X11 for brugere og admins

Transkript

1 Velkommen til X11 for brugere og admins Juli 2006 Henrik Lund Kramshøj Støt OpenBSD - det hjælper også OpenSSH 1

2 Formål At introducere X11 for brugere og admins At vise tips og tricks i en underkendt teknologi 2

3 Er X11 interessant? Standard vinduessystemet på alle UNIX systemer, undtagen Mac OS X X11 er vildt sejt UNIX har fået en renæssance med Linux, Mac OS X og BSD varianterne 3

4 Emneoversigt Hvad er UNIX og X - hvor kommer det fra Hvad er ideen bagved X - netværkstransperant Basal X installation - konfigurationsfiler Login til X - XDM og venner Start af X programmer Opstartsfiler for brugere - ressources Netværkskommunikation - DISPLAY=host:0 Sikker netværkskommunikation ssh -Y Fonte og fontservere Flere displays - fysisk Flere displays - x2x 4

5 Dialog Dette er ikke et fikst og færdigt kursus - nærmere en introduktion I skal selv være med til at finde ressourcer på nettet lave SSH tunneling lave en.xdefaults fil... osv. 5

6 Forudsætninger Dette er en workshop om X11 og fuldt udbytte kræver at deltagerne har lidt erfaring med UNIX - som bruger 6

7 Internet idag Server Client Internet Klienter og servere Rødder i akademiske miljøer Protokoller der er op til 20 år gamle Meget lidt kryptering, mest på http til brug ved e-handel 7

8 Internet er åbne standarder! We reject kings, presidents, and voting. We believe in rough consensus and running code. The IETF credo Dave Clark, Request for comments - RFC - er en serie af dokumenter RFC, BCP, FYI, informational de første stammer tilbage fra 1969 Ændres ikke, men får status Obsoleted når der udkommer en nyere version af en standard Standards track: Proposed Standard Draft Standard Standard Åbne standarder = åbenhed, ikke garanti for sikkerhed 8

9 OSI og Internet modellerne OSI Reference Model Internet protocol suite Application Presentation Session Transport Applications HTTP, SMTP, FTP,SNMP, TCP UDP NFS XDR RPC Network IPv4 IPv6 ICMPv6 ICMP Link ARP RARP MAC Physical Ethernet token-ring ATM... 9

10 UNIX er et beskyttet varemærke UNIX er et beskyttet varemærke, licensieres gennem The Open Group opengroup.org/ Citat fra deres hjemmeside: Who Owns UNIX? You may have seen recent press articles announcing that SCO is the owner of UNIX or has licensed UNIX to Microsoft. Such statements are inaccurate, misleading and cause considerable confusion. The Open Group has owned the registered trademark UNIX since Here is what we said in response to a Linux World News article last week. Also available is a backgrounder that explains the history and reasons why The Open Group takes action on trademark misuse. UNIX is a registered trademark of The Open Group in the United States and other countries. 10

11 Hvad er UNIX? Byggeklodser - cat /etc/passwd cut -f 1 -d : Alt er filer - /dev/hda - harddisk nr 1 på Linux Netværkstransparent - X11 på tværs af netværk, remote login 11

12 Men UNIX er også... en generel betegnelse for en familie af operativsystemer, hvadenten de er licensieret eller ej... Jeg kalder generelt følgende for UNIX systemer: Linux BSD erne, dvs OpenBSD, FreeBSD, NetBSD - og Darwin OS som bruges i Mac OS X AIX, HP-UX, Solaris - kommercielle UNIX systemer UNIX Guru Universe på adressen: har mere end 50 typer af UNIX flavors 12

13 UNIX fødes Oprindeligt var der et ambitiøst projekt kaldet Multics - det skulle være det ultimative mainframe timesharing system projektet var for komplekst og det endte med at Bell Labs trak sig ud Siden udviklede Ken Thompson og Dennis Ritchie fra Bell Labs så deres eget operativsystem - som blev til UNIX - omkring 1969 UNIX blev siden omskrevet i et nyt sprog C som Dennis Ritchie lavede i starten af 1970 erne Kilde: 13

