स्वचालित सुरक्षा अद्यतन

अवलोकन

TurnKey स्वचालित रूप से नेटवर्क पर नवीनतम सुरक्षा अद्यतन स्थापित करता है:

1. पहली बार जब आप एक नया सर्वर परिनियोजन बूट करते हैं (आप इसे छोड़ सकते हैं)
2. हर रात, लगभग 4 AM।

आमतौर पर स्वचालित रूप से अद्यतन सॉफ्टवेयर को जोखिम भरा अभ्यास माना जाता है क्योंकि अद्यतन कभी-कभी मौजूदा कार्यक्षमता को तोड़ सकते हैं (उदाहरण के लिए, फ़ाइल प्रारूपों में परिवर्तन, सॉफ्टवेयर) इंटरफेस, या अपेक्षित व्यवहार)।

Debian इस जोखिम को कम करके ध्यान से बैकपोर्टिंग सुरक्षा फिक्स इसलिए कि सुरक्षा अद्यतन जितना संभव हो उतना कम हो जाते हैं, संभावना को कम करने कि चीजें टूट जाएंगी।

अभ्यास में हमने पाया है कि कुछ को तोड़ने के लिए सुरक्षा अद्यतन के लिए यह बहुत दुर्लभ है, इसलिए हमें विश्वास है कि TurnKey सर्वर को ऑटो-अपडेट सुरक्षा फिक्स के लिए कॉन्फ़िगर करना फायदेमंद है। डिफ़ॉल्ट रूप से उन्नत उपयोगकर्ता हमेशा इस तंत्र को अक्षम कर सकते हैं और यदि वे चाहते हैं तो सुरक्षा को मैन्युअल रूप से लागू कर सकते हैं।

मांग पर सुरक्षा अद्यतन स्थापित करना

एक मूल खोल में, निम्नलिखित आदेश चलाएं:

turnkey-install-security-updates

यदि ऐसा नहीं करता तो आप TurnKey का पुराना संस्करण चला सकते हैं। इसके बजाय इसे आज़माएं:

/usr/sbin/cron-apt

सावधानी: यह 100% पूर्ण-सबूत नहीं है। सुनिश्चित करें कि हम आपको तक पहुंच सकते हैं।

दुर्भाग्य से, हम स्वचालित रूप से सब कुछ ठीक नहीं कर सकते हैं ताकि यह अभी भी बहुत महत्वपूर्ण है कि हम आपको जब आवश्यक हो तो संपर्क करने में सक्षम होंगे। सुनिश्चित करें कि आप TurnKey के कम यातायात घोषणापत्र के लिए सदस्यता लें। पंजीकरण एक मुफ्त वेबसाइट उपयोगकर्ता खाते के लिए, "सुरक्षा और समाचार घोषणा" सबक्रिप्टिपोन चेकबॉक्स को टिक करना चाहिए। यदि पहले से ही पंजीकृत हो, तो अपने "उपस्क्रिप्शन" टैब को चेक करें उपयोगकर्ता खाता जानकारी).

अन्यथा आप यह नहीं जानते कि एक समस्या को आपके ध्यान की आवश्यकता होती है जब तक कि यह बहुत देर तक नहीं हो। निश्चित रूप से, स्वचालित सुरक्षा अद्यतनों के लिए धन्यवाद हम आम तौर पर आपको सुरक्षा मुद्दों के बारे में परेशान करने की आवश्यकता नहीं है, लेकिन कभी-कभी अपवाद हैं ...

1. सब कुछ स्वचालित रूप से अद्यतन किया जा सकता है: स्वचालित सुरक्षा अद्यतन केवल समर्थित सॉफ्टवेयर के लिए काम करता है जो पैकेज प्रबंधन प्रणाली का उपयोग करके बनाए रखा जाता है। सभी सॉफ्टवेयर पैकेज प्रबंधन प्रणाली के माध्यम से स्थापित नहीं है। पैकेज प्रबंधन के माध्यम से स्थापित सभी सॉफ्टवेयर समर्थित नहीं है। विवरण के लिए नीचे सीमाएँ अनुभाग देखें।
    
2. कुछ बग स्वचालित अद्यतन तोड़ सकते हैंहालांकि सुरक्षा अद्यतन जितना संभव हो उतना कम बदल जाता है और असाधारण रूप से अच्छी तरह से परीक्षण किया जाता है, गलतियां अभी भी हो सकती हैं। आमतौर पर इन्हें एक अन्य स्वचालित अद्यतन के साथ पकड़ा और तय किया जा सकता है, लेकिन मैनुअल हस्तक्षेप अभी भी उन बगों के लिए आवश्यक है जो ऑटो-अपडेट्स तंत्र को तोड़ते हैं या इसके किसी एक में निर्भरता (जैसे,) उबंटू टूट गया क्रोन).

