U nekim malo bolje uređenim državama, novac poreznih obveznika ide na korist svih ljudi i društva općenito. Ovo je link na Department of Homeland Security USA, koji preporuča što je poželjno napraviti kao običan mali korisnik i zaštititi svoje računalo i kućnu mrežu, jako korisno štivo za svakoga.
Uzeo sam prije par mjeseci raspberry pi 3 i nisam znao sto sa njime, imao sam jednu sd karticu, probao par sistema instalirati. Arch arm sam probao prvo jer sam odusevljen desktop i386/64 archom, odlicna distribucija, ali arch arm za rasp pi 2, imaju i 64 bit 3, ali arch team odvraca ljude da to instaliraju. Prvo sam imao problema sa napajanjem, nisam uzeo u startu napajanje za rapi, nego sam mislio iskoristiti postojece, od kamere, mobitela, ali sam u startu skuzio da to nebu islo. Stalno mi se javljala munja kao AC/DC 😉 signalizirajuci da nemam dovoljno struje, a imao sam spojeno mis, tipkovnicu i lan. Onda sam uzeo 2.5A napajanje, ali nisam mogao upogoniti arch arm image da radi kako spada, cijelo vrijeme se ponasalo bagovito, ALI od trena kada sam htio podici X windowse, nisam intalirao sve potrebne driver pakete za grafulju, onda sam i to rijesio, ali sam skuzio nakon malo igranja da to nije za desktop jos, mozda za neku distribuciju staru, ali ako startas chrome browser ram se popeo na 800 MB, i pocela je zapinjati stvar , bez browsera zauzece memorije je bilo cca 400-500MB, sto mi se isto cini puno, jer kompletan raspbian image baziran na debianu sa xwin (ukljucen kod instalacije) uzima samo 280MB rama. Kratko ras pi 3 nije za desktop nego neke manje projekte, servise da se vrte i da se stvar zaboravi u kutu negdje.
Onda sam uzeo drugu sd karticu i na nju intsalirao kodi elec image i to je odlicna stvar, radi jako dobro, a kada zelis nesto drugo, malo igranja stavis 2 sd karticu. Zadnje sam probao staviti Suricatu gore jer suricata zna iskoristiti multi thread, za razliku od snorta recimo i manje je zahtjevna sa resursima u startu nego snort, ALI ako se stavi gore, a iskopao sma na netu logstash i kibana, za pracenje logova uz graficki prikaz, hehehe jednostavno ne ide.
Prvo sam instalirao raspbian goli image, samo konzola, zamislio sam ra pi i Suricatu staviti prije VyOS tj. izmedu bnet routera i VyOS-a. Trebas 2 lana, posluzila je dobro viska od TP-linka USB300, trebas napraviti routing izmedu dvije kartice, i nesto mi je stekalo od paketa dhcpd, jer mi nije htio dobaciti adresu na karticu prema VyOS-u, onda sam stavio gore arch 2 konzola samo i to je naravno radilo odlicno, ali kada sam instalirao logstash i kibanu i pokrenuo mulac servis kod bootanja sistema automatski, arch se jednostavno pogubio, te sam morao vaditi karticu i brisati servis logstash od ELK stacka. Probao sam i sa SWAP particijom koju sam kreirao naknadno jer kod stavljanja image-a, kreiraju se dvije boot i system, ali jednostavno to nije za logstash, premalo bandwitha, dok Suricata, kompajlirana full, ne zauzima toliko, moze funkcionirati stvar za mali lan iza IDS/IPS.
Svi se danas susrecemo sa korisnickim kredencijama, kao sto su username ili userID i password, za sve vezano uz IT, ulaz u korisnicki racun korisnika na operativnom sistemu, raznim forumima na netu, socijalnim mrezama, stranicama za placanje, itd. Password bi trebao biti solidan, ne koristeci fraze kao sto su ime i prezima, datum rodenja. Bolja opcija jest recenica od kojih koristimo recimo prva slova, koja jos uz to kombiniramo sa velikim i malim slovima, primjer;
Svaki dan Idem u skolu u 13 H
pa imamo:
SdIusu13h
Taj password je solidan, ali isti je pozeljno mijenjati cirkulirati, svakih n dana, 30, 60, pogotovo za web mail racune, ili placanja na netu (jos kraci period cirkulacije mijenjanja passworda).