14 UNIX stamtræet UNIX stamtræet er idag så forgrenet at det ikke kan vises her - det fylder en væg hvis det skrives ud, ca. 15 sider A4 Der er gået ca. 30 år og de oprindelige ideer i UNIX har forgrenet sig og har påvirket mange operativsystemer En oversigt kan eksempelvis findes her: 14

15 Adgang til UNIX Adgang til UNIX kan ske via grafiske brugergrænseflader KDE GNOME eller kommandolinien 15

16 KDE KDE 16

17 the X Window System Der findes et netværkstransparent vinduessystem på UNIX som hedder the X Window System I 1987 frigav MIT version 11 af dette system - og den nuværende version er release 6.9 og 7.0, skrives som X11R6.9 en X server tegner vinduerne for klienterne, derfor kører man SERVEREN på den lokale maskine Cygwin som laver en masse UNIX utilities til Windows har lavet en port af X, kaldet Cygwin/X Kilder:

18 Display Host: workstation1 xserver xclient DISPLAY=:0 DISPLAY variablen er central for X På en workstation er den typisk blot DISPLAY=:0 der angiver at der skal bruges en X server på den lokale maskine - med hurtig interprocess kommunikation 18

19 X11 clienter og servere Host: workstation1 xserver xclient DISPLAY=:0 X11 protokollen Host: server1 xclient DISPLAY=workstation1:0 Netværk Man logger ind på en server over netværk Der sættes en variabel der fortæller HVOR vinduer skal tegnes Applikationen afvikles på en maskine, al grafik vises på en anden 19

20 Basal X konfiguration Kig ned i /etc/x11 Den primære konfigurationsfil for X serveren er idag xorg.conf NB: konfigurationsfilen hed tidligere XF86Config m.v. Man kan starte X med startx - men det anbefales at bruge XDM app-defaults/ proxymngr/ twm/ xkb/ xsm/ fs/ rc.xprint* xdm/ xorg.conf lbxproxy/ rstart/ xinit/ xserver/ 20

21 X Display Manager XDM Styrer vores DISPLAYs Konfigureres med filerne i /etc/x11/xdm GiveConsole* Xaccess Xservers Xstartup* chooser* Startup_0* Xreset* Xsession* Xwilling* pixmaps/ TakeConsole* Xresources Xsetup_0* authdir@ xdm-config 21

22 Xservers xdm$ cat Xservers # $Xorg: Xserv.ws.cpp,v /08/17 19:54:17 cpqbld Exp $ # # Xservers file, workstation prototype # # This file should contain an entry to start the server on the # local display; if you have more than one display (not screen), # you can add entries to the list (one per line). If you also # have some X terminals connected which do not support XDMCP, # you can add them here as well. Each X terminal line should # look like: # XTerminalName:0 foreign # :0 local /usr/x11r6/bin/x vt05 XDM starter altså en X server på det lokale display 22

23 Xsetup xdm$ cat Xsetup_0 #!/bin/sh # $Xorg: Xsetup_0,v /08/17 19:54:17 cpqbld Exp $ # $OpenBSD: Xsetup_0,v /11/03 00:22:22 matthieu Exp $ if [ "$DISPLAY" = ":0" -o "$DISPLAY" = ":0.0" ] then xconsole -geometry 480x daemon -notify -verbose -fn fixed -exitonfail fi xsetroot -solid grey #sxpm OpenBSD.xpm & Jeg har tilføjet xsetroot til at ændre baggrundsfarven på loginskærmen 23

24 Start af X programmer NAME xterm - terminal emulator for X SYNOPSIS xterm [-toolkitoption...] [-option...] De fleste rigtige X programmer understøtter et stort antal toolkitoptions Eksempelvis -geometry -fg forgrundsfarve -bg baggrundsfarve -fn font 24

25 Geometry option -geometry WIDTHxHEIGHT+XOFF+YOFF +XOFF er venstre side af skærmen, -XOFF er højre +YOFF er toppen af skærmen, -YOFF er bunden prøv det xterm -geometry 80x

26 Opstartsfiler for brugere - ressources emacs*background: darkslategrey emacs*foreground: wheat emacs*pointercolor: Orchid emacs*cursorcolor: Orchid emacs*bitmapicon: on!emacs*font: fixed!emacs*font: 9x15bold!emacs*font: 10x20 emacs*font: -misc-fixed-*-*-*-*-15-*-*-*-*-*-*-* emacs*geometry: 80x Lægges i /.Xdefaults og indlæses med xrdb programmet brug xrdb -merge.xdefaults for at indlæses ændringerne, uden at logge af/på 26

