diff options
Diffstat (limited to 'mn_MN.UTF-8/books/handbook/security/chapter.xml')
| -rw-r--r-- | mn_MN.UTF-8/books/handbook/security/chapter.xml | 627 |
1 files changed, 280 insertions, 347 deletions
diff --git a/mn_MN.UTF-8/books/handbook/security/chapter.xml b/mn_MN.UTF-8/books/handbook/security/chapter.xml index 8bf812605e..3139f613e7 100644 --- a/mn_MN.UTF-8/books/handbook/security/chapter.xml +++ b/mn_MN.UTF-8/books/handbook/security/chapter.xml @@ -6,31 +6,21 @@ $FreeBSD$ --> - -<chapter id="security"> - <chapterinfo> +<chapter xmlns="http://docbook.org/ns/docbook" xmlns:xlink="http://www.w3.org/1999/xlink" version="5.0" xml:id="security"> + <info><title>Аюулгүй байдал</title> <authorgroup> - <author> - <firstname>Мэтью</firstname> - <surname>Диллон</surname> - <contrib>Энэ бүлгийн ихэнх хэсгийг security(7) гарын авлагын хуудаснаас авсан бөгөөд - security(7) гарын авлагын хуудсыг бичсэн </contrib> - </author> + <author><personname><firstname>Мэтью</firstname><surname>Диллон</surname></personname><contrib>Энэ бүлгийн ихэнх хэсгийг security(7) гарын авлагын хуудаснаас авсан бөгөөд + security(7) гарын авлагын хуудсыг бичсэн </contrib></author> </authorgroup> <authorgroup> - <author> - <firstname>Цагаанхүүгийн</firstname> - <surname>Ганболд</surname> - <contrib>Орчуулсан </contrib> - <!-- Dec 2006 --> - </author> + <author><personname><firstname>Цагаанхүүгийн</firstname><surname>Ганболд</surname></personname><contrib>Орчуулсан </contrib></author> </authorgroup> - </chapterinfo> + </info> - <title>Аюулгүй байдал</title> + <indexterm><primary>аюулгүй байдал</primary></indexterm> - <sect1 id="security-synopsis"> + <sect1 xml:id="security-synopsis"> <title>Ерөнхий агуулга</title> <para>Энэ бүлэг нь системийн аюулгүй байдлын ухагдахуунуудын үндэс, зарим нэг нийтлэг @@ -115,7 +105,7 @@ хэлэлцэгдсэн байгаа.</para> </sect1> - <sect1 id="security-intro"> + <sect1 xml:id="security-intro"> <title>Танилцуулга</title> <para>Аюулгүй байдал нь системийн администратораас эхэлж түүнтэй дуусдаг @@ -135,7 +125,7 @@ асуудал болсоор байна.</para> <para>Системийн аюулгүй байдал нь сүйрүүлэхийг оролдсон эсвэл системийг - ашиглагдахааргүй болгох гэсэн, гэхдээ <username>root</username> + ашиглагдахааргүй болгох гэсэн, гэхдээ <systemitem class="username">root</systemitem> бүртгэлийг буулган авах (<quote>root-г эвдэх</quote>) оролдлого хийдэггүй, халдлагууд зэрэг төрөл бүрийн халдлагуудыг зогсоохтой бас хамааралтай юм. Аюулгүй байдлын санаа зовнилуудыг хэд хэдэн зэрэглэлд @@ -206,12 +196,12 @@ алсаас хандсан бүртгэлүүд дээрээс бүр амжилттай болсон нэвтрэлтүүдэд хүртэл сэжигтэй эхлэл хаягууд байгаа эсэхийг хайн шинжилдэг.</para> - <para>Халдагч хэрэглэгчийн бүртгэлд хандаж чадсаны дараа <username>root</username>-г + <para>Халдагч хэрэглэгчийн бүртгэлд хандаж чадсаны дараа <systemitem class="username">root</systemitem>-г бас эвдэж чадна гэдгийг үргэлж бодож байх хэрэгтэй. Гэхдээ жинхэнэ амьдрал дээр бол сайн аюулгүй байдлыг хангаж нууцлаг болгосон байнга ажиллагааг нь хянаж байдаг систем дээр - хэрэглэгчийн бүртгэлд хандах нь халдагч заавал ч үгүй <username>root</username> + хэрэглэгчийн бүртгэлд хандах нь халдагч заавал ч үгүй <systemitem class="username">root</systemitem> эрхэд хандаж чадна гэсэн үг биш юм. Энэ ялгааг зөв салгаж ойлгох хэрэгтэй. Учир нь - <username>root</username> уруу хандах боломжгүй халдагч ерөнхийдөө өөрийн + <systemitem class="username">root</systemitem> уруу хандах боломжгүй халдагч ерөнхийдөө өөрийн мөрийг баллаж нууж чаддаггүй бөгөөд тухайн хэрэглэгчийн файлуудыг замбараагүйтүүлэх эсвэл машиныг сүйрүүлэхээс илүүтэйг хийж чаддаггүй. Хэрэглэгчид нь сисадминууд шиг аюулгүй байдлын арга хэмжээг тэр болгон авдаггүй болохоор хэрэглэгчийн бүртгэлийн @@ -222,19 +212,19 @@ <secondary>арын хаалганууд</secondary> </indexterm> - <para>Машин дээрх <username>root</username> бүртгэлийг эвдэх боломжит олон + <para>Машин дээрх <systemitem class="username">root</systemitem> бүртгэлийг эвдэх боломжит олон аргууд байдгийг системийн администраторууд санаж байх хэрэгтэй. Халдагч нь - <username>root</username>-н нууц үгийг мэдэж болно. Эсвэл халдагч root + <systemitem class="username">root</systemitem>-н нууц үгийг мэдэж болно. Эсвэл халдагч root эрхээр ажилладаг серверт алдаа олж сүлжээгээр тэр сервер уруу дамжин орж - <username>root</username>-г эвдэж болно. Эсвэл халдагч нь suid-root + <systemitem class="username">root</systemitem>-г эвдэж болно. Эсвэл халдагч нь suid-root програмд алдаа байгааг мэдэж хэрэглэгчийн бүртгэлийг эвдэн орсныхоо дараа - тэр алдаагаар дамжин <username>root</username>-г эвдэн орж болох юм. - Хэрэв халдагч машин дээрх <username>root</username>-г эвдэх аргаа + тэр алдаагаар дамжин <systemitem class="username">root</systemitem>-г эвдэн орж болох юм. + Хэрэв халдагч машин дээрх <systemitem class="username">root</systemitem>-г эвдэх аргаа олсон бол заавал арын хаалга суулгах шаардлагагүй болж болох юм. - <username>root</username>-н цоорхойнуудын олонхийг тухайн үед аль хэдийн + <systemitem class="username">root</systemitem>-н цоорхойнуудын олонхийг тухайн үед аль хэдийн олоод хаачихсан байдаг бөгөөд энэ үед халдагчид өөрийн мөрөө цэвэрлэхэд ихээхэн ажиллагаа шаарддаг болохоор ихэнх халдагчид арын хаалга суулгадаг. - Арын хаалга нь систем уруу хандах <username>root</username> хандалтыг + Арын хаалга нь систем уруу хандах <systemitem class="username">root</systemitem> хандалтыг халдагчид амархнаар дахин олж авах боломжийг олгодог боловч энэ нь ухаалаг системийн администраторт халдлагыг амархнаар илрүүлэх боломжийг бас олгодог юм. Халдагчийн хамгийн эхлээд эвдэн орсон цоорхойг хааж чаддаггүй болохоор арын хаалга @@ -246,11 +236,11 @@ <orderedlist> <listitem> - <para><username>root</username> болон staff бүртгэлүүдийг нууцлаг/аюулгүй болгох.</para> + <para><systemitem class="username">root</systemitem> болон staff бүртгэлүүдийг нууцлаг/аюулгүй болгох.</para> </listitem> <listitem> - <para><username>root</username>–ажилладаг серверүүд + <para><systemitem class="username">root</systemitem>–ажилладаг серверүүд болон suid/sgid хоёртын файлуудыг аюулгүй болгох.</para> </listitem> @@ -280,7 +270,7 @@ авч үзэх болно.</para> </sect1> - <sect1 id="securing-freebsd"> + <sect1 xml:id="securing-freebsd"> <title>&os;-н аюулгүй байдлыг хангах нь</title> <indexterm> <primary>аюулгүй байдал</primary> @@ -300,69 +290,69 @@ сүүлийн хэсэг</link>т дурдсан таны &os; системийг аюулгүй болгох аргуудыг авч үзнэ.</para> - <sect2 id="securing-root-and-staff"> - <title><username>root</username> бүртгэл болон staff бүртгэлүүдийг + <sect2 xml:id="securing-root-and-staff"> + <title><systemitem class="username">root</systemitem> бүртгэл болон staff бүртгэлүүдийг аюулгүй болгох</title> <indexterm> <primary><command>su</command></primary> </indexterm> - <para>Эхлээд хэрэв та <username>root</username> бүртгэлийг аюулгүй болгоогүй + <para>Эхлээд хэрэв та <systemitem class="username">root</systemitem> бүртгэлийг аюулгүй болгоогүй бол staff бүртгэлүүдийг аюулгүй болгоход санаа зовсны хэрэггүй. Ихэнх системүүд - <username>root</username> бүртгэлд нууц үг өгсөн байдаг. Таны эхний хийх + <systemitem class="username">root</systemitem> бүртгэлд нууц үг өгсөн байдаг. Таны эхний хийх зүйл бол нууц үг <emphasis>үргэлж</emphasis> эвдэгдэж болно гэдгийг бодох хэрэгтэй. Энэ нь та нууц үгээ устгах хэрэгтэй гэсэн үг биш юм. Нууц үг нь машин уруу консол хандалт хийхэд үргэлж хэрэгтэй байдаг. Энэ нь юу гэсэн үг вэ гэхээр та нууц үгийг консолоос гадна эсвэл болж өгвөл бүр &man.su.1; тушаалтай ашиглаж болохоор хийх ёсгүй гэсэн үг юм. Жишээ нь <command>telnet</command> эсвэл <command>rlogin</command>-р хийгдэх - шууд <username>root</username> нэвтрэлтүүдийг хаах pty-уудын тохиргоог insecure + шууд <systemitem class="username">root</systemitem> нэвтрэлтүүдийг хаах pty-уудын тохиргоог insecure буюу аюултай гэж <filename>/etc/ttys</filename> файлд заасан эсэхийг шалгаарай. Хэрэв бусад нэвтрэх үйлчилгээнүүд болох <application>sshd</application> - зэргийг ашиглаж байгаа бол шууд <username>root</username> нэвтрэлтүүдийг + зэргийг ашиглаж байгаа бол шууд <systemitem class="username">root</systemitem> нэвтрэлтүүдийг бас хаасан эсэхийг шалгаарай. Та үүнийг <filename>/etc/ssh/sshd_config</filename> файлыг засварлан <literal>PermitRootLogin</literal> тохируулгыг <literal>no</literal> болгон зааж өгөөрэй. Хандах арга бүр — FTP зэрэг үйлчилгээнүүдээр ихэвчлэн эвдлэн ордог болохыг бодолцох хэрэгтэй. - Шууд <username>root</username> нэвтрэлтүүд зөвхөн системийн консолоор хийгдэхэд + Шууд <systemitem class="username">root</systemitem> нэвтрэлтүүд зөвхөн системийн консолоор хийгдэхэд зөвшөөрөгдөх ёстой.