यह कैसे काम करता है

जो उपयोगकर्ता स्वतः अद्यतन तंत्र को ट्वीक करना चाहते हैं उन्हें यह समझने में मदद मिल सकती है कि यह कैसे स्थापित है।

1) एक क्रोन नौकरी चलाने के लिए कॉन्फ़िगर किया गया है क्रोन-apt दैनिक

# cat /etc/cron.d/cron-apt
#
# Regular cron jobs for the cron-apt package
#
# Every night at 4 o'clock.
0 4     * * *   root    test -x /usr/sbin/cron-apt && /usr/sbin/cron-apt

2) क्रोन-apt केवल सुरक्षा स्रोतों की सूची से अद्यतन करने के लिए कॉन्फ़िगर किया गया है।

# cat security.sources.list
deb http://archive.turnkeylinux.org/debian buster-security main

deb http://security.debian.org/ buster/updates main
deb http://security.debian.org/ buster/updates contrib
# deb http://security.debian.org/ buster/updates non-free

3) क्रोन-apt अद्यतन स्वचालित रूप से स्थापित करने के लिए कॉन्फ़िगर किया गया है:

$ cat /etc/cron-apt/action.d/5-install
autoclean -y
dist-upgrade -y -o APT::Get::Show-Upgraded=true \
                   -o Dir::Etc::sourcelist=/etc/apt/sources.list.d/security.sources.list \
                   -o Dir::Etc::sourceparts=nonexistent \
                   -o DPkg::Options::=--force-confdef \
                   -o DPkg::Options::=--force-confold

4) क्रोन-apt लॉग इन /var/log/cron-apt/log

अंक संकल्प विकल्प

एक ऐसा मौका है कि सुरक्षा अद्यतन में एक नया निर्भरता हो सकती है जो /etc/apt/sources.d/security.sources.list. में कॉन्फ़िगर की गई सुरक्षा में से एक में स्थित नहीं है। क्योंकि ऑटो सुरक्षा अद्यतन होगा केवल कभी सुरक्षा प्रस्तावों से संकुल स्थापित करें, यदि सुरक्षा अद्यतन को एक नई निर्भरता की आवश्यकता होती है जो सुरक्षा रेपो (जैसे "मुख्य" में) में नहीं है तो यह पूरी तरह से भरा होगा। डिफ़ॉल्ट ऑटो सेकंड अद्यतन विन्यास तब पैकेज को उपलब्ध सुरक्षा अद्यतन के साथ अनइंस्टॉल करने का कारण बन जाएगा। मैं TurnKey के इतिहास में एक बार होने के बारे में जागरूक हूं ()नवम्बर 2018 - v15.x). उस विशेष घटना में MariaDB ऑटो-अनइंस्टॉल किया गया था, दुर्घटनाग्रस्त अनुप्रयोगों जो TurnKey पुस्तकालय के ~70% में शामिल होने वाले बहुत लोकप्रिय और सामान्य डेटाबेस पर निर्भर करता है।

जबकि TurnKey सर्वर स्वयं दौड़ना जारी रहेगा, जाहिर है एक टूटी हुई वेबसाइट आदर्श से दूर है! इस डिफ़ॉल्ट व्यवहार के ऊपर यह है कि एक एप्लिकेशन दुर्घटना यह सुनिश्चित करेगा कि आपका सर्वर सुरक्षित रहेगा और आप इस मुद्दे को बहुत जल्दी जानते हैं। हालांकि आपकी वेब साइट टूट सकती है, लेकिन यह एक असुरक्षित पैकेज के कारण शोषण योग्य नहीं होगा। आप मैन्युअल रूप से हटाए गए पैकेज को पुनः स्थापित कर सकते हैं और सभी फिर से अच्छी तरह से होंगे।

