7b6a158e4d
Co-authored-by: Crowdin Bot <support+bot@crowdin.com> Co-authored-by: Jonah Aragon <jonah@triplebit.net>
22 KiB
| title | icon |
|---|---|
| סקירת לינוקס | simple/linux |
לעתים קרובות מאמינים כי תוכנת קוד פתוח היא מאובטחת לחלוטין כי קוד המקור זמין. יש ציפייה שאימות קהילתי מתרחש באופן קבוע. עם זאת, זה לא תמיד במקרה. הוא תלוי במספר גורמים, כגון פעילות בפרויקט, ניסיון במפתחים, רמת ההקפדה החלה על ביקורות קוד, ותדירות תשומת הלב הניתנת לחלקים ספציפיים של בסיס קוד העשויים לעבור ללא מגע במשך שנים.
נכון לעכשיו, למחשב שולחני GNU/Linux יש כמה אזורים שניתן לשפר כאשר משווים אותם למקביליהם הקנייניים, למשל:
- שרשרת אתחול מאומתת, כמו זו של אפל אתחול מאובטח (with Secure Enclave), Android’s Verified Boot, ChromeOS' אתחול מאומת, או מייקרוסופט ווינדוס boot process with TPM. תכונות וטכנולוגיות חומרה אלה יכולות לסייע במניעת חבלה מתמשכת על ידי תוכנה זדונית או תקיפות של עוזרת בית מרושעת
- פתרון ארגז חול חזק כמו זה שנמצא בmacOS, ChromeOS, ו- Android. פתרונות ארגז חול נפוצים של לינוקס כגון Flatpak ו- Firejail עדיין יש דרך ארוכה לפניו
- חזק ניצול ההקלות
למרות חסרונות אלה, הפצות GNU/Linux שולחניות הן נהדרות אם ברצונך:
- להימנע מטלמטריה כי לעתים קרובות מגיע עם מערכות הפעלה קנייניות
- לשמור על חופש תוכנה
- יש מערכות ממוקדות פרטיות כגון Whonix או Tails
האתר שלנו משתמש בדרך כלל במונח "לינוקס" כדי לתאר הפצות שולחן עבודה/GNU/Linux. מערכות הפעלה אחרות המשתמשות גם הן בליבת לינוקס כגון ChromeOS , Android ו - Qubes OS אינן נדונות כאן.
המלצות לינוקס שלנו :material-arrow-right-drop-circle:{.md-button}
בחירת ההפצה שלך
לא כל ההפצות של לינוקס נוצרו שוות. בעוד שדף ההמלצות שלנו ללינוקס לא נועד להיות מקור סמכותי באיזו הפצה מומלצת בשבילך, יש כמה דברים שכדאי לזכור כשאתה בוחר באיזו הפצה להשתמש.
מחזור שחרור
אנו ממליצים בחום לבחור בהפצות הנשארות קרובות למהדורות התוכנה היציבות במעלה הזרם, המכונות לעתים קרובות "הפצות שחרור מתגלגלות ". הסיבה לכך היא שהפצות מחזור הפצה קפואות לעתים קרובות אינן מעדכנות גרסאות חבילה ומפגרות בעדכוני אבטחה.
עבור הפצות קפואות כמו דביאן, מתחזקי החבילות צפויים לבצע תיקונים ב-backport כדי לתקן פגיעויות במקום להקפיץ את התוכנה ל"גרסה הבאה" ששוחררה על ידי המפתח במעלה הזרם. תיקוני אבטחה מסוימים לא מקבלים CVE (בדרך כלל תוכנה פחות פופולרית) ולכן לא נכנסים להפצה עם מודל תיקון זה. כתוצאה מכך, לפעמים תיקוני אבטחה קלים מתעכבים עד לעדכון הגדול הבא.
איננו מאמינים שעיכוב חבילות והחלת תיקוני ביניים הוא רעיון טוב, מכיוון שהוא סוטה מהאופן שבו המפתח אולי התכוון שהתוכנה תעבוד. ל Richard Brown יש מצגת על נושא זה:
עדכונים מסורתיים לעומת עדכונים אטומיים
באופן מסורתי, הפצות לינוקס מתעדכנות על ידי עדכון סדרתי של החבילות הרצויות. עדכונים מסורתיים כגון אלה המשמשים ב - Fedora, ב - Arch Linux ובהפצות המבוססות על Debian יכולים להיות פחות אמינים אם מתרחשת שגיאה בעת העדכון.