</para> <indexterm> - <primary><groupname>wheel</groupname></primary> + <primary><systemitem class="groupname">wheel</systemitem></primary> </indexterm> - <para>Мэдээж систем админы хувьд та <username>root</username> + <para>Мэдээж систем админы хувьд та <systemitem class="username">root</systemitem> уруу орж чадаж байх ёстой болохоор бид хэдэн цоорхой үлдээдэг. Гэхдээ эдгээр цоорхойнууд нь нэмэлт нууц үг шалгаж ажилладаг байхаар - бид хийдэг. <username>root</username>-г хандах боломжтой - байлгах нэг арга нь тохирох staff бүртгэлүүдийг <groupname>wheel</groupname> + бид хийдэг. <systemitem class="username">root</systemitem>-г хандах боломжтой + байлгах нэг арга нь тохирох staff бүртгэлүүдийг <systemitem class="groupname">wheel</systemitem> бүлэгт (<filename>/etc/group</filename> файлд) нэмэх явдал юм. - <groupname>wheel</groupname> бүлэгт оруулсан staff-ийн гишүүдэд - <username>root</username> уруу <command>su</command> хийхийг + <systemitem class="groupname">wheel</systemitem> бүлэгт оруулсан staff-ийн гишүүдэд + <systemitem class="username">root</systemitem> уруу <command>su</command> хийхийг зөвшөөрдөг. Та staff-ийн гишүүдийг тэдгээрийн нууц үгийн оруулгад - <groupname>wheel</groupname> бүлэгт оруулан байрлуулж анхнаас нь - <groupname>wheel</groupname> хандалт өгч хэзээ ч болохгүй. - Staff бүртгэлүүдийг <groupname>staff</groupname> бүлэгт + <systemitem class="groupname">wheel</systemitem> бүлэгт оруулан байрлуулж анхнаас нь + <systemitem class="groupname">wheel</systemitem> хандалт өгч хэзээ ч болохгүй. + Staff бүртгэлүүдийг <systemitem class="groupname">staff</systemitem> бүлэгт оруулах ёстой бөгөөд тэгээд дараа нь <filename>/etc/group</filename> - файлын <groupname>wheel</groupname> бүлэгт нэмэх ёстой. - Зөвхөн <username>root</username> хандалт заавал шаардлагатай - тийм staff-ийн гишүүдийг <groupname>wheel</groupname> бүлэгт + файлын <systemitem class="groupname">wheel</systemitem> бүлэгт нэмэх ёстой. + Зөвхөн <systemitem class="username">root</systemitem> хандалт заавал шаардлагатай + тийм staff-ийн гишүүдийг <systemitem class="groupname">wheel</systemitem> бүлэгт оруулах ёстой. Kerberos зэрэг жинхэнээ шалгуулж нэвтрэх аргыг ашиглаж - байх тохиолдолд заавал <groupname>wheel</groupname> бүлэгт оруулалгүйгээр - <username>root</username> бүртгэл дэх Kerberos-ийн + байх тохиолдолд заавал <systemitem class="groupname">wheel</systemitem> бүлэгт оруулалгүйгээр + <systemitem class="username">root</systemitem> бүртгэл дэх Kerberos-ийн <filename>.k5login</filename> файлыг ашиглаж - <username>root</username> уруу &man.ksu.1; хийхийг зөвшөөрөх + <systemitem class="username">root</systemitem> уруу &man.ksu.1; хийхийг зөвшөөрөх бас боломжтой байдаг. Энэ нь магадгүй давуу шийдэл байж болох юм. Учир нь хэрэв халдагч таны нууц үгийн файлыг олж аван staff бүртгэлийг - эвдлэн орж чадах бол <groupname>wheel</groupname> арга нь - халдагчид <username>root</username>-г эвдэх боломжийг олгосон хэвээр - байдаг юм. <groupname>wheel</groupname> аргатай байх нь огт аргагүй + эвдлэн орж чадах бол <systemitem class="groupname">wheel</systemitem> арга нь + халдагчид <systemitem class="username">root</systemitem>-г эвдэх боломжийг олгосон хэвээр + байдаг юм. <systemitem class="groupname">wheel</systemitem> аргатай байх нь огт аргагүй байхаас илүү боловч энэ нь заавал ч үгүй хамгийн аюулгүй сонголт бас биш юм.</para> <para>Бүртгэлийг бүрэн түгжихийн тулд &man.pw.8; тушаалыг ашиглах хэрэгтэй:</para> - <screen>&prompt.root; <userinput>pw lock <replaceable>staff</replaceable></userinput></screen> + <screen>&prompt.root; <userinput>pw lock staff</userinput></screen> <para>Энэ нь &man.ssh.1;-ийг оролцуулаад хэрэглэгчийг ямар ч арга ашиглан нэвтрэн орохыг хориглоно.</para> @@ -379,7 +369,7 @@ <programlisting>foobar:*:1000:1000::0:0:Foo Bar:/home/foobar:/usr/local/bin/tcsh</programlisting> - <para>Энэ нь <username>foobar</username> хэрэглэгчийг ердийн + <para>Энэ нь <systemitem class="username">foobar</systemitem> хэрэглэгчийг ердийн аргууд ашиглан нэвтрэн орох боломжийг хаадаг. Энэ хандалт хязгаарлах арга нь <application>Kerberos</application> ашиглаж байгаа сайтууд эсвэл хэрэглэгч &man.ssh.1; ашиглан түлхүүрүүд @@ -441,9 +431,9 @@ хандлагатай гэдгийг санаж байх хэрэгтэй. Жишээ нь <application>imapd</application> эсвэл <application>popper</application> серверийн хуучин хувилбарыг - ажиллуулна гэдэг нь универсал <username>root</username> тасалбарыг + ажиллуулна гэдэг нь универсал <systemitem class="username">root</systemitem> тасалбарыг бүх дэлхийд өгч байна гэсэн үг юм. Та няхуур шалгаагүй сервер битгий ажиллуул. - Олон серверүүд заавал <username>root</username> эрхээр ажиллах + Олон серверүүд заавал <systemitem class="username">root</systemitem> эрхээр ажиллах шаардлагагүй байдаг. Жишээ нь <application>ntalk</application>, <application>comsat</application>, болон <application>finger</application> дэмонуудыг тусгай хэрэглэгчийн @@ -456,7 +446,7 @@ болно. Аль болох олон давхаргыг халдагч эвдлэх ёстой болох тусам тэдгээрийн амжилттай болох нь улам багасах болно. Урьд нь root цоорхойнууд нь системийн үндсэн серверүүдээс авахуулаад бараг л бүх - <username>root</username> ажилладаг сервер дээр олдож байсан. + <systemitem class="username">root</systemitem> ажилладаг сервер дээр олдож байсан. Хэрэв таны ажиллуулдаг машин уруу хүмүүс зөвхөн <application>sshd</application> ашиглан нэвтэрдэг бөгөөд <application>telnetd</application>, <application>rshd</application> эсвэл @@ -487,19 +477,19 @@ болон бусад. Эдгээрийн зарим шиг бас өөр серверүүд байдаг боловч тэдгээрийг суулгах нь таны хүсэж байгаагаас илүү (амархан байх гэсэн асуудал энд сөхөгдөж байна) их ажиллагаа шаардаж магадгүй юм. Та эдгээр серверүүдийг - магадгүй <username>root</username> эрхээр ажиллуулж тэдгээрт учирч болох + магадгүй <systemitem class="username">root</systemitem> эрхээр ажиллуулж тэдгээрт учирч болох эвдрэн оролтуудыг илрүүлэх өөр арга замуудад найдах хэрэгтэй болж болох юм.</para> - <para>Системийн өөр нэг том боломжтой <username>root</username> цоорхойнууд + <para>Системийн өөр нэг том боломжтой <systemitem class="username">root</systemitem> цоорхойнууд бол системд суусан suid-root болон sgid хоёртын файлууд юм. <application>rlogin</application> зэрэг эдгээрийн ихэнх нь - <filename class="directory">/bin</filename>, <filename class="directory">/sbin</filename>, - <filename class="directory">/usr/bin</filename>, эсвэл <filename class="directory">/usr/sbin</filename> + <filename>/bin</filename>, <filename>/sbin</filename>, + <filename>/usr/bin</filename>, эсвэл <filename>/usr/sbin</filename> сангуудад байрладаг. Юу ч 100% аюулгүй байдаггүй боловч системийн анхдагч suid болон sgid хоёртын файлууд нь боломжийн хэрээр аюулгүй гэж тооцогддог. - Гэсэн хэдий ч эдгээр хоёртын файлуудад <username>root</username> цоорхойнууд + Гэсэн хэдий ч эдгээр хоёртын файлуудад <systemitem class="username">root</systemitem> цоорхойнууд үе үе олддог. <application>xterm</application>-г (энэ нь ихэвчлэн suid - байдаг) эмзэг болгосон <username>root</username> цоорхойнууд 1998 онд + байдаг) эмзэг болгосон <systemitem class="username">root</systemitem> цоорхойнууд 1998 онд <literal>Xlib</literal>-д олджээ. Харамсахаасаа өмнө аюулгүй байж байсан нь дээр учраас хянамгай сисадмин зөвхөн staff ажиллуулах ёстойгоор staff зөвхөн хандаж чадах тусгай бүлэгт зөвшөөрч suid хоёртын файлуудыг @@ -512,14 +502,14 @@ шифрлэсэн нууц үгийн файлыг уншихад хүргэдэг. Бас <literal>kmem</literal> бүлгийг эвдсэн халдагч secure буюу аюулгүй аргаар дамжин нэвтрэн орсон хэрэглэгчдийн ашиглаж байгаа pty-уудаар илгээгдсэн гарын товчнуудын даралтуудыг - хянаж чаддаг. <groupname>tty</groupname> бүлгийг эвдсэн халдагч + хянаж чаддаг. <systemitem class="groupname">tty</systemitem> бүлгийг эвдсэн халдагч бараг дурын хэрэглэгчийн tty-д бичиж чадна. Хэрэв хэрэглэгч гар дуурайх боломж бүхий терминал програм эсвэл эмулятор ажиллуулж байгаа бол хэрэглэгчийн терминалыг тушаал буцаан харуулахаар болгодог өгөгдлийн урсгалыг халдагч үүсгэж дараа нь тэр тушаалыг тэр хэрэглэгчийн эрхээр ажиллуулдаг.</para> </sect2> - <sect2 id="secure-users"> + <sect2 xml:id="secure-users"> <title>Хэрэглэгчийн бүртгэлүүдийг аюулгүй болгох</title> <para>Хэрэглэгчийн бүртгэлүүдийг аюулгүй болгох нь ихэвчлэн хамгийн хэцүү @@ -541,37 +531,36 @@ <para>Цорын ганц итгэлтэй арга бол аль болох олон нууц үгүүдийг од болгон тэдгээр бүртгэлүүдэд хандахын тулд ssh эсвэл Kerberos ашигла. Шифрлэгдсэн нууц үгийн файлыг (<filename>/etc/spwd.db</filename>) - зөвхөн <username>root</username> уншиж чаддаг боловч халдагч + зөвхөн <systemitem class="username">root</systemitem> уншиж чаддаг боловч халдагч root-бичих хандалт олж авч чадаагүй ч гэсэн тэр файлд унших эрх олж авах боломжтой байж болох юм.</para> <para>Таны аюулгүй байдлын скриптүүд нууц үгийн файлд хийгдсэн өөрчлөлтүүдийг - үргэлж шалгаж тайлагнах шаардлагатай (доорх <link - linkend="security-integrity">Файлын бүрэн бүтэн байдлыг шалгах</link> + үргэлж шалгаж тайлагнах шаардлагатай (доорх <link linkend="security-integrity">Файлын бүрэн бүтэн байдлыг шалгах</link> хэсгийг үзнэ үү).</para> </sect2> <sect2> <title>Цөмийн гол хэсэг, түүхий төхөөрөмжүүд болон файлын системүүдийг аюулгүй болгох</title> - <para>Хэрэв халдагч <username>root</username>-г эвдсэн бол тэр юуг ч хийж чадах + <para>Хэрэв халдагч <systemitem class="username">root</systemitem>-г эвдсэн бол тэр юуг ч хийж чадах боловч зарим ашиг сонирхлууд байдаг. Жишээ нь орчин үеийн ихэнх цөмүүдэд пакет шиншлэх төхөөрөмжийн драйвер бүтээгдсэн байдаг. &os;-д энэ нь - <devicename>bpf</devicename> төхөөрөмж гэж нэрлэгддэг. Халдагч + <filename>bpf</filename> төхөөрөмж гэж нэрлэгддэг. Халдагч ердөө буулган авсан машин дээрээ пакет шиншлэгчийг ажиллуулахыг оролддог. Та халдагчид энэ боломжийг өгөх хэрэггүй бөгөөд ихэнх системүүдэд - <devicename>bpf</devicename> төхөөрөмжийг эмхэтгэн оруулах + <filename>bpf</filename> төхөөрөмжийг эмхэтгэн оруулах шаардлагагүй юм.