Linux Sintetico

Transcript

1 Linux Sintetico 1. Filesystem Concetti base Struttura /etc/dev /etc/proc Avvio Concetti base Il boot loading in Red Hat Demoni Funzionalità di rete Log di sistema Sicurezza in Linux Concetti base Autenticazione Locale Autenticazione Remota Bibliografia e Links Filesystem 1.1. Concetti base Nei sistemi Unix/Linux un inode è una struttura dati sul file system che archivia le informazioni base dei file, delle cartelle o di qualsiasi altro oggetto. Le informazioni includono: - la sua locazione fisica - il tipo di oggetto - la dimensione in bytes (se applicabile) - il proprietario e il gruppo di appartenenza - le informazioni temporali di creazione, modifica e ultimo accesso - il numero di collegamenti fisici che referenziano l'inode - i permessi d'accesso Il primo elemento restituisce una lista di 13 numeri di blocchi dove nei primi dieci sono memorizzati i primi dieci blocchi del file. Se il file è più lungo di dieci blocchi, l'undicesimo elemento della lista nell'inode contiene un puntatore ad un blocco nel quale sono memorizzati altri 256 numeri di blocchi. Analogamente avviene per il dodicesimo e il tredicesimo elemento della lista. Tecnicamente questo metodo è classificato fra quelli ad allocazione indicizzata in modalità concatenata. Ogni file è identificato essenzialmente attraverso due parametri:

2 - nome del file - inode corrispondente ovvero attraverso quello che si dice un collegamento fisico (o hard link). I file possono essere di vari tipi, ovvero: - file veri e propri (dati, eseguibili etc..) - file device (per gestire il dialogo con le periferiche) - collegamenti logici (nome + percorso) - mount point (nome + inode + traduttore per riportare sul filesystem operazioni effettuate su un altro supporto) La tabella degli inode viene memorizzata nella partizione root e viene caricata in memoria al momento del mount della partizione stessa (vedi più oltre). A causa della struttura ad inode i filesystem linux (in particolare ext3) sono pressoché immuni alla frammentazione. Al momento di creare un nuovo file infatti Linux lo posiziona attraverso un opportuno algoritmo che tiene conto della struttura fisica del disco, della velocità di rotazione etc in una posizione abbastanza lontana dalle altre. In questo modo: Questo implica che se il file si viene modificato di poco (come spesso capita) non occorre spezzettarlo. Inoltre periodicamente (tipicamente all avvio) il sistema provvede a deframmentarsi : questa elaborazione non è d altronde molto pesante e per questo rimane abbastanza invisibile agli utenti perchè la deframmentazione viene fatta soprattutto riorganizzando la tabella degli inodes e non spostando blocchi fisici di dati. In questo modo soprattutto se la percentuale di occupazione è inferiore all 80% il sistema riesce tranquillamente a rimanere senza alcun intervento esterno sotto il 10% di frammentazione. Alcuni dei più comuni filesystem utilizzabili sotto linux sono i seguenti: Filesystem Descrizione Ext2 Filesystem storico di Linux, non journaled Ext3 Successore di Ext3 journaled ReiserFS Altro FS journaled ad alte prestazioni XFS Utilizzato soprattutto per applicazioni real-time e multimediali Struttura

3 In linux ad ogni HD è associata una o più partizioni, denominata a seconda del tipo di HD (IDE, SCSI, SATA.). L insieme delle partizioni viene poi indicizzato in un unico filesystem e non come in Windows attraverso tanti filesystem quanti sono i dischi (logici). Questo vuol dire che in ipotesi di due dischi logici da 70GB (ovvero due dischi fisici, oppure 3 dischi da 70GB in RAID 5 etc ) avremo quanto segue:: Il totale dello spazio viene suddiviso fra partizioni definite all avvio del sistema, come capiamo coi comandi successivi. Con fdisk l vediamo quali sono le partizioni definite: Disk /dev/sda: GB, bytes 128 heads, 32 sectors/track, cylinders Units = cilindri of 4096 * 512 = bytes Dispositivo Avvio Inizio Fine Blocchi Id Sistema /dev/sda1 * Linux /dev/sda Linux /dev/sda Linux swap Ne abbiamo 3 : la sda1 che è quella di boot, la sda3 che è quella di swap, la sda2 che è in pratica tutto l insieme dei files. Per capire quanto cubano queste partizioni in termini di KB abbiamo il comando df k: Filesystem blocchi di 1K Usati Disponib. Uso% Montato su /dev/sda % / /dev/sda % /boot none % /dev/shm Ogni partizione va immaginata come montata, ovvero attaccata ad un filesystem la cui struttura è standard ed è siffatta:

4 Nel nostro caso, utilizzando tre colori per le nostre tre partizioni, abbiamo la seguente situazione: Ovvero : una parte estremamente ridotta del primo disco ospita la partizione di boot e quasi tutto il resto viene associato al filesystem principale (/ ossia root). L eventuale aggiunta di un altro HD determinerebbe la necessità di specificare per questo in mount point, ossia la cartella del filesystem (esistente o creata per l occasione, es. /data) a cui conferisce il proprio spazio. Come si vede l area di swap non è direttamente accessibile dal filesistem, navigabile con i comandi cd ed ls.

5 Il filesystem ha una struttura standard (detta File Hierarhy Standard) e cartelle sono utilizzate per scopi codificati. Alcuni dei più importanti sono i seguenti: /boot Contiene tutte le immagini del kernel e file indispensabili al bootstrap del sistema /bin Contiene comandi e programmi base per tutti gli utenti (altri comandi sono in /usr/bin/ ) /dev Contiene file speciali, che corrispondono a dispositivi hardware o a funzionalità particolari. /lib Contiene librerie condivise per programmi in fase di esecuzione e non sono abbinabili specificatamente ad un unico programma. /etc Contiene i file di configurazione del sistema e dei programmi installati /home Contiene le home directory degli utenti normali (tutti tranne l'utente root) /proc File system virtuale, generato in tempo reale dal kernel. Contiene, come se fossero file e directory, dati dinamici sul sistema e sui processi /root Home dell'utente root, da non confondere con la root ( / ), che è la directory principale e non una directory che si chiama /root /sbin Contiene comandi e programmi riservati a root ( altri comandi sono in /usr/sbin/ ) /usr Contiene binari, documentazione, librerie e sorgenti della maggior parte dei programmi (e i sorgenti del kernel) /tmp Contiene tutti file temporanei. /var Contiene tutti file che hanno informazioni dinamiche, che tendono a modificarsi con il tempo: log, file di pid e lock dei processi in esecuzione, directory di spool (stampa, mail...) ecc /etc/dev /etc/proc 2. Avvio 2.1. Concetti base I passaggi principali sono i seguenti: Il BIOS lancia il boot loader di primo livello posto nell MBR dell HD principale; Il boot loader di primo livello avvia il boot loader di secondo livello; Viene caricato in memoria il Kernel e montata la partizione root; Vengono caricati tutti i servizi; Vengono montate tutte le partizioni di cui in fstab Il boot loading in Red Hat All accensione della macchina viene lanciato il BIOS che cerca e verifica le varie periferiche prima di cedere il controllo al programma boot loader di primo livello che nel caso di Red