27 X11 clienter og servere Host: workstation1 xserver xclient DISPLAY=:0 X11 protokollen Host: server1 xclient DISPLAY=workstation1:0 Netværk Man logger ind på en server over netværk Der sættes en variabel der fortæller HVOR vinduer skal tegnes Applikationen afvikles på en maskine, al grafik vises på en anden 27

28 SSH X forwarding Host: workstation1 xserver xclient DISPLAY=:0 ssh forward til X port 6000 Host: server1 xclient DISPLAY=localhost:10 ssh port 6010 forward til workstation1 X11 protokollen over SSH Netværk X11 protokollen er ikke sikker! Hvis man bruger SSH kan der automatisk sættes en variabel: typisk DISPLAY=hostnavn:10 Derved sendes X11 protokollen gennem en lokal portforwarding til X serveren 28

29 Secure Shell - SSH og SCP SSH afløser en række protokoller som er usikre: Telnet til terminal adgang r* programmerne, rsh, rcp, rlogin,... FTP med brugerid/password 29

30 SSH - de nye kommandoer er kommandoerne er: ssh - Secure Shell scp - Secure Copy sftp - secure FTP Husk: SSH er både navnet på protokollerne - version 1 og 2 samt programmet ssh til at logge ind på andre systemer SSH tillader også port-forward, tunnel til usikre protokoller, eksempelvis X protokollen til UNIX grafiske vinduer ssh -Y hlk@server xterm logger ind på serveren og starter et grafisk program NB: Man bør idag bruge SSH protokol version 2! 30

31 Fonte og fontservere xfontsel - grafisk program til at vise fonte, lave font-strenge xlsfonts - lister fonte Der er aliaser for fonte, fixed, 9x15 osv. font path, fp kan sættes med eksempelvis xset 31

32 Flere displays - fysisk skærme X understøtter flere skærme på samme maskine - specificeres blot i konfigurationsfilen 32

33 Flere displays - x2x Hvis man har flere maskiner med skærm på kan man bruge sit tastatur og mus på disse med eksempelvis x2x (eller osx2x på Mac OS X) 33

34 Anbefalinger generelt Læs manualerne Brug tid på at tilpasse din X opsætning 34

35 Opsummering Husk følgende: 35

36 Spørgsmål? Henrik Lund Kramshøj I er altid velkomne til at sende spørgsmål på 36

37 SSH nøgler I praksis benytter man nøgler fremfor kodeord I kan lave jeres egne SSH nøgler med programmerne i Putty Hvilken del skal jeg have for at kunne give jer adgang til en server? Hvordan får jeg smartest denne nøgle? 37

38 Installation af SSH nøgle Vi bruger login med password på kurset, men for fuldstændighedens skyld beskrives her hvordan nøgle installeres: først skal der genereres et nøglepar id dsa og id dsa.pub Den offentlige del, filen id dsa.pub, kopieres til serveren Der logges ind på serveren Der udføres følgende kommandoer: cd skift til dit hjemmekatalog mkdir.ssh lav et katalog til ssh-nøgler cat id dsa.pub >>.ssh/authorized keys kopierer nøglen chmod -R go-rwx.ssh skift rettigheder på nøglen 38

39 Støt OpenBSD Primære website: Ved at støtte OpenBSD støtter du: OpenSSH - inkluderet i mere end distributioner Udviklingen af OpenBSD PF - en super firewall, er med i FreeBSD, NetBSD Udvikling af stackprotection i Open Source operativsystemer OpenBGPD - en fri routing daemon, OpenNTPD - en fri NTP daemon, OpenCVS - en fri NTP daemon, CARP - redundancy must be free! 39

40 CISSP fra ISC2 Primære website: Vigtigt link Den kræver mindst 3 års erfaring indenfor et relevant fagområde Multiple choice 6 timer 250 spørgsmål - kan tages i Danmark 40

41 GIAC GSEC krav Security Essentials - basal sikkerhed Krav om en Practical assignment - mindst 8 sider, 15 sider i gennemsnit multiple choice eksamen Primære website: Reading room: Der findes en god oversigt i filen GIAC Certification: Objectives and Curriculum 41

