5.4. Sicurezza di NFS
Il Network File System, o NFS č un servizio usato per fornire dei filesystem accessibili dalla rete, da parte delle macchine client. Per maggiori informazioni sul funzionamento di NFS, consultate il capitolo Network File System (NFS) nella Red Hat Enterprise Linux Reference Guide. Per maggiori informazioni su come configurare NFS, consultate Red Hat Enterprise Linux System Administration Guide. Le seguenti sezioni presumono una conoscenza di base di NFS.
 | Importante |
|---|---|
La versione di NFS inclusa in Red Hat Enterprise Linux, NFSv4, non necessita del servizio portmap, come riportato nella Sezione 5.2. Il traffico NFS utilizza ora TCP in tutte le sue versioni, invece di UDP, e necessita il suo uso durante l'utilizzo di NFSv4. NFSv4 include ora l'autenticazione dell'utente e del gruppo di Kerberos, come parte del modulo del kernel RPCSEC_GSS. Le informazioni su portmap vengono ancora riportate, poichč Red Hat Enterprise Linux supporta NFSv2 e NFSv3. |
5.4.1. Pianificazione corretta di una rete
Ora che NFSv4 presenta la possibilitą di passare tutte le informazioni cifrate attraverso la rete utilizzando Kerberos, č importante che il servizio sia configurato correttamente se lo stesso si trova dietro un firewall oppure su di una rete segmentata. NFSv2 e NFSv3 passano i dati in modo non sicuro, per questo motivo č necessario prendere le dovute precauzioni. Una creazione puntigliosa di una rete, vi aiuterą ad eliminare moltissimi problemi riguardanti la vostra sicurezza.
5.4.2. Fate attenzione agli errori di sintassi
Il server NFS determina quali sono i file system da esportare e a quali host bisogna esportare queste directory usando il file /etc/exports. Fate attenzione a non aggiungere spazi estranei durante la modifica di questo file.
Per esempio, la seguente riga nel file /etc/exports, condivide la directory /tmp/nfs/ per l'host bob.example.com con i permessi di sola lettura e scrittura.
/tmp/nfs/ bob.example.com(rw) |
Questa riga nel file /etc/exports, condivide la stessa directory per l'host bob.example.com, con permessi di sola lettura, e la condivide con il resto del mondo con i permessi di sola lettura e scrittura a causa di uno spazio dopo l'hostname.
/tmp/nfs/ bob.example.com (rw) |
Č sempre consigliabile controllare qualsiasi condivisione NFS configurata, usando il comando showmount per verificare cosa č stato condiviso:
showmount -e <hostname> |
5.4.3. Non usare l'opzione no_root_squash
Per default, le condivisioni NFS cambiano l'utente root in utente nfsnobody, un account di un utente non privileggiato. In questo modo tutti i file creati dall'utente root, sono posseduti dall'utente nfsnobody, questo evita il sovraccarico dei programmi con l'impostazione setuid bit.
Se si usa no_root_squash, gli utenti root remoti saranno in grado di cambiare qualsiasi file presente sul file system condiviso, lasciando le applicazioni soggette ad attacchi di tipo trojan ad altri utenti che le useranno inavvertitamente.