6 Hat si chiama LILO o GRUB, con quest ultimo che è il predefinito. Questo programma risiede in /boot/grup col il relativo grub.conf per configurarlo. MBR vuol dire Master Boot Record, ovvero i primi 512 byte dell HD (se è da questo che abbiamo impostato da BIOS che deve avvenire il boot). Il boot loader di primo livello carica se stesso in memoria e avvia il boot loader di secondo livello che è stato selezionato fra tutti i sistemi operativi che possono essere lanciati (es. Linux versione singolo processore o multi processore, oppure con una certa versione del kernel oppure un altra. Come si riempie questo elenco lo vediamo più avanti). Una volta che è stato scelto qual è il kernel che va avviato GRUB lancia il file binario corrispondente che si trova nella directory /boot che sarà il file vmlinuz corrispondente: -rw-r--r-- 1 root apr 2005 config el -rw-r--r-- 1 root apr 2005 config elsmp drwxr-xr-x 2 root dic 2006 grub -rw-r--r-- 1 root dic 2006 initrd el.img -rw-r--r-- 1 root dic 2006 initrd elsmp.img -rw-r--r-- 1 root dic 2006 kernel.h drwx root dic 2006 lost+found -rw-r--r-- 1 root set 2003 message -rw-r--r-- 1 root set 2003 message.ja lrwxrwxrwx 1 root 26 5 dic 2006 System.map -> System.map ELsmp -rw-r--r-- 1 root apr 2005 System.map EL -rw-r--r-- 1 root apr 2005 System.map ELsmp -rwxr-xr-x 1 root apr 2005 vmlinux el -rwxr-xr-x 1 root apr 2005 vmlinux elsmp -rw-r--r-- 1 root apr 2005 vmlinuz el -rw-r--r-- 1 root apr 2005 vmlinuz elsmp Il programma in questione copierà il file img corrispondente al kernel scelto nella cartella /initrd (sottocartella della root solitamente vuota; RD = ram disk) e che sarà eseguita lanciando portando in RAM il kernel medesimo. Il Kernel inizializza e configura tutti i vari componenti hardware collegati al sistema ed inizializza gli eventuali device virtuali (es. DRBD, LVM). Fatto questo monta la partizione

7 /root e libera la memoria dove aveva caricato l immagine e lancia il comando INIT (/sbin/init). Il comando in questione lancia tutti i successivi. Il comando INIT produce il seguente output : in sostanza esegue la inittab, che corrisponde al file /etc/inittab siffatto: # Default runlevel. The runlevels used by RHS are: # 0 - halt (Do NOT set initdefault to this) # 1 - Single user mode # 2 - Multiuser, without NFS (The same as 3, if you do not have networking) # 3 - Full multiuser mode # 4 - unused # 5 - X11 # 6 - reboot (Do NOT set initdefault to this) # id:5:initdefault: # System initialization. si::sysinit:/etc/rc.d/rc.sysinit l0:0:wait:/etc/rc.d/rc 0 l1:1:wait:/etc/rc.d/rc 1 l2:2:wait:/etc/rc.d/rc 2 l3:3:wait:/etc/rc.d/rc 3 l4:4:wait:/etc/rc.d/rc 4 l5:5:wait:/etc/rc.d/rc 5 l6:6:wait:/etc/rc.d/rc 6 # Trap CTRL-ALT-DELETE ca::ctrlaltdel:/sbin/shutdown -t3 -r now # When our UPS tells us power has failed, assume we have a few minutes # of power left. Schedule a shutdown for 2 minutes from now. # This does, of course, assume you have powerd installed and your # UPS connected and working correctly. pf::powerfail:/sbin/shutdown -f -h +2 "Power Failure; System Shutting Down" # If power was restored before the shutdown kicked in, cancel it. pr:12345:powerokwait:/sbin/shutdown -c "Power Restored; Shutdown Cancelled" # Run gettys in standard runlevels 1:2345:respawn:/sbin/mingetty tty1 2:2345:respawn:/sbin/mingetty tty2 3:2345:respawn:/sbin/mingetty tty3 4:2345:respawn:/sbin/mingetty tty4 5:2345:respawn:/sbin/mingetty tty5