</para> <indexterm> <primary><command>sysctl</command></primary> </indexterm> - <para>Гэхдээ <devicename>bpf</devicename> төхөөрөмжийг хаасан ч гэсэн + <para>Гэхдээ <filename>bpf</filename> төхөөрөмжийг хаасан ч гэсэн та <filename>/dev/mem</filename> болон <filename>/dev/kmem</filename> файлуудад бас санаа тавих хэрэгтэй. Энэнээс болоод халдагч түүхий (raw) төхөөрөмжүүдэд бичиж чадсан хэвээр байна. Мөн цөмийн бас нэг боломж болох модуль ачаалагч гэж нэрлэгддэг &man.kldload.8; байдаг. Самбаатай - халдагч KLD модуль ашиглаад өөрийн <devicename>bpf</devicename> + халдагч KLD модуль ашиглаад өөрийн <filename>bpf</filename> төхөөрөмж эсвэл бусад шиншлэх төхөөрөмжийг ажиллаж байгаа цөмд суулгадаг. Эдгээр асуудлуудаас зайлсхийхийн тулд та цөмийг илүү өндөр аюулгүй байдлын түвшинд ядаж аюулгүйн түвшин 1-д ажиллуулах хэрэгтэй.</para> @@ -581,7 +570,7 @@ цөмийн <varname>kern.securelevel</varname> хувьсагчийг <command>sysctl</command> ашиглан өөрчлөх явдал юм:</para> - <screen>&prompt.root; <userinput>sysctl kern.securelevel=<replaceable>1</replaceable></userinput></screen> + <screen>&prompt.root; <userinput>sysctl kern.securelevel=1</userinput></screen> <para>Анхдагчаар &os; цөм аюулгүй байдлын -1 түвшинтэй ачаалдаг. Аюулгүй байдлын түвшинг администратор эсвэл эхлүүлэх скриптүүд дэх тохиргооноос болоод @@ -607,7 +596,7 @@ <note> <para>Аюулгүйн түвшинг 1 эсвэл илүү өндөр түвшнээр дээшлүүлэх нь X11 (<filename>/dev/io</filename> руу хандах хандалт хаалттай байна) эсвэл - &os;-ийн бүтээлтийг эхээс суулгах (процессын <maketarget>installworld</maketarget> + &os;-ийн бүтээлтийг эхээс суулгах (процессын <buildtarget>installworld</buildtarget> хэсэг зарим файлуудын зөвхөн нэмэгдэх болон хувиршгүй тугуудыг түр зуур өөрчлөхийг шаарддаг) болон бусад цөөн тохиолдлуудын хувьд асуудлууд гаргаж болох юм. Заримдаа, жишээ нь X11-ийн хувьд ачаалах явцад &man.xdm.1;-ийг @@ -629,19 +618,19 @@ явцыг илүү хэцүү болгодог. Арай бага хязгаарлалттай өөр нэг боломж нь системийг илүү өндөр аюулгүйн түвшинд ажиллуулж гэхдээ <literal>schg</literal> тугийг системийн файл болон сан бүр дээр тохируулахгүй байх явдал юм. - Өөр нэг боломж нь <filename class="directory">/</filename> болон <filename class="directory">/usr</filename> + Өөр нэг боломж нь <filename>/</filename> болон <filename>/usr</filename> санг зөвхөн уншигдахаар холбох явдал юм. Юу зөвшөөрөгдсөн байх дээр хэтэрхий чанга байх нь халдлага илрүүлэлтийн бүх чухал зүйлсийг хязгаарлаж болох юм.</para> </sect2> - <sect2 id="security-integrity"> + <sect2 xml:id="security-integrity"> <title>Файлын бүрэн бүтэн байдлыг шалгах нь: Хоёртын файлууд, Тохиргооны файлууд, гэх мэт.</title> <para>Тэр мөч ирэхэд, та зөвхөн системийн гол тохиргоо болон хяналтын файлуудаа ая тухын хүчин зүйл урьтахаас хамаагүй өмнө хамгаалж чадна. Жишээ нь <command>chflags</command> тушаал ашиглан - <filename class="directory">/</filename> болон <filename class="directory">/usr</filename> + <filename>/</filename> болон <filename>/usr</filename> сангууд дахь ихэнх файлуудад <literal>schg</literal> битийг тохируулах нь магадгүй үр ашиггүй байж болох бөгөөд учир нь ингэснээр файлуудыг хамгаалахын хажуугаар бас илрүүлэх цонхыг хаадаг юм. Таны аюулгүй байдлын сонгины @@ -673,13 +662,13 @@ та хязгаарлагдмал хандалттай хайрцагт өгсний дараа яг мониторыг хийхдээ скрипт бичих хэрэгтэй. Өгөгдсөн NFS холболтод &man.find.1; болон &man.md5.1; зэрэг энгийн системийн хэрэгслүүд ашиглан та скриптүүд бичиж болно. Клиент хайрцгийн - файлуудад өдөрт нэг удаа физикээр md5 хийж <filename class="directory">/etc</filename> болон - <filename class="directory">/usr/local/etc</filename> сангууд дахь хяналтын файлуудыг + файлуудад өдөрт нэг удаа физикээр md5 хийж <filename>/etc</filename> болон + <filename>/usr/local/etc</filename> сангууд дахь хяналтын файлуудыг бүр илүү давтамжтайгаар шалгаж байх нь зүйтэй юм. Хязгаарлагдмал хандалттай машины зөв гэж тооцсон md5 мэдээлэлтэй харьцуулахад тарахгүй файлууд олдвол сисадминд үүнийг очиж шалгахыг хашгиран мэдээлэх ёстой. Аюулгүй байдлын сайн - скрипт нь тохирохгүй suid хоёртын файлууд болон <filename class="directory">/</filename> болон - <filename class="directory">/usr</filename> зэрэг системийн хуваалтууд дээрх шинээр үүссэн + скрипт нь тохирохгүй suid хоёртын файлууд болон <filename>/</filename> болон + <filename>/usr</filename> зэрэг системийн хуваалтууд дээрх шинээр үүссэн эсвэл устгагдсан файлуудыг бас шалгадаг.</para> <para>NFS биш ssh-ийг ашиглаж байх үед аюулгүй байдлыг скрипт бичих нь бүр илүү хэцүү @@ -805,7 +794,7 @@ <para>Та өөрийн захын чиглүүлэгчүүд дээрээ дотоод үйлчилгээнүүд уруугаа гаднаас хандуулахгүй болгож галт ханаар хамгаалах нь зүйтэй юм. Үүний цаадах санаа нь гаднаас ирж болзошгүй сүлжээ дүүргэх халдлагаас өөрийн LAN-г - хамгаалах явдал бөгөөд сүлжээн дээр тулгуурласан <username>root</username> + хамгаалах явдал бөгөөд сүлжээн дээр тулгуурласан <systemitem class="username">root</systemitem> эрхийг буулгахаас дотоод үйлчилгээнүүдийг хамгаалах зүйлс тийм их биш юм. exclusive буюу хамааруулаагүй галт ханыг үргэлж тохируулах хэрэгтэй, өөрөөр хэлбэл <quote>A, B, C, D болон M-Z портуудаас <emphasis>бусад</emphasis> @@ -913,7 +902,7 @@ олгодог түлхүүрүүд бүхий аюулгүй ажлын компьютертай бөгөөд та аюултай машин уруу ssh хийвэл таны түлхүүрүүд ашиглагдах боломжтой гэсэн үг юм. Яг түлхүүрүүд нь өөрсдөө ил гардаггүй боловч ssh нь таны нэвтэрсэн хугацааны туршид зориулж дамжуулах порт - суулгадаг бөгөөд хэрэв халдагч аюулгүй машин дээрх <username>root</username>-г + суулгадаг бөгөөд хэрэв халдагч аюулгүй машин дээрх <systemitem class="username">root</systemitem>-г эвдсэн бол тэрхүү портыг таны түлхүүрүүдийг ашиглахын тулд хэрэглэн таны түлхүүрээр тайлагдах өөр бусад машинуудад хандах боломжийг олж авах боломжтой юм.</para> @@ -930,19 +919,15 @@ </sect2> </sect1> - <sect1 id="crypt"> - <sect1info> + <sect1 xml:id="crypt"> + <info><title>DES, Blowfish, MD5, SHA256, SHA512 болон Crypt</title> <authorgroup> - <author> - <firstname>Билл</firstname> - <surname>Свингл</surname> - <contrib>Хэсгүүдийг дахин бичиж шинэчилсэн </contrib> - </author> + <author><personname><firstname>Билл</firstname><surname>Свингл</surname></personname><contrib>Хэсгүүдийг дахин бичиж шинэчилсэн </contrib></author> </authorgroup> - <!-- 21 Mar 2000 --> - </sect1info> + + </info> - <title>DES, Blowfish, MD5, SHA256, SHA512 болон Crypt</title> + <indexterm> <primary>аюулгүй байдал</primary> <secondary>crypt</secondary> @@ -1014,7 +999,7 @@ </sect2> </sect1> - <sect1 id="one-time-passwords"> + <sect1 xml:id="one-time-passwords"> <title>Нэг удаагийн нууц үгүүд</title> <indexterm><primary>нэг удаагийн нууц үгүүд</primary></indexterm> <indexterm> @@ -1254,18 +1239,14 @@ Enter secret pass phrase: <userinput><secret password></userinput> </sect2> </sect1> - <sect1 id="tcpwrappers"> - <sect1info> + <sect1 xml:id="tcpwrappers"> + <info><title>TCP Гүйцэтгэлийг хялбаршуулагчид</title> <authorgroup> - <author> - <firstname>Том</firstname> - <surname>Рөүдс</surname> - <contrib>Бичсэн </contrib> - </author> + <author><personname><firstname>Том</firstname><surname>Рөүдс</surname></personname><contrib>Бичсэн </contrib></author> </authorgroup> - </sect1info> + </info> - <title>TCP Гүйцэтгэлийг хялбаршуулагчид</title> + <indexterm><primary>TCP Гүйцэтгэлийг хялбаршуулагчид</primary></indexterm> @@ -1346,7 +1327,7 @@ Enter secret pass phrase: <userinput><secret password></userinput> <para>Бусад хэд хэдэн тохируулгууд байдаг боловч тэдгээрийг энэ хэсгийн сүүлд тайлбарлах болно. Хялбар тохиргооны мөр ганцхан тэр мэдээллийн дагуу амархнаар хийгдэж болно. Жишээ нь - <filename role="package">mail/qpopper</filename> дэмоноор дамжин + <package>mail/qpopper</package> дэмоноор дамжин хийгдэж болох <acronym>POP</acronym>3 холболтуудыг зөвшөөрөхийн тулд дараах мөрүүд <filename>hosts.allow</filename> файлд нэмж хийгдэх хэрэгтэй:</para> @@ -1422,7 +1403,7 @@ ALL : .example.com \ /var/log/connections.log) \ : deny</programlisting> - <para>Энэ нь <hostid role="fqdn">*.example.com</hostid> домэйноос + <para>Энэ нь <systemitem class="fqdomainname">*.example.com</systemitem> домэйноос ирсэн бүх холболтын оролдлогуудаас татгалзахын зэрэгцээ хостын нэр, <acronym>IP</acronym> хаяг болон тэдний хандалт хийхийг оролдсон дэмонг <filename>/var/log/connections.log</filename> файл уруу бүртгэнэ.</para> @@ -1473,25 +1454,17 @@ sendmail : PARANOID : deny</programlisting> </sect2> </sect1> - <sect1 id="kerberos5"> - <sect1info> + <sect1 xml:id="kerberos5"> + <info><title><application>Kerberos5</application></title> <authorgroup> - <author> - <firstname>Тиллмэн</firstname> - <surname>Хоожсон</surname> - <contrib>Хойно дурдсан хүний бичсэн дээр тулгуурлан хувь нэмэр болгон оруулсан </contrib> - </author> + <author><personname><firstname>Тиллмэн</firstname><surname>Хоожсон</surname></personname><contrib>Хойно дурдсан хүний бичсэн дээр тулгуурлан хувь нэмэр болгон оруулсан </contrib></author> </authorgroup> <authorgroup> - <author> - <firstname>Марк</firstname> - <surname>Мюррей</surname> - <contrib>Хувь нэмэр болгон оруулсан </contrib> - </author> + <author><personname><firstname>Марк</firstname><surname>Мюррей</surname></personname><contrib>Хувь нэмэр болгон оруулсан </contrib></author> </authorgroup> - </sect1info> + </info> - <title><application>Kerberos5</application></title> + <para><application>Kerberos</application> нь хэрэглэгчид өөрсдийгөө нууцлаг серверийн үйлчилгээнүүдийн тусламжтайгаар таниулан нэвтрэх боломжийг олгодог сүлжээний нэмэлт систем/протокол юм. @@ -1568,13 +1541,13 @@ sendmail : PARANOID : deny</programlisting> хэрэглэгддэг бөгөөд энэ нь түүхээс авч үзэхэд <acronym>US</acronym>-ын экспортын дүрэм журмуудаас болсон юм. <acronym>MIT</acronym> <application>Kerberos</application> нь порт - (<filename role="package">security/krb5</filename>) хэлбэрээр байдаг. + (<package>security/krb5</package>) хэлбэрээр байдаг. Heimdal <application>Kerberos</application> нь өөр шийдлийн 5-р хувилбар бөгөөд экспортын дүрэм журмуудыг тойрон гарах зорилгоор <acronym>US</acronym>-ээс гадна хамааралгүйгээр хөгжүүлэгдсэн ( бөгөөд ихэвчлэн арилжааны бус &unix; төрлүүдэд орсон байдаг) юм. Heimdal <application>Kerberos</application> түгээлт нь - порт (<filename role="package">security/heimdal</filename>) + порт (<package>security/heimdal</package>) хэлбэрээр байдаг бөгөөд үүний хамгийн бага суулгац үндсэн &os; суулгацад орсон байдаг.