All perguntas(server)

Estou ajudando a administrar um site que foi bloqueado por motivos políticos pela mesma agência russa que já tentou bloquear o Telegram (RosKomNadzor). Esta não é a primeira vez que isso acontece, e anteriormente apenas mudaríamos o domínio, mas isso tem suas próprias implicações e perda de leitores.

Eles estão bloqueando apenas o nome de domínio, não o IP (estamos usando Cloudflare de qualquer maneira). Estamos usando HTTPS, mas os ISPs ainda conseguem, de alguma forma, obter as informações de DNS sobre uma solicitação vinda de seus clientes. Tecnicamente, podemos sugerir aos nossos leitores que configurem seu /etc/hosts, mas essa não é uma opção viável.

Existe algo que possa ser feito do lado do nosso servidor para criptografar/ofuscar as informações de DNS sem que os usuários façam alterações/instalem software? Ou esperar que o DNS sobre HTTPS se torne a nossa única opção?

Da Rússia com amor.

Aqui está como eu insiro o valor para a chave DKIM:

"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAwztXzIUqic95qSESmnqX U5v4W4ENbciFWyBkymsmmSNOhLlEtzp/mnyhf50ApwCTGLK9U7goo/ijX/wr5roy XhReVrvcqtIo3+63a1Et58C1J2o4xCvp0K2/lM6hla4B9jSph7QzjYdtWlOJqLRs o0nzcut7DSq/xYcVqvrFDNbutCfG//0wcRVUtGEyLX/a/7mAAkW6H8UEYMPglQ9c eEDfTT6pzIlqaK9cHGOsSCg4r0N8YxnHFMRzKaZwmudaXTorSbCs7e681g125/vJ e82VV7DE0uvKW/jquZYtgMn7+0rm+2FDYcDx/7lzoByl91rx37MAJaUx/2JHi1EA nwIDAQAB"

Não há novas linhas neste valor (eu especificamente copiei e colei e testei em um editor de texto). Mas, por algum motivo, continuo recebendo o erro TXT é muito longo:

TXTRDATATooLong encountered at "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAwztXzIUqic95qSESmnqX U5v4W4ENbciFWyBkymsmmSNOhLlEtzp/mnyhf50ApwCTGLK9U7goo/ijX/wr5roy XhReVrvcqtIo3+63a1Et58C1J2o4xCvp0K2/lM6hla4B9jSph7QzjYdtWlOJqLRs o0nzcut7DSq/xYcVqvrFDNbutCfG//0wcRVUtGEyLX/a/7mAAkW6H8UEYMPglQ9c eEDfTT6pzIlqaK9cHGOsSCg4r0N8YxnHFMRzKaZwmudaXTorSbCs7e681g125/vJ e82VV7DE0uvKW/jquZYtgMn7+0rm+2FDYcDx/7lzoByl91rx37MAJaUx/ 2JHi1EA nwIDAQAB"

Eu realmente não sei o que devo fazer para corrigir esse problema.

Existe alguma maneira de tornar produtivo um syadmin Linux experiente sem dar a ele acesso root completo?

Esta questão vem de uma perspectiva de proteção da propriedade intelectual (PI), que no meu caso, é totalmente código e/ou arquivos de configuração (ou seja, pequenos arquivos digitais que são facilmente copiados). Nosso molho secreto nos tornou mais bem-sucedidos do que nosso tamanho pequeno poderia sugerir. Da mesma forma, somos uma vez mordidos, duas vezes tímidos com alguns ex-funcionários sem escrúpulos (não administradores de sistema) que tentaram roubar IP. A posição da alta administração é basicamente: "Confiamos nas pessoas, mas por interesse próprio, não podemos correr o risco de dar a qualquer pessoa mais acesso do que o estritamente necessário para realizar seu trabalho".

Do lado do desenvolvedor , é relativamente fácil particionar fluxos de trabalho e níveis de acesso de forma que as pessoas possam ser produtivas, mas ver apenas o que precisam ver. Apenas as pessoas de topo (proprietários reais da empresa) têm a capacidade de combinar todos os ingredientes e criar o molho especial.

Mas não consegui encontrar uma boa maneira de manter esse sigilo de IP no lado administrativo do Linux. Fazemos uso extensivo de GPG para código e arquivos de texto confidenciais ... mas o que impede um administrador de (por exemplo) processar um usuário e acessar sua sessão tmux ou GNU Screen e ver o que ele está fazendo?

(Também desativamos o acesso à Internet em todos os lugares que possam entrar em contato com informações confidenciais. Mas, nada é perfeito e pode haver falhas abertas para administradores de sistema inteligentes ou erros no lado do administrador da rede. Ou até mesmo o bom e velho USB. Existem alguns é claro que existem várias outras medidas em vigor, mas essas estão além do escopo desta questão.)

O melhor que posso fazer é basicamente usar contas personalizadas com sudo , semelhante ao que é descrito em Multiple Linux sysadmins working as root . Especificamente: ninguém, exceto os proprietários da empresa, teria acesso root direto. Outros administradores teriam uma conta personalizada e a capacidade de sudo na raiz. Além disso, o registro remoto seria instituído e os logs iriam para um servidor que só os proprietários da empresa poderiam acessar. Ver o log desativado dispararia algum tipo de alerta.

Um administrador de sistema inteligente provavelmente ainda poderia encontrar alguns buracos neste esquema. Além disso, ainda é reativo em vez de proativo . O problema com o nosso IP é tal que os concorrentes podem usá-lo muito rapidamente e causar muitos danos em pouco tempo.