U pricu se mogu dodati i posebni alati za upravljanje zaporkama kao sto su lastpass i keepass, koji u sustini pamte sve zaporke iza jedne, nazovimo je master zaporke, koju je potrebno unijeti kada zelimo koristiti lastpass ili keepass. Password manageri mogu generirati duljinu passworda, ovisno o potrebama, paranoji 😉 , pa to izgleda puno bolje, recimo;
Z”E3JW*p9]EwZU^E}Xc_a3(#”Vd#p<3FoXv@ag)-
Oba alata imaju prednosti i mane. Lastpass je prije svega komercijalni alat, dostupan je za sve web browsere i veliku podrsku operativnih sistema, ali se naplacuje za smart telefone, osim prvih 30 dana free, cini mi se, baza sa passwordima nije na korisnickom racunalu, nego remotly, sto podlijeze naravno sigurnosnim prijetnjama.
Keepass baza se nalazi kod korisnika lokalno na racunalu ili negdje pohranjena na cloudu, nesto je teze za podesiti konfiguraciju nego lastpass, manje “user friendly” sucelje.
Tehnicki tip….
Ako koristite u passwordu znak ‘&’, kod exporta baze u CSV i daljnje manipulacije, kao recimo import u drugi program, provjerite ako je Google Chrome pravilno eksportirao ampersand ‘&’, a ne html ekvivalent ‘&’ znaci amp; je viska i password nije pravilan naravno, ako imate 100 passworda, moze biti manjih iznenadenja, problem je poznat lastpass.
Zaporka bezicne mreze;
Ako ne zelite da vam se susjedi spjaju na mrezu,svakako iskljucite wep kljuc zastiti, mislim da ovih dana ISP ne isporučuju router sa wep zastitom, osim mozda ako korisnik ima prastaru wireless karticu koja omogucuje jedino wep kljuc, ili ako koristite wireless repator mode, da ima i toga, znaci nikako wep 64,96, 128 bit-a. koristite WPA 1 jos bolje WPA2 AES ne TKIP zastitu, a za generator passworda koristite recimo kurtm.net
VyOS router
Davno sam se vec susreo sa Vyatta cli router-om, neko vrijeme imao je i GUI, ali je bio uzasno glup i nepregledan. Distribucija routera na debianu, pojacan skript komandama sa Juniper produkcijskim routerima. U meduvremenu Vyatta vise nije open source, ali uz jos neke projekte postoji free inacica VyOS . Ako imate staro racunalo i viska 2 LAN kartice sto je minimum za router firewall, svakako probajte, ako trebate DHCP servis, VPN, VLAN, monitor mode, image za cloud ili “fizicki” hardver, sve ima.
Komande su podijeljene u config i operational mode, kratko config mod je koonfiguracija routera najcesce rabite SET, dok su opearijske komande informacijske svrhe i najvjerojatnije cete koristiti SHOW. U prilogu cu staviti dva primjera prema kojem je radena konfiguracija zone based firewall i per interface. ISP je B-net imam technocolor 7200 i media uredaj albis. Router ima opciju da se LAN port ili vise njih podesi tako da se zaobice routing mode od thompsona (technicolor) i daje tom interfejsu public adresu. To je u prvo vrijeme radilo OK, sve dok B-net frisko preuzet od Vip neta nije imao onu famoznu akciju, kada su se trgali tko ce imati vecu brzinu, famoznih 100Mbita. Nakon toga stvar vise nije radila, tj. ako bi moj public interfcae na VyOS-u dobio prvi adresu, albis se nebi mogao spojiti na net i vice versa, tako da je otpala mogucnost jednog NAT-a, sada imam double NAT, ako imas cloud software i triple NAT mozes sloziti ;-), uglavnom pain in the ass za propustiti neki port izvana prema home LAN-u.