हालांकि, यदि आपका TurnKey सर्वर "मिशन क्रिटिकल" है तो एक आउटेज जो केवल मैनुअल हस्तक्षेप द्वारा हल किया जा सकता है, एक वास्तविक समस्या हो सकती है। इस परिदृश्य में, अद्यतन स्थापित करने की सुरक्षा व्यापार-बंद इसके लायक हो सकता है। यह विशेष रूप से मामला होगा यदि सर्वर एक छात्रावास नेटवर्क में नहीं चल रहा है - उदाहरण के लिए LAN के भीतर और सार्वजनिक रूप से सुलभ नहीं है।

यह संभावित अद्यतन मुद्दे पूरी तरह से ऑटो सुरक्षा अद्यतन को निष्क्रिय करके काम किया जा सकता है। हालांकि, मध्य क्षेत्र है। TurnKey सुरक्षा अद्यतन स्थापित करने के लिए एक विन्यास विकल्प प्रदान करता है, लेकिन वैकल्पिक रणनीति के माध्यम से इस संभावित मुद्दे से बचने के लिए। कभी नहीं किसी भी पैकेज को हटा दें यदि कोई सुरक्षा अद्यतन स्थापित नहीं हो सकता है तो यह (अनप्याजित और संभावित रूप से असुरक्षित) पैकेज को छोड़ देगा। इस वैकल्पिक रणनीति को TurnKey के माध्यम से चुना जा सकता है Confconsole:

Confconsole >> System settings >> Secupdate behavior

जो भी रणनीति आप उपयोग करते हैं, आपको अंतर्निहित जोखिम व्यापार-बंद के बारे में जागरूक होना होगा। और वैसे, सुनिश्चित करें कि आप किस तरह से उपयोग करते हैं, आपको अंतर्निहित जोखिम व्यापार-बंद के बारे में जागरूक होना होगा। सुनिश्चित करें कि हम आपको पहुंच सकते हैं इसलिए हम आपको किसी भी मैनुअल चरणों के आसपास लूप में रख सकते हैं, जो इस मुद्दे को हल करने के लिए आवश्यक हैं।

सीमा

नवीनतम TurnKey Linux रिलीज़ आम तौर पर Debian स्थिर के नवीनतम संस्करण पर आधारित होता है ( अपवाद एक छोटा सा अंतराल होता है जब एक नया Debian स्थिर जारी होता है)। Debian सुरक्षा टीम Debian के लिए आवश्यक सभी पैकेजों के लिए बैकपोर्टेड सुरक्षा फिक्स प्रदान करता है, जो TurnKey सिस्टम को स्वचालित रूप से स्थापित करने के लिए कॉन्फ़िगर किया गया है (इस पृष्ठ के अनुसार)। Debian सुरक्षा टीम एक नए 'स्थिर' की रिहाई के बाद एक वर्ष के लिए Debian 'oldstable' के लिए सुरक्षा अद्यतन प्रदान करना जारी रखती है। इस प्रारंभिक वर्ष के बाद, सुरक्षा रखरखाव को LTS (लंबी अवधि के समर्थन) टीम को सौंप दिया जाता है। LTS टीम सुरक्षा अद्यतन प्रदान करने के लिए जारी रहेगा। सबसे ज्यादा LTS के जीवन के लिए पैकेज जारी होने के (4 साल बाद सुरक्षा टीम हाथ की मुख्यता - यानी निम्नलिखित 'स्थिर' रिलीज से 5 साल)।

हालांकि, Debian की सुरक्षा कवरेज उन पैकेजों पर लागू नहीं होती है जो Debian से उत्पन्न नहीं होते हैं।

• ट्रस्टेड तीसरे पक्ष के प्रस्ताव: आदर्श रूप से Debian पैकेज रिपॉजिटिव्स हमारे सॉफ़्टवेयर की जरूरतों का 100% कवर करेगा। दुर्भाग्य से अभ्यास में वहाँ बहुत अच्छा सॉफ्टवेयर है कि Debian पैकेज नहीं करता है। इन मामलों में, जहां संभव TurnKey विश्वसनीय तृतीय पक्ष के भंडार से सीधे सॉफ्टवेयर स्थापित करेगा।
  
