5 indstillinger der gør din Linux-PC mindre sikker

Sikringen af din Linux-PC afhænger af fem kritiske indstillinger, der ofte overses: brandmur, Flatpak-tilladelser, skærmlåsning, automatisk login og disk kryptering.

Tror du, at din Linux-PC er sikker, bare fordi den er Linux? Jeg må desværre skuffe dig, men Linux—selvom det måske er mere sikkert end Windows—er ikke uovervindelig. Arkitekturen er solid, open-source modellen hjælper, og ja, trussel-landskabet er mindre. Men alt dette betyder intet, hvis du har efterladt de forkerte indstillinger uchecket. Her er et hurtigt kig på fem almindelige indstillinger, som folk lader være aktiveret (eller deaktiveret), hvilket gør deres Linux-PC'er mindre sikre.

Du har lavet din brandmur deaktiveret

Et klik står mellem dig og alle hackerne på internettet

De fleste Linux-distroer—inklusive Ubuntu—kommer med en brandmur forudinstalleret. Dog er den som standart deaktiveret, og de fleste mennesker gider aldrig tænde den. For en basic Linux-skrivebord, der er beregnet til almindelig brug som at browse internettet eller tjekke e-mail, er dette generelt ikke et problem. Men hvis du bruger din Linux-PC som en webserver og kører tjenester som SSH, Samba eller Nextcloud, så bør du virkelig aktivere din brandmur.

Du forstår, at hver af disse tjenester åbner en port på din Linux-PC, hvilket gør den tilgængelig for hele internettet. Dette udsætter dig for potentielle hackere, der forsøger at bryde ind i dit system og stjæle dine data. Men med en aktiveret brandmur kan du begrænse alle disse tjenester til enheder, der kun er tilsluttet dit lokale netværk. Dette blokerer for disse porte og gør dem utilgængelige fra resten af internettet—hvilket væsentligt reducerer dit trusselniveau.

Hvis du bruger Ubuntu, kommer det med UFW (Uncomplicated Firewall) forudinstalleret. Der er ingen grafisk app til at tilgå den, men du kan installere GUFW for at styre den grafisk. Dog, hvis du er på en KDE Plasma-baseret distro, er firewall-indstillinger direkte tilgængelige fra Systemindstillinger-appen. Også, hvis du vil være mere proaktiv omkring din netværkssikkerhed, vil jeg stærkt anbefale at installere Portmaster—en applikationsbrandmur, der giver dig et grafisk interface til at overvåge al indkommende og udgående trafik på appniveau, og endda blokere specifikke datakanaler, hvis de ser mistænkelige ud.

Dine Flatpaks har fuld adgang til dit system

Sandkassen er ikke så tætsluttende, som du tror

Et af de største salgsargumenter for Flatpak er, at applikationer kører i en sandkasse. Det betyder, at de er containeriserede og isolerede fra resten af dit system. I teorien kan en Flatpak-app ikke røre dine filer, tilgå dit mikrofon eller nå dit netværk, medmindre du eksplicit tillader det. Men i praksis er det ikke, hvad der sker.

Ifølge Linux Journal fandt en detaljeret undersøgelse, at ca. 42 procent af Flatpak-apps på Flathub er "overprivilegerede." De har erklæret tilladelser brede nok til effektivt at omgå sandkassen. For eksempel har mange Flatpaks variabler indstillet til filesystem=home eller filesystem=host, hvilket giver dem fuld læse-skrive-adgang til din hjemmemappe eller endda hele systemet—hvilket effektivt gør sandkassen overflødig.

Nu er denne standardkonfiguration af Flatpaks ikke nødvendigvis, fordi udviklerne er uforsigtige. Nogle apps har virkelig brug for bred adgang for at fungere korrekt. Men hvis du særligt ikke bruger en specifik funktion—f.eks. hvis du aldrig bruger mikrofonen eller webcam med din webbrowser—bør disse funktioner deaktiveres, hvilket reducerer din samlede angrebsoverflade.

Flatseal. Det giver dig et klart visuelt overblik over hver tilladelse, hver Flatpak på dit system har—filsystemadgang, netværk, mikrofon, kamera—med intuitive kontroller til at begrænse eller helt deaktivere disse funktioner. Hvis du bruger Flatpaks, bør Flatseal være det første, du installerer.

Du har deaktiveret automatisk skærmlåsning

Alt det tager er fem uovervågede minutter

Jeg kender alt for mange Linux-brugere, der gerne vil deaktivere automatisk skærmlåsning. Faktisk er der dedikerede plugins og udvidelser til at forhindre dit system i at låse skærmen eller gå i søvn. Jeg kan forstå, hvordan dette kan tilbyde et niveau af bekvemmelighed i din daglige liv—at skulle indtaste din lange og sikre adgangskode, hver gang du kommer tilbage fra en pause, er irriterende. Men at ofre sikkerhed for bekvemmelighed er ikke en god byttehandel. Der er en.