</para> @@ -1626,7 +1599,7 @@ kadmind5_server_enable="YES"</programlisting> <para>Энэ <filename>/etc/krb5.conf</filename> файл нь таны <acronym>KDC</acronym> нь бүрэн баталгаажсан хостын нэр - <hostid role="fqdn">kerberos.example.org</hostid>-тэй байна + <systemitem class="fqdomainname">kerberos.example.org</systemitem>-тэй байна гэж үзэж байгааг санаарай. Хэрэв таны <acronym>KDC</acronym> өөр хостын нэртэй бол та өөрийн бүсийн файлдаа CNAME (alias)-ийг нэмэх хэрэгтэй.</para> @@ -1638,7 +1611,7 @@ kadmind5_server_enable="YES"</programlisting> <programlisting>[libdefaults] default_realm = EXAMPLE.ORG</programlisting> - <para>болж дараах мөрүүдийг <hostid role="fqdn">example.org</hostid> + <para>болж дараах мөрүүдийг <systemitem class="fqdomainname">example.org</systemitem> бүсийн файлд нэмж цэгцэлж болно:</para> <programlisting>_kerberos._udp IN SRV 01 00 88 kerberos.example.org. @@ -1688,9 +1661,9 @@ Master key: <userinput>xxxxxxxx</userinput> Verifying password - Master key: <userinput>xxxxxxxx</userinput> &prompt.root; <userinput>kadmin -l</userinput> -kadmin> <userinput>init EXAMPLE.ORG</userinput> +kadmin> <userinput>init EXAMPLE.ORG</userinput> Realm max ticket life [unlimited]: -kadmin> <userinput>add tillman</userinput> +kadmin> <userinput>add tillman</userinput> Max ticket life [unlimited]: Max renewable life [unlimited]: Attributes []: @@ -1705,7 +1678,7 @@ Verifying password - Password: <userinput>xxxxxxxx</userinput></screen> (хэрэглэгч) зориулсан тасалбарыг авч жагсаан <acronym>KDC</acronym>-г ажиллаж байгаа гэдгийг та баталж чадаж байх ёстой:</para> - <screen>&prompt.user; <userinput>kinit <replaceable>tillman</replaceable></userinput> + <screen>&prompt.user; <userinput>kinit tillman</userinput> tillman@EXAMPLE.ORG's Password: &prompt.user; <userinput>klist</userinput> @@ -1772,12 +1745,12 @@ Aug 27 15:37:58 Aug 28 01:37:58 krbtgt/EXAMPLE.ORG@EXAMPLE.ORG</screen> Жишээ нь:</para> <screen>&prompt.root; <userinput>kadmin</userinput> -kadmin><userinput> add --random-key host/myserver.example.org</userinput> +kadmin><userinput> add --random-key host/myserver.example.org</userinput> Max ticket life [unlimited]: Max renewable life [unlimited]: Attributes []: -kadmin><userinput> ext host/myserver.example.org</userinput> -kadmin><userinput> exit</userinput></screen> +kadmin><userinput> ext host/myserver.example.org</userinput> +kadmin><userinput> exit</userinput></screen> <para><command>ext</command> тушаал нь (<quote>extract</quote> гэдгийг богиноор илэрхийлнэ) задалсан түлхүүрийг анхдагчаар <filename>/etc/krb5.keytab</filename> @@ -1786,15 +1759,15 @@ kadmin><userinput> exit</userinput></screen> <para>Хэрэв таны хувьд <acronym>KDC</acronym> дээр <command>kadmind</command> ажиллахгүй байгаа бөгөөд (магадгүй аюулгүй байдлын шалтгаануудаас болоод) тэгээд <command>kadmin</command> уруу алсаас хандах боломжгүй бол та - хост удирдагчийг (<username>host/myserver.EXAMPLE.ORG</username>) + хост удирдагчийг (<systemitem class="username">host/myserver.EXAMPLE.ORG</systemitem>) шууд <acronym>KDC</acronym> дээр нэмж дараа нь доор дурдсантай адилаар түүнийг түр зуурын файл уруу (<acronym>KDC</acronym> дээрх <filename>/etc/krb5.keytab</filename> файлыг дарж бичихээс сэргийлж) задалж болно:</para> <screen>&prompt.root; <userinput>kadmin</userinput> -kadmin><userinput> ext --keytab=/tmp/example.keytab host/myserver.example.org</userinput> -kadmin><userinput> exit</userinput></screen> +kadmin><userinput> ext --keytab=/tmp/example.keytab host/myserver.example.org</userinput> +kadmin><userinput> exit</userinput></screen> <para>Та дараа нь keytab-ийг аюулгүйгээр (жишээ нь <command>scp</command> эсвэл уян диск ашиглан) сервер компьютер уруу хуулж болно. <acronym>KDC</acronym> @@ -1879,15 +1852,15 @@ kadmin><userinput> exit</userinput></screen> </indexterm> <para>Хүрээн дэх хэрэглэгчийн хувьд ихэнхдээ өөрсдийнх нь <application>Kerberos</application> - удирдагчийг (<username>tillman@EXAMPLE.ORG</username> зэрэг) - локал хэрэглэгчийн бүртгэлд (<username>tillman</username> зэрэг локал бүртгэл) + удирдагчийг (<systemitem class="username">tillman@EXAMPLE.ORG</systemitem> зэрэг) + локал хэрэглэгчийн бүртгэлд (<systemitem class="username">tillman</systemitem> зэрэг локал бүртгэл) харгалзуулж өгсөн байдаг. <command>telnet</command> зэрэг клиент програмууд ихэвчлэн хэрэглэгчийн нэр эсвэл удирдагчийг шаарддаггүй.</para> <para>Гэхдээ хааяа нэг та харгалзах <application>Kerberos</application> удирдагчгүй хэн нэгэнд зориулж локал хэрэглэгчийн бүртгэлд хандах хандалтыг - өгөхийг хүсэж болох юм. Жишээ нь <username>tillman@EXAMPLE.ORG</username> - магадгүй локал хэрэглэгчийн бүртгэл <username>webdevelopers</username>-д + өгөхийг хүсэж болох юм. Жишээ нь <systemitem class="username">tillman@EXAMPLE.ORG</systemitem> + магадгүй локал хэрэглэгчийн бүртгэл <systemitem class="username">webdevelopers</systemitem>-д хандах хандалт хэрэгтэй байж болох юм. Бусад удирдагчид бас энэ локал бүртгэлд хандах хэрэгтэй байж болох юм.</para> @@ -1900,7 +1873,7 @@ kadmin><userinput> exit</userinput></screen> <screen>tillman@example.org jdoe@example.org</screen> - <para>локал хэрэглэгч <username>webdevelopers</username>-ийн гэр санд + <para>локал хэрэглэгч <systemitem class="username">webdevelopers</systemitem>-ийн гэр санд байрлаж байвал энд жагсаагдсан хоёр удирдагч хоёулаа хуваалцсан нууц үгийн шаардлагагүйгээр тэр бүртгэл уруу хандах хандалттай болох юм.</para> @@ -1943,10 +1916,10 @@ jdoe@example.org</screen> </listitem> <listitem> - <para>Та хэрэв өөрийн хостын нэрийг өөрчилбөл бас өөрийн <username>host/</username> + <para>Та хэрэв өөрийн хостын нэрийг өөрчилбөл бас өөрийн <systemitem class="username">host/</systemitem> удирдагчийг өөрчилж өөрийн keytab-ийг шинэчлэх хэрэгтэй. Энэ нь бас - Апачигийн <filename role="package">www/mod_auth_kerb</filename>-д - хэрэглэгддэг <username>www/</username> удирдагч зэрэг тусгай keytab + Апачигийн <package>www/mod_auth_kerb</package>-д + хэрэглэгддэг <systemitem class="username">www/</systemitem> удирдагч зэрэг тусгай keytab оруулгуудад хамаатай юм.</para> </listitem> @@ -1965,7 +1938,7 @@ jdoe@example.org</screen> <listitem> <para>Таны <acronym>KDC</acronym>-ийн хувьд магадгүй клиент маягаар харьцаж байгаа зарим үйлдлийн системүүд setuid - <username>root</username> болохын тулд <command>ksu</command> + <systemitem class="username">root</systemitem> болохын тулд <command>ksu</command> тушаалд зөвшөөрлүүдийг тохируулдаггүй. Энэ нь <command>ksu</command> ажиллахгүй гэсэн үг бөгөөд аюулгүй байдлын хувьд сайн боловч залхаамаар байдаг. Энэ нь <acronym>KDC</acronym>-ийн алдаа биш юм.</para> @@ -1977,7 +1950,7 @@ jdoe@example.org</screen> анхдагч 10 цагаас арай урт амьдрах хугацаа бүхий тасалбартай удирдагчийг зөвшөөрөхийг хүсвэл <command>kadmin</command> дээр <command>modify_principal</command> тушаал ашиглан - өөрчлөхийг хүссэн удирдагч болон <username>krbtgt</username> + өөрчлөхийг хүссэн удирдагч болон <systemitem class="username">krbtgt</systemitem> удирдагчийн maxlife-ийг өөрчлөх шаардлагатай. Дараа нь удирдагч <literal>-l</literal> тохируулгыг <command>kinit</command>-тай ашиглаж илүү урт амьдрах хугацаатай @@ -2059,16 +2032,16 @@ jdoe@example.org</screen> <para>Клиент програмууд нь бас шал өөр өөр тушаалын мөрийн тохируулгууд авч адил үүргийг гүйцэтгэж болох юм. <acronym>MIT</acronym> <application>Kerberos</application> вэб сайт - (<ulink url="http://web.mit.edu/Kerberos/www/"></ulink>) дээрх заавруудыг + (<uri xlink:href="http://web.mit.edu/Kerberos/www/">http://web.mit.edu/Kerberos/www/</uri>) дээрх заавруудыг дагахыг зөвлөж байна. Замын асуудлуудаас болгоомжлоорой: - <acronym>MIT</acronym> порт нь анхдагчаар <filename class="directory">/usr/local/</filename> + <acronym>MIT</acronym> порт нь анхдагчаар <filename>/usr/local/</filename> уруу суудаг бөгөөд хэрэв таны <envar>PATH</envar> орчны хувьсагч системийн сангуудыг эхлээд жагсаадаг бол <quote>жирийн</quote> системийн програмууд <acronym>MIT</acronym>-ийн оронд ажиллаж болохыг санаарай.</para> <note><para><command>telnetd</command> болон <command>klogind</command>-ээр нэвтрэх нэвтрэлтүүд нэг л хачин байдаг тэр шалтгааныг ойлгохыг хүсвэл &os;-ийн хангадаг - <acronym>MIT</acronym> <filename role="package">security/krb5</filename> портын + <acronym>MIT</acronym> <package>security/krb5</package> портын суулгасан <filename>/usr/local/share/doc/krb5/README.FreeBSD</filename> файлыг унших хэрэгтэй. Хамгийн чухал нь <quote>кэш файл дахь буруу зөвшөөрлүүд</quote>ийг зөв болгох нь @@ -2084,7 +2057,7 @@ kerberos5_server_enable="YES" kadmind5_server_enable="YES"</programlisting> <para><acronym>MIT</acronym> керберосд зориулсан програмууд - <filename class="directory">/usr/local</filename> санд хоёртын файлуудыг + <filename>/usr/local</filename> санд хоёртын файлуудыг суулгадаг болохоор ингэж хийгддэг.