התפלגויות עדכון אטומיות חלות על עדכונים במלואם או כלל לא. בדרך כלל, מערכות עדכון טרנזקציות הן גם אטומיות.
מערכת עדכון טרנזקציות יוצרת תמונה שנוצרת לפני ואחרי החלת עדכון. אם עדכון נכשל בכל עת (אולי בגלל הפסקת חשמל), ניתן לגלגל את העדכון בקלות חזרה למצב "ידוע אחרון. "
שיטת העדכון האטומי משמשת להתפלגויות בלתי ניתנות לשינוי כמו Silverblue, Tumbleweed ו- NixOS ויכולה להשיג אמינות עם מודל זה. Adam Šamalík סיפק מצגת על איךrpm-ostree עובד עם Silverblue:
הפצות "ממוקדות אבטחה"
לעיתים קרובות קיים בלבול בין הפצות "ממוקדות אבטחה" לבין הפצות "פנטסטינג ". חיפוש מהיר של "ההפצה המאובטחת ביותר של לינוקס" ייתן לעתים קרובות תוצאות כמו Kali Linux, Black Arch ו - Parrot OS. הפצות אלה הן הפצות בדיקת חדירה התקפית כי צרור הכלים לבדיקת מערכות אחרות. הם לא כוללים "אבטחה נוספת" או הקלות הגנתיות המיועדות לשימוש קבוע.
הפצות מבוססות Arch Linux
הפצות מבוססות (Arch) ארצ' אינה מומלצת עבור אלה שחדשים ללינוקס, (ללא קשר לחלוקה) כפי שהם דורשים תחזוק מערכת קבועה. ל ארצ' (Arch) אין מנגנון עדכון הפצה עבור בחירות התוכנה הבסיסיות. כתוצאה מכך, עליכם להישאר מודעים למגמות הנוכחיות ולאמץ טכנולוגיות תוך כדי שהם מחליפים פרקטיקות ישנות יותר בעצמכם.
עבור מערכת מאובטחת, אתה צפוי להיות גם בעל ידע מספיק בלינוקס כדי להגדיר כראוי אבטחה עבור המערכת שלהם כגון אימוץ מערכת בקרת גישה חובה, הגדרת ליבות מודול רשימות שחורות, התקשות פרמטרים אתחול, מניפולציה סיסקטל פרמטרים, ולדעת אילו רכיבים הם צריכים כגון Polkit.
כל מי שמשתמש Arch User Repository (AUR), חייב להיות מורגלבביקורת על PKGBUILDs שהם מתקינים משירות זה. חבילות AUR הן תוכן המיוצר על ידי הקהילה ואינן נבדקות בשום צורה, ולכן הן פגיעות להתקפות שרשרת אספקת תוכנה, מה שאכן קרה בעבר. תמיד יש להשתמש בAUR במשורה ולעתים קרובות יש הרבה עצות רעות בדפים שונים אשר מכוונים אנשים להשתמש באופן עיוור ב AUR helpers ללא אזהרה מספקת. אזהרות דומות חלות על שימוש בארכיוני חבילות אישיות של צד שלישי (PPA) על הפצות מבוססות דביאן או על פרויקטים קהילתיים (COPR) ב - Fedora.
אם אתה מנוסה ב - לינוקס וברצונך להשתמש בהפצה המבוססת על Arch, אנו ממליצים רק על לינוקס של Arch Mainline, ולא על אף אחת מהנגזרות שלה. אנו ממליצים נגד שני נגזרי (Arch) ארצ' אלה באופן ספציפי:
- Manjaro: הפצה זו מעכבת חבילות למשך שבועיים כדי לוודא שהשינויים שלהן לא יישברו, ולא כדי לוודא שמעלה הזרם יציב. כאשר חבילות AUR משומשות, הם בנויים לעתים קרובות נגד הספריות האחרונות מן המאגרים של ARCH.
