PL Linux+ 2005 01 (osiol NET) www!OSIOLEK!com

styczeń 2005

Spis

treści

www.lpmagazine.org

Spis

treści

Miesięcznik Linux+ (12 numerów w roku)

jest wydawany przez

Software-Wydawnictwo Sp. z o. o.

Redaktor naczelny: Krzysztof Krawczyk,

krzysiek@lpmagazine.org

Redaktorzy:

Piotr Truszkowski, Marek Bettman, Michał Niwicki

Kierownik produkcji: Marta Kurpiewska,

marta@software.com.pl

Opracowanie CD/DVD: Krzysztof Krawczyk,

Piotr Truszkowski

Dział reklamy: Łukasz Łukaszewicz,

reklama@lpmagazine.org,

tel.: (22) 860 18 18

Prenumerata: Marzena Dmowska,

pren@software.com.pl,

tel.: (22) 860 17 67

Projekt graficzny okładki:

Agnieszka Marchocka

Projekt graficzny pisma: Marcin Ziółkowski,

marcin@software.com.pl

Skład: Marcin Ziółkowski,

marcin@software.com.pl

Adres korespondencyjny:

Software-Wydawnictwo Sp. z o. o.,

00-190 Warszawa,

ul. Lewartowskiego 6

e-mail: redakcja@lpmagazine.org,

tel. (22) 860 18 18

Redakcja dokłada wszelkich starań, aby publiko-

wane w piśmie i na towarzyszących mu nośnikach

informacje i programy były poprawne,

jednakże nie bierze odpowiedzialności za efekty

ich wykorzystania.

Redakcja nie udziela pomocy technicznej

dotyczącej zamieszczanego oprogramowania.

Płyty uszkodzone podczas wysyłki wymienia dział

prenumeraty.

Wszystkie znaki firmowe zawarte w piśmie

są własnością odpowiednich firm i zostały

użyte wyłącznie w celach informacyjnych.

Druk: Stella Maris

Redakcja używa systemu

automatycznego składu
Płyty dołączone do magazynu przetestowano

programem AntiVirenKit firmy G DATA Software

Sp. z o.o.

Redakcja zabezpiecza swoje dane korzystając

ze sprzętu firmy Tandberg Data udostępnionego

przez Veracomp SA.

Mnie to nie dotyczy!?

Sprzedaż aktualnych lub archiwalnych numerów

pisma po innej cenie niż wydrukowana na okład-

ce – bez zgody wydawcy – jest działaniem na jego

szkodę i skutkuje odpowiedzialnością sądową.

Krzysztof Krawczyk

Redaktor Naczelny Linux+

ak mógłby stwier-
dzić przypadko-

wy internauta, gdy-
bym zapytał go, czy
boi się włamania do
swojego komputera.
Zbyt pewny siebie?
Zdecydowanie. Bardzo
prosto włamać się do

kogoś, kto jest na stałe podłączony do
Sieci i nie dba o bezpieczeństwo swojego
systemu. To tak, jakby nie zamykał drzwi
do własnego mieszkania czy samochodu.

Ilość błędów związanych z bezpie-

czeństwem, które są wykrywane każde-
go miesiąca, jest zatrważająca. Wystar-
czy zapoznać się bliżej z jednym z nich,
poszukać eksploita lub napisać go samo-
dzielnie, a następnie znaleźć potencjalną
ofiarę. Zdziwilibyście się, jak bardzo admi-
nistratorzy serwerów internetowych zanie-
dbują swoje obowiązki – nie uaktualnia-
ją oprogramowania, nie przeglądają logów
systemowych i nie analizują własnych sys-
temów. Wiele z przestępstw internetowych
nie jest upubliczniane (czytaj: zgłaszane

Opis

zawartości

płyt CD/DVD

Piotr Truszkowski, Michał Niwicki

Jądro Linux

Tomasz Torcz

Debian

Bartosz Feński, Tomasz Napierała

Mandrakelinux

Daniel Koć

Aurox

Karol Kozimor

policji) ze względu na reputację poszkodo-
wanego. W takim świecie żyjemy.

Czy możemy coś poradzić na to?

Oczywiście, dlatego ten numer Linux+ jest
skoncentrowany na zagadnieniach bezpie-
czeństwa. Piotrek Machej w swoich arty-
kułach stara się udzielić kilku dobrych rad.
Zachęcam do zastosowania się do nich.
Raz wprowadzone w życie mają szansę
stać się zwyczajem.

Na płytach DVD zamieściliśmy dwie

najpopularniejsze europejskie dystrybucje
Linuksa: Auroksa 10.1 (mocno poprawiony
względem poprzedniego wydania: gorąco
polecam, gdyż sam używam w pracy) oraz
Mandrakelinuksa 10.1 (używam w domu).

Przy okazji pragnę zawiadomić, że po-

szukujemy autorów artykułów, więc zain-
teresowane osoby proszę o zgłoszenie się
do mnie pod adresem krzysiek@lpmaga-
zine.org.

Zachęcam do lektury tego numeru.

Aktualności:

W bieżącym numerze :

eli

Newsy

Witold Kieraś

Gentoo

Witold Kieraś

styczeń 2005

Spis

treści

www.lpmagazine.org

Spis

treści

Oprogramowanie

Dvd::rip

– ripper płyt DVD

Witold Kieraś

Często potrzebujemy przekonwertować
filmy z płyt DVD do formatów dających
się odtworzyć przez osoby nie posiadające
odpowiedniego napędu. Pokażemy, jak tego
dokonać przy użyciu programu Dvd::rip.

KGpg – menedżer

kluczy szyfrujących

Witold Kieraś

Projekt Gnu Privacy Guard (GPG) powstał,
aby udostępnić silną i nowoczesną krypto-
grafię zwykłemu użytkownikowi kompu-
tera domowego. Prawdopodobnie najlep-
szą nakładką graficzną na tę aplikację jest
KGpg, który omówimy w artykule.

Gubed – debugger

skryptów w PHP

Piotr Machej

Pracując nad większymi projektami w PHP
na pewno przyda się nam dobry debugger
tego języka. Gubed pozwala prześledzić
działanie skryptu linijka po linijce, dzięki
czemu łatwo znajdziemy błąd w kodzie.

Cssed – edytor arkuszy

stylów CSS

Piotr Machej

CSS, czyli kaskadowe arkusze stylów, stały
się już niemal standardem przy tworzeniu
stron WWW. Cssed pomoże nam stworzyć
odpowiednie definicje nawet do bardzo
rozbudowanych projektów.

Vuurmuur – konfigurator

zapór sieciowych

Piotr Machej

Konfiguracja zapory sieciowej (firewall)
może nastręczyć nie lada problemów.
Dużym ułatwieniem w takim przypad-
ku może być Vuurmuur – program wspo-
magający tworzenie regułek iptables oraz
ipchains.

Simutrans

– gra ekonomiczna

Marek Bettman

Jeśli znudził nas już Medal of Honor
i Quake, to może spróbujmy pokiero-
wać dużą firmą transportową. Simutrans
to świetna gra ekonomiczna, wzorowa-
na na nieśmiertelnym Transport Tycoon
Deluxe.

Dla początkujących

Nessus

– skaner bezpieczeństwa

Piotr Machej

Podłączając nasz komputer do Internetu
lub sieci lokalnej, musimy odpowiednio
zadbać o zabezpieczenia na wypadek wła-
mania. Nessus jest skanerem, który pozwo-
li wykryć w naszym systemie te miejsca,
które są podatne na atak z sieci.

Sztuczki i kruczki

Grzegorz Niewęgłowski

Podczas pracy z Linuksem mogą przydać się
różnego rodzaju sztuczki i kruczki. Ich zna-
jomość również świadczy o tym, czy użytko-
wnik jest początkujący, czy zaawansowany.

Sprzęt

Programowy RAID

oraz LVM

Piotr Wolny

Linux wspiera dwa zaawansowane mecha-
nizmy gromadzenia danych: Software RAID
oraz Logical Volume Manager. Przy ich
pomocy możemy zwiększyć wydajność
pamięci masowej, a także poprawić bezpie-
czeństwo przechowywanych informacji.

Dla programistów

Pyro i OpenSSL – bezpieczny

komunikator internetowy

Marek Sawerwain

Gdy planujemy przesyłać istotne informacje
przez Internet, to wprowadzenie szyfrowa-
nia danych w naszych aplikacjach rozpro-
szonych jest bardzo ważnym zagadnieniem.
W artykule pokazujemy, jak w prosty spo-
sób stworzyć własny komunikator w stylu
Gadu-Gadu, obsługujący szyfrowanie.

Testy

YOPY YP3700

Michał Niwicki

Temat miesiąca: Bezpieczeństwo

Bezpieczeństwo

Bezpieczne łączenie się

z Internetem

Piotr Machej

Internet nie jest miejscem bezpiecznym.
Aby móc spać spokojnie, należy zastoso-
wać się do kilku podstawowych zasad.
W artykule przedstawiamy najważniej-
sze zagadnienia, na które należy zwró-
cić uwagę przy podłączaniu komputera
z Linuksem do Sieci.

Odzyskiwanie danych

– sposoby

i przegląd narzędzi

Michał Niwicki

Na pewno każdy z nas stanął lub stanie
przed problemem odzyskiwania utraco-
nych danych – przez nieuwagę, awarię
bądź atak. W takiej sytuacji nieocenio-
ne mogą stać się takie programy, jak:
dd_rescue, dd_rhelp, mondorescue, unrm
oraz gpart.

Wywiad

z Przemysławem Tołpą,

Sales Managerem w firmie

Adaptec

Krzysztof Krawczyk

Tym razem postanowiliśmy porozmawiać
z przedstawicielem firmy Adaptec, dobrze
znanej z produkcji kontrolerów pamięci
masowych (SCSI, SATA, RAID) oraz kart
sieciowych (NAC). W naszej rozmowie
skupiliśmy się na wsparciu wymienionych
produktów w systemach linuksowych.

CD A / DVD B

aktualności

opis CD/DVD

styczeń 2005

Mozilla Firefox 1.0

Najnowsza wersja popularnej
przeglądarki internetowej. Umożliwia
blokadę wyskakujących okienek
(ang. popups), panelowe przeglądanie
stron oraz automatyczną instalację
niezbędnych wtyczek (ang. plugins).
Posiada interfejs w języku polskim.
http://www.firefox.pl/

Simutrans

Gra strategiczno-ekonomiczna
polegająca na rozbudowie
infrastruktury drogowej, kolejowej
i morskiej. Zadaniem gracza jest
budowanie połączeń między
fabrykami i miastami w celu
zapewnienia jak najlepszego
transportu towarów i ludzi.
http://www.simutrans.de/

Nessus 2.2.0

Program jest zaawansowanym
skanerem bezpieczeństwa. To
kompleksowe narzędzie służy do
wykrywania ewentualnych luki
w systemie bezpieczeństwa sieci
komputerowych. Wykorzystuje
kilka tysięcy znanych reguł ataków
najczęściej wykorzystywanych
do przejęcia kontroli nad obcym
systemem.
http://www.nessus.org/

Nmap 3.75

Profesjonalny skaner sieciowy.
Umożliwia kontrolowanie i badanie
wybranych urządzeń sieciowych
poprzez protokół IP. Potrafi rozpoznać
prawie 1500 systemów operacyjnych
i ponad 2000 tysiące portów.
http://www.nmap.org/

OpenSSH 3.9

Darmowy program realizujący
szyfrowane połączenia między
dwoma komputerami. Zapewnia
bezpieczeństwo przesyłania
danych, autoryzację połączeń oraz
autentykację.
http://www.openssh.org/

John the Ripper 1.6

Narzędzie służące do wykrywania
słabych haseł. Potrafi łamać hasła
dostarczone w wielu formatach (DES,
MD5, Blowfish, NT LM).

Snort 2.2.0

Jest to sieciowy system wykrywania
włamań. Dostarcza wszelkich
niezbędnych informacji
o podejrzanych działaniach w sieci.
Umożliwia łatwiejszą analizę danych
niż w przypadku programu Tcpdump.
http://www.snort.org/

TuxSaver 1.0

Atrakcyjny wygaszacz ekranu 3D.
Przedstawia sceny z życia pingwina na
bezludnej wyspie. Umożliwia również
tworzenie własnych scenariuszy.

Recovery Is Possible (RIP)

radycyjne dystrybucje Linuksa koja-
rzą się nam z przyjaznym środowi-

skiem graficznym, szeregiem użytecznych
programów do pracy i rozrywki oraz
mniej lub bardziej skomplikowaną pro-
cedurą instalacyjną. Jakie szanse ma za-
tem system, który komunikuje się z użyt-
kownikiem jedynie za pomocą zwykłego
terminala i w którym nie ma użytecznych
aplikacji biurowych? Taki właśnie jest RIP
– dystrybucja wyposażona w liczne apli-
kacje służące do odzyskiwania danych

i w efekcie stanowiąca profesjonalne na-
rzędzie do ratowania systemu. Szanse ma
bardzo duże, gdyż za pomocą RIP-a bez
problemów naprawimy uszkodzone par-
tycje systemowe, odzyskamy utracone
dane, czy naprawimy pliki konfiguracyj-
ne już zainstalowanej, aczkolwiek z róż-
nych powodów niedziałającej dystrybu-
cji Linuksa. Ta dystrybucja posiada wspar-
cie dla różnych systemów plików, m.in.
ext2, ext3, iso9660, ntfs, umsdos, reiserfs
oraz vfat.

QEMU

EMU to darmowa wersja prostego
i szybkiego emulatora procesora.

Potrafi pracować w dwóch trybach: peł-
nej emulacji systemu (full system emula-
tion) oraz w trybie użytkownika (user mo-
de emulation).

Pełna emulacja pozwala na urucho-

mienie różnych systemów operacyjnych
bez konieczności restartowania kompu-
tera – wystarczy, że na wejściu progra-
mu podamy jako parametr nazwę pliku
zawierającego obraz systemu, który chce-
my uruchomić, oraz wskażemy, dla jakie-
go urządzenia był ten obraz przeznaczony
(dyskietka, cdrom, dysk twardy).

Tryb użytkownika jest przeznaczony

do uruchamiania aplikacji przeznaczo-
nych dla różnych procesorów. Obecna

wersja programu pozwala emulować pro-
cesory: i386, ARM, SPARC i PowerPC, ale
twórcy QEMU zastrzegają, że prace zwią-
zane z ich emulacją są jeszcze w fazie te-
stów.

Godnym uwagi jest fakt, że QEMU

potrafi emulować różnoraki sprzęt. Dzię-
ki temu użytkownik nie tylko może uru-
chomić system operacyjny wewnątrz in-
nego systemu, ale także wskazać urządze-
nia i ich parametry, które mają być rozpo-
znawane przez ten system (np. karty sie-
ciowe, karty dźwiękowe itp).

Na płycie CD znajdziecie obrazy

dwóch systemów, które można urucho-
mić za pomocą QEMU: FreeDOS oraz
Mandrakelinux 10.0.
http://www.qemu.org/

Morphix pod QEMU

CD B / DVD B

aktualności

opis CD/DVD

styczeń 2005

Mozilla Firefox 1.0

Najpopularniejsza na świecie
przeglądarka internetowa
oparta o silnik renderujący
Gecko.
http://www.mozilla.org/products/
firefox/central.html

VLC 0.8.1

Konkurencyjny do MPlayer-a
i Xine odtwarzacz filmów, wraz ze
wszystkimi niezbędnymi kodekami.
http://www.videolan.org/vlc

Python 2.4c1

Jeden z najpopularniejszych
języków skryptowych na świecie.
http://www.python.org

Linux 2.6.9

Jądro systemowe w najnowszej
wersji. Warto dokonać
aktualizacji, chociażby z uwagi
na mechanizm kexec.
http://www.kernel.org

Ethereal 0.10.7

Popularny sniffer, czyli
program przechwytujący
dane krążące w zamkniętych
sieciach LAN.
http://www.ethereal.com

Firewall Builder 2.0.3

Najnowsza wersja programu,
którego graficzny interfejs i wygoda
użycia pozwolą nam zaprojektować
firewalla marzeń.
http://www.fwbuilder.org

PPRacer 0.2

Pingwin w nietypowym wyścigu
z czasem.
http://www.planetpenguin.de/
bereich-20.html

Nessus 2.2.0

Profesjonalny program do robienia
audytów bezpieczeństwa, zarówno
w małych, jak i dużych sieciach
LAN.
http://www.nessus.org

Freeciv

Darmowa wersja wielkiego
hitu lat 90. Budujemy własną
cywilizację.
http://www.freeciv.org

Snort 2.2.0 i 2.3.0RC1

Popularny program przyjazny
dla administratorów sieci, mniej
przyjazny dla włamywaczy. Innymi
słowy – wykrywacz wszelkiej maści
intruzów.
http://www.snort.org

ATI 3.14.6 i NVIDIA 1.0-6629

Sterowniki do popularnych kart
graficznych.
http://www.ati.com
http://www.nvidia.com

Trustix Secure Linux 2.2

rustix to bezpieczna dystrybucja Li-
nuksa, zoptymalizowana pod kątem

pracy na serwerach. Zawiera starannie
dobrane oprogramowanie, umożliwiają-
ce uruchomienie serwera WWW, serwe-
ra poczty, bazy danych i wielu innych. Na
rynku dostępnych jest wiele dystrybucji,
o których producenci mówią: bezpieczne.
Czym wyróżnia się Trustix? Zasadniczo,
dwoma elementami: wielkością i sposo-
bem aktualizacji.

W przypadku systemów serwero-

wych chyba wszyscy są zgodni – rozmiar
jest istotny. Im dystrybucja po instalacji
jest mniejsza, tym lepiej. Takie dbanie
o rozmiar ma swoje uzasadnienie
– mniejsza ilość oprogramowania na-
rażonego na błędy, mniej czasochłon-
na aktualizacja i większy porządek
w systemie, a tym samym prostsza admi-
nistracja. Trustix ma się czym pochwa-
lić. Po domyślnej instalacji, nie zawiera-
jącej różnego rodzaju serwerów, zajmuje
niewiele ponad 100 MB i zawiera tylko
i wyłącznie aplikacje niezbędne do dzia-
łania systemu. Dzięki starannemu dobra-
niu wszelkiego rodzaju zależności po-
między pakietami, nie będziemy mieli
sytuacji, gdy instalując którąś z aplikacji,
zostanie zainstalowana również ogrom-
na ilość innych, z których prawdopo-
dobnie nigdy nie będziemy korzystać.

Drugim ciekawym elementem jest

narzędzie do aktualizacji systemu o na-
zwie Swup (The Secure SoftWare Upda-
ter). Dzięki temu oprogramowaniu prze-
prowadzimy bezpieczną aktualizację sys-
temu (obsługa protokołów http, https, ftp
i file, również z autoryzacją, integracja
z GnuPG), zainstalujemy dodatkowe opro-
gramowanie bądź usuniemy te, z któ-
rego już nie korzystamy. Przejdźmy do te-
go, co uwielbiają zarówno administrato-
rzy sieci, jak i zwykli użytkownicy Linuk-
sa – omówienia oprogramowania zawar-
tego w dystrybucji. Na Trustiksa składa-
ją się m.in:

– jądro 2.4.27 z licznymi dodatkami,

zwiększającymi jego bezpieczeństwo,

– Apache 2.0.52,
– IPTables 1.2.11,
– MySQL 4.1.7,
– OpenSSH 3.9p1,
– OpenSSL 0.9.7e,
– PHP 5.0.2,
– Postfix 2.1.5,

– PostgreSQL 8.0.0beta4,
– Samba 3.0.7.

Ponieważ Trustix jest dystrybucją typo-
wo serwerową, nie znajdziemy w niej
środowiska X Window. Zaskoczeni bę-
dą również Ci, którzy są przyzwyczajeni
do najpopularniejszego linuksowego me-
nedżera plików, czyli programu Midnight
Commander – po prostu brak go. Jednak
wszyscy Ci, którzy największy nacisk kła-
dą na bezpieczeństwo i zastanawiają się
nad dystrybucją Linuksa przeznaczoną na
serwer produkcyjny, będą zadowoleni.

W tym miejscu dochodzimy do kolej-

nej ważnej rzeczy – Trustix nie jest sys-
temem dla początkujących administrato-
rów. Pomimo łatwej do przeprowadzenia
instalacji (znana z Red Hata/Fedory i Au-
roksa Anaconda działająca w trybie tek-
stowym), sama administracja systemem
wymaga pewnej znajomości Linuksa.
Mam tutaj na myśli znajomość chociażby
podstawowych komend systemowych (ls,
ps, grep, vi, kill) i aplikacji (vi), jak rów-
nież umiejętność czytania podręczników
systemowych (man) i ręcznej edycji pli-
ków konfiguracyjnych.