</para> </sect2> @@ -2115,7 +2088,7 @@ kadmind5_server_enable="YES"</programlisting> <para>Олон хэрэглэгчийн орчинд <application>Kerberos</application> нь тийм ч аюулгүй биш юм. Энэ нь тасалбаруудыг бүх хэрэглэгчийн хувьд уншигдаж - болох <filename class="directory">/tmp</filename> санд хадгалдаг учраас тэр юм. + болох <filename>/tmp</filename> санд хадгалдаг учраас тэр юм. Хэрэв хэрэглэгч компьютераа хэд хэдэн бусад хүмүүстэй зэрэг харилцан хуваалцаж байвал (өөрөө хэлбэл олон-хэрэглэгч) хэрэглэгчийн тасалбаруудыг өөр хэрэглэгч хулгайлах (хуулан авах) боломжтой юм.</para> @@ -2166,7 +2139,7 @@ kadmind5_server_enable="YES"</programlisting> <acronym>KDC</acronym>-г хэрэглэгчид, хостууд эсвэл үйлчилгээнүүдэд таниулах аргагүй юм. Энэ нь троян хийгдсэн <command>kinit</command> (жишээ нь) тушаал бүх хэрэглэгчийн нэрс болон нууц үгүүдийг бүртгэн бичиж авч болно гэсэн - үг юм. <filename role="package">security/tripwire</filename> + үг юм. <package>security/tripwire</package> ч юм уу эсвэл өөр бусад файлын системийн бүрэн бүтэн байдлыг шалгах хэрэгслүүд үүнийг арилгаж чадна.</para> @@ -2183,47 +2156,42 @@ kadmind5_server_enable="YES"</programlisting> <itemizedlist> <listitem> - <para><ulink - url="http://www.faqs.org/faqs/Kerberos-faq/general/preamble.html"> - <application>Kerberos</application>-ийн FAQ</ulink></para> + <para><link xlink:href="http://www.faqs.org/faqs/Kerberos-faq/general/preamble.html"> + <application>Kerberos</application>-ийн FAQ</link></para> </listitem> <listitem> - <para><ulink url="http://web.mit.edu/Kerberos/www/dialogue.html"> - Танин шалгах системийг дизайн хийх нь: Дөрвөн үзэгдэл дэх харилцан яриа (диалог)</ulink></para> + <para><link xlink:href="http://web.mit.edu/Kerberos/www/dialogue.html"> + Танин шалгах системийг дизайн хийх нь: Дөрвөн үзэгдэл дэх харилцан яриа (диалог)</link></para> </listitem> <listitem> - <para><ulink url="http://www.ietf.org/rfc/rfc1510.txt?number=1510">RFC 1510, + <para><link xlink:href="http://www.ietf.org/rfc/rfc1510.txt?number=1510">RFC 1510, <application>Kerberos</application> Сүлжээний Танин Шалгах Үйлчилгээ - (V5)</ulink></para> + (V5)</link></para> </listitem> <listitem> - <para><ulink url="http://web.mit.edu/Kerberos/www/"><acronym>MIT</acronym> - <application>Kerberos</application>-ийн гэр хуудас</ulink></para> + <para><link xlink:href="http://web.mit.edu/Kerberos/www/"><acronym>MIT</acronym> + <application>Kerberos</application>-ийн гэр хуудас</link></para> </listitem> <listitem> - <para><ulink url="http://www.pdc.kth.se/heimdal/">Heimdal - <application>Kerberos</application>-ийн гэр хуудас</ulink></para> + <para><link xlink:href="http://www.pdc.kth.se/heimdal/">Heimdal + <application>Kerberos</application>-ийн гэр хуудас</link></para> </listitem> </itemizedlist> </sect2> </sect1> - <sect1 id="openssl"> - <sect1info> + <sect1 xml:id="openssl"> + <info><title>OpenSSL</title> <authorgroup> - <author> - <firstname>Том</firstname> - <surname>Рөүдс</surname> - <contrib>Бичсэн </contrib> - </author> + <author><personname><firstname>Том</firstname><surname>Рөүдс</surname></personname><contrib>Бичсэн </contrib></author> </authorgroup> - </sect1info> - <title>OpenSSL</title> + </info> + <indexterm> <primary>аюулгүй байдал</primary> <secondary>OpenSSL</secondary> @@ -2238,16 +2206,16 @@ kadmind5_server_enable="YES"</programlisting> <para><application>OpenSSL</application>-ийн зарим нэг хэрэглээнд захидлын клиентүүдийн шифрлэсэн нэвтрэлт, кредит картаар хийх төлбөрүүд гэх мэт вэб дээр тулгуурласан шилжүүлгүүд зэрэг олныг дурдаж болно. - <filename role="package">www/apache22</filename> болон - <filename role="package">mail/claws-mail</filename> зэрэг + <package>www/apache22</package> болон + <package>mail/claws-mail</package> зэрэг олон портууд нь <application>OpenSSL</application>-тэй бүтээх эмхэтгэлийн дэмжлэгийг санал болгодог.</para> <note> <para>Ихэнх тохиолдолд Портуудын Цуглуулга нь make хувьсагч - <makevar>WITH_OPENSSL_BASE</makevar>-ийг <quote>yes</quote> + <varname>WITH_OPENSSL_BASE</varname>-ийг <quote>yes</quote> гэж заагаагүй тохиолдолд - <filename role="package">security/openssl</filename> портыг + <package>security/openssl</package> портыг бүтээхийг оролддог.</para> </note> @@ -2263,7 +2231,7 @@ kadmind5_server_enable="YES"</programlisting> <acronym>IDEA</acronym> алгоритмийг дэмждэг боловч Нэгдсэн Улсын патентуудаас болоод анхдагчаар хаалттай байдаг. Үүнийг ашиглахын тулд лицензийг шалгасан байх ёстой бөгөөд хэрэв хязгаарлалтуудыг хүлээн - авах боломжтой бол <makevar>MAKE_IDEA</makevar> хувьсагчийг + авах боломжтой бол <varname>MAKE_IDEA</varname> хувьсагчийг <filename>make.conf</filename> файлд заагж өгөх ёстой байдаг.</para> </note> @@ -2273,7 +2241,7 @@ kadmind5_server_enable="YES"</programlisting> хүчинтэй бөгөөд луйврын биш гэдгийг баталгаажуулдаг. Хэрэв асуудалтай сертификат хэд хэдэн <quote>Certificate Authorities</quote> эсвэл <acronym>CA</acronym>-ууд буюу Сертификатын Эрх мэдэлтнүүдээр шалгагдаагүй бол ихэвчлэн анхааруулга үзүүлдэг. - Сертификатын Эрх мэдэлтэн нь <ulink url="http://www.verisign.com">VeriSign</ulink> зэрэг + Сертификатын Эрх мэдэлтэн нь <link xlink:href="http://www.verisign.com">VeriSign</link> зэрэг компани байдаг бөгөөд компаниуд эсвэл хувь хүмүүсийн итгэмжлэлүүдийг хүчин төгөлдөр болгохын тулд сертификатуудыг баталгаажуулж өгдөг. Энэ процесс нь өртөгтэй бөгөөд сертификатууд ашиглахад заавал ч үгүй шаардлага болдоггүй; гэхдээ энэ нь @@ -2302,18 +2270,18 @@ There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- -Country Name (2 letter code) [AU]:<userinput><replaceable>US</replaceable></userinput> -State or Province Name (full name) [Some-State]:<userinput><replaceable>PA</replaceable></userinput> -Locality Name (eg, city) []:<userinput><replaceable>Pittsburgh</replaceable></userinput> -Organization Name (eg, company) [Internet Widgits Pty Ltd]:<userinput><replaceable>My Company</replaceable></userinput> -Organizational Unit Name (eg, section) []:<userinput><replaceable>Systems Administrator</replaceable></userinput> -Common Name (eg, YOUR name) []:<userinput><replaceable>localhost.example.org</replaceable></userinput> -Email Address []:<userinput><replaceable>trhodes@FreeBSD.org</replaceable></userinput> +Country Name (2 letter code) [AU]:<userinput>US</userinput> +State or Province Name (full name) [Some-State]:<userinput>PA</userinput> +Locality Name (eg, city) []:<userinput>Pittsburgh</userinput> +Organization Name (eg, company) [Internet Widgits Pty Ltd]:<userinput>My Company</userinput> +Organizational Unit Name (eg, section) []:<userinput>Systems Administrator</userinput> +Common Name (eg, YOUR name) []:<userinput>localhost.example.org</userinput> +Email Address []:<userinput>trhodes@FreeBSD.org</userinput> Please enter the following 'extra' attributes to be sent with your certificate request -A challenge password []:<userinput><replaceable>SOME PASSWORD</replaceable></userinput> -An optional company name []:<userinput><replaceable>Another Name</replaceable></userinput></screen> +A challenge password []:<userinput>SOME PASSWORD</userinput> +An optional company name []:<userinput>Another Name</userinput></screen> <para><quote>Common Name</quote> хүлээх мөрийн дараах хариу домэйны нэрийг харуулж байгааг анзаараарай. Энэ мөр нь шалгалт хийх зорилгоор @@ -2336,21 +2304,21 @@ An optional company name []:<userinput><replaceable>Another Name</replaceable></ өөрөө зурсан сертификатыг үүсгэж болно. Эхлээд <acronym>RSA</acronym> түрхүүр үүсгэх хэрэгтэй:</para> - <screen>&prompt.root; <userinput>openssl dsaparam -rand -genkey -out <filename>myRSA.key</filename> 1024</userinput></screen> + <screen>&prompt.root; <userinput>openssl dsaparam -rand -genkey -out myRSA.key 1024</userinput></screen> <para>Дараа нь <acronym>CA</acronym> түлхүүр үүсгэ:</para> - <screen>&prompt.root; <userinput>openssl gendsa -des3 -out <filename>myca.key</filename> <filename>myRSA.key</filename></userinput></screen> + <screen>&prompt.root; <userinput>openssl gendsa -des3 -out myca.key myRSA.key</userinput></screen> <para>Сертификат үүсгэхийн тулд энэ түлхүүрийг ашигла :</para> - <screen>&prompt.root; <userinput>openssl req -new -x509 -days 365 -key <filename>myca.key</filename> -out <filename>new.crt</filename></userinput></screen> + <screen>&prompt.root; <userinput>openssl req -new -x509 -days 365 -key myca.key -out new.crt</userinput></screen> <para>Санд хоёр шинэ файл үүсэх ёстой: сертификатын эрх мэдэлтний гарын үсгийн файл <filename>myca.key</filename> болон сертификат өөрөө <filename>new.crt</filename> байна. Эдгээрийг - зөвхөн <username>root</username> унших эрхтэй - <filename class="directory">/etc</filename> санд байрлуулах + зөвхөн <systemitem class="username">root</systemitem> унших эрхтэй + <filename>/etc</filename> санд байрлуулах шаардлагатай. Үүнд 0700 зөвшөөрөл байж болох бөгөөд түүнийг <command>chmod</command> хэрэгсэл ашиглан тохируулж болно.