Et populært ordsprog inden for cybersikkerhed lyder: "Angriberen skal kun vinde én gang," så det er altid bedre at være sikker end ked af det.

Jeg har personligt oplevet dette, så jeg taler ud fra erfaring. En ven besøgte mig med sit barn, og jeg forlod mit system for at tale med dem. Jeg efterlod min computer tændt som en vane, og automatisk skærmlåsning var deaktiveret. Deres barn blev nysgerrigt omkring min computer og endte med at slette filer, ændre min desktop-layout og flytte ting rundt på måder, jeg ikke troede var muligt. Det var dagen, jeg stoppede med at betragte skærmlås som valgfri.

Selv hvis du aldrig har gæster, er det vigtigt at opbygge vanen. Måske arbejder du en dag fra en café, måske får du besøg af familiemedlemmer, eller måske efterlader du din laptop åben i fem minutter for længe—en kort skærmlåsetid koster dig ingenting i forhold til den potentielle skade ved et udnyttet system.

I GNOME kan du indstille en skærmlåsetimer ved at gå til Indstillinger > Privatliv > Skærmlås. I KDE Plasma, gå til Systemindstillinger > Sikkerhed & Privatliv > Skærmlåsning. En automatisk skærmlåsningsvinduet på fem til ti minutter er rimeligt.

Du har aktiveret automatisk login

Dit stærke password er uværdifuldt, hvis login springer over det

Du kunne have konfigureret skærmlåsen korrekt—stærkt password parret med en stram timeout—men hvis du har auto-login aktiveret, så er det hele for intet. Nogen kan blot trykke på genstart-knappen, hvis de bliver blokeret af låseskærmen, og derefter genstarte direkte til skrivebordet.

Den indstilling aktiveres normalt under installationen. De fleste Linux-installatører spørger, om du vil kræve et password ved login eller boote direkte til skrivebordet, og det er let at tjekke den forkerte boks, når du klikker gennem flere opsætningsskærme. På den anden side aktiverer nogle det bevidst for bekvemmelighed— for at undgå at skulle skrive deres lange og komplekse password hele tiden. Det sagt, ligesom før, er det en dårlig handel generelt at bytte sikkerhed for bekvemmelighed.

Heldigvis kan du nemt deaktivere denne indstilling med et par klik. På GNOME-baserede distros, gå til Indstillinger > System > Brugere, og slå "Automatisk Login" fra for din konto. På KDE Plasma, gå til Systemindstillinger > Farver & Temaer > Login Skærm (SDDM), klik på Adfærd-knappen, og fjern markeringen af automatisk login der. Hvis du har konfigureret en låseskærm i det forrige trin, er dette indstillingen, der sikrer, at det faktisk betyder noget.

Du har ikke konfigureret fuld disk kryptering ved installation af Linux

Enhver der ved, hvordan man bruger en live USB, kan stjæle dine data

Hver større Linux-installatør tilbyder fuld disk kryptering (FDE) under opsætningen. Det er normalt en enkelt afkrydsningsboks—"Krypter den nye installation for sikkerhed" eller noget lignende. De fleste springer over det, fordi de ikke forstår, hvad det gør, eller fordi installatøren advarer dem om at skulle huske et andet password. Ironisk nok er det et af de mest enkle, men kraftfulde skridt, du kan tage for at beskytte dine data.

Med indstillingen aktiveret, når du tænder for din computer, og før OS'en indlæses, skal du indtaste en dekrypteringsadgangskode. Du skriver den én gang, disken låses op, og fra det punkt fungerer alt helt normalt.

Uden adgangskoden er dine data fuldstændig ulæselige. Hvis nogen stjæler din laptop, trækker disken ud, eller forsøger at boote fra en live USB for at få adgang til dit filsystem, vil de få intet—kun krypteret gibberish.

Selvom du kan aktivere fuld disk kryptering efter installation af en distro, er det virkelig besværligt. Det er bedst, hvis du aktiverer det under systeminstallation. For at tjekke om din disk er krypteret, kør lsblk -o NAME,FSTYPE i et terminalvindue og se efter “crypto_LUKS” i outputtet. Hvis det er der, er du dækket. Hvis ikke, er min anbefalede vej fremad at tage backup af dit system og foretage en frisk installation med kryptering aktiveret.

Selvom jeg ikke ville anbefale det, er der et argument for at overveje at aktivere automatisk login, hvis du også har FDE aktiveret, fordi du har én password-prompt der beskytter dig, når systemet genstarter.

Sikkerhed er ikke en funktion, du installer, det er en vane, du opbygger

Linux giver dig værktøjerne til at bygge et virkelig sikkert system—men det gør ikke arbejdet for dig. En deaktiveret firewall, rodede Flatpak-tilladelser, eller ingen disk kryptering kan omstøde alt det, OS'en gør rigtigt. Heldigvis er de fem indstillinger på denne liste ikke obskure.

Systemadministrator tricks—de er meget grundlæggende. Hvis du endnu ikke har tjekket dem, er det nu et godt tidspunkt.