Trustix Linux 2.2 to profesjonalna

dystrybucja, dzięki której administrato-
rzy nauczą się więcej niż na innych, bar-
dziej przyjaznych początkującym, dystry-
bucjach, a zaawansowani administratorzy
poczują się bardziej bezpieczni. Wydaje
mi się, że warto zainstalować Trustiksa
z jeszcze jednego powodu. W natłoku naj-
różniejszych dystrybucji przedstawianych
jako serwerowe, które po instalacji wita-
ją nas fajerwerkami graficznymi i spra-
wiają wrażenie powolnych, Trustix nie-
sie ze sobą ducha Linuksa sprzed lat. Ta-
kiego, którego pamiętają tylko Ci najstar-
si, i tego, którego ostatnim dystrybucjom
tak bardzo brakuje. Zapewniam Cię dro-
gi Czytelniku, że warto poczuć ten kli-
mat. Na płycie DVD B dostępny jest ob-
raz ISO systemu.

Ekran powitalny instalatora Trustiksa

opis DVD

DVD A

styczeń 2005

Aurox 10.1 Quicksilver – europejska dystrybucja Linuksa

a początku grudnia zakoń-
czono prace związane z wy-
daniem nowej wersji Aurok-
sa o nazwie kodowej

Quicksilver. Jak się okazało, ta dystrybu-
cja, bazująca w dużym stopniu na Fedo-
rze, wyprzedziła ją pod wieloma wzglę-
dami, stając się w coraz większym stop-
niu niezależnym produktem. Usunięto
wiele błędów, wykorzystano nową wersję
instalatora (Anaconda 10) oraz zaktuali-
zowano lub dodano wiele nowych pakie-
tów. Część oprogramowania zastąpiono
w pełni funkcjonalnymi odpowiednika-
mi, bez ograniczeń patentowych narzu-
canych w USA. Jednocześnie programiści
Auroksa dodali wiele skryptów ułatwia-
jących instalację dodatkowych sterow-
ników, których nie można było włączyć
do standardowej procedury instalacyjnej
(NVidia, ATI).

W nowym Auroksie poprawiono

także wszelkie błędy związane z prawi-
dłową detekcją sprzętu. Dzięki zastąpieniu
statycznego deva dynamicznym udevem
oraz dodaniem szeregu aplikacji, które
z nim współpracują (hotplug, hal, gamin
oraz gnome-volume-manager), możliwe
jest automatyczne dodawanie i konfigura-
cja urządzeń, takich jak np. aparaty cyfro-
we czy zewnętrzne karty pamięci.

Dużym atutem Auroksa jest łatwość

instalacji, konfiguracji oraz prostota obsłu-
gi systemu. W efekcie, osobom przyzwy-
czajonym do używania innych syste-
mów operacyjnych, migracja na Linuk-
sa nie powinna sprawić trudności. Co
więcej, programistom udało się z suk-
cesem stworzyć platformę nadającą się
zarówno dla użytkowników stawiających
pierwsze kroki w świecie Linuksa, jak
i dla ludzi, którzy tę fazę mają już za sobą
– Aurox 10.1 to nie tylko programy biuro-
we. ale także szereg aplikacji sieciowych
i narzędziowych.

nie instalowanym środowiskiem graficz-
nym jest X.org. Użytkownik ma także do
wyboru dwa popularne środowiska graficz-
ne: KDE 3.3.1 oraz GNOME 2.8.1. Dodatko-
wo, możliwe jest skorzystanie z lekkich
menedżerów okien typu FluxBox czy Win-
dowMaker. Do dyspozycji mamy również
pakiet biurowy OpenOffice.org 1.1.2 oraz
program do poczty elektronicznej i zarzą-
dzania kalendarzem/kontaktami – Evolu-
tion 2.0.2.

Podsumowanie

Jak cię widzą, tak cię piszą – brzmi popu-
larne powiedzenie. Koledzy z Auroksa
przygotowali naprawdę ładną, łatwą, pro-
fesjonalną i w pełni funkcjonalną dystrybu-
cję Linuksa. Polecamy ją wszystkim Czytel-
nikom Linux+. Na płycie DVD znajduje się
pełna wersja dystrybucji Linuksa, pakiety
dodatkowe oraz źródła.

Wymagania systemowe:

Wymagania minimalne Auroksa 10.1dla
pracy w trybie tekstowym:

• procesor zgodny z Pentium, zaleca-

ny 200 MHz lub lepszy

• pamięć 64 MB

Do pracy w trybie graficznym są potrzebne:

• procesor: zalecany 400 MH

Pentium II lub lepszy

• pamięć: minimum 128 MB,

zalecane 256 MB

Niezbędne wolne miejsce na dysku:

• instalacja minimalna: 1 GB
• serwer: minimum 1.1 GB
• biuro, szkoła i dom: 3 GB
• stacja robocza: 3,5 GB
• wszystkie pakiety: 8 GB

Dodatkowo wymagane jest miejsce
na dane użytkownika.

Aurox do pracy

Aurox do nauki

Aurox do zabawy

Pierwsze wrażenie

Nieczęsto spotykamy się z sytuacją, w której
jakiś produkt zachwyca nas od samego
początku. Tak właśnie jest z nowym Aurok-
sem! Już na wstępie naszym oczom uka-
zuje się instalator komunikujący się z nami
w dowolnym europejskim języku. Prosta
procedura instalacyjna i równie łatwa kon-
figuracja szybko pozwala nam rozpocząć
pracę z nowym systemem.

Standardowo, do dyspozycji mamy

szereg aplikacji przydatnych do pracy
w biurze (OpenOffice.org, Evolution, prze-
glądarka Firefox), liczne programy eduka-
cyjne (KmPilot, Kalzium) i rozrywkowe
(Ziemniaczany facet). Dodatkowo, w Auro-
ksie 10.1 znajdziemy wiele programów mul-
timedialnych, służących do słuchania i kom-
ponowania muzyki (GLAME, Audacity),
oglądania filmów (MPlayer, Xine) oraz
pracy z plikami graficznymi (GIMP). Miłym
zaskoczeniem jest łatwa instalacja dodatko-
wych programów i sterowników.

Instalacja dodatkowych

pakietów

Twórcy Auroksa postarali się o to, aby
użytkownik systemu nie miał najmniej-
szych kłopotów z instalacją sterowników
kart graficznych (Nvidia, ATI), modemów,
obsługi partycji NTFS, czy uruchomieniem
aplikacji Flash i Java. Specjalnie przygo-
towane skrypty pozwolą jednym polece-
niem dodać najbardziej potrzebne biblio-
teki i programy, dzięki czemu nawet osoby
stawiające pierwsze kroki w Linuksie usły-
szą z głośników dźwięk w formacie mp3
i obejrzą filmy avi.

Co jest w środku?

Dystrybucja Aurox Linux 10.1 pracuje pod
kontrolą jądra w wersji 2.6.9-10. W związ-
ku ze zmianami licencyjnymi XFree86,
wiele dystrybucji nie chce dołączać naj-
nowszych wersji tego serwera, a domyśl-

DVD B

aktualności

styczeń 2005

opis DVD

Mandrakelinux 10.1 Official

Najpopularniejsza dystrybucja
Linuksa na świecie, szczególnym
uznaniem ciesząca się wśród
początkujących użytkowników
Linuksa. Aby zainstalować
Mandrakelinux 10.1 Official,
uruchom komputer z płytki
DVD B, wpisz linux i naciśnij [Enter].
Jeśli podczas
instalacji dodatkowego
oprogramowania system poprosi
Cię o pierwszą, drugą bądź
trzecią płytę CD, nie przejmuj
się – wystarczy nasza płytka DVD,
na której zawarte są dane wszystkich
trzech płytek instalacyjnych. Dobrej
zabawy!
http://www.mandrakelinux.com/

DD_Rescue 1.10

Program służący do odzyskiwania
danych.
http://www.garloff.de/kurt/linux/
ddrescue/

G4L 0.14

Ghost For Linux, czyli klon
znanego posiadaczom Windows
programu Norton Ghost.
Dzięki niemu zrobisz
w łatwy sposób kopię swojej partycji.
http://freshmeat.net/projects/g4l/

Freerails 20041011

Klon kultowej gry Railroad.
Budujemy własną kolej.
http://freerails.sourceforge.net/

Aktualizacje

Aktualizacje dla systemu
Mandrakelinux 10.1.
http://www.mandrakelinux.com/

WINE 20041019

Środowisko API Win32
na Linuksie.
http://www.winehq.org/

RIP 11.4

System ratunkowy, uruchamiany
z płyty, zbliżony do System Rescue
CD. Zawiera oprogramowanie
przydatne każdemu posiadaczowi
komputera.

Ballsmacker 1.0.0

Wirtualny bilard w środowisku 3D.
http://ballsmacker.sf.net/

Q DVD-Author 0.0.8

Zamierzasz uwiecznić jakieś
wydarzenie w postaci filmu na płycie
DVD?
Dzięki Q DVD-Author uzyska on
eleganckie menu.
http://qdvdauthor.sourceforge.net/

GIMP 2.2-pre2

Najnowsza wersja najpopularniejszego
programu graficznego w świecie
Open Source.
http://www.gimp.org/

Linux+ Live

inux+ Live to dystrybucja Linuksa zna-
na Czytelnikom Linux+DVD, urucha-

miana z płyty DVD i nie wymagająca in-
stalacji na dysku twardym. W tym miesiącu
przekazujemy w Wasze ręce garść progra-
mów związanych z bezpieczeństwem sieci:

– Nmap – popularny skaner portów,

dzięki któremu wykryjecie słabe punk-
ty serwerów;

– Ettercap – bardzo rozbudowany sniffer,

czyli podsłuchiwacz danych krążących
w zamkniętych sieciach LAN (posia-
da dużą liczbę różnych wtyczek, które
czynią z niego prawdziwie szpiegow-
ską maszynę);

– Ethereal – kolejny sniffer, ale w prze-

ciwieństwie do wymienionego przed
chwilą Ettercapa, działa w trybie gra-
ficznym i posiada mniejszą liczbę wty-
czek (idealny dla początkujących);

– Airsnort – jeszcze jeden sniffer, ale

tym razem zupełnie inny od wymie-
nionych wcześniej, gdyż działa w za-
mkniętych sieciach WLAN;

– Ping – program wysyłający pakiet in-

formacji i żądający odesłania go do
wysyłającego (pozwala zbadać istnie-
nie połączenia między komputerami,
drogę między nimi, czas potrzebny na
przejście pakietu oraz sprawdzać, czy
dany komputer pracuje w sieci);

– Traceroute – program posiadający

funkcje podobne do tych oferowanych
przez program Ping (idea jego działa-

nia jest następująca: z każdym wysła-
nym pakietem związany jest pewien
licznik zawierający ,,czas życia''; jest on
zmniejszany o jeden podczas przejścia
przez każdy router; gdy osiągnie zero,
pakiet jest zwracany do nadawcy jako
,,przeterminowany'').

Patrząc od strony technicznej, Linux+ Live
jest oparty o jądro 2.6.7 i KDE 3.2.3. Dzię-
ki temu, wymienione wcześniej oprogra-
mowanie wykorzystają również mniej za-
awansowani użytkownicy.

Pamiętajcie o jednym – jeśli chcecie

wykorzystać Ettercapa, Ethereala czy Air-
snorta, spytajcie najpierw o zgodę admini-
stratorów Waszej sieci. Podsłuchiwanie jest
nielegalne. Redakcja nie odpowiada za ja-
kiekolwiek szkody wyrządzone przez wy-
mienione oprogramowanie. Życzymy do-
brej, a przede wszystkim rozważnej za-
bawy!
http://live.lpmagazine.org/

Linux+ Live po uruchomieniu

Kieszonkowy Linux

Damn Small Linux 0.8.3

Bootowalna dystrybucja Linuksa, miesz-
cząca się na płytce o wielkości karty kre-
dytowej, zawierająca środowisko graficz-
ne i wiele przydatnych aplikacji? Cze-
mu nie. Z przyjemnością przedstawiam
Damn Small Linux – jedną z najmniej-
szych dystrybucji Linuksa. Aż dziw bie-
rze, jak wiele można zmieścić na prze-
strzeni 50 MB. Znajdziecie tutaj odtwa-
rzacz multimedialny XMMS, klienta pocz-
ty elektronicznej, klienta FTP, przeglądar-
kę internetową, arkusz kalkulacyjny, edy-
tor tekstu, komunikator internetowy oraz
menedżera plików. Jeśli dodamy do tego
możliwość instalacji na dysku twardym
i urządzeniu PenDrive, wychodzi nam
obraz dystrybucji idealnej dla słabszych
komputerów, wyposażonych w proceso-
ry 486 i wczesne Pentium. To wspaniały

sposób na to, aby mieć swój ulubiony sys-
tem zawsze przy sobie. Nagrany na spe-
cjalnie przygotowanej płytce, zmieści się
do portfela czy kieszeni. Rewelacja. Sys-
tem został umieszczony na płycie w for-
mie obrazu ISO.
http://www.damnsmalllinux.org/

news

aktualności

News

styczeń 2005

news@lpmagazine.org

dział prowadzi: Witold Kieraś

www.lpmagazine.org

News

OpenBSD 3.6

Oczekiwana wersja 3.6 systemu
OpenBSD w końcu ujrzała światło
dzienne. Główne nowości w stosunku
do poprzedniej wersji to wsparcie
dla nowej platformy sprzętowej
luna88k, obsługa wielu procesorów na
platformach i386 i amd64, zwiększona
wydajność i funkcjonalność NFS oraz
zwiększona funkcjonalność Border
Gateway Protocol Daemon.
http://www.openbsd.org/36.html

Bristol na Open Source?

Władze miejskie Bristolu planują
wyposażyć 5000 komputerów
w oprogramowanie Open Source.
Ostateczne decyzje zostaną pojęte
dopiero po debacie na posiedzeniu rady
miasta. Zmiany miałyby objąć 5000
komputerów, na których pojawiłby się
zintegrowany pakiet StarOffice 7 firmy
Sun Microsystems, zamiast dotychczas
używanych programów Corel Word
Perfect, Lotus 1-2-3 oraz Microsoft Office.
Zgodnie z wyliczeniami urzędników,
przejście na oprogramowanie Open
Source pozwoliłoby zaoszczędzić ponad
milion funtów w ciągu najbliższych
pięciu lat.
http://www.computerweekly.com/
articles/article.asp?liArticleID=134508&
liArticleTypeID=1&liCategoryID=6&liC
hannelID=1&liFlavourID=1&sSearch=
&nPage=1

Koders.com

Pod adresem Koders.com można znaleźć
nowy projekt będący wyszukiwarką
źródeł oprogramowania Open Source.
Ma ona ułatwić pracę programistom,
którzy będą mogli porównać, jak dany
problem, który napotkali w swojej
pracy, rozwiązali inni. Oprócz słów
kluczowych, kryterium wyszukiwania
może być język programowania
i licencja, na której kod jest dostępny.
Serwis Newsforge przeprowadził
wywiad z twórcą tego projektu,
Darrenem Rushem
http://www.newsforge.com/
article.pl?sid=04/11/01/1927212

Novell Linux Desktop

Novell ogłosił niedawno, że jego nowy
produkt, oparty na SUSE 9 Novell
Linux Desktop 9, jest już dostępny. Jest
to system przeznaczony dla klienta
korporacyjnego i dostępny jest wraz
ze wsparciem technicznym, a także
szkoleniami dla pracowników. Dostępny
ma być w sieci sprzedaży partnerów
Novella. Jego sugerowana cena to $50
wraz z rocznymi uaktualnieniami
i poprawkami. Za darmo dostępna jest
trzydziestodniowa wersja próbna
(trzy obrazy ISO).
http://www.novell.com/products/desktop/
eval.html

3 x Novell

statnio często, w różnych kontekstach,
wspomina się o firmie Novell, któ-

ra w stosunkowo niedługim czasie, dzięki
swojej zdecydowanej strategii na rynku IT,
stała się linuksowym potentatem.

Nic dziwnego, że to właśnie Novell po-

czuł się w obowiązku odeprzeć zarzuty
wystosowane przez Microsoft przeciwko Li-
nuksowi w kampanii Get the Facts (Poznaj
fakty – przechrzczonej szybko przez śro-
dowisko Open Source na Get the FUD, od
Fear, Uncertainty, Doubt, czyli Strach, Nie-
pewność i Zwątpienie). Specjalnie stworzo-
na w tym celu strona już w pierwszych sło-
wach nie pozostawia wątpliwości co do te-
go, że Novell nie ma zamiaru łatwo odda-
wać pola: W ostatnim czasie opublikowano
opinie podważające przydatność systemu
Linux do zastosowań w przedsiębiorstwach.
Informacje zebrane w tym miejscu pomogą
lepiej zrozumieć motywację, jaka stoi za ty-
mi opiniami, i właściwie ocenić rzeczywi-
stą wartość Linuksa dla sieci korporacyjnej.
Zaraz po tym autorzy przechodzą do rze-
czy – w pięciu kolejnych rozdziałach, za-
tytułowanych kolejno: Dlaczego lepiej wy-
brać Linuksa, a nie Windows, O czym Mi-
crosoft nie mówi, Nadeszła pora na Linuk-
sa, Chodzi o swobodę wyboru oraz Dlacze-
go jeśli Linux, to Novell?, punkt po punk-
cie podważają argumentację firmy z Red-
mond, zawartą w jej (nie)sławnej kampanii
informacyjnej. Novell przekonuje, że Linux,
to nie tylko niskie koszty, ale również bez-
pieczeństwo i przyszłość. Firma nie omiesz-
kała przy tym wspomnieć o swoim progra-
mie zabezpieczenia klientów przed roszcze-
niami patentowymi. Oczywiście, linuksową
alternatywą dla platformy Microsoftu jest
w tym dokumencie niemal zawsze komer-
cyjna dystrybucja SUSE, przejęta niedawno
przez Novella. Trudno się temu dziwić – za-
równo kampania Microsoftu, jak i kontratak
Novella, są skierowane przede wszystkim
do klienta korporacyjnego, który potrzebu-
je rozwiązań sprawdzonych w warunkach
produkcyjnych oraz wsparcia techniczne-
go ze strony producenta. Pod tym wzglę-

dem SUSE wydaje się być całkiem dobrą al-
ternatywą.

Kilka dni po premierze strony interneto-

wej odpierającej zarzuty Microsoftu, w ser-
wisach linuksowych znów pojawiła się na-
zwa firmy Novell. Niejakim zaskoczeniem
dla wielu była informacja o odejściu jedne-
go z jej głównych menedżerów, Chrisa Sto-
ne'a, który, jak mówi, postanowił poświęcić
się teraz innym wyzwaniom zawodowym.
Chris był głównym autorem strategii linuk-
sowej Novella – to głównie dzięki jego sta-
raniom i pracy Novell przejął najpierw fir-
mę Ximian, producenta oprogramowania
Open Source, a następnie SUSE, producen-
ta znanej komercyjnej dystrybucji Linuksa.
To właśnie za kadencji Stone'a Novell stał
się potentatem na rynku oprogramowania
Open Source, wykorzystując pewne nie-
zdecydowanie ze strony konkurencji, głów-
nie Sun Microsystems. Dzięki swojej platfor-
mie opartej na SUSE i Ximianie, Novell rzu-
cił rękawicę Microsoftowi na rynku korpo-
racyjnym. Nie wydaje się, aby odejście Sto-
ne'a miało wpłynąć na zmianę strategii fir-
my – Novell w każdym razie zdecydowanie
zapowiada kontynuację.

Trzecia informacja dotyczącą Novella

jest chyba najbardziej interesująca dla samej
firmy. Na drugiej dorocznej imprezie Tech
Innovators czasopismo VARBusiness przy-
znało Novellowi nagrodę "Największy in-
nowator w dziedzinie sytemu Linux w ro-
ku 2004" (2004 Top Innovator Award for Li-
nux) za jej system SUSE LINUX Enterpri-
se Server 9. Pakiet SUSE LINUX Enterprise
Server 9 znalazł się wśród 460 produktów
zgłoszonych do konkursu przez 50 dostaw-
ców produktów informatycznych dla przed-
siębiorstw.

Oby więc Novell nie zwalniał tempa

– dla dobra Linuksa...

http://www.novell.com/linux/truth/
http://7thguard.net/news.php?id=4198

Novell na swojej stronie internetowej

prostuje “fakty”

Między innymi dzięki przejęciu firmy

SUSE, Novell stał się linuksowym

potentatem

news

aktualności

News

styczeń 2005

news@lpmagazine.org

dział prowadzi: Witold Kieraś

www.lpmagazine.org

News

Nawigacja GPS na Linuksie

TomTom GO to system nawigacji
samochodowej GPS, działający
w oparciu o Linuksa. Można dzięki
niemu korzystać z dwuwymiarowego
oraz trójwymiarowego widoku
drogi, a także z systemu
informowania kierowcy (zarówno
przy pomocy tekstu, jak i głosu)
o kierunku jazdy. Urządzenie można
zamontować na tablicy rozdzielczej
lub przedniej szybie samochodu,
a producent twierdzi, że jest to
najmniejsze tego typu urządzenie
dostępne obecnie na rynku.
http://www.linuxdevices.com/articles/
AT6929528271.html

Za duży wybór?