8 6:2345:respawn:/sbin/mingetty tty6 # Run xdm in runlevel 5 x:5:respawn:/etc/x11/prefdm -nodaemon # Attivazione demone per collegamento seriale pd:2345:respawn:/usr/sbin/pppd /dev/ttys0 nodetach Questo file imposta innanzitutto il livello esecutivo predefinito. In linux si parla di vari livelli esecutivi (o runlevel o stati di esecuzione in cui si può trovare il sistema) che servono in sostanza a gestire quali servizi devono girare in presenza dei diversi runlevel. Sono possibili questi runlevel: 0. Arresto 1. Utente Singolo 2. Non Utilizzato 3. Multiutente Testuale 4. Non Utilizzato 5. Multiutente Grafica 6. Riavvio Fatto questo esegue lo script /etc/rc.d/rc.sysinit con cui imposta i percorsi, il nome della macchina, e cose simili. Successivamente, a seconda del runlevel, ovvero in questo caso del runlevel di default (la inittab viene riletta ad ogni cambiamento del runlevel) vengono lanciati gli script presenti nelle cartelle rcx.d (x=0 6). Questi sono dei link simbolici a programmi che si trovano sotto la /etc/init.d, ordinati in modo che la sequenza di avvio sia quella voluta e con nome K o S (Killed o Start) a seconda se si vuole che quel processo sia presente o no al runlevel corrispondente. Notare che invece che manipolare inittab o le cartelle rcx.d si può utilizzare il comando /sbin/chkconfig per assegnare i vari runlevel ad un processo. I processi di sistema così lanciati hanno tipicamente parametri di configurazioni presenti in /etc/sysconfig. INIT esegue (per ultimi) anche gli script/programmi contenuti nel file rc.local in cui si fa riferimento a tutti processi non standard da avviare ad accensione del sistema. In chiusura del file si dice che a seconda dei vari runlevel si assegnano dei terminali : i livelli dal 2 al 5 ottengono tutte e sei le console virtuali. Nel livello 5 viene eseguito anche lo scripr prefdm che lancia l interfaccia grafica predefinita (KDE o GNOME). Terminato con la INIT viene eseguito il mount delle devices aggiuntive (es. CDROM. USB etc ) sul filesystem. Arrivato a questo punto, poi, il sistema presenta la maschera di login e gira al livello di esecuzione desiderato.

9 2.3. Demoni I collegamenti di cui in precedenza (/etc/rcx.d X=0 6) sono, come detto degli script per far partire i vari servizi o demoni, ossia programmi non interattivi eseguiti in background con cui è (per i demoni che lo prevedono) possibile dialogare attraverso l invio di dati secondo il protocollo che implementano ad una opportuna coppia IP:Porta. Questi demoni finchè non vengono invocati restato in stato sleep occupando una percentuale irrisoria della CPU come mostra il seguente esempio (relativo ad un server proxy e DNS interno, ovvero incentrato sui processi squid e named): # ps -aux USER PID %CPU %MEM VSZ RSS TTY STAT START TIME COMMAND named ? S Oct23 331:19 /usr/sbin/named - squid ? S Oct31 957:33 (squid) -D Gli stati possibili sono questi: Codice Stato Descrizione R Runnable Pronto S Sleep Non avanza da meno di 20 sec. D Sleep non iterrompibile Attesa di un operazione su disco o su altre periferiche Z Zombie Dovrebbe essere stopped ma ancora non lo è T Stopped Fermo Qualcosa è utile dire anche riguardo a come i processi vengono eseguiti, ovvero come viene implementato il multitasking. In sintesi tutti i processi attendono di poter usare la CPU : lo fanno quando gli viene dato accesso per 200 millisecondi e poi restituiscono la risorsa agli altri. L ordine con cui i processi accedono alla CPU è determinato dalla loro priorità e da un apposito demone, lo scheduler. 3. Funzionalità di rete Le funzionalità di rete in Linux sono attenute attraverso il servizio RPC. All avvio (o al riavvio mediante il comando): #service network restart vengono letti una serie di file di configurazione quali i seguenti: File /etc/sysconfig/networking/devices/ ifcfg-eth0 /etc/services /etc/hosts /etc/resolv.conf Descrizione Configurazione della scheda Eth0 (path per Red Hat) File statico service-name / Protocollo, Porta File statico locale di risoluzione Nomi - IP Indirizzo del server DNS