42 Referencer Papers - der findes MANGE dokumenter på Internet CERT/CC AusCERT Computer Emergency Response Team for Australia CERIAS hotlist Honeypots og sårbare systemer - diverse honeynet projekter information om pakker og IP netværk Husk også at mange forlag tillader at man henter et kapitel som PDF! 42

43 Referencer: bøger Counter Hack: A Step-by-Step Guide to Computer Attacks and Effective Defenses, Ed Skoudis, Prentice Hall PTR, 1st edition July 2001 CISSP All-in-One Exam Guide, Shon Harris, McGraw-Hill Osborne Media, 2nd edition, June Practical UNIX and Internet Security, Simson Garfinkel, Gene Spafford, Alan Schwartz, 3rd Edition, O Reilly February 2003 Network Security Assessment: Know Your Network, Chris McNab, O Reilly March 2004 Secure Coding: Principles & Practices, Mark G. Graff, Kenneth R. van Wyk, O Reilly June 2003 Firewalls and Internet Security, William R. Cheswick, Steven M. Bellovin, Aviel D. Rubin, Addison- Wesley, 2nd edition, 2003 Building Firewalls with OpenBSD and PF, Jacek Artymiak, 2nd edition 2003 bøger om TCP/IP - Alle bøger af Richard W Steven kan anbefales! Reference books for the CISSP CBK domains - en liste der vedligeholdes af Rob Slade 43

44 Hackerværktøjer nmap - portscanner Nessus - automatiseret testværktøj l0phtcrack The Password Auditing and Recovery Application, kig også på Cain og Abel fra hvis det skal være gratis Ethereal - avanceret netværkssniffer OpenBSD - operativsystem med fokus på sikkerhed - Open Source Security Testing Methodology Manual - gennemgang af elementer der bør indgå i en struktureret test Putty - sgtatham/putty/download.html terminal emulator med indbygget SSH - Auditor security collection - en boot CD med hackerværktøjer 44

45 Hvordan bruges hackerværktøjerne Tænk som en hacker Rekognoscering ping sweep portscan OS detection - TCP/IP eller banner grab Servicescan - rpcinfo, netbios,... telnet/netcat interaktion med services Udnyttelse/afprøvning: Nessus, whisker, exploit programs Oprydning Lav en rapport Gennemgå rapporten, registrer ændringer Opdater programmer, konfigurationer, arkitektur, osv. I skal jo også VISE andre at I gør noget ved sikkerheden. 45

46 Reklamer: kursusafholdelse Security6.net afholder følgende kurser med mig som underviser IPv6 workshop - 1 dag Introduktion til Internetprotokollerne og forberedelse til implementering i egne netværk. Internetprotokollerne har eksisteret i omkring 20 år, og der er kommet en ny version kaldet version 6 af disse - IPv6. Wireless teknologier og sikkerhed workshop - 2 dage En dag med fokus på netværksdesign og fornuftig implementation af trådløse netværk og integration med eksempelvis hjemmepc og wirksomhedens netværk Hacker workshop 2 dage Workshop med detaljeret gennemgang af hackermetoderne angreb over netværk, exploitprogrammer, portscanning, Nessus m.fl. Forensics workshop 2 dage Med fokus på tilgængelige open source værktøjer gennemgås metoder og praksis af undersøgelse af diskimages og spor på computer systemer Moderne Firewalls og Internetsikkerhed 2 dage Informere om trusler og aktivitet på Internet, samt give et bud på hvorledes en avanceret moderne firewall idag kunne konfigureres. 46

47 Foreninger BSD-DK - dansk forening for BSD erne, SSLUG, Skåne Sjælland Linux User Group DKUUG, Dansk UNIX User Group medlemsskab giver god rabat på bøger gennem typisk 15-20% 47

48 Soekris bestilling i Danmark Et lille embedded system Soekris case ,- Soekris case ,- Strømforsyning 1.5A (lille) ,- Strømforsyning 3A (stor) ,- vpn1411 minipci , Harddisk mount kit ,- Alle priser er cirkapriser og ekskl. moms. kontakt Catpipe for nøjagtige oplysninger! Andre leverandører og 48