W serwisie Newsforge ukazał się
artykuł Vinoda Vijayarajana pt.
Too many cooks in Linux? Autor
twierdzi w nim, że głównym
problemem dla osób migrujących
z monolitycznego systemu Windows
na Linuksa jest zbyt duża liczba
decyzji, jakie muszą podjąć jeszcze
zanim zaczną pracować w nowym
środowisku. Najpoważniejszą jest
oczywiście wybór dystrybucji.
Postuluje stworzenie zbioru
standardów dotyczących przede
wszystkim instalacji i procesu
konfiguracji systemu, aby nowy
użytkownik nie czuł się przytłoczony
brakiem zgodności dystrybucji
Linuksa na płaszczyźnie interfejsu.
Artykuł spotkał się ze zdecydowaną
krytyką czytelników – główną zaletą
Linuksa jest właśnie możliwość
wyboru, a rezygnowanie z niej
w imię upodabniania się do
produktów MS wydaje się być tym,
czego obecni użytkownicy Linuksa
bardzo by sobie nie życzyli.

Przeciwko patentom w Unii

Georg Greve, prezydent Free
Software Foundation Europe,
wystosował list otwarty do
desygnowanego niedawno nowego
przewodniczącego Komisji
Europejskiej José Manuel'a Barroso.
Powołuje się on na badania
przeprowadzone przez poważne
firmy, jak PricewaterhouseCoopers
oraz Deutsche Bank, dotyczące
szkodliwego wpływu na gospodarkę
jakie niesie za sobą przegłosowanie
dyrektywy o możliwości
patentowania oprogramowania,
oraz zachęca do sprzeciwu wobec
wprowadzenia patentów na
"wynalazki realizowane za pomocą
komputera".
http://fsfeurope.org/projects/swpat/
letter-20041101.en.html
http://7thguard.net/
news.php?id=4194

Adobe a sprawa linuksowa

dobe Systems, znany producent opro-
gramowania, nie może pochwalić

się bogatą kolekcją programów działają-
cych na platformie linuksowej. W zasa-
dzie jedynym rodzynkiem jest Adobe Re-
ader, ale i tutaj nie jest najlepiej – wersja
dla Linuksa jest mocno spóźniona w sto-
sunku do wersji dla Windows i Mac OS X.
Być może w niedługiej przyszłości to się
zmieni. Firma Adobe Systems przystąpi-
ła do konsorcjum przemysłowego Open
Source Development Labs, które zatrud-
nia m.in. Linusa Torvaldsa. Adobe, zgod-
nie z informacjami, jakie zdobyli dzien-
nikarze serwisu CNET News.com, działa
w konsorcjum w grupie roboczej zajmują-
cej się Linuksem w zastosowaniach biur-
kowych.

Firma zaprzecza jakoby chciała stwo-

rzyć linuksowe wersje swoich flagowych
produktów, takich jak Photoshop czy Illu-
strator, a jedynie zapowiada uaktualnienie
Adobe Readera do wersji 6.0, czyli takiej
jak dla Windows i Mac OS X. Pam Deziel,

Diabełek powraca – FreeBSD 5.3

ługo oczekiwane nowe wydanie naj-
popularniejszego systemu z rodziny

BSD, FreeBSD 5.3, jest już dostępne. Jak
podkreślają deweloperzy, jest to pierw-
sze stabilne wydanie z gałęzi 5.x – stabilne
w sensie produkcyjnym, tzn. nie testu-
je się w nim nowych rozwiązań technolo-
gicznych, ale dostarcza system gotowy do
wdrażania. Do tej pory twórcy zalecali, ja-
ko stabilniejszą, gałąź 4.x systemu.

Od dość dawna FreeBSD pozostaje

w cieniu Linuksa, jako ten drugi system ty-
pu Open Source. Dzieje się tak głównie za
sprawą tego, że FreeBSD skupiło wokół sie-
bie mniejszą społeczność – zarówno dewe-
loperów, jak i użytkowników. Wśród sys-
temów z rodziny BSD to właśnie FreeBSD
uchodzi za najlepiej rozwinięty i najbardziej
wszechstronny – jest niezwykle ceniony na
serwerach, ale ma też swoich zwolenników
w zastosowaniach biurkowych. Niezwykle
liberalna licencja BSD pozwala na wyko-
rzystywanie jego kodu także w projektach
typu closed source, przez co FreeBSD ma
swój wkład w rozwój komercyjnych syste-
mów, takich jak MacOS X czy Solaris.

Co nowego we FreeBSD 5.3? Znajdzie-

my w nim między innymi serwer X.org
w wersji 6.7, a także środowiska graficz-
ne GNOME 2.6.2 i KDE 3.3.0. Środowi-

Demon Beastie to maskotka systemu

FreeBSD

sko programistyczne zostało uaktualnione
do GCC 3.4.2, Binutils 2.15 i GDB 6.1. Do
ciekawych nowości należy też z pewnością
możliwość korzystania z niektórych kart
sieciowych przy wykorzystaniu sterowni-
ków dla MS Windows. Udało się również
podnieść wydajność systemu na maszy-
nach wieloprocesorowych.

FreeBSD to bardzo ciekawa alterna-

tywa dla Linuksa. Zainteresuje z pewno-
ścią również tych, którzy chcieliby się na-
uczyć czegoś więcej na temat systemów
z rodziny Unix. Mimo zdecydowanie mniej-
szej popularności, FreeBSD ma też niemały
wpływ na Linuksa – wystarczy wspomnieć
choćby dystrybucję Gentoo, której podsta-
wowy mechanizm Portage wzorowany był
właśnie na rozwiązaniach podpatrzonych
w tym systemie.
http://www.freebsd.org/releases/5.3R/
announce.html

dyrektor do spraw promocji produktów
w Adobe Systems, uważa, że linuksowe
wersje produktów jej firmy nie znalazły-
by zbyt wielu kupców. Jej zdaniem Linux
to bardzo ciekawy rynek, ale na razie je-
dynie dla branży programistycznej. Klien-
tów zainteresowanych tworzeniem grafiki
pod Linuksem jest zbyt mało, aby firmie
opłacało się tworzyć wersję dużych apli-
kacji na tę platformę. Dodatkowo, konku-
rencja ze strony produktów darmowych,
jak choćby GIMP, również, zdaniem Dez-
iel, zniechęca do takich posunięć.

Firma Adobe Systems jest bardzo ta-

jemnicza, gdyż oficjalnie potwierdzi-
ła jedynie przystąpienie do konsorcjum
OSDL. Nie ulega jednak wątpliwości, że
zaczęła się interesować Linuksem i chce
stworzyć dla siebie strategię postępowa-
nia na tym rynku. Z pewnością najbliż-
sze tygodnie przyniosą nam ciekawe in-
formacje na ten temat.

http://www.linux.pl/?id=news&show=1715

jądro linux

aktualności

News

styczeń 2005

Emulacja PS/2 dla myszy USB

problematyczna

Na LKML pojawił się problem
z obsługą myszy. Specjaliści od
USB i podsystemu wejścia, Greg
Kroah-Hartman i Vojtech Pavlik,
błyskawicznie zdiagnozowali go
jako wynik włączenia w BIOS-
ie emulacji PS/2 dla urządzeń
wskazujących podłączanych
przez USB. Jest ona konieczna
o obsługi klawiatury i myszy
w programie uruchomieniowym,
przed załadowaniem Linuksa,
ale później stanowi problem.
Sterownik PS/2 przejmuje tak
emulowane urządzenie i nie oddaje
go podsystemowi USB, co owocuje
problemami z zapanowaniem nad
kursorem myszy. Okazało się, że
stosowne łatki od pewnego czasu
znajdują się w drzewie -mm, ale nie są
włączane automatycznie – wymagają
specjalnego parametru w linii
poleceń jądra. Deweloperzy zgodnie
stwierdzili, że muszą jak najszybciej
trafić do głównego drzewa i być
aktywowane automatycznie.
http://lkml.org/lkml/2004/10/1/11

Odchudzenie sysfs

Inną ciekawostką, która w końcu
trafiła do drzewa Linusa, jest łatka
nazwana sysfs backing store. Pozwala
ono zaoszczędzić pamięć marnowaną
przez system plików sysfs. Znikanie
pamięci nie jest błędem tego systemu,
a jedynie konsekwencją używania
przez niego ogólnych wywołań VFS
do stworzenia hierarchii katalogów
i plików. Takie podejście powoduje
traktowanie przez VFS drzewa
/sys jak każdego innego punktu
montowania, wraz z wynikającymi
z tego zagadnieniami cache'owania.
Obowiązująca dla sysfs filozofia
,,jeden plik - jedna wartość'' owocuje
olbrzymią ilością plików, katalogów
i łączy symbolicznych, co potrafi
zmarnować spore ilości pamięci, która
znajduje się w fizycznej RAM i nie
może zostać przesłana na partycję
wymiany.
Łatka włączona do jądra tworzy
katalogi i pliki w /sys dopiero w
momencie dostępu do nich. Usuwa
także te, którymi w ostatnim czasie
nikt się nie interesował. Autor na
swojej maszynie testowej odzyskał 145
megabajtów (sic!) pamięci, ale należy
zaznaczyć, że dysponuje naprawdę
ogromnym systemem z mnóstwem
urządzeń.
Z tej zmiany zadowoleni powinni
być zarówno właściciele większych,
bogato wyposażonych komputerów,
jak i ci, którzy używają Linuksa
w zastosowaniach wbudowanych,
gdzie liczy się każdy bajt pamięci.
http://lwn.net/Articles/69523/

Asynchroniczny podsystem kryptograficzny

odsystem dostarczający operacji kry-
ptograficznych jest dostępny w Linu-

ksie już od jakiegoś czasu. I chociaż
spełnia swoje zadania dobrze, to nie jest
idealny. Największym problemem jest je-
go synchroniczność – po wywołaniu
funkcji kryptograficznej, kod musi ocze-
kiwać na jej wykonanie. Mogłoby się to
wydawać oczywiste, ale należy brać pod
uwagę sytuacje, w których szyfrowanie
czy liczenie funkcji skrótu jest wykony-
wane przez dodatkową kartę, tzw. akce-
lerator kryptograficzny. Czas, gdy akce-
lerator dokonuje przekształceń, procesor
marnuje na bezproduktywne czekanie.
Jest to tym większa strata, im szybszą jed-
nostką CPU dysponujemy.

Rozwiązaniem jest wprowadzenie

asynchroniczności. Przekazawszy zada-
nie do wykonanie karcie rozszerzeń, pro-
cesor może dalej wykonywać kod. Akce-
lerator zakończywszy działanie informuje
jądro o tym fakcie. Sprzęt i oprogramowa-
nie mogą działać równocześnie, uzysku-
jąc pełną prędkość.

Rozszerzenia standardowej warstwy

kryptograficznej o działalność asynchro-
niczną podjął się Evgeniy Polyakov, wzo-
rując się na rozwiązaniu obecnym w sys-
temie OpenBSD. Łatka, którą zaprezento-
wał, umożliwia stworzenie kilku kolejek
(dla każdego urządzenia kryptograficzne-
go i obliczeń na procesorze), przypisywa-
nie poszczególnych szyfrowanych sesji do
konkretnych kolejek, migrację między ko-
lejkami, a nawet przekazywanie sesji mię-
dzy urządzeniami – przydatne np. gdy
jedno z nich dokonuje szyfrowania, a in-
ne cyfrowego podpisania.

Wszystkie sesje kryptograficzne są za-

rządzane przez proces szeregujący, dba-
jący o optymalne wykorzystanie do-
stępnych zasobów. W najprostszej im-
plementacji przydziela on nowe zadania
w pierwszej kolejności tym urządzeniom,
które mają najkrótszą kolejkę oczekujących
sesji. Asynchroniczne API poprzez system
wtyczek daje dużą elastyczność dołączania
bardziej skomplikowanych algorytmów
przydziału zadań. Długość kolejek może
być uzależniona od szybkości dokonywa-
nia przekształceń przez dane urządzenie, a
ta z kolei może być mierzona przez jądro
przy załadowaniu modułu. Na wybór urzą-
dzenia mogą wpływać również inne czyn-
niki, np. długość pakietu przeznaczonego
do zaszyfrowania. Okazuje się bowiem, że

zestawienie transferu po szynie (np. PCI)
do urządzenia może zająć więcej czasu niż
sama operacja szyfrowania. W skrajnych
przypadkach, krótkie pakiety szybciej zo-
staną przetworzone przez CPU niż przesła-
ne do karty. Podobne dylematy rozwiązy-
wano już w przeszłości. Przykładem mo-
że być kopiowanie odebranych pakietów
z buforów karty sieciowej do pamięci RAM.
W przypadku większych porcji, jądro wy-
korzystuje DMA, a małe pakiety są kopio-
wane przez procesor – większy narzut cza-
sowy rekompensuje zapamiętanie krótkich
pakietów w pamięci podręcznej proceso-
ra, co znacznie przyspiesza kolejne opera-
cje na odebranych danych.

Wprowadzone rozszerzenie spotkało

się z ciepłym przyjęciem, bo jest krokiem
w kierunku zwiększenia możliwości kryp-
tograficznych Linuksa. Pojawiły się prośby
o stworzenie API dla przestrzeni użytkow-
nika, zgodnego z tym obecnym w rodzi-
nie systemów *BSD. Jest to oczywiście uza-
sadnione – nie ma sensu utrudniać prze-
noszenia oprogramowania między platfor-
mami. Dodatkowym plusem, przemawia-
jącym za wspólnym interfejsem, jest umie-
jętność korzystania z niego przez biblio-
tekę OpenSSL. Gdyby interfejs powstał,
wszystkie napisane programy, używające
OpenSSL, niemal automatycznie uzyskały-
by obsługę sprzętowych akceleratorów.

Pełne wykorzystanie asynchronicznego

API w jądrze pociąga za sobą konieczność
przepisania fragmentów kodu. Pojawiły się
obawy, że to ogromna ilość pracy, biorąc
pod uwagę stos IPSec. Jamal Hadi Salim
stwierdził jednak, że wymagane przerób-
ki nie są aż tak duże. Spora jest natomiast
szansa szybkiego włączenia asynchronicz-
nego, kryptograficznego API do jądra.
http://lists.logix.cz/pipermail/cryptoapi/
2004/000165.html

Akcelerator kryptograficzny Sun Crypto

Accelerator 1000 PCI Card

kernel@lpmagazine.org

dział prowadzi: Tomasz Torcz

www.lpmagazine.org

News

Pakietowe nagrywanie płyt

Po długim okresie utrzymywania poza
jądrem, w końcu zostały włączone
zmiany umożliwiające pakietowe
nagrywanie płyt, tj. nagrywanie na
nośnikach optycznych, tak jak na
dyskietkach. Po skojarzeniu napędu
z pseudourządzeniem, można je
podmontować i po prostu skopiować
pliki przeznaczone do nagrania.
Zalecany jest do tego system plików
UDF, ale można użyć dowolnego
obsługiwanego przez Linuksa.
Niedogodnością może być brak
obsługi błędów w bieżącej wersji
sterownika, co wymusza używanie
w pełni sprawnych płyt CD.

Pełna losowość w /dev

Pliki reprezentujące urządzenia
w katalogu /dev są powiązane
ze sterownikami w jądrze przez
dwa numerki, tzw. major i minor.
Od dawna obowiązuje sztywne
przypisanie.
Z punktu widzenia deweloperów jądra
przypisane na sztywno numery nie
mają większego sensu. Jest to zbiór
magicznych wartości, na które trzeba
uważać i łatwo przy nich popełnić
błędy. Niektórzy za błąd uważają
przydzielenie dyskom SCSI tylko 4
bitów na numerowanie partycji, co
ogranicza maksymalną ich liczbę
do 16 (dyski IDE mogą mieć nawet 64
partycje).
Pomysł odrzucenia przypisanych na
stałe numerków co jakiś czas pojawia
się na liście dyskusyjnej twórców
Linuksa. Ostatnio przypomniał go
Carl-Daniel Hailfinger i obiecał nawet
stworzenie łatki, która przeniesie
numerki urządzeń w dziedzinę
losowości. Pomoże to zlokalizować
sterowniki, które stworzono opierając
się na błędnych założeniach
dotyczących numerów urządzeń.
Jest tylko jedno ale: aby działanie
systemu nadal było możliwe,
wewnętrzne zdanie jądra co do
numeracji musi pokrywać się
z zawartością katalogu /dev. Istnieją
co najmniej dwa mechanizmy,
które to umożliwiają, zajmujące się
dynamicznym wypełnianiem tego
katalogu: pseudo system plików devfs
(obecnie na wymarciu)
i zdobywający coraz większość
popularność udev. Obydwa
dbają o stworzenie plików-
urządzeń na podstawie informacji
o numerach otrzymanej z jądra,
więc aktualnej. Wymuszenie ich
używania może nie pasować
użytkownikom przyzwyczajonym
do statycznego /dev, których
systemy po wprowadzeniu
losowości po prostu przestaną się
uruchamiać.

Stos Linuksowych Modułów Bezpieczeństwa (LSM)

echanizm Linux Security Module
jest bardzo zaawansowany i daje

wiele możliwości zabezpieczania syste-
mu przez odpowiednio napisane modu-
ły. Niektóre z powstałych rozszerzeń po-
zwalają nawet zwiększyć funkcjonalność
Linuksa zaledwie ocierając się o bezpie-
czeństwo. Przykładem może być wspo-
mniany w zeszłym miesiącu moduł dają-
cy dostęp do szeregowania czasu rzeczy-
wistego zwykłym użytkownikom. Wy-
korzystując LSM, można także w pew-
nym stopniu profilować działanie syste-
mu. Daje on dostęp do wnętrza systemu
i jest w miarę elastyczny, chociaż posia-
da bolączkę, poważnie ograniczającą je-
go zastosowania. Jego konstruktorzy do-
łączyli do wielu struktur danych, używa-
nych w jądrze, pole typu void * , które-
go zadaniem jest przechowywanie da-
nych związanych z zabezpieczeniem da-
nego obiektu. Dodajmy, że danych spe-
cyficznych dla bieżącego modułu LSM.
I tu właśnie wpadamy na ograniczenie
postawione przez autorów – nie można
w prosty sposób załadować dwóch LSM,
gdyż ich wspólne, nienadzorowane od-
wołania do pola informacyjnego w naj-
lepszym razie nie dadzą pożądanych re-
zultatów. W najgorszym mogą doprowa-
dzić do obniżenia bezpieczeństwa chro-
nionych zasobów, a nawet niestabilno-
ści systemu.

Celowo uniemożliwiono proste zała-

dowanie dwóch modułów. Chcąc skorzy-
stać z różnych LSM naraz, należy zaim-
plementować w nich obsługę nakładania.
Wiąże się to z kolei z koniecznością napi-
sania kodu obsługującego wszystkie miej-
sca, w których następuje konsultacja jądra
z modułami bezpieczeństwa. Jest ich bar-
dzo dużo, więc zazwyczaj autorzy zajmu-
ją się tylko swoim modułem, całkowicie
ignorując pozostałe.

Nawet jeśli twórca pomyślał o wszyst-

kich potrzebnych zaczepach (hooks) i ob-
słudze nakładania innych modułów na
swój, powraca kwestia pojedynczego
pola informacyjnego. Współdzielenie go
przez nałożone na siebie moduły wyma-
ga sporego wysiłku.

Spróbował temu zaradzić Serge Hal-

lyn. Wykorzystał opcjonalne funkcje po-
mocnicze nakładania do możliwie naj-
większej separacji modułów od siebie.
Pojedynczy wskaźnik void * zamienił na
tablicę wskaźników, domyślnie czteroele-

mentową. Daje to możliwość współpracy
czterech LSM, kosztem zwiększenia zaję-
tości pamięci i spowolnienia niektórych
operacji.

Standardowo, działanie Linux Secu-

rity Modules polega na odwołaniu się
do konkretnego modułu w ostatniej fa-
zie przyznawania dostępu do zasobu.
W przypadku plików najpierw są spraw-
dzane uprawnienia pliku oraz ewentu-
alna możliwość jego otwarcia w trybie
odczyt/zapis (zależy to również od opcji
montowania), a jeśli po tych standardo-
wych testach użytkownik ma przyzna-
ny dostęp, konsultowany jest LSM. Mo-
duł, kierując się sobie tylko znaną wie-
dzą, ma jeszcze szansę zabronić dostępu.
W przypadku kilku załadowanych modu-
łów, wystarczy brak zgody tylko jednego,
aby dostęp nie powiódł się.

