[Postfixbuch-users] Postfix-Mailrelay chrooted laufen lassen

[Dirk Ruediger]

Thomas Schwenski schrieb:
>>Ich richte auch gerade ein paar Chroots ein, in einem davon wird dann
>>postfix+imap(courier) laufen. Nach einigem Studium diverser
>>Netzresourcen bin ich auch der meinung, dass chroots nur bedingt sicher
>>sind und das nicht durch hard links weiter beeinträchtigt werden soll.
> 
> 
> Inwiefern sind die nur bedingt sicher und was verschlimmern da die
> Hardlinks?

Ich habe die Links nicht mehr parat .. meine Recherche liegt schon ein
paar Wochen zurück. Aber hier sind zwei Links, die das
"Gefahrenpotential" umreissen:

http://www.nuclearelephant.com/papers/chroot.html#4.2
http://www.bpfh.net/computing/docs/chroot-break.html

Insgesamt ist ein chroot jedoch schon ein großer Schritt in Richtung
Serversicherheit :-)

Da ich ja nicht weiss, welche Angriffspunkte für schlummernde
Schwachstellen in meinem System es geben wird, versuche ich so wenig
Angriffspunkte wie möglich zu bieten, um aus dem chroot auszubrechen.
Reine Prävention. Und mit 'makejail' ist es wirklich einfach, eine
chroot-Umgebung (oder viele davon) ausgehend von meiner eigentlichen
Serverinstallation zu pflegen und aktuelle Daten in das chroot zu
kopieren - oder eben nicht.

>>Abgesehen davon: Hast du /etc und dein chroot auf der selen Partition
>>liegen?
> 
> 
> Bisher ja, aber das kann ich noch  ändern, da ich momentan einen alten
> Server-Rechner als "Spielwiese" zum Testen benutze und das ganze System,
> wenn es fertig konfiguriert ist auf einen Server im Schrank einspiele, da
> kann ich sowas noch ändern.
> 
> Wo ist bei /etc und chroot auf einer Partition denn das Problem?

Ich weiss keines. Nur eben, das /etc (in /), /usr und /var (und bei
Bedarf noch /tmp, /usr/local oder was auch immer ;-)) in eigenen
Partitionen organisiert sein sollte. Die Chroots liegen bei mir in
/var/chroot.

Dazu steht wohl hier einiges:
http://www.debian.org/doc/manuals/securing-debian-howto/

Viele Grüße, Dirk