</para> </sect2> @@ -2382,13 +2350,13 @@ define(`confSERVER_CERT',`/etc/certs/new.crt')dnl define(`confSERVER_KEY',`/etc/certs/myca.key')dnl define(`confTLS_SRV_OPTIONS', `V')dnl</programlisting> - <para>Дээрх <filename class="directory">/etc/certs/</filename> нь + <para>Дээрх <filename>/etc/certs/</filename> нь сертификат болон түлхүүр файлуудыг дотооддоо хадгалах сан юм. Сүүлийн хэдэн шаардлагууд нь дотоод <filename>.cf</filename> файлын - дахин бүтээлт юм. Үүнийг <filename class="directory">/etc/mail</filename> сан - дотроос <command>make <maketarget>install</maketarget></command> тушаал + дахин бүтээлт юм. Үүнийг <filename>/etc/mail</filename> сан + дотроос <command>make install</command> тушаал бичин хийж болно. Ингэсний дараа <command>make - <maketarget>restart</maketarget></command> тушаалыг ажиллуулаарай, энэ нь + restart</command> тушаалыг ажиллуулаарай, энэ нь <application>Sendmail</application> дэмонг эхлүүлэх ёстой.</para> <para>Хэрэв бүгд зүгээр болж өнгөрвөл <filename>/var/log/maillog</filename> @@ -2398,12 +2366,12 @@ define(`confTLS_SRV_OPTIONS', `V')dnl</programlisting> <para>Хялбар тест хийхийн тулд &man.telnet.1; хэрэгсэл ашиглан захидлын серверт холбогдох хэрэгтэй:</para> - <screen>&prompt.root; <userinput>telnet <replaceable>example.com</replaceable> 25</userinput> + <screen>&prompt.root; <userinput>telnet example.com 25</userinput> Trying 192.0.34.166... -Connected to <hostid role="fqdn">example.com</hostid>. +Connected to <systemitem class="fqdomainname">example.com</systemitem>. Escape character is '^]'. -220 <hostid role="fqdn">example.com</hostid> ESMTP Sendmail 8.12.10/8.12.10; Tue, 31 Aug 2004 03:41:22 -0400 (EDT) -<userinput>ehlo <replaceable>example.com</replaceable></userinput> +220 <systemitem class="fqdomainname">example.com</systemitem> ESMTP Sendmail 8.12.10/8.12.10; Tue, 31 Aug 2004 03:41:22 -0400 (EDT) +<userinput>ehlo example.com</userinput> 250-example.com Hello example.com [192.0.34.166], pleased to meet you 250-ENHANCEDSTATUSCODES 250-PIPELINING @@ -2416,7 +2384,7 @@ Escape character is '^]'. 250-DELIVERBY 250 HELP <userinput>quit</userinput> -221 2.0.0 <hostid role="fqdn">example.com</hostid> closing connection +221 2.0.0 <systemitem class="fqdomainname">example.com</systemitem> closing connection Connection closed by foreign host.</screen> <para>Хэрэв <quote>STARTTLS</quote> мөр гарч ирвэл бүгд зөв ажиллаж @@ -2424,21 +2392,16 @@ Connection closed by foreign host.</screen> </sect2> </sect1> - <sect1 id="ipsec"> - <sect1info> + <sect1 xml:id="ipsec"> + <info><title>IPsec дээгүүр VPN хийх</title> <authorgroup> - <author> - <firstname>Ник</firstname> - <surname>Клэйтон</surname> - <affiliation> + <author><personname><firstname>Ник</firstname><surname>Клэйтон</surname></personname><affiliation> <address><email>nik@FreeBSD.org</email></address> - </affiliation> - <contrib>Бичсэн </contrib> - </author> + </affiliation><contrib>Бичсэн </contrib></author> </authorgroup> - </sect1info> + </info> - <title>IPsec дээгүүр VPN хийх</title> + <indexterm> <primary>IPsec</primary> @@ -2448,20 +2411,15 @@ Connection closed by foreign host.</screen> хооронд VPN үүсгэх.</para> <sect2> - <sect2info> + <info><title>IPsec-ийг ойлгох нь</title> <authorgroup> - <author> - <firstname>Хитэн М.</firstname> - <surname>Пандиа</surname> - <affiliation> + <author><personname><firstname>Хитэн М.</firstname><surname>Пандиа</surname></personname><affiliation> <address><email>hmp@FreeBSD.org</email></address> - </affiliation> - <contrib>Бичсэн </contrib> - </author> + </affiliation><contrib>Бичсэн </contrib></author> </authorgroup> - </sect2info> + </info> - <title>IPsec-ийг ойлгох нь</title> + <para>Энэ хэсэг нь IPsec-ийг тохируулах процессийг тайлбарлах болно. IPsec-ийг тохируулахын тулд та өөрчлөн тохируулсан @@ -2472,7 +2430,7 @@ Connection closed by foreign host.</screen> дээр суудаг протокол юм. Энэ нь хоёр буюу хэд хэдэн хостуудыг аюулгүй байдлаар (нэрээс нь харах юм бол) холбох боломжийг олгодог. FreeBSD IPsec <quote>сүлжээний стек</quote> нь IPv4 болон IPv6 протоколуудыг хоёуланг - дэмждэг <ulink url="http://www.kame.net/">KAME</ulink> шийдэл дээр + дэмждэг <link xlink:href="http://www.kame.net/">KAME</link> шийдэл дээр үндэслэсэн.</para> <indexterm> @@ -2590,54 +2548,49 @@ options IPSEC_DEBUG #debug for IP security <listitem> <para>Хоёр сүлжээний дотоод хаягууд нь нийтийн эсвэл хувийн IP хаягууд байж болох юм, энэ нь хамаагүй. Тэдгээр нь давхцахгүй байх ёстой, өөрөөр - хэлбэл хоёулаа <hostid role="ipaddr">192.168.1.x</hostid>-г ашиглаж + хэлбэл хоёулаа <systemitem class="ipaddress">192.168.1.x</systemitem>-г ашиглаж болохгүй юм.</para> </listitem> </itemizedlist> </sect2> <sect2> - <sect2info> + <info><title>IPsec-ийг &os; дээр тохируулах нь</title> <authorgroup> - <author> - <firstname>Том</firstname> - <surname>Рөүдс</surname> - <affiliation> + <author><personname><firstname>Том</firstname><surname>Рөүдс</surname></personname><affiliation> <address><email>trhodes@FreeBSD.org</email></address> - </affiliation> - <contrib>Бичсэн </contrib> - </author> + </affiliation><contrib>Бичсэн </contrib></author> </authorgroup> - </sect2info> + </info> - <title>IPsec-ийг &os; дээр тохируулах нь</title> + - <para>Эхлээд <filename role="package">security/ipsec-tools</filename> + <para>Эхлээд <package>security/ipsec-tools</package> портын цуглуулгаас суусан байх шаардлагатай. Энэ гуравдагч талын програм хангамжийн багц нь тохиргоог дэмжихэд туслах хэд хэдэн програмуудыг агуулдаг.</para> <para>Дараагийн шаардлага нь пакетуудыг тунель хийх болон хоёр сүлжээг зөв холбогдоход ашиглагдах хоёр &man.gif.4; псевдо - төхөөрөмжийг үүсгэх явдал юм. <username>root</username> хэрэглэгчээр + төхөөрөмжийг үүсгэх явдал юм. <systemitem class="username">root</systemitem> хэрэглэгчээр <replaceable>internal</replaceable> болон <replaceable>external</replaceable> гэсэн утгуудыг жинхэнэ дотоод болон гадаад гарцуудаар өөрчлөн дараах тушаалыг ажиллуулна:</para> <screen>&prompt.root; <userinput>ifconfig gif0 create</userinput></screen> - <screen>&prompt.root; <userinput>ifconfig gif0 <replaceable>internal1 internal2</replaceable></userinput></screen> - <screen>&prompt.root; <userinput>ifconfig gif0 tunnel <replaceable>external1 external2</replaceable></userinput></screen> + <screen>&prompt.root; <userinput>ifconfig gif0 internal1 internal2</userinput></screen> + <screen>&prompt.root; <userinput>ifconfig gif0 tunnel external1 external2</userinput></screen> <para>Жишээ нь ажлын <acronym>LAN</acronym>-ий нийтийн <acronym>IP</acronym> нь - <hostid role="ipaddr">172.16.5.4</hostid> бөгөөд + <systemitem class="ipaddress">172.16.5.4</systemitem> бөгөөд хувийн <acronym>IP</acronym> нь - <hostid role="ipaddr">10.246.38.1</hostid> байна. + <systemitem class="ipaddress">10.246.38.1</systemitem> байна. Гэрийн <acronym>LAN</acronym>-ий нийтийн <acronym>IP</acronym> нь - <hostid role="ipaddr">192.168.1.12</hostid> бөгөөд + <systemitem class="ipaddress">192.168.1.12</systemitem> бөгөөд дотоод хувийн <acronym>IP</acronym> нь - <hostid role="ipaddr">10.0.0.5</hostid> байна.</para> + <systemitem class="ipaddress">10.0.0.5</systemitem> байна.</para> <para>Энэ нь толгой эргэмээр санагдаж болох бөгөөд &man.ifconfig.8; тушаалын дараах жишээ үр дүнгээс харна уу:</para> @@ -2688,11 +2641,11 @@ round-trip min/avg/max/stddev = 28.106/94.594/154.524/49.814 ms</programlisting> хоёуланд нь пакетуудыг хэрхэн яаж чиглүүлэхийг зааж өгөх ёстой. Энэ зорилгод дараах тушаал хүрнэ:</para> - <screen>&prompt.root; <userinput>corp-net# route add <replaceable>10.0.0.0 10.0.0.5 255.255.255.0</replaceable></userinput></screen> - <screen>&prompt.root; <userinput>corp-net# route add net <replaceable>10.0.0.0: gateway 10.0.0.5</replaceable></userinput></screen> + <screen>&prompt.root; <userinput>corp-net# route add 10.0.0.0 10.0.0.5 255.255.255.0</userinput></screen> + <screen>&prompt.root; <userinput>corp-net# route add net 10.0.0.0: gateway 10.0.0.5</userinput></screen> - <screen>&prompt.root; <userinput>priv-net# route add <replaceable>10.246.38.0 10.246.38.1 255.255.255.0</replaceable></userinput></screen> - <screen>&prompt.root; <userinput>priv-net# route add host <replaceable>10.246.38.0: gateway 10.246.38.1</replaceable></userinput></screen> + <screen>&prompt.root; <userinput>priv-net# route add 10.246.38.0 10.246.38.1 255.255.255.0</userinput></screen> + <screen>&prompt.root; <userinput>priv-net# route add host 10.246.38.0: gateway 10.246.38.1</userinput></screen> <para>Энэ үе хүрэхэд дотоод машинууд нь аль аль гарц болон гарцын цаана байгаа машинуудаас хүрэх боломжтой байх ёстой. Үүнийг хялбараар @@ -2834,7 +2787,7 @@ Foreground mode. <literal>em0</literal>-ийг сүлжээний интерфэйс картаараа шаардлагатай бол солиорой.</para> - <screen>&prompt.root; <userinput>tcpdump -i em0 host <replaceable>172.16.5.4 and dst 192.168.1.12</replaceable></userinput></screen> + <screen>&prompt.root; <userinput>tcpdump -i em0 host 172.16.5.4 and dst 192.168.1.12</userinput></screen> <para>Доорхтой төстэй өгөгдөл консол дээр гарах ёстой. Хэрэв үгүй бол асуудалтай гэсэн үг бөгөөд буцаасан @@ -2888,19 +2841,15 @@ racoon_enable="yes"</programlisting> </sect2> </sect1> - <sect1 id="openssh"> - <sect1info> + <sect1 xml:id="openssh"> + <info><title>OpenSSH</title> <authorgroup> - <author> - <firstname>Шерн</firstname> - <surname>Ли</surname> - <contrib>Хувь нэмэр болгон оруулсан </contrib> - </author> + <author><personname><firstname>Шерн</firstname><surname>Ли</surname></personname><contrib>Хувь нэмэр болгон оруулсан </contrib></author> <!-- 21 April 2001 --> </authorgroup> - </sect1info> + </info> - <title>OpenSSH</title> + <indexterm><primary>OpenSSH</primary></indexterm> <indexterm> <primary>аюулгүй байдал</primary> @@ -2963,7 +2912,7 @@ racoon_enable="yes"</programlisting> <para>&man.ssh.1; хэрэгсэл &man.rlogin.1;-тэй адил ажилладаг.