Czy to dobry rozwiązanie? Inni de-

weloperzy nie są do niego przekonani.
Moduły nie wiedzące o sobie nawza-
jem mogą zachowywać się w nieprzewi-
dziany sposób. A nieprzewidywalność
jest ortogonalna do możliwości zapew-
nienia bezpieczeństwa. Z właściwym
rozwiązaniem wystąpił James Morris.
Według niego nie należy dopuszczać
do konieczności jednoczesnego stosowa-
nia kilku modułów bezpieczeństwa.
Jedynym załadowanym powinien być
moduł SELinux. Był to pierwszy użyt-
kownik szkieletu bezpieczeństwa LSM.
W jego projekcie brano pod uwagę
maksymalną elastyczność konfiguracji.
SELinux działa na zasadzie narzucenia
zasad określonych w polityce bezpie-
czeństwa załadowanej do jądra z pli-
ku. Ustalanie jej jest dosyć elastyczne,
ale nie przewidziano wszystkich możli-
wości nadzorowania systemu, stąd po-
wstanie innych niż SELinux modułów
bezpieczeństwa. Morris starał się skiero-
wać deweloperów raczej na dopisywa-
nie brakującej funkcjonalności do SELi-
nux niż tworzenie własnych, ograniczo-
nych do jednej lub kilku funkcji modu-
łów LSM.

Rozwiązanie to, chociaż wymusza

uznanie SELinux za podstawowy moduł
bezpieczeństwa, jest zdecydowanie lep-
sze niż złożenie razem kilku słabo ze so-
bą współpracujących fragmentów nieza-
leżnego kodu.

http://lwn.net/Articles/110432/

debian

aktualności

News

styczeń 2005

debian@lpmagazine.org

www.lpmagazine.org

dział prowadzi: T. Napierała, B. Feński

News

Debian Stable zaktualizowany

Joey Schulze ogłosił kolejną, trzecią już
aktualizację gałęzi stabilnej Debiana.
Od wydania ostatniej aktualizacji
w listopadzie 2003 roku zebrało się
sporo poprawek bezpieczeństwa.
Obecna aktualizacja, o nazwie 3.0r3,
poprawia 212 błędów bezpieczeństwa
w pakietach. Nowe obrazy
instalacyjnych płyt Debiana zawierają
już wszystkie poprawki.
http://lists.debian.org/debian-
announce/debian-announce-2004/
msg00000.html
http://www.debian.org/News/2004/
20041026

Problematyczna wersja

shareware XChat

Giacomo Catenazzi zauważył, że
na stronie WWW aplikacji XChat
dostępna jest binarna wersja
shareware programu dla systemu
Windows. Aby odblokować wersję
shareware, należy uiścić odpowiednią
opłatę, ale kod źródłowy, wydany
na licencji GPL, nie zawiera
kodu odblokowującego. Istnieje
prawdopodobieństwo, że może to być
źródłem kłopotów dla Debiana.
http://lists.debian.org/debian-legal/
2004/10/msg00357.html
http://lists.debian.org/debian-legal/
2004/10/msg00373.html

Spowolnienie list

dyskusyjnych Debiana

Pascal Hakim ogłosił, że listy
dyskusyjne Debiana cierpią
z powodu wielu serwerów poczty,
które nie przetwarzają wiadomości
wystarczająco szybko. Sytuację
pogarszają dodatkowo wiadomości
wysyłane na listę ogłoszeniową
(debian-announce), która posiada
ponad 28 tysięcy subskrybentów.
Pascal ogłosił również, że grupa
administratorów list wzbogaciła się
o osobę Corda Beermanna.
http://www.redellipse.net/stuff/
Debian/Lists/debian-announce_and_
thundering_herds.story
http://lists.debian.org/debian-
announce/debian-announce-2004/
msg00000.html

Aktualizacja Sarge

Frank Lichtenheld ogłosił
rezultaty swojej pierwszej aktualizacji
z Woodiego do Sarge na platformie
i386, a Andreas Barth podsumował
problemy dla wszystkich platform.
Niezgodność pomiędzy glibc
i jądrem może sprawiać problemy
również na architekturach hppa,
arm, sparc i mips(el). W przypadku
części z nich wystarczy najpierw
zaktualizować jądro.
http://lists.debian.org/debian-kernel/
2004/10/msg00430.html

SkoleLinux

zamieszaniu związanym z po-
jawieniem się rewolucyjnego

Ubuntu niektórym mogło umknąć,
że jest to jedna z wielu dystrybucji
bazujących na Debianie. Dokładnie,
jedną ze 115 pochodnych Debiana.
Wśród nich znajduje się także Skole-
Linux. Niedawno ukazała się jego no-
wa wersja.

SkoleLinux jest wyspecjalizowa-

ną dystrybucją, powstającą głównie
w Norwegii, przeznaczoną przede
wszystkim do użytku w szkołach.
W chwili obecnej zespół pracujący nad
SkoleLinux ściśle współpracuje z de-
weloperami Debiana skupionymi wo-
kół projektu debian-edu, więc można
praktycznie postawić znak równości
między tymi dwiema odmianami.

SkoleLinux jest mieszaniną pakie-

tów pochodzących z Debiana Woody,
Sarge, wydania niestabilnego, a nawet
z serwisu backports.org (m.in. Sam-
ba). Zastosowanie wielu źródeł pakie-
tów jest częstym zabiegiem w wielu po-
chodnych Debiana, gdyż pozwala na
korzystanie z funkcji, które są nieobec-
ne w wydaniu stabilnym. Dystrybucja
została przystosowana do pracy w śro-
dowisku sieciowym oraz zawiera scen-
tralizowane narzędzia autoryzacji użyt-
kowników, składowania plików i admi-
nistracji. Zarządzanie systemem odby-
wa się z poziomu interfejsu WWW (wy-
korzystano w tym celu zmodyfikowa-
ny pakiet Webmin). Współpraca końcó-
wek sieciowych odbywa się przy po-
mocy narzędzia LTSP, zdobywające-
go coraz większą popularność, co po-
zwala na wykorzystanie starych kom-
puterów, będących często na wyposa-
żeniu szkół.

SkoleLinux posiada cztery profile

możliwe do zainstalowania:

– główny serwer – działają na nim

usługi autentykacji, DHCP, DNS itp.
oraz są składowane pliki użytkow-
ników;

– klient – terminal, korzystający z za-

sobów innego komputera do uru-
chamiania swoich procesów;

– stacja robocza – umożliwia normal-

ną pracę i służy jednocześnie za
serwer aplikacji dla kilku klientów;

– komputer domowy – instaluje sys-

tem przeznaczony do użytku do-

mowego, dodając wiele programów
przydatnych uczniom.

Ciekawym i praktycznym rozwiąza-
niem jest zastosowanie pośrednich
serwerów terminali (stacji roboczych),
umożliwiających odciążenie głównego
serwera w przypadku większych sie-
ci. Dla średniej wielkości szkół (dys-
ponujących 3 pracowniami po 15 sta-
cji) oznacza to w praktyce konieczność
posiadania jedynie czterech wydaj-
nych komputerów. Mocniejsze kompu-
tery mogą jednocześnie pełnić rolę sta-
cji dla nauczycieli, przy czym termina-
le korzystające z ich zasobów nadal do
autentykacji i składowania plików wy-
korzystują serwer centralny.

Instalacja, opierająca się na no-

wym instalatorze z Sarge, sprowadza
się do odpowiedzi na kilka nieskom-
plikowanych pytań oraz wyboru pro-
filu. W każdym przypadku, użytkow-
nik po instalacji dysponuje systemem
praktycznie gotowym do użycia. Więk-
szość czynności administracyjnych od-
bywa się z wykorzystaniem specjalnie
dostosowanego Webmina. Aktualizacja
oprogramowania z zastosowaniem me-
chanizmów Debiana (apt) jest również
dziecinnie łatwa.

SkoleLinux ze względu na swoją

elastyczność, niskie koszty wdrożenia
oraz łatwość administracji, nawet dla
początkujących użytkowników, wyda-
je się być idealną alternatywą dla go-
towych rozwiązań opartych o produk-
ty zamknięte i drogie, takich jak in-
tensywnie promowany Small Business
Server Microsoftu.

http://www.skolelinux.org/

Administracja SkoleLinuksem poprzez

Webmina

debian

aktualności

News

styczeń 2005

debian@lpmagazine.org

www.lpmagazine.org

dział prowadzi: T. Napierała, B. Feński

News

Aktualizacje Debiana

przez BitTorrent

Arnaud Kyheng uruchomił dla Apta
serwer proxy do sieci Bittorrent. Ze
względów bezpieczeństwa, wykaz
pakietów oraz pliki .torrent będą
ściągane ze stałego serwera HTTP,
tak jak zazwyczaj dzieje się to
w przypadku pakietu, ale same
pakiety będą pobierane przez protokół
Bittorent i przekazywane do Apta.
http://lists.debian.org/debian-devel/
2004/10/msg01715.html

Jądro 2.6.9 w Sarge?

Andres Solomon ogłosił,
że w repozytorium przygotował
wymagane standardowe debianowe
łatki dla jądra 2.6.9. W odpowiedzi
Christoph Hellwig zasugerował, aby
najpierw zająć się doprowadzeniem
wersji 2.6.8 do lepszego stanu
dla Sarge. Gdy ten etap zostanie
ukończony, to rozpocznie się etap
pracy nad 2.6.9.
http://lists.debian.org/debian-kernel/
2004/10/msg00355.html

Nowy Skolelinux

Petter Reinholdtsen przedstawił nowy
obraz CD Skolelinux. Zawiera on
ostatnio wprowadzone aktualizacje
bezpieczeństwa, nowsze jądro
i trochę nowych tłumaczeń. Baza
rozpoznawanego sprzętu również
została zaktualizowana.
http://www.skolelinux.org/portal/
index_html

Duży klaster Opteronów

działający na Debianie

Thomas Lange poinformował
o nowym klastrze o nazwie Sarek,
zbudowanym na procesorach AMD
Opteron i działającym na uniwersytecie
Umel. Składa się ze 192 węzłów
(384 procesory), a pracuje na nim
64-bitowa wersja Debiana GNU/Linux
na amd64 z jądrem 2.6. Klaster został
w czerwcu 2004 roku sklasyfikowany
na miejscu 165 w rankingu TOP 500.
http://www.hpc2n.umu.se/resources/
sarek.html

GNOME 2.8 w Sarge?

W imieniu zespołu GNOME, Jordi
Mallach zapytał, czy może wgrać
GNOME w wersji 2.8 do unstable
– wersja ta została wydana już we
wrześniu, gdy Sarge miał zostać
zamrożony. Ponieważ od tamtej
pory omawiany zbiór pakietów
był poddawany testom i wielu
użytkowników już go używa, wydaje
się być gotowy do włączenia do
nowej wersji stabilnej Debiana. Grupa
zarządzająca wydaniem zgodziła się na
włączenie GNOME 2.8.1 do unstable,
skąd może zostać przeniesiony
(częściowo lub w całości) do Sarge.
http://lists.debian.org/debian-release/
2004/11/msg00067.html

Echa Ubuntu...

eszłomiesięczne wydanie dystrybu-
cji Ubuntu, czyli młodszego brata De-

biana, rozwijanego przez firmę Canonical
Inc., doprowadziło do szeregu dyskusji na
temat modelu rozwoju samego Debiana.

Nikt nie ma wątpliwości, że Ubuntu to

spory krok naprzód względem orygina-
łu i naturalnym wydaje się ciekawość de-
weloperów i zadawanie sobie pytania, jak
to możliwe, że kilkudziesięciokrotnie mniej
ludzi (aniżeli wolontariuszy Debiana) było
w stanie poczynić takie postępy w tak krót-
kim czasie.

Z pewnością fakt, iż Canonical Inc. za-

trudnia programistów rozwijających dystry-
bucję (często również deweloperów Debia-
na) na pełny etat, nie pozostał bez znacze-
nia. To oczywiste, że nie każdy poświę-
ca tyle samo czasu na pracę, co na hob-
by. Ale czy to jedyny powód dla którego
Ubuntu tak prężnie się rozwija? Jak zauwa-
żył Jérôme Marant, deweloperzy Debiana
używają głównie dystrybucji niestabilnej,
a z tego powodu często nie wiedzą, jaki
jest stan testowej. Deweloperzy Ubuntu na-
tomiast korzystają z dystrybucji, która przy-
gotowywana jest do wydania, a więc sa-
mi mają okazję przekonać się o jej błędach,
a tym samym szybciej je poprawić.

Z tej dyskusji powstało kilka różnych

koncepcji. Jedną z nich było porzucenie
dystrybucji testing w Debianie i mrożenie
dystrybucji niestabilnej. Część dewelope-
rów sądzi, że to bardziej motywowałoby
ludzi do pracy, ale takie rozwiązanie było
już kiedyś stosowane i niestety, działało na-
wet gorzej niż obecne.

Clemens Schwaighofer zaproponował,

aby oprócz linii testing, która w zamierze-
niu ma stać się wersją stabilną, stosować
migawki (ang. snapshots), które miałyby się
pojawiać raz na pół roku. Z pewnością nie
oferowałyby one takiego bezpieczeństwa
i stabilności, jak choćby w tym momencie
Woody, ale byłyby aktualne. Ponadto, spo-

ro osób uważa, że testowe wydania Debia-
na są i tak bardziej stabilne niż finalne in-
nych dystrybucji. Taki projekt już istnieje
i nazywa się Debian Desktop Distribution.
Jest rozwijany w ramach projektu Debian
i właściwie realizuje wizję Clemensa po-
przez rozluźnienie wymagań dla pakie-
tów przechodzących z dystrybucji niesta-
bilnej oraz przez plany regularnych wy-
dań.

Marco d'Itri dla odmiany zaproponował

usunięcie dystrybucji stabilnej i pozostawie-
nie wydawania jej zewnętrznym firmom lub
innym ludziom, którym nie brakuje entuzja-
zmu i motywacji. Ten pomysł jednak szyb-
ko upadł, bo stabilna linia to coś z czego
Debian jest znany i za co jest ceniony.

Ubuntu wspiera trzy architektury, pod-

czas gdy Debian wspiera ich aż 10, a pro-
wadzi prace nad przynajmniej dwoma ko-
lejnymi. Sporo komentarzy dotyczyło ak-
tywności członków projektu. Debian ma
co prawda ponad 1300 wolontariuszy,
ale część z nich to martwe dusze, a jesz-
cze większa część jest co prawda aktyw-
na, ale w stopniu, który ma raczej niewiel-
ki wpływ na postępy zbliżające wszystkich
do kolejnego wydania stabilnego.

Do jakich wniosków doprowadziła

ta dyskusja? Do takich samych, jak każ-
da tak rozbudowana dysputa od ostat-
nich kilku miesięcy, a mianowicie, aby
skupić się na wydaniu Sarge, a na zmiany
przyjdzie czas później. Reasumując, zmia-
ny zapewne nastąpią, ale jak bardzo ra-
dykalne będą, tego dzisiaj nie wie nikt,
bo i nie czas skupiać się na tym w chwi-
li obecnej. Cieszy natomiast fakt, że De-
bian mimo tego, że jego ostatnie stabil-
ne wydanie ujrzało światło dzienne po-
nad 2 lata temu, nadal może być bazą dla
tak obiecujących projektów, jak Ubun-
tu. Jeszcze bardziej pocieszające jest to,
że już w tym momencie zaczęto część
zmian poczynionych przez Canonical Inc.
przenosić do Debiana, a kilku ich pra-
cowników zostało oddelegowanych, aby
wspierać rozwój Ubuntu poprzez popra-
wianie niedociągnięć w samym Debianie.

Wygląda na to, że powstanie omawia-

nej dystrybucji przyniesie korzyści zarów-
no użytkownikom, którzy mogą już teraz
spróbować “doszlifowanej” wersji Debiana,
jak i macierzystemu projektowi, który prę-
dzej czy później wchłonie te poprawki.

http://www.ubuntulinux.org/

Ubuntu – młodszy brat Debiana

mandrakelinux

aktualności

News

mandrakelinux@lpmagazine.org

dział prowadzi: Daniel Koć

styczeń 2005

Mandrakelinux 10.1 Official

27 października 2004 roku ukazało
się wydanie Mandrakelinux 10.1
Official. Jest ono praktycznie takie
samo, co opublikowane we wrześniu
wydanie Community, ale dodatkowo
zawiera zebrane w tym czasie
poprawki. Official można polecać
przede wszystkim użytkownikom
oczekującym stabilności, np.
administratorom serwerów oraz
boleśnie odczuwającym tzw. “syndrom
wersji .0”, a pozostali mogą liczyć, że
aktualizacja do wersji Official poprawi
błędy dystrybucji czające się dotąd
w cieniu.
http://www.mandrakesoft.com/
products/101

Nowsze KDE i GNOME

Wielu użytkowników Linuksa lubi
mieć zainstalowane najnowsze
wersje programów, zwłaszcza
tych biurkowych, gdyż stają się
one wyraźnie wygodniejsze
i lepsze dosłownie z wersji
na wersję. Kalendarze wydań
aplikacji i dystrybucji nie zawsze
układają się korzystnie, więc
Mandrakelinux 10.1Official wciąż
zawiera środowiska KDE 3.2.x oraz
GNOME 2.6.x, podczas gdy ukazało
się już KDE 3.3.1 oraz GNOME 2.8.1
– twórcy dystrybucji woleli postawić
na jakość zamiast w ostatniej chwili
dopuścić niedotestowane pakiety.
Jak zwykle w takich sytuacjach,
społeczność sama zadbała
o nowe wersje i obie te nowinki
można zainstalować na własne
ryzyko z repozytorium pakietów
przygotowanych przez Thaca.
http://rpm.nyvalls.se/index10.1.html

Wycieczka do Zoo

Najlepszym sposobem na poznanie
Wolnego Oprogramowania jest
osobisty, niezobowiązujący kontakt.
Obok dystrybucji Linuksa startujących
wprost z płyty CD, istnieje jeszcze
inny podobny sposób – emulacja. Free
OS Zoo to serwis zawierający obrazy
takich gotowych do uruchomienia
systemów operacyjnych. Do
eksperymentów zalecane jest
przynajmniej 256 MB pamięci oraz
emulator QEMU, który według
autorów strony zapewnia wydajność
tylko od dwóch do czterech razy
gorszą niż podczas pracy systemu na
rzeczywistym sprzęcie, a więc całkiem
przyzwoitą.
Wśród dostępnych obrazów znajduje
się Mandrakelinux 10.0 na platformę
x86, który wymaga ściągnięcia
z sieci 355 MB – niestety, nie da się go
użyć pod Windows 9x na partycjach
FAT 16/32.
http://www.freeoszoo.org/

Q DVD-Author 0.8

DVD-Author to aplikacja do obróbki
menu samodzielnie przygotowywa-

nych płyt DVD. Jest to graficzna nakład-
ka na tekstowy program Dvdauthor, który
zajmuje się właściwą generacją menu.

Za pomocą Q DVD-Authora można

projektować menu, tworzyć przyciski oraz
skalować i kolorować wszystkie obiekty.
Każde menu można zilustrować ścieżką
dźwiękową, co na pewno ożywi przeglą-
dy slajdów, które także da się w tym pro-
gramie złożyć z kolekcji zdjęć. Bardziej za-
awansowane funkcje programu obejmu-
ją importowanie warstw i kombinowanie
ich z obiektami menu za pomocą mecha-
nizmu masek, znanego z programów gra-
ficznych. Do tej samej kategorii zalicza się
również możliwość ręcznej modyfikacji
poleceń oraz plików XML, zawierających
opis naszego menu.

Obecnie największe wady programu

to brak możliwości ustawiania filmów jako
przycisków menu oraz jako tła, a także brak
obsługi wielu wersji napisów. Na szczęście,
te dwie pierwsze funkcje są planowane już
w najbliższych wydaniach aplikacji.

Najnowsza wersja programu wymaga

do działania biblioteki Qt w wersji co naj-

mniej 3.2.0 oraz bibliotek Xine lub MPlay-
era. W dziale podręczników na stronie
domowej znajdziemy samouczek do pro-
gramu, opisujący tworzenie złożonego
menu DVD dla systemów PAL i NTSC, po
angielsku, francusku, niemiecku, polsku
oraz hiszpańsku.

Instalacja Q DVD-Authora z wiersza

poleceń administratora następuje przez
wpisanie

urpmi qdvdauthor

, ale trzeba

mieć dopisane do źródeł pakietów sekcję
Contrib z repozytorium Cooker.

http://qdvdauthor.sourceforge.net/

Q DVD-Author pomoże tylko w układaniu

menu, a o jego estetykę musimy już

zadbać sami...

VLC 0.8.0

gronie kilku najpopularniejszych
odtwarzaczy multimedialnych dla

Linuksa, obok MPlayera i Xine, znajduje
się VLC (dawniej: VideoLAN Client). Po-
dobnie jak jego konkurenci, obsługuje
dużą ilość zarówno kontenerów multime-
dialnych (MPEG, AVI, MOV, Ogg, Matro-
ska, Real, DV, WAV, AC3, DTS, FLAC), ko-
deków obrazu (DivX 1/2/3, Theora, WMV,
MJPEG, Indeo), napisów, jak i źródeł od-
twarzania (FTP, HTTP, RTP, MMS, kame-
ry, DVB, DVD, VideoCD/SVCD); działa
także na kilku systemach operacyjnych.