Per interface firewall je raden prema ovom manualu, isti spominje WAN interface, jer covjek ima staticku IP adresu, kod nas to nije slucaj, pa mozete kemijati i ubaciti sve public range adrese od bneta ili vipa sa ovih stranica, pa to izgleda ovako;
set firewall group network-group NET-WAN network ‘37.244.128.0/18’
set firewall group network-group NET-WAN network ‘31.45.128.0/18’
set firewall group network-group NET-WAN network ‘94.253.128.0/18’
set firewall group network-group NET-WAN network ‘178.17.112.0/19’
set firewall group network-group NET-WAN network ‘88.207.0.0/16 ‘
set firewall group network-group NET-WAN network ‘109.60.0.0/16’
set firewall group network-group NET-WAN network ‘188.252.0.0/16’
set firewall group network-group NET-WAN network ‘83.139.64.0/18’
set firewall group network-group NET-WAN network ‘94.250.128.0/18’
set firewall group network-group NET-WAN network ‘109.227.0.0/18’
set firewall group network-group NET-WAN network ‘46.234.64.0/19’
set firewall group network-group NET-WAN network ‘77.237.96.0/19’
set firewall group network-group NET-WAN network ‘95.168.96.0/19’
set firewall group network-group NET-WAN network ‘212.15.160.0/19’
set firewall group network-group NET-WAN network ‘212.91.96.0/19’
set firewall group network-group NET-WAN network ‘213.149.32.0/19’
ILI
set interfaces ethernet eth0 address dhcp
set interfaces ethernet eth0 description ‘WAN’
set interfaces ethernet eth0 duplex ‘auto’
set interfaces ethernet eth0 speed ‘auto’
Zone firewall je raden prema Vyatta manualu
da dobijete sve koristene komande iz operational moda
show configuration commands
Sve komande za Zone firewall
Državna uprava i java problematika
Ako imate tvrtku, obrt, pravna ste osoba, vjerojatno ste se susreli sa problematikom kako upogoniti aplikaciju od FINA, vaše
matične banke, porezna, HZMO, ili HZZO, jer sve koriste FINA certifikat koja je krovna organizacija za izdavanaj certifikata, a onda ostale javne službe razvijaju svoju aplikaciju za pristup informacijama, svima ide na usta “e-digitalno”, “paperless”, etc. Hrvatska je isto tako uhvatila utrku sa tehnologijom, ali na svoj način naravno. Pošto ne možeš raditi kao pravna osoba ako imaš više od 3 djelatnika, nisam siguran za taj podatak, jer HZMO automatski zahtjeva predavanje prijava/odjava svojim e-pristupom, koji se zove LANA, e-porezna isto tako, sve su razvile svoju aplikaciju, koju NITKO ne kontrolira da ista zadovoljava uvjete pružanja usluge na prihvatljiv i bezbolan način. Praksa je pokazala da ti treba nekoliko sati ili par dana da upogoniš sve servise koji ne rade jer sve rade sa drugom inačicom jave, neke su razvile svoju ekstenziju koja iskace kod potpisivanja (digitalni potpis), jer tu dolazimo do sigurnosnih propusta koji su se krpali sa inacicama Chrome, Mozilla, pa ne koriste više ekstenzije. Na kraju dolazimo da E-usluge ne skračuju vrijeme, a to je inicijalno svrha razvijanja e-usluga, nego kod nas dapače produžuju vrijeme potrebno da se zadovolji birokracija, jer nisam siguran, ali svi ti sustavi razvijaju software sa nekom out source tvrtkom, koja nema veze sa drugim e-uslugama, kako su one dobile taj posao nije bitno, bitno je da ti za obuku treba praksa kako zadovoljiti sve uvjete za rad na jednom računalu pod Win OS recimo, da sve usluge rade. Znači nema kontrolnog mehanizma ili ne radi svoj posao koji provjerava i pušta u produkciju ovakav tip pružanja usluga, jer je to na kraju samo joke.
Tehnička problematika kratko:
Linkovi:
FINA je kao krovna organizacija za certifikate napravila manual i opcije za Win 32/64, java 32/64, to imate ovdje
1 – Instalirati verziju DeviceClienta ovisno o vrsti operativnog sustava (x32 ili x64)
2 – Instalirati verziju pkcs11 podrÜke (IDGo800) ovisno o vrsti operativnog sustava (x32 ili x64)
3 – Instalirati driver za usb (GemPcCCID.exe)
4 – Instalirati SignErgy ovisno o vrsti operativnog sustava (x32 ili x64)
5 – Napraviti restart raΦunala
Napomena:
Preduvjet za pokretanje aplikacije SignErgy (kada se koristi internet preglednik različit od Internet Explorera) je instalirana zadnja verzija Java JRE. Ukoliko imate 64-bitni operativni sustav, vjerojatno će se automatizmom instalirati i 64-bitna Java JRE. Va₧no je znati da se pokretanje IE i na 64-bitnim operativnim sustavima izvrÜava kao 32-bitni. Stoga, ukoliko namjeravate koristiti IE, trebali bi imati instaliranu 32-bitnu Java JRE.