</para> - <screen>&prompt.root; <userinput>ssh <replaceable>user@example.com</replaceable></userinput> + <screen>&prompt.root; <userinput>ssh user@example.com</userinput> Host key not found from the list of known hosts. Are you sure you want to continue connecting (yes/no)? <userinput>yes</userinput> Host 'example.com' added to the list of known hosts. @@ -3002,7 +2951,7 @@ user@example.com's password: <userinput>*******</userinput></screen> <para>&man.scp.1; тушаал &man.rcp.1;-тэй адил ажилладаг; энэ нь файлыг алсын машинаас эсвэл машин уруу, ялгаатай нь аюулгүйгээр хуулдаг.</para> - <screen>&prompt.root; <userinput> scp <replaceable>user@example.com:/COPYRIGHT COPYRIGHT</replaceable></userinput> + <screen>&prompt.root; <userinput> scp user@example.com:/COPYRIGHT COPYRIGHT</userinput> user@example.com's password: <userinput>*******</userinput> COPYRIGHT 100% |*****************************| 4735 00:00 @@ -3026,7 +2975,7 @@ COPYRIGHT 100% |*****************************| 4735 </indexterm> <para><application>OpenSSH</application> дэмон болон клиентийн - системийн дагуух тохиргооны файлууд <filename class="directory">/etc/ssh</filename> + системийн дагуух тохиргооны файлууд <filename>/etc/ssh</filename> санд байрладаг.</para> <para><filename>ssh_config</filename> клиентийн тохируулгуудыг @@ -3039,14 +2988,14 @@ COPYRIGHT 100% |*****************************| 4735 тохируулгууд тохиргооны түвшнүүдийг илүүтэйгээр хангадаг.</para> </sect2> - <sect2 id="security-ssh-keygen"> + <sect2 xml:id="security-ssh-keygen"> <title><application>ssh-keygen</application></title> <para>Нууц үгүүдийг ашиглахын оронд &man.ssh-keygen.1; нь хэрэглэгчийг шалгаж танихад DSA эсвэл RSA түлхүүрүүдийг үүсгэхэд хэрэглэгдэж болно:</para> - <screen>&prompt.user; <userinput>ssh-keygen -t <replaceable>dsa</replaceable></userinput> + <screen>&prompt.user; <userinput>ssh-keygen -t dsa</userinput> Generating public/private dsa key pair. Enter file in which to save the key (/home/user/.ssh/id_dsa): Created directory '/home/user/.ssh'. @@ -3084,7 +3033,7 @@ bb:48:db:f2:93:57:80:b6:aa:bc:f5:d5:ba:8f:79:17 user@host.example.com</screen> хэрэгтэй.</para></warning> </sect2> - <sect2 id="security-ssh-agent"> + <sect2 xml:id="security-ssh-agent"> <title><application>ssh-agent</application> болон <application>ssh-add</application></title> <para>&man.ssh-agent.1; болон &man.ssh-add.1; хэрэгслүүд нь @@ -3126,7 +3075,7 @@ Identity added: /home/user/.ssh/id_dsa (/home/user/.ssh/id_dsa) ажиллуулаарай.</para> </sect2> - <sect2 id="security-ssh-tunneling"> + <sect2 xml:id="security-ssh-tunneling"> <title>SSH туннель хийх</title> <indexterm> <primary>OpenSSH</primary> @@ -3139,7 +3088,7 @@ Identity added: /home/user/.ssh/id_dsa (/home/user/.ssh/id_dsa) <para>Дараах тушаал <application>telnet</application>-д зориулж туннель үүсгэхийг &man.ssh.1;-д хэлж өгнө:</para> - <screen>&prompt.user; <userinput>ssh -2 -N -f -L <replaceable>5023:localhost:23 user@foo.example.com</replaceable></userinput> + <screen>&prompt.user; <userinput>ssh -2 -N -f -L 5023:localhost:23 user@foo.example.com</userinput> &prompt.user;</screen> <para><command>ssh</command> тушаал дараах тохируулгуудтай @@ -3193,13 +3142,13 @@ Identity added: /home/user/.ssh/id_dsa (/home/user/.ssh/id_dsa) </variablelist> - <para>SSH туннель нь сонсох сокетийг <hostid>localhost</hostid>-ийн + <para>SSH туннель нь сонсох сокетийг <systemitem>localhost</systemitem>-ийн заагдсан порт дээр үүсгэн ажилладаг. Дараа нь локал хост/порт дээр хүлээн авсан дурын холболтыг SSH-ээр дамжуулан заасан алсын хост болон порт уруу илгээдэг.</para> - <para>Жишээн дээр <hostid>localhost</hostid> дээрх <replaceable>5023</replaceable> - порт нь алсын машины <hostid>localhost</hostid> дээрх <replaceable>23</replaceable> + <para>Жишээн дээр <systemitem>localhost</systemitem> дээрх <replaceable>5023</replaceable> + порт нь алсын машины <systemitem>localhost</systemitem> дээрх <replaceable>23</replaceable> порт уруу дамжуулагдаж байна. <replaceable>23</replaceable> нь <application>telnet</application> учир энэ нь SSH туннелээр аюулгүй <application>telnet</application> сесс үүсгэнэ.</para> @@ -3210,7 +3159,7 @@ Identity added: /home/user/.ssh/id_dsa (/home/user/.ssh/id_dsa) <example> <title>SMTP-д зориулан SSH ашиглан аюулгүй туннель үүсгэх</title> - <screen>&prompt.user; <userinput>ssh -2 -N -f -L <replaceable>5025:localhost:25 user@mailserver.example.com</replaceable></userinput> + <screen>&prompt.user; <userinput>ssh -2 -N -f -L 5025:localhost:25 user@mailserver.example.com</userinput> user@mailserver.example.com's password: <userinput>*****</userinput> &prompt.user; <userinput>telnet localhost 5025</userinput> Trying 127.0.0.1... @@ -3239,13 +3188,13 @@ Escape character is '^]'. уруу SSH холболт үүсгэж захидлын сервер уруу туннель хийх явдал юм.</para> - <screen>&prompt.user; <userinput>ssh -2 -N -f -L <replaceable>2110:mail.example.com:110 user@ssh-server.example.com</replaceable></userinput> + <screen>&prompt.user; <userinput>ssh -2 -N -f -L 2110:mail.example.com:110 user@ssh-server.example.com</userinput> user@ssh-server.example.com's password: <userinput>******</userinput></screen> <para>Туннель эхлэн ажилласны дараа та өөрийн захидлын клиентийнхээ - POP3 хүсэлтүүдийг <hostid>localhost</hostid>-ийн 2110 порт уруу + POP3 хүсэлтүүдийг <systemitem>localhost</systemitem>-ийн 2110 порт уруу илгээхээр зааж өгч болно. Эндэх холболт туннелээр аюулгүйгээр дамжин - <hostid>mail.example.com</hostid> уруу илгээгдэнэ.</para> + <systemitem>mail.example.com</systemitem> уруу илгээгдэнэ.</para> </sect4> <sect4> @@ -3264,12 +3213,12 @@ user@ssh-server.example.com's password: <userinput>******</userinput></screen> <para>Үүний шийдэл нь таны сүлжээний галт ханаас гаднах машин уруу SSH холболт үүсгэж үүнийг Ogg Vorbis сервер уруу туннель хийхэд ашиглах явдал юм.</para> - <screen>&prompt.user; <userinput>ssh -2 -N -f -L <replaceable>8888:music.example.com:8000 user@unfirewalled-system.example.org</replaceable></userinput> + <screen>&prompt.user; <userinput>ssh -2 -N -f -L 8888:music.example.com:8000 user@unfirewalled-system.example.org</userinput> user@unfirewalled-system.example.org's password: <userinput>*******</userinput></screen> - <para>Таны урсгал хүлээн авах клиент одоо <hostid>localhost</hostid>-ийн + <para>Таны урсгал хүлээн авах клиент одоо <systemitem>localhost</systemitem>-ийн 8888 порт уруу заагдах бөгөөд тэр цаашаагаа галт ханыг амжилттайгаар - гэтлэн <hostid>music.example.com</hostid> уруу дамжуулагдана.</para> + гэтлэн <systemitem>music.example.com</systemitem> уруу дамжуулагдана.</para> </sect4> </sect3> </sect2> @@ -3279,14 +3228,14 @@ user@unfirewalled-system.example.org's password: <userinput>*******</userinput>< <para>Ямар хэрэглэгчид хаанаас орохыг хязгаарлаж өгөх нь зүйтэй юм. <literal>AllowUsers</literal> тохируулга нь үүнд хүрэх сайн арга - юм. Жишээ нь <username>root</username> хэрэглэгчийг зөвхөн - <hostid role="ipaddr">192.168.1.32</hostid>-оос орохыг + юм. Жишээ нь <systemitem class="username">root</systemitem> хэрэглэгчийг зөвхөн + <systemitem class="ipaddress">192.168.1.32</systemitem>-оос орохыг зөвшөөрөхийн тулд доор дурдсантай адил тохируулгыг <filename>/etc/ssh/sshd_config</filename> файлд хийх нь зүйтэй юм:</para> <programlisting>AllowUsers root@192.168.1.32</programlisting> - <para><username>admin</username> хэрэглэгчийг хаанаас ч орохыг зөвшөөрөхийн + <para><systemitem class="username">admin</systemitem> хэрэглэгчийг хаанаас ч орохыг зөвшөөрөхийн тулд ердөө л хэрэглэгчийн нэрийг өөрийг нь жагсааж өгнө:</para> <programlisting>AllowUsers admin</programlisting> @@ -3309,25 +3258,21 @@ user@unfirewalled-system.example.org's password: <userinput>*******</userinput>< <sect2> <title>Нэмэлт унших материалууд</title> - <para><ulink url="http://www.openssh.com/">OpenSSH</ulink></para> + <para><link xlink:href="http://www.openssh.com/">OpenSSH</link></para> <para>&man.ssh.1; &man.scp.1; &man.ssh-keygen.1; &man.ssh-agent.1; &man.ssh-add.1; &man.ssh.config.5;</para> <para>&man.sshd.8; &man.sftp-server.8; &man.sshd.config.5;</para> </sect2> </sect1> - <sect1 id="fs-acl"> - <sect1info> + <sect1 xml:id="fs-acl"> + <info><title>Файлын системийн хандалт хянах жагсаалтууд(<acronym>ACL</acronym>-үүд)</title> <authorgroup> - <author> - <firstname>Том</firstname> - <surname>Рөүдс</surname> - <contrib>Хавь нэмэр болгон оруулсан </contrib> - </author> + <author><personname><firstname>Том</firstname><surname>Рөүдс</surname></personname><contrib>Хавь нэмэр болгон оруулсан </contrib></author> </authorgroup> - </sect1info> + </info> - <title>Файлын системийн хандалт хянах жагсаалтууд(<acronym>ACL</acronym>-үүд)</title> + <indexterm> <primary>ACL</primary> @@ -3410,10 +3355,10 @@ drwxrwx---+ 2 robert robert 512 Dec 22 10:20 directory2 drwxrwx---+ 2 robert robert 512 Dec 27 11:57 directory3 drwxr-xr-x 2 robert robert 512 Nov 10 11:54 public_html</programlisting> - <para>Энд бид <filename class="directory">directory1</filename>, - <filename class="directory">directory2</filename>, болон <filename class="directory">directory3</filename> + <para>Энд бид <filename>directory1</filename>, + <filename>directory2</filename>, болон <filename>directory3</filename> сангууд бүгд <acronym>ACL</acronym>-ууд-ийн давуу талыг авч байгааг харж байна. - <filename class="directory">public_html</filename> сан тэгэхгүй байна.</para> + <filename>public_html</filename> сан тэгэхгүй байна.