Wyjątkowym czyni go możliwość ob-

róbki i dalszego przekazywania strumie-
ni multimedialnych. Zasadnicze funkcje
VideoLAN to przerabianie multimediów
do plików w innym formacie oraz nada-
wanie w sieci jako serwer multimedialny.
Taka zresztą była jego pierwotna funkcja:
program powstał w École Centrale Pa-
ris jako projekt studencki do nadawania
strumieni w sieciach lokalnych.

W najnowszej wersji VLC został mię-

dzy innymi przepisany od nowa kod od-
czytywania danych, co ma pozwolić na

obsługę wielu źródeł oraz znacznie po-
prawić przeszukiwanie strumieni, zo-
stał przyspieszony start dzięki buforowa-
niu wtyczek oraz poprawiony kod biblio-
teki libvlc i obsługi napisów. Można tak-
że uruchamiać VLC w tle, tak jak klasycz-
ny serwer. Program jest dostępny w sek-
cji Contrib repozytorium Cooker, instalu-
je się go z wiersza poleceń administratora
przez

urpmi vlc

http://www.videolan.org/vlc/

Konwersja do innych formatów czy

stworzenie w VLC lokalnego serwera

multimediów jest bardzo prosta dzięki

graficznemu asystentowi

aurox

aktualności

aurox@lpmagazine.org

www.lpmagazine.org

dział prowadzi: Karol Kozimor

News

Nowości w Auroksie

W ostatnim czasie nastąpiły
w Auroksie poważne zmiany.
Z Aurox Core Team odszedł
Jarek Górny. W imieniu ACT
chcielibyśmy podziękować mu za
wspaniałą atmosferę i stworzenie
warunków do powstania
zgranego zespołu. Po zamknięciu
Auroksa 10.1 pojawiło się wiele
pytań o kształt dystrybucji i jej
model rozwoju. Zgodnie
z przyjętym planem, cykl
rozwoju dystrybucji wydłuży
się do 4-5 miesięcy, co pozwoli
jeszcze dokładniej przetestować
dystrybucję i znacznie
zminimalizować liczbę błędów.
W dalszym ciągu będą jednak
wychodziły 4 wydania Auroksa
w roku, co oznacza, że przez
pewien okres rozwijane będą
dwie wersje Auroksa jednocześnie.

Aurox w pudełku

Niedługo również pojawi się
w sprzedaży Aurox w wersji
pudełkowej. Będzie dostępny
na DVD razem z 16-stronicową
instrukcją. Płyta DVD będzie
zawierała dodatki dostępne
dotychczas tylko na piątej płycie
wersji dołączanej do polskiego
wydania pisma Linux+ Extra!.
Równolegle pojawi się też Aurox
preinstalowany na gotowych
zestawach komputerowych.
Pytajcie sprzedawców o pudełka
lub komputery z Auroksem! Po
więcej informacji zapraszamy
na http://www.aurox.org/.

Aurox Security Team

Zapoczątkowana pewien czas
temu współpraca z Linux Academy
(http://www.linuxacademy.pl/ )
doprowadziła do powstania
Aurox Security Team (http://
www.auroxsec.org/ ), czyli zespołu,
który będzie na bieżąco śledził
wszelkie krytyczne błędy i dbał
o wypuszczanie poprawionych
wersji pakietów. Wszelkie błędy
związane z bezpieczeństwem
można już teraz zgłaszać na
http://bugs.aurox.org/
w dziale Security.

Ćwiczenia z Auroksem

Nakładem Wydawnictwa
MIKOM ukazał się podręcznik
“Ćwiczenia z... Aurox Linux”.
Podręcznik bazuje na
Auroksie 9.4 i na około 100
stronach ilustrowanych zrzutkami
omawia instalację, konfigurację
i używanie systemu oraz
Internetu.
http://www.mikom.pl/

Aurox Recommended Hardware

ednym z najczęściej pojawiających się
pytań zadawanych przez nowych użyt-

kowników Linuksa jest, czy dystrybucja
X zadziała na moim sprzęcie. Choć Li-
nux potrafi już obsłużyć znaczną więk-
szość urządzeń dostępnych na rynku, od-
powiedź na tak postawione pytanie nie za-
wsze jest prosta i wymaga czasem długo-
trwałych testów. Jest to szczególnie ważne
w przypadku komputerów przenośnych,
z którymi Linux ciągle ma problemy. W ce-
lu ułatwienia przyszłym użytkownikom
Auroksa wyboru komputera bezproblemo-
wo współpracującego z tym systemem po-
wstał program Aurox Recommended Har-

dware. Ma on polegać na przeprowadze-
niu dokładnych testów na współpracę Au-
roksa z udostępnionym sprzętem, ewentu-
alne dostosowanie systemu do konfiguracji
oraz monitorowanie współdziałania z ko-
lejnymi wydaniami Auroksa. Szczegółowe
raporty z testów oraz spis sprzętu objęte-
go programem będzie dostępny na stronie
http://www.aurox.org/.

Do program Recommended Hardware

można zgłaszać nie tylko gotowe zestawy
komputerowe, ale również taki sprzęt, jak
drukarki, skanery, karty rozszerzeń oraz in-
ne peryferia. Szczegółowe informacje moż-
na otrzymać pisząc na aurox@aurox.org.

AmaroK w Auroksie

godnie z życzeniami użytkowników
w dystrybucji pojawi się pakiet od-

twarzaczem dźwięku AmaroK. Łączy on
w sobie przyjazny interfejs aplikacji typu
WinAMP czy XMMS z łatwością manipu-
lowania listami odtwarzania w takich pro-
gramach, jak JuK. AmaroK idzie jednak o
o krok dalej, prowadząc własną bazę da-
nych odtwarzanej muzyki i rejestrując ta-
kie dane, jak ilość czy data ostatniego od-
słuchania. Na podstawie tych informacji
są generowane automatycznie listy od-
twarzania ulubionych utworów, ostatnio
słuchanych czy też niesłuchanych w ogó-
le. Oprócz tego, odtwarzacz potrafi wy-
szukać i ściągnąć nam okładkę albumu w
celu łatwiejszej identyfikacji bogatej ko-

lekcji plików, a także nagrać cały album
na CD za pośrednictwem K3b.

Duże możliwości odtwarzacza bio-

rą się w dużym stopniu z jego modular-
nej architektury. W obecnej wersji odtwa-
rzacz posiada wtyczki do obsługi Arts
(serwera dźwięku KDE), MAS (Media Ap-
plication Server) czy GStreamera. Są też
wtyczki do obsługi wizualizacji czy pro-
tokołów sieciowych. Warta wspomnienia
jest zaawansowana obsługa tagów ID3 i
możliwość ich zbiorowej edycji. Dzięki
tym cechom AmaroK nadaje się doskona-
le nie tylko do odtwarzania muzyki, ale
też do zarządzania kolekcją.

http://amarok.kde.org/

AmaroK w Auroksie

gentoo

aktualności

News

gentoo@lpmagazine.org

dział prowadzi: Witold Kieraś

styczeń 2005

Programiści Javy poszukiwani...

Jeśli jesteś doświadczonym
programistą Javy, znasz dobrze J2EE
i jesteś użytkownikiem Gentoo, to
wiedz, że twoja ulubiona dystrybucja
cię potrzebuje. W związku z rosnącym
zainteresowaniem aplikacjami w Javie
(mającą prawdopodobnie związek
z powstaniem środowiska Eclipse)
i liczbą zgłaszanych błędów, Karl
Trygve Kalleberg z Gentoo Java team
zgłosił ogromne zapotrzebowanie
na takich programistów i wezwał
wszystkich chętnych do udzielenia
pomocy grupie.
http://www.gentoo.org/news/en/gwn/
20041101-newsletter.xml

... i Haskella również

W projekcie Gentoo również mile
widziani są programiści dobrze
znający język Haskell – język
funkcyjny oparty na rachunku
Lambda.
http://www.gentoo.org/news/en/gwn/
20041025-newsletter.xml

KDE kawałek po kawałku

Gdy wykonujemy polecenie

emerge

kde

, to po kilku godzinach oczekiwań

(w zależności od parametrów
naszego komputera), otrzymujemy
gotowe środowisko KDE z całym
dobrodziejstwem inwentarza, tzn.
również z całą masą aplikacji,
które należą do projektu, a których
nigdy nie zamierzalibyśmy użyć.
Dan Armak, znudzony ciągłym
dopytywaniem deweloperów
Gentoo, czy nie dałoby się czegoś
z tym zrobić, postanowił wziąć
sprawy w swoje ręce. Przygotował
zestaw nieoficjalnych ebuildów,
pozwalających na instalację
pojedynczych aplikacji będących
częścią KDE – dzięki nim można
np. wykonać polecenie

emerge

konqueror

lub

emerge kmail

i cieszyć się najnowszą wersją tylko
tych wybranych aplikacji.

Gentoo Linux 2004.3

Zgodnie z kalendarzem
wydawniczym, ukazała się niedawno
nowa wersja dystrybucji Gentoo,
sygnowana numerem 2004.3. To
ostatnie wydanie z 2004 roku nie
przynosi rewolucyjnych zmian.
Deweloperzy Gentoo od dłuższego
czasu skupiają się przede wszystkim
na udoskonalaniu narzędzi
systemowych i płyt instalacyjnych.
Gentoo 2004.3 wydano dla architektur
amd64, hppa, ppc, sparc, x86 oraz,
po raz pierwszy, dla ppc64. Obrazy
płyt instalacyjnych można znaleźć
na oficjalnych serwerach lustrzanych
dystrybucji oraz w sieci BitTorrent.
http://www.gentoo.org/proj/en/releng/
release/2004.3/2004.3.xml

Portage 2.0.51

owa wersja Portage, programu naj-
istotniejszego dla działania Gentoo,

przynosi więcej nowości niż należałoby
się tego spodziewać, wnioskując jedynie
z nieznacznej zmiany numeru wersji.

Po pierwsze, wprowadzono możli-

wość automatycznego przekompilowania
wszystkich programów po wprowadze-
niu zmian we flagach USE. Służy do te-
go opcja

--newuse

– jeśli zmieniliśmy fla-

gi i chcemy, aby program Emerge znalazł
i przekompilował wszystkie programy,
które tego wymagają, to wystarczy wydać
polecenie:

emerge --newuse --update --deep

world.

Portage obsługuje teraz również

sprawdzanie podpisów GPG zawartych
w plikach Manifest. Dostępne są trzy
poziomy bezpieczeństwa. Każdy moż-
na uaktywnić przy pomocy flagi zmien-
nej FEATURES w pliku /etc/make.conf.
I tak, jeśli chcemy włączyć tę funkcję w
najmniej restrykcyjnej wersji, to wystar-
czy dodać w pliku make.conf linijkę:

FE-

ATURES=”gpg”

. W tym wariancie Portage

sprawdzi jedynie poprawność podpisu
cyfrowego. Dodanie linijki

FEATURES=”gpg

strict”

zaostrzy reguły – program zare-

aguje również na wszelkie sytuacje po-

tencjalnie niebezpieczne, np. brak pliku
Manifest. Najbardziej restrykcyjny wariant
to

FEATURES=”gpg severe strict”

– Porta-

ge zaakceptuje tylko te pliki Manifest, któ-
re zostały podpisane kluczami uznanymi
przez nas za bezpieczne. Wariant drugi
wydaje się być rozsądnym wyborem – nie
powoduje dodatkowych komplikacji (nie
jest uciążliwy dla użytkownika), a jedno-
cześnie chroni przed instalacją pakietów
zmodyfikowanych przez włamywaczy na
serwerze lustrzanym.

W nowych plikach ebuild można te-

raz definiować testy poprawności kompi-
lacji wykonywane przed zainstalowaniem
programu w systemie. Aby uaktywnić tę
funkcję, dodajemy w pliku /etc/make.conf
w zmiennej FEATURES flagę

maketest

Oprócz tego, poprawiła się wyraźnie

efektywność wyszukiwania zależności w
drzewie Portage. Jak twierdzą dewelope-
rzy, w nowej wersji proces ten zabiera za-
ledwie jedną trzecią czasu, który potrzeb-
ny był dotychczas do wykonania tej czyn-
ności. Zachęcamy zatem do aktualizacji!

http://www.gentoo.org/news/20041021-
portage51.xml

Gentoo na Linux World Expo

onferencja Linux World Expo, któ-
ra miała miejsce niedawno w nie-

mieckim Frankfurcie, to jedna z najwięk-
szych imprez linuksowych skupiających
się na komercyjnych zastosowaniach sys-
temu spod znaku pingwina. Odwiedzi-
ła ją niebagatelna liczba piętnastu tysięcy
gości. Nie mogło zatem zabraknąć na niej
przedstawicieli Gentoo. Nasza ulubiona
dystrybucja, za sprawą niemieckiej orga-
nizacji non-profit Förderverein Gentoo e.V.
(adres jej strony to: http://www.gentoo-
ev.org/ ), miała swoje stanowisko w pawi-
lonie organizacji niekomercyjnych i pro-
jektów społecznościowych. Zaprezento-
wano m.in. Gentoo na różnych platfor-
mach – od x86 i PPC, aż po Ultra-Sparc
czy Xeon. Najbardziej interesującą sprawą
dla odwiedzających stoisko Gentoo by-
ło ewentualne wydanie czegoś w rodza-
ju edycji serwerowej czy też Enterprise
Gentoo, która wyróżniałaby się stabilniej-
szą wersją drzewa Portage, wygodniejszą
dla zastosowań produkcyjnych. Takie za-
potrzebowanie nie może dziwić, biorąc
pod uwagę profil imprezy.

Na konferencji nie zabrakło deweloperów

Gentoo

Z okazji konferencji, deweloperzy

przygotowali specjalne wydanie Gen-
too LiveCD dla architektury x86, nazwa-
ne Fizzlewizzle, a z myślą o uczestnikach
konferencji wzbogacone między innymi
o niemiecką lokalizację KDE. Jest ono do-
stępne również w Internecie, wraz z przy-
gotowaną do wydruku konferencyjną na-
klejką na płytę.
http://download.iansview.com/gentoo/
exhibitions/lwe-frankfurt/2004/livecd/
http://www.gentoo.org/news/en/gwn/
20041101-newsletter.xml

bezpieczeństwo

styczeń 2005

Bezpieczne

łączenie się

z Internetem

Piotr Machej

eśli ktoś jeszcze wierzy, że w dzisiej-
szych czasach jego komputer podłą-
czony do Internetu nie jest zagrożo-
ny, to powinien natychmiast zdjąć

różowe okulary. Korzystając z ogólno-
światowej pajęczyny, nie jesteśmy samot-
ni – wraz z nami jest tam wiele osób
o bardzo różnych charakterach i potrze-
bach. Dlatego warto podjąć środki ostroż-
ności. Pozwoli nam to żeglować po Inter-
necie ze spokojem, że nasze dane nie są
łatwe do wykradzenia lub zniszczenia.

Planowanie zabezpieczeń

Absolutnie nie powinniśmy podłączać
do Internetu komputera, który nie został
jeszcze zabezpieczony. Może wydawać
się nam, że jeśli podłączymy się tylko
na chwilkę, to nic się nie stanie. Jest to
jednak bardzo złudne wrażenie. Włamy-
wacze bardzo często automatyzują swoją
pracę, uruchamiając skrypty okresowo
sprawdzające adresy sieciowe kompu-
terów. Poszukują w ten sposób maszyn
wrażliwych na znane im metody ataków
(np. posiadających bardzo proste hasła).
Może zdarzyć się, że nasz system zostanie
spenetrowany już w minutę po zalogowa-
niu do sieci. Z tego powodu jak najwię-
cej czynności zabezpieczających powin-
niśmy dokonać jeszcze przed skorzysta-
niem z Internetu.

Zanim zabierzemy się za umacnia-

nie zabezpieczeń, dobrze jest dokładnie
zastanowić się, co chcemy osiągnąć. Czy
chcemy zrobić z naszego komputera nie-
zdobytą twierdzę? A może tylko chcemy
ochronić nasze zdjęcia z igraszek na łonie
natury? Istotne jest też, czy będziemy
chcieli udostępniać jakieś zasoby innym
użytkownikom Internetu. Jeśli kompu-
ter będzie przeznaczony dla wielu anoni-
mowych użytkowników (np. jako anoni-
mowy serwer FTP), to zastosujemy inne
zabezpieczenia niż wtedy, gdy do kom-
putera będziemy chcieli mieć dostęp
tylko my, razem z wybranymi kolegami.

Dobre określenie naszych celów

i potrzeb pozwoli nam lepiej wykorzy-
stać zawarte w tym artykule informacje.
Mając ciągle na myśli nasz cel, z łatwo-
ścią wybierzemy zabezpieczenia, które
musimy zastosować, i pominiemy te,
z których możemy (lub nawet powinni-
śmy) zrezygnować.

Wykorzystywane usługi

Generalna zasada mówi, aby uruchamiać
tylko niezbędne usługi. Tak naprawdę
powinniśmy posunąć się nieco dalej i w
ogóle nie instalować niepotrzebnego opro-
gramowania. Praktycznie każda z dystry-
bucji podczas instalacji pozwala nam na
wybór pojedynczych pakietów, z których
chcemy korzystać. Warto poświęcić trochę
czasu na lekturę opisów poszczególnych
pakietów i wybranie tylko tych, które na
pewno nam będą potrzebne.

Zysk z takiego postępowania jest

podwójny. Po pierwsze, oszczędzamy
miejsce na dysku. Po drugie, zmniejsza-
my liczbę zainstalowanego oprogramo-
wania. Dzięki temu łatwiej nam będzie
kontrolować zmiany w systemie, a w
dodatku możemy uniknąć instalacji pro-
gramów znanych z problemów z bez-
pieczeństwem. Warto zastanowić się
nad tym, który program wykorzystamy
do realizacji konkretnego celu. Przykła-
dowo, jeśli jest nam potrzebny serwer

Na płycie CD/DVD

Na płycie CD/DVD znajduje się

oprogramowanie omawiane

w artykule.

Rysunek 1.

Na stronach serwisu SANS

możemy znaleźć obszerne wskazówki
dotyczące wykrywania intruzów

bezpieczeństwo

bezpieczny internet

www.lpmagazine.org

pocztowy, możemy zainstalować Send-
maila (dosyć topornego w konfigura-
cji i mającego w przeszłości sporo pro-
blemów z bezpieczeństwem) lub szyb-
kiego i łatwego w konfiguracji (a przy
tym bezpiecznego) Postfiksa. Również w
przypadku pozostałego oprogramowania
mamy różne alternatywy, nawet jeśli nie-
koniecznie są one dołączone do dystry-
bucji. Im bardziej zależy nam na bezpie-
czeństwie naszego systemu, tym więcej
wysiłku powinniśmy włożyć w zainstalo-
wanie bezpiecznych aplikacji.

Uruchamianie usług

Jak już powiedziałem, powinniśmy uru-
chamiać tylko niezbędne usługi. Ale skoro
zbędnych nawet nie zainstalowaliśmy, to
o co chodzi? Otóż może zdarzyć się, że
nie ze wszystkich usług będziemy korzy-
stać bez przerwy. Opiszę tu znany mi
przykład. Mamy komputer, który kiedyś
był podłączony do Internetu za pośred-
nictwem sieci lokalnej, w której działały
również komputery z systemem Windows.
Do współdzielenia plików była wykorzy-
stywana na tym komputerze Samba. Po
jakimś czasie komputer został odłączony
od sieci lokalnej i przyłączony do Interne-
tu bezpośrednio. Samba pozostała zain-
stalowana, gdyż przydaje się do współ-
dzielenia plików z systemem Windows 98,
uruchamianym pod kontrolą VMWare.
Ponieważ ta funkcjonalność jest wykorzy-
stywana okazjonalnie (raz na tydzień lub
rzadziej), więc nie ma uzasadnienia dla
uruchamiania Samby przy starcie systemu.
Dlatego też tego typu usługi powinny być
wyłączone. Uruchamiamy je tylko wtedy,
gdy są nam potrzebne.

Sposób wybrania usług, które mają

być uruchamiane przy starcie, zależy
od dystrybucji. W przypadku dystrybucji
pochodzących od Red Hat (na przykład
Fedora i Aurox) należy usunąć lub dodać
odpowiednie łącza symboliczne w kata-
logu /etc/rc.d/. W innych dystrybucjach
nazwa katalogu może być inna. Można
również wykorzystać do tego celu narzę-
dzie

ntsysv

. Z kolei usługi uruchamiane

przez superserwer Xinetd można wyłą-
czyć zmieniając opcję disable w plikach
umieszczonych w katalogu /etc/xinetd.d/.
Wyniki naszych działań można obserwo-
wać wpisując polecenie

netstat -nlutp

Wyświetli ono wszystkie porty TCP i
UDP, na których nasłuchują jakieś pro-
gramy. Oprócz tego, poznamy nazwy
tych programów.