  ध्यान दें कि Debian / TurnKey से उत्पन्न कोई भी पैकेज में ऐप पेज पर और उत्पाद के स्रोत कोड में भी लिखा गया है।
   
• TurnKey Linux कस्टम पैकेजTurnKey में कुछ शामिल हैं कस्टम पैकेज जो परियोजना के क्रिप्टोग्राफिक रूप से हस्ताक्षरित कोर डेवलपर्स द्वारा सीधे अद्यतन किए जाते हैं पैकेज भंडारसुरक्षा अद्यतन TurnKey सुरक्षा रेपो और डिफ़ॉल्ट स्वचालित सुरक्षा अद्यतन तंत्र द्वारा स्थापित ऑटो के माध्यम से प्रदान किया जाएगा।
   
• सॉफ्टवेयर स्रोत कोड से स्थापितदुर्भाग्य से, कई सबसे लोकप्रिय ओपन सोर्स वेब एप्लिकेशन (जैसे, जूमला) Debian द्वारा पैक नहीं किए जाते हैं। इसका मतलब यह है कि उन्हें सीधे सीधे अपस्ट्रीम सोर्स कोड से हाथ से स्थापित और बनाए रखा जाना है और पैकेज के माध्यम से कोई स्वचालित सुरक्षा अपडेट नहीं दिया जा सकता है। प्रबंधन प्रणाली।
  
  सौभाग्य से, अधिकांश वेब अनुप्रयोग कम विशेषाधिकारों के साथ चल रहे हैं और उच्च स्तरीय प्रोग्रामिंग भाषाओं में विकसित किए गए हैं जो कई गंभीर गंभीर गंभीर लोगों के लिए कम संवेदनशील हैं। निम्न स्तर की सुरक्षा भेद्यता। जब आप प्रत्येक ऐप को अपनी आभासी मशीन में तैनात करते हैं, तो यह अन्य ऐप से अलग है। यह संभावित नुकसान को कुछ हद तक सीमित करता है लेकिन सतर्कता अभी भी अनुशंसित है, खासकर उच्च जोखिम वाले उपयोग परिदृश्यों के लिए।
  
  जब TurnKey सर्वर में अपस्ट्रीम सोर्स कोड से स्थापित सॉफ्टवेयर शामिल होता है, तो यह आमतौर पर ऐप पेज पर लिखी गई पहली चीज है। कई (सबसे ज्यादा?) में भी अद्यतन/अपग्रेड प्रक्रिया है। जितना संभव हो हम अपस्ट्रीम सिफारिशों के अनुसार आवेदन स्थापित करने की कोशिश करते हैं, इसलिए अपस्ट्रीम अपग्रेड डॉक्स आम तौर पर लागू होंगे। यदि आप किसी भी समस्या को अपग्रेड करने के लिए प्रोत्साहित करते हैं, तो कृपया हमें रिपोर्ट करने में संकोच न करें और हम समर्थन प्रदान करेंगे। हम हमेशा "सर्वश्रेष्ठ प्रयास" समर्थन प्रदान करेंगे, लेकिन कृपया ध्यान दें कि विशेष रूप से पुराने सॉफ्टवेयर को अपग्रेड करना कभी-कभी समस्याग्रस्त हो सकता है।

आप पैकेज के मूल को निर्धारित करने के लिए "apt नीति" आदेश का उपयोग कर सकते हैं। ध्यान दें कि आपको यह सुनिश्चित करने से पहले कि आपका स्थानीय पैकेज इंडेक्स रिपॉज़िटरी सर्वर के साथ तारीख तक है, आपको आम तौर पर "apt अद्यतन" चलाने चाहिए।

# apt policy openssh-server
openssh-server:
  Installed: 1:9.2p1-2+deb12u3
  Candidate: 1:9.2p1-2+deb12u3
  Version table:
 *** 1:9.2p1-2+deb12u3 500
        500 http://security.debian.org/debian-security bookworm-security/main amd64 Packages
        500 http://deb.debian.org/debian bookworm/main amd64 Packages
        100 /var/lib/dpkg/status

So in the case of openssh-server, we have the most recent version installed and are receiving updates automatically from the security.debian.org repository.