Portanto, ainda melhor seria um mecanismo que limitasse o que o administrador pode fazer. Mas reconheço que esse é um equilíbrio delicado (principalmente à luz da solução de problemas e correção de problemas de produção que precisam ser resolvidos agora ).

Não posso deixar de me perguntar como outras organizações com dados muito confidenciais gerenciam esse problema. Por exemplo, administradores de sistemas militares: como eles gerenciam servidores e dados sem poder ver informações confidenciais?

Editar: na postagem inicial, pretendia abordar preventivamente os comentários sobre "práticas de contratação" que estão começando a surgir. Primeiro, isso deveria ser uma questão técnica , e as práticas de contratação da IMO tendem mais para questões sociais . Mas, dois, vou dizer o seguinte: acredito que fazemos tudo o que é razoável para contratar pessoas: entrevista com váriospessoas da empresa; verificações de antecedentes e referências; todos os funcionários assinam vários documentos legais, incluindo um que diz que leram e entenderam nosso manual, que detalha as questões de propriedade intelectual em detalhes. Agora, está fora do escopo desta pergunta/site, mas se alguém puder propor práticas de contratação "perfeitas" que filtrem 100% dos maus atores, sou todo ouvidos. Os fatos são: (1) não acredito que exista um processo de contratação tão perfeito; (2) as pessoas mudam - o anjo de hoje pode ser o demônio de amanhã; (3) tentativa de roubo de código parece ser algo rotineiro neste setor.

Acabei de receber um Vagrantfile e um script bash pós-instalação. O vagrantfile baixa o Ubuntu padrão do Ubuntu Cloud, mas encontrei algo no script bash.

Poucas linhas de script são lidas como:

apt-get update -qq > /dev/null
apt-get -qq -y install apache2 > /dev/null

Eu tentei pesquisar na internet o que -qqsignifica shell script, não recebi nenhuma menção a isso, então, estou perguntando aqui se alguém sabe o que significa.

AFAIK > /dev/nullsignifica que o processo em andamento não é impresso na tela, para isso não requer o -qqsinalizador. Então, estou muito curioso para saber.

Acabei de ler este ótimo tópico explicando os diferentes formatos SSL.

Agora estou procurando essencialmente o oposto de Como dividir um arquivo PEM

Há 4 arquivos que quero consolidar, originalmente criados para o Apache, estou olhando os arquivos especificados por

• SSLCertificateFile
• SSLCertificateKeyFile
• SSLCertificateChainFile
• SSLCACertificateFile

O que mais me interessa é a ordem dos arquivos na derivada consolidada, isso é importante? POR EXEMPLO. se eu fosse apenas catjuntá-los na ordem em que aparecem acima, em um .pem , seria válido ou eles deveriam ser ordenados de uma maneira específica?

Para sua informação, estou fazendo isso para usar esses certificados como um único .pem combinado em SimpleSAMLphp .

Como posso habilitar pacotes não-livres no Debian? Desejo instalar o Java JDK da Sun, mas ele não está disponível para mim.

Eu quero usar uma regra de filtro para capturar apenas pacotes ack ou syn. Como eu faço isso?

Temos um conjunto de serviços do Windows em execução em nossos servidores que executam várias tarefas automatizadas independentemente umas das outras, com exceção de um serviço que cuida dos outros serviços.

No caso de um dos serviços falhar em responder ou travar, esse serviço tenta reiniciar o serviço e, se uma exceção for lançada durante a tentativa, envia um e-mail para a equipe de suporte, para que eles mesmos possam reiniciar o serviço.

Depois de fazer uma pequena pesquisa, encontrei algumas 'soluções' que variam desde a solução alternativa mencionada no KB907460 até fornecer direitos de administrador à conta sob a qual o serviço está executando.

Não estou confortável com nenhum desses métodos - não entendo as consequências do primeiro método, conforme descrito no artigo da base de conhecimento da Microsoft, mas definitivamente não quero conceder acesso de administrador à conta sob a qual o serviço está sendo executado .

Dei uma olhada rápida na Política de segurança local e, além da política que define se uma conta pode ou não fazer logon como um serviço, não consigo ver mais nada que pareça se referir a serviços.

Estamos executando isso no Server 2003 e no Server 2008, portanto, quaisquer ideias ou indicações serão bem recebidas!

Esclarecimento: não quero conceder a capacidade de iniciar/parar/reiniciar TODOS os serviços a um determinado usuário ou grupo - quero conceder a permissão para fazê-lo apenas em serviços específicos , a um determinado usuário ou grupo.

Esclarecimentos adicionais: Os servidores aos quais preciso conceder essas permissões não pertencem a um domínio - são dois servidores voltados para a Internet que recebem arquivos, os processam e os enviam para terceiros, além de servirem alguns sites, então A Diretiva de Grupo do Active Directory não é possível. Desculpe não ter deixado isso mais claro.

Eu corro um desktop Ubuntu com vários servidores virtuais no Virtual Box para testar coisas, etc. No passado, também tenho me conectado a outros tipos de caixas Linux VPS remotas. Atualmente, meu .ssh/known_hostsarquivo tem um monte de chaves, a maioria das quais não está mais sendo usada.

Quero limpar meu .ssh/known_hostsarquivo, mas como sei qual chave pertence a qual host? Ou seja, como posso saber quais chaves posso remover com segurança e quais devo deixar em paz?

Quando eu estava trabalhando em nossa sala de servidores, notei que estava muito frio.

Eu sei que a sala do servidor tem que estar fria para compensar o calor dos servidores, mas talvez esteja MUITO frio.

Qual é a temperatura apropriada para manter nossa sala de servidores?