Kernel vor dem Überschreiben schützen

[spufy]

Tag Leute,

wie kann ich eigentlich den Kernel vor dem Überschreiben schützen ???
Danke schon mal im Voraus und danke den Leute die mir geholfen haben <img src="http://www.pl-forum.de/UltraBoard/Images/Happy.gif" border="0" align="middle">

Gruß

Spufy

[ytimk]

Mit:

chmod -w <kernel>

kannst du einem jeden User (selbst root) die Schreibrechte entziehen.

[sdxx]

hi,
chattr +i <kernel>

[ChrisPr]

machs doch viel einfacher .. hast sicherlich /boot als separate Partition ..
nimm einfach in der /etc/fstab in der Zeile
/boot /boot ext3 defaults 1 2
das defaults raus und ersetze es durch noauto
dann wird es nicht gemountet und nur root kann die partition wieder einmounten .. oder nimm die komplette zeile raus ..

grüsse

ChrisPr

[Descartes]

Oder änder die /etc/fstab dahingehend ab, dass /boot lediglich Read-Only gemountet wird.

<blockquote><hr>
descartes@moria:~> mount
/dev/vg00/root on / type reiserfs (ro)
proc on /proc type proc (rw)
devpts on /dev/pts type devpts (rw,mode=0620,gid=5)
/dev/hda1 on /boot type ext3 (ro)
/dev/vg00/home on /home type reiserfs (rw)
/dev/vg00/opt on /opt type reiserfs (ro)
/dev/vg00/usr on /usr type reiserfs (ro)
/dev/vg00/var on /var type reiserfs (rw)
shmfs on /dev/shm type shm (rw)
usbdevfs on /proc/bus/usb type usbdevfs (rw)
<hr></blockquote>

[ChrisPr]

andere Frage -- was willst du damit erreichen ?? der kernel kann ehh nur von root überschrieben werden ..
und wenn ich ehh schon root bin .. dann interessiert mich der kernel herzlich wenig .. könnte ja 1.nen anderen kernel einspielen ( mit nem anderen namen ) und diesen dann in lilo eintragen ..
oder wenns mir um die zerstörung deines Systems ginge

dd if=/dev/zero of=/dev/hda bs=100 count=1000 <<<<<<<<<<< NICHT ZUM TESTEN !!!!!!!!!!!

grüsse

ChrisPr

[spufy]

Tag Leute,

danke für die Antworten.
Ich bin Azubi (Fachinformatiker) und bin darf mich mit Linux auseinander setzen. Es ist echt ein super OS, aber es gibt so viel ....
Das ist echt ein Super Forum hier !!! Muß man mal gesagt haben <img src="http://www.pl-forum.de/UltraBoard/Images/Happy.gif" border="0" align="middle">

Gruß

Spufy

[Joel]

Ich hab noch was . Wenn du schon ein Freak bist und es nicht eine produktive Maschine ist
nimm doch mal LIDS. Dort kannst du Dateien sogar vor Root schuetzen bzw. du kannst root
"deaktivieren" solange LIDS aktiv ist. LIDS deaktivieren kannst du dann wahlweise nur
beim booten, lokal auf dem system oder auch remote erlauben. Echt ein super ding, aber
bis alles so laeuft wie dus willst isses ein langer Konfigurationsweg!

[Descartes]

> wie kann ich eigentlich den Kernel vor dem Überschreiben schützen ???
Indem du den Kernel erst gar nicht lokal zur Verfügung stellst. Stichwort: Netboot.

[Descartes]

In *BSD kannst du deinen Rechner auch schützen indem du bei den Files das "immutable" Flag setzt -- siehe Manpage chflags(1) -- dann kann selbst root nichts mehr verändern.

Eigentlich ideal für Firewalls. Selbst wenn einer die Firewall überwinden sollte kann er noch lange keine Daten verändern. Denn dazu müsste er das immutable Flag (anzeigen mit "ls -lo") zurücksetzen (z.B. mit "chflags noschg /usr/bin") das halt nu mal nur im SingleUser-Mode geht und der hat dummerweise halt mal kein Netzwerk. Dumm gelaufen <img src="http://www.pl-forum.de/UltraBoard/Images/Happy.gif" border="0" align="middle">

,----
| To really lock down your system, check out man chflags. This is a
| FreeBSD (Maybe other BSDs as well?) specific item that is enforced by
| the kernel which will literally lock down any file that you want so
| tight that not even root can modify it. It works in conjunction with
| the kernel security level. The kernel security level (sysctl
| kern.securelevel See man sysctl) once raised cannot be lowered. At
| level 1, file flags are enforced. I suggest running at level 2. I have
| /etc/rc.conf protected as well, that way, you MUST boot to single user
| mode to turn off the file flag enforcement.
`----

auch ganz lesenswert: <a href="http://www.freebsd.org/doc/en_US.ISO885 ... urity.html" target="_blank"><!--auto-->http://www.freebsd.org/doc/en_US.ISO885 ... <!--auto-->