Ovo su moguće kombinacije preglednika i potrebnog softvera:
IE:
32-bitna Java JRE
DeviceClient x32
IDGo800 x32
Chrome na 32-bitnom operativnom sustavu:
32-bitna Java JRE
32-bitni SignErgy
DeviceClient x32
IDGo800 x32
Chrome na 64-bitnom operativnom sustavu:
32-bitna Java JRE
32-bitni SignErgy
DeviceClient x64
IDGo800 x64
ili
64-bitna Java JRE
64-bitni SignErgy
DeviceClient x64
IDGo800 x64
Firefox (32-bitni) na 32-bitnom operativnom sustavu:
32-bitna Java JRE
32-bitni SignErgy
DeviceClient x32
IDGo800 x32
Firefox (32-bitni) na 64-bitnom operativnom sustavu:
32-bitna Java JRE
32-bitni SignErgy
DeviceClient x64
IDGo800 x64
Firefox (64-bitni) na 64-bitnom operativnom sustavu:
64-bitna Java JRE
64-bitni SignErgy
DeviceClient x64
IDGo800 x64
Za Windowse, ako treba promjeniti Java, postoje dva načina, fiksni i onaj koji traje do restarta sistema, pa to onda izgleda ovako
ILI
Kroz terminal privremeni i trajni način
Kod Linuxa to izgleda puno lakše
Ubuntu recimo to radi ovako
Arch primjer
archlinux-java status
archlinux-java get numerička opcija iz prve komande, potreban je paket java-runtime-common za skriptu archlinux-java
Ovdje cemo se kratko osvrnuti na viruse kod OS Windows, MAC i linux bolje stoje u odnosu na windoze.
Ako imate pristup GUI sucelju odskenirate sistem AV alatom avast, avira MS essentials
Ako imate win 10, on dolazi sa windows defenderom.
Ako nemate antivirus tool, obrisite svo smece sa recimo crap cleaner ili ako ni to nemate morate doci do skrivenih mapa, koje su po defaultu skrivene, pa treba odabrati folder options i ukljuciti opciju show hidden files, i iskljuciti opciju hide protected operating system files.
Putanje gdje se nalaze temp folderi u win su c:\windows\temp c:\Users\USER ACCOUNT NAME\AppData\Local\temp za xp C:\Documents and settings\USER ACCOUNT NAME\Application data\temp Trazite cudna mjesta za izvrsne fajle kao sto su CMD, VBS,BAT,EXE, u; C:\Documents and settings\USER ACCOUNT NAME\Application data\temp c:\Users\ACCOUNT USER NAME\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\startup\ ili root user profila c:\Users\ACCOUNT USER NAME\ Preporuka je iskljuciti system restore, ako niste bas pocetnik jer se virusi tamo znaju nalaziti, kada se vrati sistem retro “known good configuration”, koja je radila prije dobro, vrati se i virus nazad right click on my computer>properties>System protection>Configure>Turn off system protection
folder se moze i rucno obrisati ako preuzmete admin prava c:\System volume information Ako nesto ne stima mozete i proci provjeru sys fajli sa cmd prompt > sfc /scannow , ali je potrebno imate instalaciju win ako nesto radi promet bez vaseg znanja, mozete snimiti sto, opet kroz commnand prompt cmd prompt > netstat -a, pokazuje sve otvorene konekcije vaseg racunala prema vani da vidite startup aplikacije pokrenite komandu MSCONFIG opet kroz command prompt cmd prompt > msconfig Stari trik je da snimite u sys32 folderu sve fajle koje nemaju potpis korporacije i proizvodaca te fajle (digital signature i te kolone su skrivene po defaultu) pa je potrebno right click na gornji desni kut > choose more clumns > odaberite company name i authors i filtrirajte samo unspecified company, pa te fajle odskenirati sa virus total, ako imate net. Ako to ne pomaze imate boot cd USB rijesenja i pristupa se bootanju sa istih CD/DVD te bootabilni USB, prastari hirens 15.2 verzija zadnja jer se autor bavi necim drugim. Morate odabrati boot sa CD/DVD ili USB-a kroz BIOS, a to se postize sa tipkama del, esc, F1, F10 , ovisi o ploci, laptopu. Kada se podigne boot system na hirensima su to okljastreni xp odaberite alat autoruns, offline system > putanja do windows foldera i user profila > nakon toga ce vam se pokazati svi procesi kod startanja systema, poboljsana MSCONFIG komanda + ako niste sigurni u neki proces mozete provjeriti sa virus total, jer ima ta opcija kod autoruns.
Hard na kraju mozete i iscupati iz racunala i spojiti na drugo racunalo (ako ga imate) te odskenirati isti detaljno.