- Garuda: They use Chaotic-AUR אשר באופן אוטומטי ועיוור מקמפל חבילות מה- AUR. אין תהליך אימות כדי לוודא שחבילות ה - AUR לא סובלות מהתקפות שרשרת האספקה.
Kicksecure
אמנם אנו ממליצים בחום נגד שימוש בהפצות מיושנות כמו דביאן, אך קיימת מערכת הפעלה מבוססת דביאן שהוקשחה כדי להיות הרבה יותר מאובטחת מהפצות לינוקס טיפוסיות: Kicksecure. Kicksecure, במונחים פשוטים מדי, היא מערכת של תסריטים, תצורות וחבילות שמקטינות באופן משמעותי את שטח ההתקפה של דביאן. הוא מכסה הרבה פרטיות והמלצות הקשחה כברירת מחדל.
ליבת לינוקס והפצות "ליברה"
אנו ממליצים בחום על נגד השימוש בליבת לינוקס-ליברה, שכן הוא מסיר הקלות אבטחה ו העלמת אזהרות ליבה על מיקרו-קוד פגיע מסיבות אידיאולוגיות.
המלצות כלליות
הצפנת כונן
ברוב הפצות הלינוקס קיימת אפשרות בתוך המתקין שלה להפעלת LUKS FDE. אם אפשרות זו אינה מוגדרת בזמן ההתקנה, יהיה עליך לגבות את הנתונים שלך ולהתקין אותם מחדש, שכן ההצפנה מוחלת לאחר מחיצת דיסק , אך לפני שמערכות קבצים מעוצבים. אנו מציעים גם למחוק את מתקן האחסון שלך באופן מאובטח:
החלף
שקול להשתמש ב ZRAM או החלפה מוצפנתבמקום החלפה לא מוצפנת כדי למנוע בעיות אבטחה פוטנציאליות עם נתונים רגישים שנדחפים אל שטח החלפה. נגזרות פדורה משתמשים ב ZRAM כברירת מחדל.
ויילנד (Wayland)
אנו ממליצים להשתמש בסביבת שולחן עבודה התומכת בפרוטוקול התצוגה Wayland כפי שהוא פותח עם אבטחה בראש. קודמו, X11, אינו תומך בבידוד ממשק המשתמש, ומאפשר לכל החלונות להקליט מסכים, להתחבר ולהזריק קלטים בחלונות אחרים, מה שהופך כל ניסיון של ארגז חול לחסר תועלת. אמנם יש אפשרויות לעשות X11 מקונן כגון אקספרה או סייפר , לעתים קרובות הם מגיעים עם השלכות ביצועים שליליות ואינם נוחים להקמה ואינם עדיפים על פני Wayland.
למרבה המזל, סביבות נפוצות כגון GNOME, KDEומנהל החלונות Sway תומכים ב - Wayland. הפצות מסוימות כמו פדורה ו-Tumbleweed משתמשות בו כברירת מחדל, ואחרות עשויות לעשות זאת בעתיד מכיוון ש-X11 נמצא ב-מצב תחזוקה קשה. אם אתה משתמש באחת מסביבות אלה, זה קל כמו לבחור את ההפעלה "Wayland" במנהל התצוגה של שולחן העבודה (GDM, SDDM).
אנו ממליצים נגד השימוש באמצעות סביבות שולחן עבודה או מנהלי חלונות שאין להם תמיכה ב - Wayland, כגון Cinnamon (ברירת מחדל ב - Linux Mint), Pantheon (ברירת מחדל ב - Elementary OS), MATE, Xfce ו - i3.
קושחה קניינית (עדכוני מיקרוקוד)
הפצת לינוקס כמו אלהלינוקס-ליברה או DIY (Arch Linux) לא מגיעים עם התאמת מיקרוקוד עדכונים שלעתים קרובות מתקנים פגיעויות. כמה דוגמאות בולטות לפגיעויות אלה כוללות Spectre, Meltdown, SSB, Foreshadow, MDS, SWAPGS, ועוד hardware vulnerabilities.
