Security ru

Безопасность

Контроль безопасности MiniOS реализован вокруг live-системы: временные сессии, постоянные сессии, переносимые носители и конфигурация на этапе загрузки. Установщик MiniOS также может выполнить нативное преобразование. Полученная система сохраняет выбранную рабочую среду и визуальный стиль MiniOS, но специфичное для live-режима ПО MiniOS будет удалено, поэтому дальнейшая защита и обслуживание выполняются стандартными средствами Debian, а не как отдельный live-режим. Защитите текущую сессию, постоянные данные, загрузочные носители и любую конфигурацию, применяемую при запуске.

Начните с доверенного носителя

Скачайте MiniOS с официального источника и проверьте ISO перед записью. Следуйте Проверка загрузок и сравните результат перед загрузкой или установкой. Проверка позволяет выявить повреждённый или подменённый файл, но не гарантирует безопасность уже изменённого USB-устройства.

Держите USB-устройство под физическим контролем. Пароли прошивки и ограничение порядка загрузки могут снизить риск несанкционированной загрузки, но не шифруют файлы на устройстве. Secure Boot может обеспечить дополнительную защиту цепочки загрузки для образов и оборудования, которые это поддерживают; проверьте фактическое поведение релиза и прошивки, а не полагайтесь на предположения.

Замените стандартные учетные данные

Неизменённый live-образ MiniOS использует опубликованные учетные данные live / evil и root / toor, с автоматическим входом и административным доступом без пароля в конфигурации, ориентированной на удобство. Любой, кто получит доступ к системе, может воспользоваться этими данными, особенно если SSH включён.

Перед подключением к недоверенной сети:

1. Установите уникальные пароли пользователя и root в Конфигураторе MiniOS.
2. Выберите подходящий профиль безопасности и проверьте каждую заполненную настройку.
3. Отключите SSH и XRDP, если удалённый доступ не требуется.
4. Перезагрузите систему в новую сессию при изменении одноразовых настроек учётных записей или безопасности, затем проверьте вход и права доступа.

Конфигуратор сохраняет пароли в виде зашифрованных хэшей, а не в открытом виде. При изменении уже созданной постоянной учётной записи используйте passwd для текущего пользователя и sudo passwd root для root. После нативного преобразования используйте стандартные инструменты управления учётными записями Debian.

Используйте средства безопасности Конфигуратора

Конфигуратор MiniOS предлагает три профиля. Профиль заполняет конкретные параметры; само имя профиля не сохраняется как ключ конфигурации во время работы, и каждую настройку можно изменить отдельно.

Профиль	Основное поведение
convenient	Совместимость с автологином, sudo и PolicyKit без пароля, разрешён root и вход по паролю через SSH, упрощённые настройки XRDP/X11/экрана блокировки, отображаются подсказки к паролям.
balanced	Без автологина, sudo и PolicyKit требуют пароль, вход root по SSH запрещён, но вход по паролю разрешён, усиленные настройки XRDP/X11/экрана блокировки.
strict	Без автологина, sudo и PolicyKit требуют пароль, вход root и по паролю через SSH запрещён, XRDP отключён, усиленные настройки X11/экрана блокировки, подсказки к паролям скрыты.

Параметры по умолчанию в установщике зависят от режима развертывания: live-установки используют convenient, а при нативном преобразовании применяется balanced. Нативная настройка применяется во время преобразования; после установки используйте стандартные средства настройки безопасности Debian. Это значения по умолчанию, а не рекомендации для всех сценариев угроз.

Те же параметры доступны как документированные ключи конфигурации, включая LIVE_SUDO_MODE, LIVE_POLKIT_MODE, LIVE_SSH_PERMIT_ROOT_LOGIN, LIVE_SSH_PASSWORD_AUTHENTICATION, LIVE_XRDP_MODE, LIVE_X11_MODE, LIVE_ISSUE_PASSWORD_HINTS, и LIVE_LOCKSCREEN_MODE. Предпочитайте эти ключи или Конфигуратор вместо ручного редактирования сгенерированных файлов sudoers, PolicyKit, display-manager или SSH. См. Файл конфигурации. О поведении сохранения и применимости настроек см. Конфигуратор MiniOS.

Создание учётных записей, пароли, LIVE_CONFIG_NOROOT, а также политика безопасности — это одноразовые параметры, применяемые при создании новой сессии. Конфигуратор показывает, для чего применяется каждая настройка. Переопределяемые параметры, например службы, применяются после перезагрузки.

Безопасный удалённый доступ

SSH может быть включён в образе MiniOS для восстановления. В сети, где другим пользователям нельзя доверять, предполагается, что опубликованные стандартные учётные данные доступны, пока вы не убедитесь в обратном.

• Если SSH не требуется, добавьте ssh в DISABLE_SERVICES в Конфигураторе и удалите из ENABLE_SERVICES если присутствует.
• Если SSH необходим, запретите вход root с помощью LIVE_SSH_PERMIT_ROOT_LOGIN=false.
• Используйте аутентификацию по ключу. Проверьте вход по ключу в отдельном подключении до установки LIVE_SSH_PASSWORD_AUTHENTICATION=false.
• Ограничьте входящий доступ через сетевой файервол или маршрутизатор и не подключайте переносимую систему восстановления напрямую к Интернету.
• Проверьте XRDP отдельно. Строгий профиль его отключает, а сбалансированный — усиливает, но не обязательно выключает службу.