Hasła użytkowników

Oglądaliście film Hakerzy (Hackers)?
Pomimo całej jego naiwności, było w nim
trochę prawdy. Szczególnie w jednym miej-
scu, gdy pada pytanie o najpopularniejsze
hasła wykorzystywane przez użytkowni-
ków komputerów. Odpowiedzią były: love,
secret, sex i god. I taka jest prawda – wiele
osób lekceważy znaczenie haseł i wybie-
ra pierwsze z brzegu. No bo przecież, kto
się domyśli, że wybrałem hasło misiek ? A
przynajmniej łatwo mi je będzie zapamię-
tać. I rzeczywiście. Ale równie łatwo przyj-
dzie je odgadnąć włamywaczowi.

Zakładając proste hasło ułatwiamy mu

życie. Nie musi się męczyć z wyszukiwa-
niem luk w naszym systemie i analizo-
waniu sposobów włamania do niego. Po
prostu uruchamia program sprawdzający
po kolei hasła ze słownika i idzie sobie na
herbatę. A gdy wróci, nasz komputer nie
ma już dla niego tajemnic. Ustawiajmy więc
hasła trudne do odgadnięcia, ale nadal
łatwe do zapamiętania. Warto też samemu
stosować różne programy do łamania haseł
– właśnie w celu sprawdzenia, na ile nasze
hasła są trudne do złamania. Reguły te
dotyczą nie tylko haseł do kont na naszym
komputerze. Każdy z użytkowników powi-
nien w ten sposób traktować również inne
hasła – do skrzynki pocztowej, do portalu
internetowego czy jakiejś gry sieciowej.

Pamiętajmy też o tym, aby nigdzie

(podkreślam – nigdzie!) nie używać takie-
go samego hasła, jakie broni dostępu do
konta użytkownika root. Co do innych
haseł, to często trudno uniknąć ich dublo-
wania – choćby ze względu na ogranicze-
nia naszej pamięci. Należy jednak podcho-
dzić do tego z rozwagą. Jaki bowiem jest
sens zakładania mocnego hasła na nasze
konto, jeśli używamy go również w kilku
serwisach internetowych, gdzie jest ono
przechowywane otwartym tekstem? To
prawdziwe zaproszenie dla włamywacza.

Oczywiście, jeśli nie mamy urucho-

mionego serwera SSH, FTP czy Telnet
(o tym ostatnim lepiej zapomnieć – nie
instalujemy go i nie uruchamiamy), to
intruz próbujący dostać się do nas z Inter-
netu niewiele skorzysta z naszego hasła.
Lepiej być przezornym – może kiedyś
uruchomimy serwer, albo zaprosimy do
siebie znajomego. Warto mieć wtedy
mocne, trudne do złamania hasła.

Bez haseł w SSH

Jeśli mamy uruchomiony serwer SSH, do
którego powinni mieć dostęp tylko wybra-

ni użytkownicy, warto zabezpieczyć się
dodatkowo. Po pierwsze, powinniśmy
odpowiednio skonfigurować zaporę sie-
ciową, aby można było logować się tylko z
określonych komputerów. Nie zawsze jest
to możliwe (szczególnie, jeśli dużo podró-
żujemy i logujemy się z różnych miejsc).
Po drugie, możemy w ogóle uniemożliwić
włamywaczom atak na hasła. Jest to moż-
liwe dzięki temu, że SSH pozwala na auto-
ryzację za pomocą pary kluczy. Jeśli każdy
z użytkowników mających dostęp do
naszego komputera będzie dobrze pilno-
wał swojego klucza prywatnego, a klucze
publiczne będą umieszczone u nas, to spo-
kojnie możemy wyłączyć obsługę zwy-
kłych haseł. Dokonujemy tego wstawiając
w pliku /etc/ssh/sshd_config linię o treści:

PasswordAuthentication no

Po zrestartowaniu serwera SSH użytkownik
próbujący zalogować się bez odpowiednie-
go klucza powinien zobaczyć komunikat:
Permission denied (publickey,keyboard-
interactive). Należy więc uważać, aby przy-
padkiem nie odciąć sobie dostępu do ser-
wera stojącego na drugim końcu kraju.

W ten sam sposób możemy sami

łączyć się ze zdalnymi serwerami – za-
miast wykorzystywać hasła (choćby prze-
syłane przez SSH), korzystajmy z pary
kluczy. Najpierw musimy je wygenerować.
Zaczynamy od wydania polecenia:

ssh-keygen -t rsa

Zostaniemy zapytani o nazwę pliku,
w którym ma być umieszczony klucz pry-
watny, a następnie o hasło. Tak, o hasło. Z
zaletami i wadami wprowadzenia tu hasła
możemy zapoznać się w ramce Klucze z
hasłem czy bez? – na tej podstawie zdecy-
dujemy, czy wciśniemy tu klawisz [Enter],
czy też jednak wpiszemy hasło. W wyniku
powinniśmy uzyskać dwa pliki. Pierwszy z
nich (domyślnie ~/.ssh/id_rsa) to klucz pry-

Rysunek 2.

Część z tych nasłuchujących

usług z pewnością można wyłączyć

bezpieczeństwo

styczeń 2005

watny, którego należy strzec niczym oka
w głowie. Nikt poza nami nie powinien
mieć prawa do jego odczytu, a najlepiej,
jeśli przechowywać go będziemy tylko na
zabezpieczonej dyskietce. Drugi plik (do-
myślnie ~/.ssh/id_rsa.pub) to klucz publicz-
ny, którego nie musimy chronić – każdy
może mieć do niego dostęp.

Teraz czas skopiować klucz publicz-

ny na nasze konto na zdalnym serwerze.
Gdy to zrobimy, logujemy się na to konto.
Musimy upewnić się, że mamy tam katalog
~/.ssh/. Jeśli nie, tworzymy go poleceniami:

mkdir .ssh/
chmod 700 .ssh/

Teraz pozostaje nam dodać klucz publicz-
ny do spisu kluczy, które mogą być
wykorzystywane do łączenia się z tym
kontem:

cat id_rsa.pub >> .ssh/authorized_keys
chmod 600 authorized_keys

Należy upewnić się jeszcze, czy na zdal-
nym serwerze jest włączona obsługa
kluczy i że wykorzystywany jest wła-
śnie ten plik ze spisem kluczy. W pliku
/etc/ssh/sshd_config powinny znajdować
się następujące linie:

PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

Teraz już możemy opuścić to konto (

exit

)

i spróbować zalogować się ponownie.
Tym razem powinien powitać nas napis:
Enter passphrase for key z podaną ścież-
ką do klucza prywatnego. Po wpisaniu
hasła, jakiego użyliśmy przy tworzeniu
klucza, zostaniemy zalogowani na nasze
konto. Oczywiście, jeśli zdecydowaliśmy
się nie chronić naszego klucza hasłem, to
zostaniemy zalogowani bez pytania.

Gdy kiedyś zdecydujemy się zmie-

nić hasło do naszego klucza prywatnego,
możemy to zrobić poleceniem

ssh-keygen

-c -f .ssh/id_rsa

Kontrola integralności

systemu

Pomimo wszelkich zabezpieczeń, jakie
mogliśmy stworzyć, szczególnie zdespe-
rowany intruz, prędzej czy później, jest
w stanie dostać się do naszej twierdzy.
Musimy być świadomi, że jedyną w miarę
skuteczną formą ochrony naszego kom-
putera jest odłączenie go od sieci i wsta-
wienie do szafy pancernej. Jeśli jednak
chcemy, aby nasz komputer był podłą-
czony do Internetu, to musimy liczyć się
z ewentualnym włamaniem.

W takim przypadku najważniej-

sze jest, abyśmy się o tym dowiedzieli.
Ponieważ intruz zazwyczaj będzie próbo-
wał ukryć swoją obecność w systemie, a
następnie uzyskać jak najwięcej informa-
cji, prędzej lub później spróbuje podmie-
nić jakiś kluczowy plik systemowy. Może
tego dokonać na przykład w celu wykra-
dzenia hasła. Jednym z najlepszych spo-
sobów na wykrycie podobnych działań
jest kontrolowanie integralności syste-
mu. Polega to na tym, że (zaraz po insta-
lacji systemu) tworzymy bazę zawierającą
informacje o istotnych plikach w systemie.
Bazę tą przechowujemy w miejscu niedo-
stępnym dla włamywacza (np. na płycie
CD). Później pozostaje nam okresowo
kontrolować zgodność plików ze stanem

Zbędne usługi

Jeśli mamy wątpliwości, które usługi
powinny być wyłączone, zapoznajmy się
z poniższym spisem: chargen, chargen-
udp, daytime, daytime-udp, echo, echo-
udp, finger, imap, imaps, innd, ipop2,
ipop3, named, netfs, ntalk, ntpd, pop3s,
swat, talk, time, time-udp.

Zawiera on te usługi, których nie

powinniśmy włączać, jeśli nie są nam
absolutnie potrzebne. Nie jest to spis kom-
pletny – oprócz podanych usług, możemy
mieć zainstalowane inne programy, któ-
rych nie powinniśmy włączać bez potrze-
by, jak choćby różne serwery FTP (wu-ftpd,
vsftpd) czy wszelkie usługi typu rsh, rexec,
rcp, rlogin i inne z grupy usług o nazwach
zaczynających się literą r (możemy je spo-
kojnie zastąpić programem ssh).

Jeśli zaszłaby konieczność włącze-

nia jednej z wymienionych usług, w miarę
możliwości powinniśmy wybierać wersję
bezpieczniejszą. Przykładowo, zamiast
imap powinniśmy wybrać szyfrowaną
wersję imaps, a zamiast ipop3 – pop3s.

Rysunek 3.

John the Ripper to tylko

jeden z wielu programów umożliwiających
testowanie siły haseł

Testowanie haseł

W większości nowszych dystrybucji pod-
czas wprowadzania hasła jest prze-
prowadzana jego wstępna kontrola
(np. z wykorzystaniem systemu PAM),
ale czasami system ogranicza się tylko do
sugestii, że wprowadzane hasło nie speł-
nia odpowiednich norm (np. jest za krótkie
lub zbyt oczywiste). Tak czy inaczej, jest to
tylko wstępne rozpoznanie. Aby się prze-
konać, czy na pewno w naszym systemie
hasła są trudne do złamania, musimy sko-
rzystać z innych narzędzi – łamaczy haseł.

Jednym z takich programów jest John

the Ripper. Możemy go pobrać ze strony
http://www.openwall.com/john/. Po jego
zainstalowaniu (zgodnie ze wskazówka-
mi umieszczonymi w pliku doc/INSTALL)
wykonujemy kopię pliku /etc/shadow
i umieszczamy ją w jakimś bezpiecznym
katalogu (pamiętajmy, aby przypadkiem
nie udostępnić tego pliku niepowołanym
osobom). Teraz wystarczy uruchomić pole-
cenie

john shadow

(zakładając, że kopia

pliku /etc/shadow znajduje się w bieżącym
katalogu). Jeśli programowi uda się odgad-
nąć hasło, wyświetli je na ekranie wraz z
nazwą użytkownika. Ponieważ obliczenia
mogą trwać bardzo długo, warto czasem
wcisnąć dowolny klawisz w celu sprawdze-
nia, czy program nadal działa – zostanie
wyświetlony jego status. W dowolnej chwili
możemy przerwać jego pracę kombinacją
[Ctrl]+[c], a następnie wznowić poleceniem

john -restore

Odgadnięte hasła, oprócz wyświe-

tlenia na ekranie, są zapisywane
w pliku john.pot, umieszczonym w kata-
logu, gdzie znajduje się program john.
Możemy je wyświetlić poleceniem

john

-show shadow

(gdzie shadow wskazuje na

naszą kopię pliku /etc/shadow).

Jeśli chcemy zwiększyć szanse na

wykrycie słabych haseł, powinniśmy
pobrać z sieci pliki ze słownikami. Przykła-
dowy plik z listą słów w różnych językach
jest do pobrania ze strony domowej John
the Ripper, a jego znacznie rozszerzoną
wersję można zamówić za odpowiednią
opłatą. Inne zestawy haseł można zna-
leźć pod adresem ftp://ftp.ox.ac.uk/pub/
wordlists/. Możemy je później wykorzystać
wydając polecenie

john -w=words.lst

shadow

, gdzie world.lst jest pobranym pli-

kiem ze słownikiem.

Warto też zapoznać się z plikiem doc/

EXAMPLES, gdzie podane są inne cieka-
we sposoby wywołania programu John
the Ripper.

zapisanym w bazie. Oczywiście, jeśli sami
dokonamy zmian w plikach (na przykład
ze względu na aktualizację oprogramowa-

bezpieczeństwo

bezpieczny internet

www.lpmagazine.org

nia), to bazę musimy również uaktualnić.
Jednym z programów pozwalających na
kontrolowanie integralności systemu jest
Afick (Another File Integrity Checker).

Ponieważ nie jest on zazwyczaj dołą-

czany do dystrybucji Linuksa, musimy
go pobrać ze strony domowej (http:
//afick.sourceforge.net/ ) lub z płyty dołą-
czonej do pisma. Jego instalacja nie spra-
wia problemu, a w przypadku instalacji
pakietu RPM od razu zostanie zainicja-
lizowana baza. Na stronie domowej pro-
jektu możemy pobrać interfejs graficzny,
ułatwiający obsługę programu, a także
spełniający to samo zadanie moduł do
Webmina. Z tych dwóch możliwości oso-
biście polecam raczej moduł do Webmi-
na – po instalacji dostępny jest w sekcji
System pod nazwą Another File Integri-
ty Checker.

Konfiguracja Aficka

Główny plik konfiguracyjny programu
Afick to plik /etc/afick.conf. Możemy w
nim określić ścieżki do bazy danych, histo-
rii i archiwum. Oprócz tego, możemy usta-
wić inne opcje konfiguracyjne, jak również
wykluczyć z magazynowania w bazie pliki
o określonych końcówkach (lub przedrost-
kach) nazw. Plik ten zawiera również spis
katalogów, o których informacje są zapisy-
wane w bazie. W większości przypadków

ustawienia domyślne powinny wystarczyć,
lecz w razie potrzeby można je zmodyfi-
kować. Plik konfiguracyjny posiada dosyć
obszerne i czytelne komentarze.

Wykrywanie zmian w plikach

W celu sprawdzenia, czy nie nastąpiły
zmiany w plikach systemowych, urucho-
miamy polecenie

/usr/bin/afick.pl -k

(lub

/usr/bin/afick.pl --compare

). Spo-

woduje to ponowne przeanalizowanie
wszystkich plików i porównanie informa-
cji o nich z zawartymi w bazie. Ewentual-
ne różnice zostaną wyświetlone na ekra-
nie. Oczywiście, możemy tego dokonać
również w interfejsie graficznym (wci-
skając przycisk compare) lub w module
Webmina (w sekcji run Afick, zaznacza-
jąc w polu action wartość compare i wci-
skając przycisk Run Afick).

W przypadku wykrycia zmian w pli-

kach, nie powinniśmy od razu pani-
kować. Najpierw upewnijmy się, czy
sami nie dokonaliśmy zmian (mogli-
śmy zapomnieć uaktualnić bazę). Może
okazać się również, że przechowujemy
w bazie informacje o plikach zmieniają-
cych się dosyć często, a niezbyt istotnych
– w takim przypadku należy poprawić
konfigurację i ponownie zainicjalizować
bazę poleceniem

/usr/bin/afick.pl -i

(init w przypadku interfejsu graficznego
i modułu Webmina).

Jeśli zamierzamy wprowadzić zmiany

w systemie plików (np. uaktualnić oprogra-
mowanie), powinniśmy najpierw upewnić
się, że pliki są nienaruszone. Następnie
możemy dokonać niezbędnych zmian,
a później zaktualizować bazę poleceniem

/usr/bin/afick.pl -u

(update w przypad-

ku interfejsu graficznego i modułu Web-
mina). Polecenie to wyświetli nam wpro-
wadzone zmiany, a w bazie umieści infor-
mację o nowych plikach.

Jeśli chcemy dokładnie wiedzieć, jakie

zmiany zaszły podczas instalacji oprogramo-
wania, to należy uruchomić polecenie
update zarówno przed, jak i po instalacji.

Kilka uwag

Sprawdzanie integralności systemu nie
ma większego sensu, jeśli włamywacz
ma dostęp do konfiguracji i bazy danych.
Warto plik konfiguracyjny i bazę prze-
chowywać np. na płycie CD, uaktualnia-
jąc ją w razie potrzeby.

Optymalnym rozwiązaniem jest uru-

chamianie programu Afick z osobne-
go, bezpiecznego systemu operacyjnego,

np. specjalnie przygotowanej dystrybu-
cji uruchamianej z płyty CD. Dzięki temu
możemy mieć pewność, że włamywacz
nie mógł zmodyfikować naszego progra-
mu, ani żadnej części systemu, od której
on zależy.

Musimy zdawać sobie sprawę z tego,

że Afick i jemu podobne programy nie
uchronią nas przed włamaniem do sys-
temu. Ich zadaniem jest jedynie dać nam
znać, że włamanie miało miejsce. Nie
należy w tej mierze polegać tylko na inte-
gralności systemu – należy również kon-
trolować dzienniki systemowe (logi), jak
i uruchomione usługi. Warto też okreso-
wo wykonywać kopię ważnych dla nas
danych. Dzięki temu nie utracimy ich, ani
z powodu jakiegoś wandala, ani też ze
względu na przypadkową awarię sprzętu.

Zapora sieciowa

Jednym z najważniejszych zabezpieczeń
naszego komputera jest zapora sieciowa,
zwana też ścianą ogniową (firewall). Jeśli
prawidłowo ją skonfigurujemy, będzie
chroniła porty naszego komputera przed
intruzami, udostępniając je tylko wybra-
nym osobom. Oczywiście, my będzie-
my mogli korzystać z Internetu bez ogra-
niczeń.

W przypadku aktualnych dystrybucji

Linuksa, najczęściej do filtrowania pakie-
tów jest wykorzystywany program IPTales.

Z reguły najlepszą metodą tworzenia

zapory sieciowej jest przyjęcie zasady, że
blokujemy wszystkie pakiety z wyjątkiem
tych, które rzeczywiście chcemy przepu-
ścić. Zasada jest słuszna, lecz w niektórych
przypadkach może nam sprawić nieco kło-
potu. Wyobraźmy sobie przykładowo, że
chcemy udostępniać użytkownikom Inter-
netu serwer SSH, WWW, FTP, a w dodat-
ku pragniemy dzielić się plikami z użyciem
BitTorrenta. W takiej sytuacji może okazać
się, że mniej wysiłku będzie nas koszto-
wać stworzenie zapory, która będzie bro-
niła dostępu tylko do wybranych portów

Klucze z hasłem czy bez?

Podczas tworzenia kluczy musimy zdecy-
dować, czy nasz klucz prywatny będzie
chroniony hasłem, czy nie. Można się
zastanawiać, co się zyskuje, zamienia-
jąc jedno hasło (do systemu) na drugie
(do klucza). Już odpowiadam – bardzo
dużo. Przede wszystkim, ewentualny wła-
mywacz musiałby zdobyć zarówno nasze
hasło, jak i klucz prywatny, co znacznie
utrudnia mu zadanie. Tym bardziej, że
hasło chroniące klucz nie jest przesyłane
przez sieć. W dodatku, możemy wykorzy-
stać ten sam klucz do łączenia się z wielo-
ma serwerami – a więc możemy korzystać
w tym przypadku z jednego hasła.

A jeśli jednak zdecydujemy się na

stworzenie klucza bez hasła? Możemy tak
zrobić, ale wtedy musimy jeszcze bardziej
chronić nasz klucz prywatny. Jeśli komuś
uda się uzyskać do niego dostęp, to będzie
mógł połączyć się bez problemów wszę-
dzie tam, gdzie z tego klucza korzystali-
śmy. Dlatego jeśli tylko do naszego kom-
putera ma dostęp więcej osób, to lepiej
założyć hasło, a w każdym razie zdawać
sobie sprawę z niebezpieczeństwa.

Rysunek 4.

Konfigurację Aficka możemy

zmienić także z użyciem Webmina

bezpieczeństwo

styczeń 2005

(np. poczty czy Samby). Należy pamię-
tać, że tak zbudowana zapora nie będzie
w stanie zablokować możliwości łączenia
się z naszym serwerem, jeśli zostanie na
nim zainstalowana jakaś tylna furtka (back-
door). Wybór metody tworzenia zapory
zależy więc tylko od naszych chęci i umie-
jętności.

Podczas projektowania zapory pamię-

tajmy o tym, aby zablokować możli-
wość łączenia się z naszym kompute-
rem z maszyn o adresach sieci lokalnej za
pośrednictwem interfejsu łączącego nas
z Internetem. Zapobiegnie to przynajm-
niej części prób ataków przez podszywa-
nie (spoofing).