</para> <sect2> <title><acronym>ACL</acronym>-уудыг ашиглах нь</title> @@ -3423,7 +3368,7 @@ drwxr-xr-x 2 robert robert 512 Nov 10 11:54 public_html</programlisting> <acronym>ACL</acronym> тохируулгуудыг харахын тулд дараах тушаалыг ажиллуулах хэрэгтэй:</para> - <screen>&prompt.user; <userinput>getfacl <filename>test</filename></userinput> + <screen>&prompt.user; <userinput>getfacl test</userinput> #file:test #owner:1001 #group:1001 @@ -3434,7 +3379,7 @@ drwxr-xr-x 2 robert robert 512 Nov 10 11:54 public_html</programlisting> <para>Энэ файлын <acronym>ACL</acronym> тохируулгуудыг өөрчлөхийн тулд &man.setfacl.1; хэрэгслийг ажиллуул. Ажиглаарай:</para> - <screen>&prompt.user; <userinput>setfacl -k <filename>test</filename></userinput></screen> + <screen>&prompt.user; <userinput>setfacl -k test</userinput></screen> <para><option>-k</option> туг нь тухайн үед тодорхойлогдсон бүх <acronym>ACL</acronym>-уудыг файл эсвэл файлын системээс @@ -3442,7 +3387,7 @@ drwxr-xr-x 2 robert robert 512 Nov 10 11:54 public_html</programlisting> ажиллуулахад шаардлагатай үндсэн талбаруудыг орхидог <option>-b</option> тугийг ашиглах явдал юм.</para> - <screen>&prompt.user; <userinput>setfacl -m u:trhodes:rwx,group:web:r--,o::--- <filename>test</filename></userinput></screen> + <screen>&prompt.user; <userinput>setfacl -m u:trhodes:rwx,group:web:r--,o::--- test</userinput></screen> <para>Дээр дурдсан тушаал дээр <option>-m</option> тохируулга анхдагч <acronym>ACL</acronym> оруулгуудыг өөрчлөхөд хэрэглэгдсэн. @@ -3450,23 +3395,19 @@ drwxr-xr-x 2 robert robert 512 Nov 10 11:54 public_html</programlisting> байхгүй учир энэ нь анхдагч тохируулгуудыг сэргээж жагсаасан тохируулгуудаас зааж өгдөг. Хэрэв та систем дээр байхгүй хэрэглэгч эсвэл бүлэг нэмэх бол <errorname>Invalid argument</errorname> буюу Буруу нэмэлт өгөгдөл - гэсэн алдаа <devicename>stdout</devicename> уруу хэвлэгдэнэ гэдгийг + гэсэн алдаа <filename>stdout</filename> уруу хэвлэгдэнэ гэдгийг санаж байх хэрэгтэй.</para> </sect2> </sect1> - <sect1 id="security-portaudit"> - <sect1info> + <sect1 xml:id="security-portaudit"> + <info><title>Гуравдагч талын аюулгүй байдлын асуудлуудыг монитор хийх нь</title> <authorgroup> - <author> - <firstname>Том</firstname> - <surname>Рөүдс</surname> - <contrib>Хувь нэмэр болгон оруулсан </contrib> - </author> + <author><personname><firstname>Том</firstname><surname>Рөүдс</surname></personname><contrib>Хувь нэмэр болгон оруулсан </contrib></author> </authorgroup> - </sect1info> + </info> - <title>Гуравдагч талын аюулгүй байдлын асуудлуудыг монитор хийх нь</title> + <indexterm> <primary>Portaudit</primary> @@ -3485,7 +3426,7 @@ drwxr-xr-x 2 robert robert 512 Nov 10 11:54 public_html</programlisting> <application>Portaudit</application> гэгддэг хэрэгсэл зөвхөн энэ зорилгоор байдаг.</para> - <para><filename role="package">ports-mgmt/portaudit</filename> порт нь + <para><package>ports-mgmt/portaudit</package> порт нь &os;-ийн аюулгүй байдлын баг болон портуудын хөгжүүлэгчдийн шинэчилж ажиллагааг нь хангаж байдаг мэдээллийн баазаас мэдэгдэж байгаа аюулгүй байдлын асуудлуудыг шалгадаг.</para> @@ -3498,7 +3439,7 @@ drwxr-xr-x 2 robert robert 512 Nov 10 11:54 public_html</programlisting> <para>Суулгах процессийн явцад өдөр бүрийн аюулгүй байдлыг шалгах ажиллагаанд <application>Portaudit</application>-н гаралтыг зөвшөөрч &man.periodic.8;-д зориулсан тохиргооны файлуудыг шинэчилдэг. - Өдөр тутмын аюулгүй байдлыг шалгах ажиллагаа <username>root</username>-ийн + Өдөр тутмын аюулгүй байдлыг шалгах ажиллагаа <systemitem class="username">root</systemitem>-ийн захидлын бүртгэл уруу цахим захидал явуулж түүнийг уг хэрэглэгч уншсан эсэхийг баталгаажуулах хэрэгтэй. Өөр ямар ч илүү тохиргоо энд хэрэггүй.</para> @@ -3542,18 +3483,14 @@ You are advised to update or deinstall the affected package(s) immediately.</pro хэрэглэхэд маш ашигтай байдаг.</para> </sect1> - <sect1 id="security-advisories"> - <sect1info> + <sect1 xml:id="security-advisories"> + <info><title>&os;-ийн аюулгүй байдлын зөвлөгөөнүүд</title> <authorgroup> - <author> - <firstname>Том</firstname> - <surname>Рөүдс</surname> - <contrib>Хувь нэмэр болгон оруулсан </contrib> - </author> + <author><personname><firstname>Том</firstname><surname>Рөүдс</surname></personname><contrib>Хувь нэмэр болгон оруулсан </contrib></author> </authorgroup> - </sect1info> + </info> - <title>&os;-ийн аюулгүй байдлын зөвлөгөөнүүд</title> + <indexterm> <primary>FreeBSD-ийн аюулгүй байдлын зөвлөгөөнүүд</primary> @@ -3578,13 +3515,13 @@ You are advised to update or deinstall the affected package(s) immediately.</pro FreeBSD-SA-XX:XX.UTIL Security Advisory The FreeBSD Project -Topic: denial of service due to some problem<co id="co-topic"/> +Topic: denial of service due to some problem<co xml:id="co-topic"/> -Category: core<co id="co-category"/> -Module: sys<co id="co-module"/> -Announced: 2003-09-23<co id="co-announce"/> -Credits: Person<co id="co-credit"/> -Affects: All releases of &os;<co id="co-affects"/> +Category: core<co xml:id="co-category"/> +Module: sys<co xml:id="co-module"/> +Announced: 2003-09-23<co xml:id="co-announce"/> +Credits: Person<co xml:id="co-credit"/> +Affects: All releases of &os;<co xml:id="co-affects"/> &os; 4-STABLE prior to the correction date Corrected: 2003-09-23 16:42:59 UTC (RELENG_4, 4.9-PRERELEASE) 2003-09-23 20:08:42 UTC (RELENG_5_1, 5.1-RELEASE-p6) @@ -3594,8 +3531,8 @@ Corrected: 2003-09-23 16:42:59 UTC (RELENG_4, 4.9-PRERELEASE) 2003-09-23 16:49:46 UTC (RELENG_4_6, 4.6-RELEASE-p21) 2003-09-23 16:51:24 UTC (RELENG_4_5, 4.5-RELEASE-p33) 2003-09-23 16:52:45 UTC (RELENG_4_4, 4.4-RELEASE-p43) - 2003-09-23 16:54:39 UTC (RELENG_4_3, 4.3-RELEASE-p39) <co id="co-corrected"/> -<acronym>CVE</acronym> Name: CVE-XXXX-XXXX <co id="co-cve"/> + 2003-09-23 16:54:39 UTC (RELENG_4_3, 4.3-RELEASE-p39) <co xml:id="co-corrected"/> +<acronym>CVE</acronym> Name: CVE-XXXX-XXXX <co xml:id="co-cve"/> For general information regarding FreeBSD Security Advisories, including descriptions of the fields above, security branches, and the @@ -3603,25 +3540,25 @@ following sections, please visit http://www.FreeBSD.org/security/. -I. Background <co id="co-backround"/> +I. Background <co xml:id="co-backround"/> -II. Problem Description <co id="co-descript"/> +II. Problem Description <co xml:id="co-descript"/> -III. Impact <co id="co-impact"/> +III. Impact <co xml:id="co-impact"/> -IV. Workaround <co id="co-workaround"/> +IV. Workaround <co xml:id="co-workaround"/> -V. Solution <co id="co-solution"/> +V. Solution <co xml:id="co-solution"/> -VI. Correction details <co id="co-details"/> +VI. Correction details <co xml:id="co-details"/> -VII. References <co id="co-ref"/></programlisting> +VII. References <co xml:id="co-ref"/></programlisting> <calloutlist> @@ -3670,7 +3607,7 @@ VII. References <co id="co-ref"/></programlisting> Цөмийн хувьд уг нөлөөлсөн файлууд дээр ажиллуулсан <command>ident</command> тушаалын үр дүнг зэрвэс харж хувилбарыг тодорхойлж болно. Портуудын хувьд - <filename class="directory">/var/db/pkg</filename> санд портын нэрийн дараа + <filename>/var/db/pkg</filename> санд портын нэрийн дараа хувилбарын дугаар байдаг. Хэрэв систем нь &os;-ийн Subversion архивтай адил хамгийн сүүлийн хэлбэрт орж өдөр тутам дахин бүтээгдээгүй бол энэ нь нөлөөлөлд орсон хэвээр байх магадлалтай юм.</para> @@ -3744,18 +3681,14 @@ VII. References <co id="co-ref"/></programlisting> </sect2> </sect1> - <sect1 id="security-accounting"> - <sect1info> + <sect1 xml:id="security-accounting"> + <info><title>Процессийн бүртгэл хөтлөх</title> <authorgroup> - <author> - <firstname>Том</firstname> - <surname>Рөүдс</surname> - <contrib>Хувь нэмэр болгон оруулсан </contrib> - </author> + <author><personname><firstname>Том</firstname><surname>Рөүдс</surname></personname><contrib>Хувь нэмэр болгон оруулсан </contrib></author> </authorgroup> - </sect1info> + </info> - <title>Процессийн бүртгэл хөтлөх</title> + <indexterm> <primary>Процессийн бүртгэл хөтлөх</primary> @@ -3778,11 +3711,11 @@ VII. References <co id="co-ref"/></programlisting> <para>Процессийн бүртгэл хөтлөлтийг ашиглаж эхлэхээсээ өмнө үүнийг идэвхжүүлэх хэрэгтэй. Үүнийг хийхийн тулд дараах тушаалуудыг ажиллуул:</para> - <screen>&prompt.root; <userinput>touch <filename>/var/account/acct</filename></userinput> + <screen>&prompt.root; <userinput>touch /var/account/acct</userinput> -&prompt.root; <userinput>accton <filename>/var/account/acct</filename></userinput> +&prompt.root; <userinput>accton /var/account/acct</userinput> -&prompt.root; <userinput>echo 'accounting_enable="YES"' >> <filename>/etc/rc.conf</filename></userinput></screen> +&prompt.root; <userinput>echo 'accounting_enable="YES"' >> /etc/rc.conf</userinput></screen> <para>Идэвхтэй болгосны дараа бүртгэл хөтлөлт <acronym>CPU</acronym> статистикууд, тушаалууд гэх мэтийг даган мөшгиж эхэлнэ. Бүртгэлийн @@ -3799,9 +3732,9 @@ VII. References <co id="co-ref"/></programlisting> үзүүлэхэд хэрэглэгдэж болно, жишээ нь:</para> <screen>&prompt.root; <userinput>lastcomm ls - <username>trhodes</username> ttyp1</userinput></screen> + trhodes ttyp1</userinput></screen> - <para>Дээрх тушаал нь <literal>ttyp1</literal> терминал дээр <username>trhodes</username> + <para>Дээрх тушаал нь <literal>ttyp1</literal> терминал дээр <systemitem class="username">trhodes</systemitem> хэрэглэгчийн <command>ls</command> тушаал ашигласан мэдэгдэж байгаа бүгдийг дэлгэцэд харуулах болно.</para> |