Параметры загрузки могут переопределять значения из конфигурационных файлов. Анализируйте неожиданное поведение служб по Параметры загрузки.

Шифрование постоянных данных

Несанкционированный доступ к незашифрованной native, DynFileFS, DynBlk, VMDK, raw и SquashFS-персистентности возможен, если устройство окажется в чужих руках. MiniOS позволяет использовать LUKS2 поверх Raw, DynFileFS, DynBlk или VMDK. LUKS2 выступает как уровень шифрования, а не отдельный режим сессии. Для создания при загрузке выберите его с помощью perchencrypt=luks; существующие сессии получают состояние шифрования из метаданных сессии, а не из последующих командных переопределений.

Граница шифрования зависит от используемого backend. Raw шифрует логический образ блока внутри changes.img; DynFileFS шифрует открытый virtual.dat; DynBlk и VMDK шифруют блочное устройство, предоставляемое драйвером DynBlk. Метаданные сессии, загрузочные файлы, метаданные backend и дескрипторы VMDK вне зашифрованного блочного устройства, а также посторонние файлы на носителе остаются доступными. Сжатие backend для DynBlk отключается при выборе LUKS2; VMDK не поддерживает сжатие backend.

При создании в момент загрузки система дважды запрашивает пароль в initrd. Если установщик заранее создает зашифрованную сессию на целевом устройстве, мастер сбора данных запрашивает и подтверждает пароль, а затем передает его minios-session через стандартный ввод. Пароль не сохраняется в конфигурации, логах или аргументах процесса. Для существующих зашифрованных сессий пароль запрашивается при загрузке; три неверных попытки разблокировки останавливают процесс загрузки, не переключая систему в режим без шифрования, другой backend или временную память при том же запросе персистентности.

Слой персистентности LUKS2 MiniOS защищает содержимое файловой системы, пока mapper закрыт. После разблокировки данные, незашифрованные загрузочные файлы, скопированные вне зашифрованного backend файлы и нативная корневая файловая система не защищены. Многоуровневое шифрование персистентности не является шифрованием корня системы. При экспорте логических данных сессии файлы будут расшифрованы, поэтому архивы резервных копий необходимо защищать отдельно. Используйте надежный пароль и регулярно проверяйте резервные копии.

Временное кэширование или хранение журналов предназначено для уменьшения количества записей, а не для шифрования. При долговременной персистентности MiniOS сохраняет minios-boot и live-config диагностические данные в хранилище сессии даже при LIVE_LOG_STORAGE=volatile. Для долговременной SquashFS эти файлы находятся вне changes.sb, в каталоге boot-logs/ сессии. При perchtoram, сессия и её диагностические данные хранятся в оперативной памяти; для сохранения персистентности требуется успешная запись на диск. Незашифрованное устройство хранения раскрывает свои журналы и другие файлы. LIVE_CONFIG_DEBUG=true дополнительно включает подробные трассировки и копии входных данных объединения учетных записей пользователей; не включайте отладку при обычном использовании и обязательно просматривайте эти логи перед их передачей. Подробнее см. Производительность.

Подробнее см. Установщик MiniOS и Управление сессиями.

Обновляйте систему осознанно

Обновляйте метаданные пакетов и устанавливайте обновления безопасности Debian в постоянных live-сессиях с помощью стандартного рабочего процесса APT, если это уместно. Изменения APT в новой live-сессии исчезают после перезагрузки. Базовые модули SquashFS доступны только для чтения, поэтому замена ISO или модулей на новую доверенную версию MiniOS часто является самым чистым способом обновления базовой live-системы. После нативного преобразования обслуживание безопасности пакетов выполняется обычным рабочим процессом Debian APT для установленной системы.

См. Обновления ПО для отдельных рабочих процессов APT, модулей, образов и ядра.

Перед крупным обновлением:

• Сделайте резервные копии важных файлов и постоянных сессий.
• Убедитесь, что доступно достаточно свободного места.
• Избегайте прерывания записи или выключения устройства.
• Перезагрузите и проверьте обновлённую систему, прежде чем удалять предыдущий проверенный носитель или сессию.

Обрабатывайте хуки и preseeding как выполнение кода

Опция загрузки hooks и хуки live-config могут выполнять файлы с корневой файловой системы, загрузочного носителя или по URL. Удалённые хуки, изменённые носители и непроверенные preseeds могут запускаться с системными правами. Используйте только проверенные файлы из доверенных источников, отдавайте предпочтение аутентифицированному распространению и избегайте удалённых хуков в недоверенных сетях. См. live-config для порядка выполнения и поддерживаемых расположений.

Безопасно архивируйте и утилизируйте носители

Постоянство — это не резервная копия. Храните отдельную копию пользовательских файлов и экспортируйте или копируйте сессии, пока они работоспособны. Проверьте восстановление на другом носителе. Корректно завершайте работу перед извлечением записываемого носителя и оставляйте свободное место для метаданных сессии и работы файловой системы.

Перед утилизацией устройства выполните его безопасное стирание в соответствии с типом носителя и уровнем конфиденциальности данных. Простое удаление файлов или форматирование может не сделать старые данные недоступными для восстановления.