Jeśli nie odpowiada nam ręczne wpi-

sywanie regułek, możemy skorzystać
z któregoś z interfejsów graficznych.
Jednym z ciekawszych jest Firewall Buil-
der, którego wersja 2.0.2 była niedawno
opisywana w Linux+. Program ten można
pobrać ze strony domowej projektu (http://
www.fwbuilder.org/ ) lub z płyty dołączo-
nej do gazety.

Testowanie zapory

Po zbudowaniu zapory sieciowej najważ-
niejsze jest jej dokładne przetestowanie.
Niestety, IPTables nie obsługuje opcje -C,
znanej z IPChains, pozwalającej na łatwe
testowanie reguł. Musimy więc radzić
sobie łącząc się z zaporą z różnych maszyn
umieszczonych w Internecie i sieci lokal-
nej lub korzystając z innego oprogramo-
wania. Przykładowe programy, które mogą
okazać się bardzo pomocne przy testowa-
niu zapory, to HPing i Firewall Tester. O
programie HPing można było niedawno
przeczytać w Linux+, więc zapoznajmy się
z drugim z programów.

Firewall Tester to zestaw skryptów

napisanych w Perlu, które można wyko-
rzystywać nie tylko do testowania jako-
ści zapory sieciowej, ale również syste-
mów wykrywania włamań. Do działania
Firewall Tester potrzebuje trzech modu-

łów dostępnych z CPAN: Net::RawIP, Net:
:PcapUtils i NetPacket. Możemy je zainsta-
lować poleceniem

perl -MCPAN -e 'in-

stall Net::RawIP'

(odpowiednio zmie-

niając nazwę modułu). Na komputerze,
gdzie mamy zainstalowaną zaporę siecio-
wą, należy uruchomić polecenie

./ftestd

-i eth0

(gdzie eth0 to nazwa interfejsu

łączącego nas z siecią). Spowoduje to uru-
chomienie sniffera nasłuchującego pakie-
tów wysyłanych przez klienta. Klienta naj-
lepiej uruchomić na komputerze znajdu-
jącym się bezpośrednio za zaporą siecio-
wą – służy do tego polecenie

./ftest -f

ftest.conf

. Najpierw jednak należy przy-

gotować odpowiedni plik konfiguracyjny,
w którym wskażemy, jakie testy mają być
wykonywane. Przykładowy plik ftest.conf
jest dosyć dobrze opisany, więc nie powin-
niśmy mieć problemów z dostosowa-
niem go do własnych potrzeb. Zwróćmy
uwagę, że możemy korzystać zarówno
z pojedynczych pakietów, np.

192.168.0.5:

1025:192.168.0.1:21:A:TCP:0

, jak i z symu-

lowania połączeń:

connect=192.168.0.5:

1025:192.168.0.1:22:AP:TCP:0

. Każdy test

powinniśmy kończyć sygnałem zatrzy-
mania:

stop_signal=192.168.0.5:80:

192.168.0.1:1025:S:TCP:0

. Ważne, aby ten

ostatni pakiet na pewno przeszedł przez
zaporę. W innym przypadku, jeśli na czas
testów zmienialiśmy ustawienia TTL, to w
przypadku przerwania działania skryptu
przed otrzymaniem sygnału stop, będzie-
my musieli przywracać ustawienia ręcz-
nie. Po zakończeniu testu należy skopio-
wać pliki ftest.log z klienta i ftestd.log z ser-
wera w jedno miejsce, a następnie wyko-
nać polecenie

./freport ftest.log fte-

std.log

. W jego wyniku otrzymamy zesta-

wienie pakietów, które przeszły lub zostały
zablokowane przez zaporę sieciową.

Podczas testowania zapory powinni-

śmy pamiętać, aby sprawdzić ją bardzo
dokładnie. Jeśli w jakiejś regułce mamy zde-
finiowany zakres adresów IP, to sprawdza-
my zachowanie zapory zarówno dla adre-
sów granicznych, jak i leżących wewnątrz
i na zewnątrz zakresu. Warto przygoto-
wać sobie własne skrypty do testowania
zapory, dzięki czemu nie będziemy musieli
wciąż powtarzać wpisywania tych samych
komend. Również wprowadzanie popra-
wek jest w takim przypadku łatwiejsze.

Systemy wykrywania

włamań

Zapoznaliśmy się już z programem Afick,
ale posiada on (podobnie jak inne ana-

lizatory integralności systemu) pewną
wielką wadę – dzięki niemu dowiadu-
jemy się o ataku, który już doszedł do
skutku. Cała sztuka polega na tym, aby
wykryć atak jeszcze w czasie jego prze-
prowadzania i odpowiednio go zablo-
kować.

Jednym z najlepszych programów

przeznaczonych do tego celu jest Snort.
Program nasłuchuje na wskazanych inter-
fejsach sieciowych, analizując pojawiające
się tam pakiety. Analizowane są one pod
kątem informacji istotnych dla bezpie-
czeństwa lub sprawnego funkcjonowania
sieci. Dzięki skonfigurowaniu odpowied-
nich preprocesorów, możemy polecić
Snortowi wyszukiwanie informacji o pró-
bach skanowania portów, atakach zwią-
zanych z błędną fragmentacją pakietów
IP, czy próby ukrycia ataków poprzez
zakodowanie adresów HTTP URI.

Następnie pakiety są przekazywane

do modułu, który porównuje je z regu-
łami opisującymi różne znane metody
ataków (tzw. sygnaturami ataków). Do
nas należy wybranie sygnatur, które
będą potrzebne w naszym systemie. Sam
Snort nie potrafi określić, czy w naszej
sieci połączenie na konkretny port jest
legalne, czy też powinien je traktować
jako próbę włamania – o tym my decy-
dujemy podczas konfiguracji. Jeśli zosta-
nie wykryty atak, Snort może zareago-
wać na wiele różnych sposobów. Oprócz
powiadomienia administratora i zapisa-
nia informacji o ataku, może również
podjąć środki zaradcze, np. przerywa-
jąc połączenie z komputerem potencjal-
nego włamywacza, a nawet odpowiednio
zmieniając zaporę sieciową.

Z takim zabezpieczaniem należy

uważać, gdyż może to doprowadzić do
tego, że intruz zdezorganizuje naszą
pracę symulując przeprowadzanie ataków
z sieci, na których nam zależy. Można to
oczywiście obejść odpowiednio modyfi-
kując nasze skrypty. Generalnie Snort nie
jest może zbyt łatwy w konfiguracji, ale
jeśli sobie z tym poradzimy, to uzyska-
my narzędzie porównywalne z produkta-
mi komercyjnymi. Dzięki niemu nie tylko
będziemy mogli wykrywać ataki, ale
również dowiadywać się o innych pro-
blemach w naszej sieci, np. związanych
z błędami w oprogramowaniu.

Instalacja i obsługa Snorta

Program Snort możemy pobrać ze strony
domowej projektu (http://www.snort.org/ ),

Rysunek 5.

Afick wydaje się być godnym

następcą sławnego Tripwire

bezpieczeństwo

bezpieczny internet

www.lpmagazine.org

gdzie dostępne są nie tylko źródła, ale
i pakiety binarne (RPM). Można też sko-
rzystać z pakietów dostępnych w róż-
nych repozytoriach (np. DAG – http://
dag.wieers.com/packages/snort/ ). Przed
uruchomieniem warto sprawdzić, czy
Snort będzie oczekiwał na połączenia
na właściwym interfejsie. Informacja ta
umieszczona jest w pliku /etc/sysconfig/
snort w linii

INTERFACE="eth0"

. Jeśli do

łączenia z siecią wykorzystujemy inny
interfejs, należy poprawić tą wartość.
Warto też sprawdzić konfigurację zawar-
tą w pliku /etc/snort/snort.conf. Później
już możemy uruchomić Snorta polece-
niem

/etc/rc.d/init.d/snortd start

Jeśli teraz popatrzymy do pliku /var/
log/messages, od razu zobaczymy znacz-
ny przyrost liczby komunikatów. Oprócz
tego, pojawi się katalog /var/log/snort/.
Własnoręczna analiza tylu komunika-
tów nie ma sensu – lepiej skorzystać z
gotowych narzędzi. Dostępne są one na
stronie http://www.snort.org/dl/contrib/
wraz z innymi narzędziami przydatnymi
w zarządzaniu Snortem.

Zasady korzystania

z komputera

Jeśli naprawdę zależy nam na bezpiecz-
nym korzystaniu z sieci, nie powinniśmy
ograniczać się do jednorazowego zadba-
nia o bezpieczeństwo. Każdego dnia
pojawiają się komunikaty o wykryciu
kolejnych błędów w oprogramowaniu.
Część z tych błędów może mieć mniej-
sze lub większe znaczenie dla bezpie-
czeństwa. Jeśli nie zadbamy o uaktual-
nienia oprogramowania, cała nasza praca
może pójść na marne. Czasem przez
naszą pomyłkę, zaniedbanie lub nieświa-
domość możemy otworzyć włamywa-
czowi drogę do naszego systemu. Z tego
powodu podczas codziennego korzysta-
nia z komputera powinniśmy stosować
się do szeregu zaleceń:

• Z konta superużytkownika (root)

korzystamy tylko w bardzo wyjątko-
wych okolicznościach. Nawet w przy-
padku instalacji oprogramowania ze
źródeł, uprawnienia administratora
uzyskujemy tylko na czas potrzeb-
ny do uruchomienia polecenia

make

install

• Regularnie uaktualniamy system, inst-

alując poprawione wersje oprogra-
mowania (w tym również jądra).
Łączy się to ze śledzeniem serwi-
sów dotyczących bezpieczeństwa,
jak również stron domowych pro-
gramów zainstalowanych na naszym
dysku. Jeśli dla naszej dystrybu-
cji dostępne są serwery z aktuali-
zacjami, to powinniśmy z nich sko-
rzystać.

• Nigdy nie instalujemy oprogramo-

wania pochodzącego z nieznane-
go źródła. Mam tu na myśli przy-
godnych znajomych spotkanych na
IRC, czy serwery z oprogramowa-
niem, o którym niewiele lub nic nie
wiemy. Nie znaczy to, że pobierając
pliki z bardzo popularnych serwisów
jesteśmy całkiem bezpieczni – zda-
rzały się już przypadki podrzucenia
na takie serwery oprogramowania z
koniami trojańskimi.

• Przy instalowaniu programów powin-

niśmy w miarę możliwości sprawdzać
podpisy PGP oraz sumy MD5 pobra-
nych plików. Pozwoli to upewnić się,
że oprogramowanie otrzymaliśmy w
takiej postaci, w jakiej zamierzyli to
autorzy.

• Zawsze stosujemy hasła trudne do

złamania. Staramy się unikać prze-
syłania haseł kanałami niekodowa-
nymi (np. w przypadku korzystania
z poczty należy używać szyfrowania
SSL). Jeśli nie mamy możliwości prze-
syłania hasła w postaci zakodowanej,
to należy zadbać, aby było ono uni-
kalne (nie powinniśmy go wykorzy-
stywać nigdzie indziej). Dzięki temu
w razie jego przechwycenia przez
włamywacza, narażona będzie tylko
jedna usługa (np. zdalna poczta), a
nie cały system.

• Regularnie przeglądamy logi systemo-

we – samodzielnie lub z pomocą ana-
lizatorów logów, wysyłających powia-
domienia pocztą elektroniczną.

• Wykonujemy kopie zapasowe istot-

nych danych. Najlepiej wykonywać
je na płytach CD, lecz w razie braku

nagrywarki powinniśmy kopie umie-
ścić na innej partycji, dysku lub kom-
puterze.

• Nie

udostępniamy

komputera

osobom, których nie znamy lub do
których nie mamy zaufania. Dotyczy
to nie tylko umożliwiania dostępu
przez SSH czy FTP, ale także dostępu
fizycznego. Nie wykonujemy też żad-
nych poleceń podanych nam przez
takie osoby, jeśli nie jesteśmy absolut-
nie pewni, co dane polecenie robi.

Zakończenie

Większość prób włamań do naszych
komputerów jest wynikiem działania tzw.
script kiddies, czyli osób – z reguły dość
młodych – używających gotowych roz-
wiązań. Korzystają oni zazwyczaj z tych
samych źródeł informacji co my, zatem
będąc na bieżąco mamy całkiem sporą
szansę, że nie uda im się spenetrować
naszego systemu. Dbajmy o nasz system,
a wówczas będziemy mogli z czystym
sumieniem wędrować po naszej global-
nej sieci.

Rysunek 6.

Snort jest wciąż rozwijany,

a na jego stronie można znaleźć obszerną
dokumentację

W Internecie:

• Afick:

http://afick.sourceforge.net/

• Firewall Builder:

http://www.fwbuilder.org/

• HPing:

http://wiki.hping.org/

• Firewall Tester:

http://ftester.sourceforge.net/

• Snort:

http://www.snort.org/

• Lista dwudziestu najpoważniejszych

zagrożeń dla bezpieczeństwa:
http://www.sans.org/top20/

• SANS:

http://www.sans.org/

• Secunia:

http://secunia.com/

• SecurityFocus:

http://www.securityfocus.com/

• CERT Coordination Center:

http://www.cert.org/

• LinuxToday:

http://linuxtoday.com/

• Artykuł o uwierzytelnianiu z wykorzy-

staniem kluczy w OpenSSH:
http://www.securityfocus.com/
infocus/1810/

• Serwis IPSec.pl:

http://ipsec.pl/

• Serwis Hacking.pl:

http://hacking.pl/

bezpieczeństwo

styczeń 2005

Odzyskiwanie danych

– sposoby i przegląd

narzędzi

Michał Niwicki

a pewno każdy z Was sta-
nął lub stanie przed proble-
mem odzyskania danych.
Zazwyczaj w momencie,

w którym uświadamiamy sobie, że stra-
ciliśmy istotne pliki, nie widzimy szansy
na ich odratowanie i nie podejmuje-
my żadnych działań. Spotykamy się
z dwiema sytuacjami. Pierwsza wiąże
się z fizycznym uszkodzeniem nośni-
ka danych (twardego dysku, dyskiet-
ki, płyty CD/DVD), co uniemożliwia
nam prawidłowe odczytanie zawarto-
ści całego pliku. Druga to taka, w której
umyślnie lub nieumyślnie skasowaliśmy
z dysku potrzebny nam plik i chcemy go
odzyskać. W obu przypadkach istnieją
sposoby i narzędzia pozwalające na cał-
kowite lub częściowe odzyskanie utra-
conych danych.

W niniejszym artykule dokonamy

przeglądu kilku popularnych aplika-
cji służących do odzyskiwania danych
– uszkodzonych bądź usuniętych
z naszego komputera.

Fizyczne uszkodzenie

nośnika

Zanim przejdziemy do omówienia spo-
sobu odzyskania utraconych danych
z uszkodzonego nośnika, wytłumaczy-
my najpierw, jak dochodzi do uszkodze-
nia nośnika i jaki ma to wpływ znajdu-
jące się na nim dane.

Tradycyjnie, wszystkie magnetycz-

ne nośniki danych – dyskietki, twarde
dyski, taśmy – mogą ulec częściowe-
mu rozmagnesowaniu na skutek kon-
taktu z różnymi urządzeniami wytwa-
rzającymi duże pole elektromagnetycz-
ne (magnesy, bramki kontrolne na lot-
nisku, telefony komórkowe). W przy-
padku płyt CD/DVD najczęściej spo-

tykamy się z fizycznym uszkodzeniem
jednej z optycznych warstw na skutek
zarysowania.

W obu sytuacjach, gdy dochodzi do

utraty części (kilku lub kilkudziesię-
ciu bajtów) pliku lub systemu plików,
system komunikuje nam, że odczyt
z urządzenia jest niemożliwy i zaprze-
staje dalszych prób dostępu do danych.

Spróbujmy zilustrować przykładem

zaistniały problem. Posiadamy płytę,
na której znajduje się dwugodzinny film
w pliku o łącznej objętości 690 mega-
bajtów. Na skutek fizycznego uszkodze-
nia (przypadkowe zarysowanie płyty)
nie jest możliwy odczyt kilku ostatnich
bajtów pliku, w efekcie czego program
odtwarzający przerywa działanie przed
najciekawszym fragmentem filmu.

Wiemy lub domyślamy się, że uszko-

dzeniu uległo jedynie kilka sekund cen-
nego nagrania, natomiast kilkanaście
pozostałych minut nadal znajduje się na
płycie. Stajemy przed problemem, jak
zmusić program do odtworzenia tego,
co znajduje się za uszkodzonym obsza-
rem. Innymi słowy, chcemy, aby pro-
gram nie przerywał działania w przypad-
ku, w którym nie może odczytać zapisa-
nych danych.

DD_rescue

Gdy próba przekopiowania uszkodzone-
go pliku standardową metodą nie skutku-
je (tak dzieje się, gdy używamy standar-
dowej komendy

), z pomocą przycho-

dzi nam program DD_rescue.

Jego zasada działania jest prosta

– próbuje odzyskać uszkodzone bajty
pliku, a w przypadku, gdy nie może ich
odczytać, nie przerywa swego działania,
nie ucina uszkodzonego pliku i kontynu-
uje proces kopiowania.

Na płycie CD/DVD

Na płycie CD/DVD znajduje się

oprogramowanie omawiane

w artykule.

bezpieczeństwo

narzędzia data recovery

www.lpmagazine.org

W efekcie otrzymujemy lekko uszko-

dzony, ale już możliwy do odczytania
plik, który nie różni się rozmiarem od
oryginału, ale zawiera błędy w miejscu,
w którym doszło do uszkodzenia nośni-
ka, z którego kopiowaliśmy.

Praca z dd_rescue

Kopiowanie za pomocą dd_rescue jest
proste. Wywołanie programu przybiera
postać:

dd_rescue [opcje] <plik_źró-

dłowy> <plik_docelowy>.

Jeśli w wyniku działania komen-

dd_rescue plik_a plik_b

program

skopiuje pliki bez napotkania na błędy,
powinien wyświetlić się komunikat
podobny do poniższego:

dd_rescue: (info): plik_a (0.8k): EOF
Summary for plik_a -> plik_b:
dd_rescue: (info): ipos: 0.8k,

opos: 0.8k, xferd: 0.8k
errs:0, errxfer: 0.0k, succxfer: 0.8k
+curr.rate: 15kB/s, avg.rate: 15kB/s,

avg.load: 0.0%

Jeśli podczas procesu kopiowania przytra-
fią się błędy odczytu, pojawi się dodatko-
wa informacja dotycząca ilości uszkodzo-
nych bajtów i miejsca ich występowania.

Dodatkowe przydatne opcje progra-

mu to kopiowanie piku od określonej
pozycji (w bajtach), kopiowanie zbioru
danych od końca do początku, wyświe-
tlanie pełnej informacji o procesie
odczytywania i zapisywania przetwa-
rzanych danych oraz określenie górnej
granicy ilości błędów, po osiągnięciu
której praca programu jest przerywana.

Pewnym ułatwieniem w korzystaniu

z programu DD_rescue jest skrypt napi-
sany z BASH-u – DD_rhelp. Jego działa-
nie opiera się na programie DD_rescue,

ale od użytkownika nie jest wymaga-
ne podawanie żadnych dodatkowych
opcji – wystarczy, że w linii poleceń
wpiszemy:

dd_rhelp <plik_źródłowy>

<plik_docelowy>

, a skrypt domyślnie

odzyska (jeśli tylko mu się uda) wszel-
kie utracone dane.

Skasowane pliki – jak

sobie z nimi radzić

Zdarza się, że na skutek pomyłki lub
celowego działania osób trzecich w
wyniku operacji kasowania (plików lub
partycji) straciliśmy część lub wszystkie
nasze dane. Mogłoby się wydawać, że
wszystko stracone, ale i na takie przy-
padki jest rada. W najlepszym razie
może okazać się, że dane są w 100%
odzyskiwalne, ale najczęściej spotkamy
się z sytuacją, w której odzyskamy jedy-
nie mniejszy lub większy procent ska-
sowanych zbiorów. Paradoksalnie, to co
wygląda bardzo groźnie, może okazać
się łatwe w naprawie. Najczęstszym
omawianym wyżej przypadkiem jest
zamazanie tablicy partycji dysku twar-
dego (tracimy wszystko) lub skasowa-
nie pliku/plików komendą rm

Narzę-

dzia, jakich można użyć w obu przy-
padkach, przedstawię poniżej.

Namierzanie partycji programem

Gpart

Jeśli z pewnych powodów zamazaliśmy
tablicę partycji dysku twardego (dzieje
się tak przykładowo podczas nieuważ-
nego dzielenia dysku na partycje), mimo
że dysk wygląda tak, jakby nic na nim się
nie znajdowało, nasze dane wciąż na nim
są. Proces przywracania struktury dysku
do pierwotnej postaci wymaga od użyt-
kownika wiedzy na temat tego, jakiej
wielkości i jakiego typu partycje znajdo-

wały się na nim przed zamazaniem tabli-
cy partycji. Problem w tym, że takimi
informacjami większość użytkowników
nie dysponuje. Tu z pomocą przycho-
dzi Gpart – narzędzie, którego działanie
wydaje się być proste: program analizu-
je dane zapisane na dysku (jeszcze nie
skasowane) i na ich podstawie próbuje
odbudować tablicę partycji dysku.

