Capitolo 191.   Misure di sicurezza per l'elaboratore personale senza rete

Anche quando l'elaboratore non è connesso a una rete, potrebbe essere vulnerabile per il solo fatto di essere accessibile fisicamente da parte di altre persone. In questo capitolo vengono raccolte solo alcune note al riguardo.

191.1   Avvio e riavvio

Il primo punto debole di un elaboratore che può essere raggiunto fisicamente da un intruso, sta nella possibilità di essere avviato, o riavviato, in modo da poterne controllare il funzionamento. In pratica, se si esclude la possibilità del furto del disco fisso (che comunque non è poi tanto remota), bisogna impedire che si possa riavviare l'elaboratore attraverso un dischetto o un CD-ROM, perché in questo modo si potrebbe prendere il controllo della macchina e accedere ai dati come si vuole. Questo si impedisce a livello di firmware (il BIOS), definendo una parola d'ordine da inserire ogni volta che si avvia l'elaboratore.

Oltre a questa soluzione che riguarda l'hardware, si potrebbe intervenire ulteriormente anche sul programma che si occupa di avviare il kernel. Nel caso di LILO si può aggiungere la direttiva

password=parola_d'ordine

con la quale questa parola d'ordine viene chiesta ogni volta che si avvia. Eventualmente, si può aggiungere la direttiva

restricted

per fare in modo che questa parola d'ordine venga richiesta solo quando si aggiunge un comando di avvio. Evidentemente, se si interviene in questo modo, bisogna considerare i permessi del file di configurazione /etc/lilo.conf: se si vuole evitare che gli utenti comuni possano leggerlo, basta togliere tutti i permessi per il gruppo proprietario e per tutti gli altri utenti.

# chmod 0600 /etc/lilo.conf

È bene tenere presente che la direttiva password può essere utilizzata prima delle sezioni che si riferiscono alle varie immagini, ovvero nella parte delle opzioni globali, oppure può essere collocata all'interno di una di queste sezioni. Nel primo caso la parola d'ordine viene chiesta sempre, mentre nel secondo viene chiesta solo alla selezione di un'immagine determinata. Lo stesso ragionamento vale per la direttiva restricted.

Il riavvio dell'elaboratore potrebbe essere un altro problema da considerare. Di certo, se c'è un accesso fisico alla macchina da parte del solito ignoto, è difficile impedire che questo possa spegnere e riaccendere l'elaboratore, tuttavia gli può essere impedito di utilizzare la nota combinazione [Ctrl+Alt+Canc]. Per questo basta modificare il file /etc/inittab, dove di solito si trova un record simile a quello seguente:

# What to do when CTRL-ALT-DEL is pressed.
ca:12345:ctrlaltdel:/sbin/shutdown -t1 -a -r now

Per impedirlo, basta modificare il comando abbinato alla combinazione. Si osservi la modifica seguente, in cui il record originale è stato conservato all'interno di un commento:

# What to do when CTRL-ALT-DEL is pressed.
#ca:12345:ctrlaltdel:/sbin/shutdown -t1 -a -r now
ca:12345:ctrlaltdel:/bin/echo "La combinazione Ctrl+Alt+Canc è disabilitata"

191.2   Protezione del terminale e della console

Se quello che si utilizza è un terminale seriale, o un terminale remoto, la cosa migliore da fare per proteggere il proprio lavoro mentre ci si allontana è quello di chiudere la sessione di lavoro. Se si avviano dei processi sullo sfondo è bene prevedere in anticipo questo fatto, avviandoli attraverso nohup (sezione 44.4.3), oppure si può utilizzare Screen (sezione 50.5).

Se si utilizza una console, dal momento che è molto probabile che si stiano utilizzando diverse console virtuali simultaneamente, questo tipo di soluzione potrebbe essere un po' troppo complicato. In questi casi si preferisce usare un programma apposito che blocca l'accesso a tutte le console virtuali.

191.2.1   $ lockvc

lockvc ⁽¹⁾ è un programma molto semplice che fa uso della libreria SVGAlib e si comporta come un salva-schermo protetto da una parola d'ordine. Il suo funzionamento è molto semplice, tanto da riassumersi nello schema sintattico seguente:

lockvc [stars|morph|fudge|fire]

In pratica, l'argomento composto da una parola chiave, stabilisce il tipo di effetto che si vuole visualizzare come salva-schermo, che interviene subito bloccando tutte le console virtuali.

Quando si preme un tasto alfanumerico, il salva-schermo si interrompe e viene richiesto l'inserimento della parola d'ordine dell'utente che lo ha avviato (viene specificato di quale utente si tratta); se l'identificazione fallisce il salva-schermo riprende, altrimenti vlock termina di funzionare.

191.2.2   $ vlock

vlock [opzioni]

vlock ⁽²⁾ è un programma ancora più semplice di lockvc, senza alcuna pretesa di funzionare come salva-schermo, che si limita a bloccare la console virtuale in cui viene avviato, a meno che sia utilizzata l'opzione -a, con la quale vengono bloccate anche tutte le altre console virtuali.

A differenza di lockvc, il funzionamento di vlock può essere concluso anche con l'inserimento della parola d'ordine dell'utente root.

191.3   Protezione del lavoro con X

La protezione del lavoro su una stazione grafica può essere fatta in modo simile a quello che riguarda la console, attraverso programmi che la bloccano, eventualmente attivando un salva-schermo. Tuttavia, esiste un problema in più: per evitare che sia possibile interrompere il funzionamento del servente grafico attraverso la combinazione [Ctrl+Alt+Backspace], occorre la direttiva DontZap nella sezione ServerFlags:

Section "ServerFlags"
    Option DontZap
    # Option Dont Zoom
EndSection

191.3.1   $ xlock

xlock [opzioni]

xlock ⁽³⁾ è il programma più comune per il blocco di una stazione grafica X. Sono disponibili una grande quantità di opzioni; in particolare l'opzione -mode prevede un elenco molto lungo di argomenti composti da una sola parola chiave, che serve a definire il tipo di effetto grafico da utilizzare come salva-schermo.

In condizioni normali, se non si usano opzioni che vanno in senso contrario, basta premere un tasto qualunque per interrompere il salva-schermo; quindi, con l'inserimento della parola d'ordine dell'utente che lo ha avviato, si può concludere il funzionamento di xlock.

A titolo di esempio viene mostrato il caso di un salva-schermo nero:

$ xlock -mode blank

Nel caso non si utilizzasse alcuna opzione, si otterrebbe un effetto grafico salva-schermo, scelto casualmente tra quelli disponibili.

191.3.2   $ xtrlock

xtrlock

xtrlock ⁽⁴⁾ è un programma molto semplice, che non prevede alcun argomento. Il suo scopo è solo quello di bloccare l'uso della tastiera e del mouse, senza attivare alcun salva-schermo. Lo sblocco della stazione grafica si ottiene soltanto digitando la parola d'ordine dell'utente (senza alcun campo di inserimento), concludendo con la pressione di [Invio]. Se la parola d'ordine inserita è errata, viene emesso un segnale acustico e quindi si può riprovare l'inserimento.

1) Lockvc   GNU GPL

2) Vlock   GNU GPL

3) Xlock   software libero sottoposto a diverse licenze a seconda della porzione di codice coinvolto

4) Xtrlock   GNU GPL