por supuesto, espero una pequeña disculpa esta vez. No pasa nada, pero eso de que acusen de buenas a primeras por si te caigo mejor o peor… Bfff
Espero que esto haya quedado claro al menos entre tu y tu, @zcully. ;)
@zcully, por cierto, no eres al único al que manipularon el nick. Hace poco a @Jado también se lo manipularon, y si no compruébalo. ;)
no fué @Malcer, fuí yo! XD
http://www.google.com/search?q=zcully+%2Bgratis
uso linux sólo porque a ubuntu lo conseguí gratis XD
el día que me cobren un céntimo por linux no lo usaré jamás.
maduren con los comentarios :S hay muy pocas cosas gratis en linux,vean la diferencia que es de LIBRE DISTRIBUCION,la mayoria de los proyectos piden donaciones.. Nadie se sienta a escribir codigo y no recibir dinero por ello
Dios un tema interesante arruinado por alguna persona o personas empezar una discusion sin sentido por estar robando identidades y hacer comentarios indebidos.
Mi gente tirese por gravatar y linkee su nombre con una foto por lo menos asi sera mas dificil de tomar “prestada” su identidad.
[...] descubierto gracias a Laura y MuyLinux que tradujo la historia al [...]