אנו ממליצים בחום **** שתתקין את עדכוני המיקרו - קוד, שכן המעבד שלך כבר מפעיל את המיקרו - קוד המותאם מהמפעל. פדורה ו - openSUSE שתיהן כוללות את עדכוני המיקרו - קוד המיושמים כברירת מחדל.
עדכונים
רוב ההפצות של לינוקס יתקינו באופן אוטומטי עדכונים או יזכירו לך לעשות זאת. חשוב לשמור על מערכת ההפעלה שלך מעודכנת כך שהתוכנה שלך תתוקן כאשר תימצא פגיעות.
הפצות מסוימות (במיוחד אלה המכוונות למשתמשים מתקדמים) הן חשופות יותר ומצפות ממך לעשות דברים בעצמך (למשל אר'ץ או דביאן). אלה יחייבו הפעלת "מנהל החבילות" (apt, pacman, dnfוכו ') באופן ידני על מנת לקבל עדכוני אבטחה חשובים.
בנוסף, חלק מההפצות לא יורידו עדכוני קושחה באופן אוטומטי. בשביל זה אתה תצטרך להוריד fwupd.
שינויי פרטיות
הקצאה אקראית של כתובת MAC
הפצות לינוקס שולחניות רבות (Fedora, openSUSE וכו ') יבואו עם מנהל רשת, כדי להגדיר הגדרות אינטרנט ו -אינטרנט אלחוטי ( Wi-Fi).
ניתן אקראי כתובת MAC בעת שימוש מנהל רשת. זה מספק קצת יותר פרטיות על רשתות Wi - Fi כפי שהוא מקשה לעקוב אחר מכשירים ספציפיים ברשת בה אתה מחובר. זה לא הופך אותך לאנונימי.
אנו ממליצים לשנות את ההגדרה ל-אקראי במקום** יציב**, כפי שהוצע במאמר.
אם אתה משתמש ב systemd-networkd, יהיה עליך להגדיר MACAddressPolicy=random אשר יאפשר RFC 7844 (Anonymity Profiles for DHCP Clients).
אין הרבה נקודות בהפיכת כתובת ה - MAC לאקראית עבור חיבורי אינטרנט כמנהל מערכת יכול למצוא אותך על ידי התבוננות ביציאה שבה אתה משתמש ב - מתג רשת. הקצאה אקראית של כתובות Wi - Fi MAC תלויה בתמיכה מהקושחה של ה - Wi - Fi.
מזהים אחרים
ישנם מזהי מערכת אחרים שייתכן שתרצה להיזהר מהם. עליך להקדיש לכך מחשבה כדי לראות אם הוא חל על מצב האיום שלך:
- שמות מארחים: שם המארח של המערכת שלך משותף עם הרשתות שאליהן אתה מתחבר. עליך להימנע ממונחים מזוהים כגון שמך או מערכת ההפעלה בשם המארח שלך, במקום להיצמד למונחים כלליים או למחרוזות אקראיות.
- שמות משתמשים: באופן דומה, שם המשתמש שלך משמש במגוון דרכים ברחבי המערכת שלך. שקול להשתמש במונחים כלליים כגון "משתמש" ולא בשמך האמיתי.
- מזהה מכונה:: במהלך ההתקנה נוצר מספר זיהוי ייחודי של המכונה והוא מאוחסן במכשיר שלך. שקול הגדרתו למזהה גנרי.
ספירת מערכות
פרוייקט פדורה סופר כמה מערכות ייחודיות ניגשות ל countme שלה באמצעות משתנה במקום מזהה ייחודי. פדורה עושה זאת כדי לקבוע טעינה ואספקה של שרתים טובים יותר לעדכונים במידת הצורך.
אפשרות זו מושבתת כרגע כברירת מחדל. אנו ממליצים להוסיף countme=false to /etc/dnf/dnf.conf רק למקרה שהוא יופעל בעתיד. על מערכות המשתמשות rpm-ostree לדוגמא Silverblue,האפשרות countme מושבתת על-ידי מיסוך rpm-ostree-countme טיימר.
openSUSE משתמש גם ב מזהה ייחודי לספירת מערכות, אשר ניתן להשבית על ידי מחיקת הקובץ /var/lib/zypp/AnonymousUniqueId.