10 Di file ifcfg-ethx ce n è uno per adattatore di rete. Ha una struttura di questo tipo: DEVICE=eth0 BOOTPROTO=none BROADCAST= IPADDR= NETMASK= NETWORK= ONBOOT=yes TYPE=Ethernet USERCTL=no PEERDNS=yes GATEWAY= Come si vede all adattatore è stato assegnato un alias e a questo sono stati assegnati i classici parametri IP. Quali sono gli alias usati si può vedere con comando: #ifconfig E anche possibile assegnare due indirizzi IP ad uno stesso adattatore, creando due alias (vedi documentazione ifconfig) Riguardo al file service questo è costituito da righe che si presentano così: squid 3128/tcp # squid web proxy In pratica si assegna ad una certa coppia protocollo (su cui ascolta un opportuno demone, in questo caso squid) un nome simbolico che è quello utilizzato da inetd. Diciamo infine che ogni macchina linux può implementare delle route statiche (e quindi anche avere diversi gateway a seconda di cosa si vuole raggiungere) attraverso il comando route: #route add -net /24 gw Log di sistema I log di sistema sono gestiti dal demone syslogd che si trova nella cartella /etc/init.d Il suo file di configurazione si trova sotto /etc e si chiama syslog.conf ed è costituito da righe di questo tipo: facility.priorità path del logfile Le facility sono in sintesi i programmi che si occupano di determinati aspetti del sistema. Un elenco è delle facility racchiuso nella seguente tabella: Facility auth authpriv cron daemon Ambito Messaggi riguardanti la sicurezza (es. login e logout) Come sopra ma per dati più sensibili Temporizzatore di sistema Generico per i demoni

11 kern lpr mail user localn Messaggi provenienti dal Kernel Stampanti Posta elettronica Applicazioni senza privilegi particolari Disponibili per utilizzi locali (n=0..7) Mentre per le priorità abbiamo, in ordine decrescente: Priority emerg alert err warning notice info debug Descrizione Sistema inutilizzabile Errore grave Errore generico Potenziale errore Nota Informazione Nota di debug 5. Sicurezza in Linux 5.1. Concetti base In Linux il file fondamentale per la gestione degli utenti e /etc/passwd la cui struttura è la seguente: root:x:0:0:root:/root:/bin/bash bin:x:1:1:bin:/bin:/sbin/nologin daemon:x:2:2:daemon:/sbin:/sbin/nologin.. Con i campi che hanno rispettivamente i seguenti significati: - codice utente - password (vedi più oltre) - identificativo utente UID - identificativo gruppo standard GID - descrizione utente - home directory - shell predefinita La shell è l eseguibile che viene lanciato al momento dell avvenuta autenticazione con successo. Può essere anche nologin per quegli utenti (es. utenti di sendmail, il server di posta) che è necessario siano definiti nel sistema (per poter avere propri permessi sulle cartelle) ma che è meglio (per motivi di sicurezza) non far accedere allo attraverso terminale allo stesso. Lo home directory è quella dove tipicamente l utente mette i propri files e che soprattutto contiene un file nascosto.profile, che contiene i path e le variabili di sistema principali per quell utente, come ad esempio nel seguente caso:

12 #.bash_profile # Get the aliases and functions if [ -f ~/.bashrc ]; then. ~/.bashrc fi # User specific environment and startup programs PATH=$PATH:$HOME/bin export PATH unset USERNAME dove la sintassi export serve per rendere disponibile la variabile (PATH in questo caso) anche al di fuori dello script, o vero a livello di ambiente. La tabella degli utenti, ovvero il file /etc/passwd referenzia (attraverso UID) una tabella dei gruppi implementata nel file /etc/groups le cui righe sono semplicemente siffatte: root:x:0:root bin:x:1:root,bin,daemon daemon:x:2:root,bin,daemon sys:x:3:root,bin,adm ovvero: - codice gruppo - variabile dummy (x) - utenti che ne fanno parte In questo modo ogni utente ha un gruppo standard ma può far parte di più gruppi. Per questo i diritti a livello di filesystem si articolano per: - utente - gruppo - diritti (Read/Write/Execute) Esempio: -rwxr-xr-x 1 root root set 2007 ftp.sh -rwxrwxrwx 1 root root 0 21 set 2007 list.txt -rw-r--r-- 1 root root dic 21:30 maketar.log -rwxr-xr-x 1 root root set 2007 maketar.sh 5.2. Autenticazione Locale Quando un utente cerca di accedere ad un sistema Linux da locale ne vengono verificate le credenziali. In particolar modo la password inserita da tastiera viene confrontata con quella presente nel file /etc/shadow di cui un esempio può essere questo: root:$1$yhiskbsm$16ovktmb6ikrnuvdisr0s1:13768:0:99999:7::: I campi sono : - utente

13 - password criptata - data ultima modifica - data inizio validità - data fine validità - preavviso - tempo riserva - riservato La password viene criptata attraverso un algoritmo DES iterato per 25 volte (Password Salting) ovvero attraverso questa sequenza di passi : - Interrompe la password a 8 caratteri ASCII - Prende 7 bit piu bassi di ogni carattere 7*8 = 56 per costituire la chiave di cifratura - I 64 bit di output vengono mappati in caratteri raggruppati in 11 caratteri ASCII di 6 bit e associati ai caratteri ascii (0..9A..Za..z./) - La password registrata viene fatta precedere da 2 caratteri di 6 bit che rappresentano il salto..iterati appunto per 25 volte. Questa gestione di base può essere migliorata attraverso una opportuna libreria aggiuntiva, la PAM (Pluggable Authentication Module) ed il corrispondente demone la cui configurazione è in /etc/pam.d. Attraverso questo demone è possibile impostare politiche particolari per far accettare la password solo a determinate condizioni quali: - lunghezza minima 8 caratteri - presenza di numeri, maiuscole, caratteri speciali - non appartenenza a elenchi di password facili - etc Il file di configurazione è su /etc/pam.d/passwd è fra le opzioni attivabili c è anche quella di generare le password non con l algoritmo precedentemente illustrato (che corrisponde all utility crypt da linea di comando) ma con md Autenticazione Remota E possibile accedere ad un server Linux da remoto in vari modi. In tutti i casi si chiama una coppia IP:Porta con l IP che è ovviamente quello del nostro server e con le porte che sono quelle di opportuni demoni quali: - rlogin - telnet - ssh nello stesso modo in cui si accede a demoni che permettono una gestione più particolare quali ftp, smtp etc C è da dire che fra questi ben pochi implementano una cifratura delle password, perché pensati per un utilizzo a livello intranet.

14 Fa eccezione SSH (Secure SHell) che è pensata anche per amministrare server passando da internet che implementa l architettura a chiave pubblica. In particolare è possibile connettersi ad un server: - fornendo username/password - inviando hash dei comandi ottenuti attraverso codifica con chiave privata Nel primo caso la password viene inviata tramite un canale cifrato ottenuto attraverso l invio di una opportuna chiave di sessione e, di lì in poi con l utilizzo delle normali tecniche a PKI. Nel secondo caso invece si ipotizza che la chiave pubblica dell utente si trovi sul server, mentre la privata sia sul suo client. Il client invia al server un hash di un messaggio noto a quest ultimo cifrato attraverso la chiave privata. In questo modo il server (in linea di principio chiunque possegga una chiave pubblica del mittente e riceva il suo messaggio) può decifrare quanto riceve e quindi rispondere di conseguenza. Questo secondo dialogo viene fatto anche al contrario prima di iniziare la sessione : chiave privata del server sullo stesso e sua chiave pubblica sul client. In questo modo il client può verificare che il server sia effettivamente (e non qualcuno che porta un attacco di tipo MIDM, Man in The Middle) lui e quindi spedire i successivi messaggi di comando. 6. Bibliografia e Links Filesystem Processi Autenticazione Secure Shell