Praca z narzędziem Gpart

Ponieważ po skasowaniu partycji nie
mamy dostępu do żadnych danych, które
się na dysku znajdują, nie możemy rów-
nież uruchomić Gparta. W takiej sytu-
acji powinniśmy skorzystać z ratunko-
wej dystrybucji Linuksa – RIP. Po wło-
żeniu do napędu CD/DVD bootowalnej
płyty i ponownym uruchomieniu kom-
putera, naszym oczom ukaże się ascetycz-
nie wyglądające okno terminala. Po zalo-
gowaniu się na konto administratora sys-
temu (root) mamy do dyspozycji kilkadzie-
siąt programów służących do odzyskiwa-

Wybrane parametry

DD_rescue:

•

-w

– przerywa kopiowanie jeśli

napotka na błędy

•

-r

– kopiowanie wsteczne

(od końca pliku do początku)

•

-v

– wyświetla pełną informację

o procesie kopiowania

•

-q

– nie wyświetla żadnych

komunikatów

•

-e x

– przerywa działanie po

osiągnięciu x błędów

•

-s s

– rozpoczyna kopiowanie pliku

od s bajta

•

-m m

– kopiuje jedynie m bajtów

•

-d

– wykorzystuje bezpośredni

dostęp do urządzenia blokowego
(z pominięciem pamięci cache)

bezpieczeństwo

styczeń 2005

nia i ratowania różnych systemów opera-
cyjnych. Nas interesuje Gpart.

Wydajemy polecenie

gpart [opcje]

urządzenie

i czekamy na to, aż program

przeanalizuje nasz nośnik danych pod
względem struktury zapisanych na nim
danych. Przykładowo:

# gpart /dev/hda

spowoduje, że narzędzie będzie analizo-
wało dysk /dev/hda.

Po pewnym czasie (może trwać to

nawet kilkanaście minut – w zależności
od tego jakiej wielkości posiadamy dysk)
naszym oczom powinna ukazać się infor-
macja podobna do tej z Listingu 1.

Wynika z niej, że pierwsza party-

cja jest typu ext2 i ma rozmiary 101 MB,
podczas gdy druga partycja jest najpraw-
dopodobniej partycją wymiany (swap) o
rozmiarach sięgających ponad 1 GB.

Jeśli przedstawione informacje uwa-

żamy za prawdziwe, możemy zapisać
na dysku nową tablicę partycji wydając
polecenie:

# gpart -W /dev/hda /dev/hda

Parametr /dev/hda podajemy dwa razy,
gdyż pierwszy mówi nam, jaka jest struk-
tura badanego dysku, a drugi zapisuje na
wskazanym dysku tablicę partycji.

Po ponownym uruchomieniu kompu-

tera możemy od nowa cieszyć się zawar-
tością naszego dysku.

Więcej o Gpart

Jak zobaczyliśmy, w niektórych sytu-
acjach potrafi naprawić strukturę dysku,
na którym po zamazaniu tablicy party-
cji utworzono nowe partycje (jeszcze nie-
formatowane). Dzieje się tak dlatego, że
narzędzie to nie próbuje odzyskać zamaza-
nej tablicy partycji, lecz na podstawie roz-
kładu danych na dysku (analizuje sektor
po sektorze) stara się stworzyć tablicę par-
tycji na nowo. W efekcie, wydawać by się

mogło, tragiczna w skutkach próba zmiany
typu partycji z ext3 na swap zostanie pra-
widłowo zdiagnozowana przez Gparta
i naprawiona.

Mimo swojej niepozorności, Gpart

jest potężnym narzędziem, które potra-
fi o wiele więcej niż opisaliśmy powy-
żej. Obsługuje większość znanych typów
partycji – począwszy od ext2, ext3, xfs,
fat, poprzez stosowane w systemie Win-
dows ntfs i vfat, a skończywszy na party-
cjach LVM czy hpfs.

Gpart jest wyposażony również

w szereg dodatkowych użytecznych
opcji, służących przykładowo do spo-
rządzania kopii zapasowych sektora roz-
ruchowego, a także do odzyskiwania
danych z formatowanych partycji (tylko
w niektórych okolicznościach)

Praca z programem unrm

Radziliśmy, jak uporać sobie z uszko-
dzonymi fizycznie nośnikami danych,
z zamazanymi systemami plików, a teraz
przyszła kolej na odzyskiwanie skasowa-
nych plików.

Pomocną aplikacją w takich sytu-

acjach jest unrm, przypominający nieco
swoim działaniem program undelete, pra-
cujący w systemie DOS.

Jest to skrypt powłoki BASH, który na

podstawie analizy i-węzłów potrafi przy-
wrócić skasowane pliki.

Jego działanie jest proste – wystarczy

w wierszu poleceń wpisać z uprawnienia-
mi administratora systemu komendę

unrm

/dev/hda

, aby na ekranie pojawiła się lista

plików możliwych do odzyskania.

Aplikacją posiada wiele dodatkowych

parametrów ułatwiających wyszukiwanie
utraconych zbiorów. Możliwe jest odzy-
skiwanie danych należących do jakiegoś
użytkownika (opcja -u), a także plików
zawierających określony tekst (opcja -s).

Podstawowym problemem, który

pojawia się w przypadku skuteczne-
go odzyskania pliku, jest jego zapis.
Program unrm nie przywraca plików

w miejsce, z którego zostały usunięte
(nie mylmy go zatem z katalogiem Śmiet-
nik w niektórych popularnych menedże-
rach okien), lecz tworzy plik o nazwie

unrm.recovered/unrm.inode#

, w którym

przy odrobinie szczęścia znajdziemy
nasze skasowane dane.

Profilaktyka

Większości problemów opisanych w arty-
kule można uniknąć. Dobrym nawy-
kiem jest sporządzenie kopii zapasowej
MBR (512 bajtów – mieści się na każdej
dyskietce). Wystarczy w linii poleceń
z uprawnieniami administratora systemu
wydać komendę:

# dd if=/dev/hda of=mbr bs=512 count=1

W efekcie otrzymamy plik o nazwie mbr
zawierający kopię naszego sektora rozru-
chowego.

Powinniśmy także przyzwyczaić się

do systematycznego okresowego sporzą-
dzania kopii zapasowej najważniejszych
plików systemowych (

tar -cjvf archi-

wum.tar.bz2 /etc

) i katalogu użytkowni-

ków systemu (

tar -cjvf archiwum.tar.bz2

/home

Wskazane jest również używanie sys-

temu plików z księgowaniem (zastąpmy
tradycyjny ext2 nowocześniejszym roz-
wiązaniem – ext3), aby w przypadku
nagłego spadku napięcia nie trzeba było
odzyskiwać bajta po bajcie.

Podsumowanie

Utrata danych jest sytuacją, która może
przytrafić się każdemu. Istnieje szereg
narzędzi, za pomocą których możliwe
jest odzyskanie skasowanych zbiorów.
Należy również pamiętać, że i te narzę-
dzia mogą zawieść i wtedy niezbędna
stanie się kosztowna wizyta w specjali-
stycznym laboratorium.

Najlepszym rozwiązaniem wydaje się

zachowanie szczególnej ostrożności pod-
czas kasowania plików i pracami związa-
nymi ze zmianami w tablicy partycji.

W Internecie:

● Strona domowa DD_rescue:

http://freshmeat.net/projects/
dd_rescue/

● Strona projektu programu Gpart:
http://www.stud.uni-hannover.de/

user/76201/gpart/

Listing 1:

Wynik działania

programu Gpart:

Primary partition(1)
type: 131(0x83)(Linux ext2 filesystem)
size: 101mb

#s(208776) s(63-208838)

chs: (0/1/1)-(207/2/57)d (0/1/1)-(207/2/57)r

Primary partition(2)
type: 130(0x82)(Linux swap or Solaris/x86)
size: 1019mb

#s(2088448) s(208845-2297292)

chs: (207/3/1)-(1023/15/63)d (207/3/1)-(2279/0/61)r

Tytuł

Ilość numerów

w roku

Ilość zamawianych

prenumerat

Od numeru pisma

lub miesiąca

Opłata w zł

z VAT

Software 2.0 (1 płyta CD)

Miesięcznik profesjonalnych programistów

250/ 180*

Software 2.0 Extra! (od 1 do 4 płyt CD lub DVD)

Numery tematyczne dla programistów

150 / 135**

Linux+ (2 płyty CD)

Miesięcznik o systemie Linux

250/180*

Linux+DVD (2 płyty DVD)

Miesięcznik o systemie Linux

270/198*

Linux w szkole (1 płyta CD)

Zastosowanie Linuksa w edukacji

Linux+Extra! (od 1 do 7 płyt CD lub DVD)

Numery specjalne z najpopularniejszymi dystrybucjami Linuksa

232/198**

PHP Solutions (1 płyta CD)

Dwumiesięcznik o zastosowaniach języka PHP

150

PHP Solutions (1 płyta CD) - Prenumerata .PRO***

Dwumiesięcznik o zastosowaniach języka PHP

445

Hakin9 (1 płyta CD)

Dwumiesięcznik o bezpieczeństwie i hakingu

135

Programy dla Twojej firmy (1 płyta CD)

Oprogramowanie dla małych i średnich przedsiębiorstw

135

.psd (1 płyta CD + film instruktażowy na DVD)

Dwumiesięcznik użytkowników programu Adobe Photoshop

140

Aurox Linux (7 płyt CD)

Magazyn z najpopularniejszym polskim Linuksem

119

W sumie

(liczba prenumerat x cena)

ZAMÓWIENIE PRENUMERATY

Dane osoby / firmy zamawiającej

Imię i nazwisko

Stanowisko

ID kontrahenta*

* jeżeli jesteś już klientem firmy Software-Wydawnictwo Sp. z o.o. – wystarczy, że podasz swój numer ID kontrahenta; jeżeli nie posiadasz takiego numeru, podaj swe dane teleadresowe

Upoważniam firmę Software-Wydawnictwo Sp. z o.o. do wystawienia faktury VAT bez podpisu odbiorcy

Pieczęć firmy i podpis

Nazwa firmy

Dokładny adres

Telefon (wraz z numerem kierunkowym)

Faks (wraz z numerem kierunkowym)

Adres e-mail

Numer NIP firmy

Prosimy wypełnić czytelnie i przesłać faksem na numer:

(22) 860 17 71

lub listownie na adres: Software-Wydawnictwo Sp. z o.o.,

Lewartowskiego 6, 00-190 Warszawa,

e-mail: pren@software.com.pl

Przyjmujemy też zamówienia telefoniczne:

(22) 860 17 67

* Cena prenumeraty rocznej dla osób prywatnych
** Cena prenumeraty rocznej dla osób prenumerujących już Software 2.0 lub Linux+
*** Wykupienie prenumeraty PHP Solutions w wersji .PRO za 445 złotych, upoważnia do zamieszczania na

ostatnich stronach PHP Solutions ogłoszenia o wymiarach 5,4 na 2,7 cm (300 znaków) we wszystkich ko-

lejnych numerach obejmujących prenumeratę (standardowo: 6 numerów).

UWAGA: Nadesłanie zamówienia jest jednocześnie zobowiązaniem do zapłaty.

www.stock.com.pl

Jeżeli chcesz zapłacić katrą kredytową, wejdź na stronę

naszego sklepu internetowego:

10 11 12

2000
2001
2002
2003
2004
2004
2004

Numery archiwalne

Prosimy o przesłanie kuponu pocztą lub faksem.

Prosimy w odpowiednim polu zakreślić numery, które Państwo chcą zamówić.

białe pola – 15 zł za Linux+

– rocznik 2001 (12 numerów) – 120 zł
– rocznik 2002 (12 numerów) – 150 zł
– rocznik 2003 (12 numerów) – 150 zł
– rocznik 2004 (12 numerów) – 150 zł

Imię i nazwisko, nazwa firmy ..............................................................................
Dokładny adres: ....................................................................................................
.................................................................................................................................

Wypełnia płatnik VAT.

Oświadczam(y), że jestem(śmy) płatnikiem VAT

i upoważniam(y) Software-Wydawnictwo Sp. z o.o. do wystawienia faktury VAT

bez podpisu odbiorcy.

pieczątka i podpis

Software-Wydawnictwo Sp. z o.o.

ul. Lewartowskiego 6, 00-190 Warszawa, Tel.: (22) 860 17 67

L+

niebieskie pola – 27.90 zł za Linux+ DVD

czerwone pola – 9,90 zł za Linux+ bez CD

żółte pola – 24 zł za Linux+

Linux+ 05/2004

(DVD, CD, bez CD)

zielone pola – 16.50 zł za Linux+ DVD

Linux+ 06/2004

(DVD, CD, bez CD)

Linux+ 07/2004

(DVD, CD, bez CD)

Linux+ 08/2004

(DVD, CD, bez CD)

Linux+ 09/2004

(DVD, CD, bez CD)

Linux+ 10/2004

(DVD, CD, bez CD)

Linux+ 11/2004

(DVD, CD, bez CD)

Linux+ 12/2004

(DVD, CD, bez CD)

wywiad

styczeń 2005

Wywiad

z Przemysławem Tołpą,

menedżerem sprzedaży

firmy Adaptec

Krzysztof Krawczyk:

Na począt-

ku prosiłbym, abyś krótko przedstawił się
naszym Czytelnikom.

Przemysław Tołpa: Jestem mene-

dżerem sprzedaży w firmie Adaptec
i jestem odpowiedzialny za rejon Europy
Wschodniej i Bliskiego Wschodu, czyli
także Polski i Czech.

KK:

Jaki jest wasz stosunek do syste-

mu Linux oraz w ogólności do oprogra-
mowania Open Source?

PT: Dla firmy Adaptec system Linux

jest bardzo ważny – większość produk-
tów sieciowych i rozwiązań pamięci
masowej firmy Adaptec jest wspierana
na Linuksie. W wielu przypadkach ste-
rowniki dla naszych produktów są już
zawarte w jądrze systemu Linux. Zdaje-
my sobie sprawę z potrzeby funkcjono-
wania i dalszego rozwoju oprogramowa-
nia Linux jako systemu operacyjnego dla
przedsiębiorstw.

KK:

Jakie wsparcie dla systemów

linuksowych posiadają wasze produkty?

PT: Praktycznie wszystkie produk-

ty firmy Adaptec, zarówno sieciowe, jak
i przeznaczone do pamięci masowych,
włączając produkty ATA, Serial ATA,
RAID, SCSI, iSCSI oraz TOE/NAC, posia-
dają wsparcie dla systemu Linux i w wielu
przypadkach sterowniki do nich są zawar-
te w jądrze systemu Linux. Jedynie część
produktów firmy Adaptec, tych przezna-
czonych na podstawowy rynek konsu-
mencki, oferujemy jedynie ze wsparciem
dla systemu Windows oraz Mac.

KK:

Chciałbym jeszcze trochę skupić

się na tym zagadnieniu. Jakiś czas temu
kupiłem kontroler FireWire do swojego
notebooka. Otrzymałem wraz z nim płytę
CD z oprogramowaniem, ale nie znala-
złem tam pakietów na Linuksa.

PT: Użytkownicy Linuksa mają

dostęp do sterownika OHCI. Jak można

zobaczyć na stronach projektu Linux1394
pod adresem http://www.linux1394.org/
hcl.php?class_id=2, jest wiele produktów
serii Adaptec FireWire, które współpracu-
ją z tym sterownikiem.

KK:

Zgadza się, ale użytkownik

Linuksa mimo wszystko musi sam poszu-
kać rozwiązania. A kto zajmuje się two-
rzeniem nowych wersji sterowników? Czy
macie jakąś wydzieloną komórkę linuk-
sową w ramach firmy?

PT: Nasze wsparcie jest wymagane

zarówno przez naszych klientów OEM-
owych, jak również nasze kanały dys-
trybucyjne. Mamy różne zespoły inży-
nierskie w różnych miejscach na świecie,
skoncentrowanych wyłącznie lub częścio-
wo na tworzeniu linuksowych sterowni-
ków dla kontrolerów Adapteca. Wiemy,
że istnieje duże zapotrzebowanie na nie
dla systemów SUSE i Red Hat.

KK:

Wróćmy do rozwiązań serwero-

wych. Jak wygląda wsparcie dla kontrole-
rów Serial ATA dla Linuksa?

PT: Wszystkie kontrolery naszej firmy

posiadają wsparcie dla systemu Linux.
Pełna lista sterowników jest zamieszczo-
na na naszej stronie internetowej: http://
www.adaptec.com/support/ lub http://
www.adaptec.pl/. Przykładowo, kontrole-
ry Adaptec SATA dwu- i cztero-portowe,
modele 1210SA oraz 2410SA, wspierają
odpowiednio SUSE oraz Red Hat Linux.
Również najnowsze kontrolery 8- i 16-
portowe współpracują z tymi systemami.
Nowe sterowniki oraz najnowsze wersje
jądra będą nadal zamieszczane na stro-
nach internetowych w momencie, gdy
będą ogólnie dostępne.

KK:

Czy jakieś wasze produkty wyko-

rzystują Linuksa, tak jak przykładowo
serwer NAS firmy Raidtec?

PT: Używamy dostosowanej wersji

systemu Linux w wielu urządzeniach

pamięci masowej. Dla przykładu podam
urządzenie pamięci masowej iSA 1500
iSCSI-to-SATA, w której została ona
wykorzystana.

KK:

Z jakimi producentami systemów

linuksowych współpracujecie?

PT: Współpracujemy ze wszystkimi

najważniejszymi dystrybutorami rozwi-
jającymi system Linux na świecie, włą-
czając Red Hat, SUSE, TurboLinux i wielu
innych.

KK:

Jak oceniacie rynek klastrów

linuksowych na świecie? Czy mogą one
konkurować z dużymi superkomputera-
mi i w jaki sposób?

PT: Jesteśmy przekonani, że kla-

stry oparte na oprogramowaniu Linux
mają przed sobą znakomitą przy-
szłość, a rynek klastrów linuksowych
ma zdecydowanie duży potencjał. Nawet
obecnie klastry linuksowe konkurują
z superkomputerami – więcej na ten

Przemysław Tołpa

wywiad

wywiad z Przemysławem Tołpą

www.lpmagazine.org

temat można znaleźć na stronach CERN
pod adresem http://ajt.iki.fi/writings/
cern/index_eng.html oraz http://www.
interex.org/pubcontent/enterprise/mar00/
11ntrad.html.

KK:

Pod koniec zeszłego roku opra-

cowaliście technologię NAC, która wydała
mi się dość interesująca. Jak jest zasada
jej działania?

PT: Ethernet Networking ewolu-

ował od 10 Mb/na sekundę (Ethernet),
przez 100 Mb/na sekundę (Fast Ether-
net), do 1,000 Mb/na sekundę (Giga-
bit Ethernet) oraz TCP/IP Offload Engi-
nes (rozwiązanie TOE) – są to kolejne
generacje technologii sieciowej Ethernet.
Firma Adaptec wprowadziła na rynek
produkty technologii TOE pod nazwą
NAC (Network Accelerator Card – sie-
ciowa karta przyspieszająca), np. GigE
NAC 7711C (oparty na rozwiązaniu mie-
dzianym) oraz GigE NAC 7711F (oparty
na światłowodzie). Oba produkty zosta-
ły zaprojektowane, aby maksymalizo-
wać wydajność sieci oraz obniżyć zuży-
cie samego procesora. Poprzez obsłu-

gę stosu TCP/IP na poziomie sprzętu,
na karcie, rozwiązanie TOE NAC firmy
Adaptec umożliwia eliminację wąskie-
go gardła podczas przetwarzania TCP
oraz pozwala procesorowi kompute-
ra poświęcić więcej cykli na przetwa-
rzanie procesów aplikacji oraz umożli-
wia zwiększenie szybkości obsługi sieci
i wydajności systemu. Aplikacje, do któ-
rych jest przeznaczone rozwiązanie NAC,
to m.in. aplikacje serwera danych, wyso-
kowydajne komputery przeznaczone do
zadań technicznych, intensywnie wyko-
rzystywane bazy danych, kopie zapaso-
we oparte o LAN, pamięć masowa NAS
oraz rozwiązania wideo.

KK:

Jak może zostać zastosowana

technologia NAC?

PT: Technologia NAC jest idealna dla

wysokowydajnego środowiska informa-
tycznego, włączając klastry oraz udo-
stępnianie plików na rynkach werty-
kalnych, takich jak np. bio-informaty-
ka, informatyka działająca na potrze-
by nauki, wydobycie ropy i gazu oraz
sektor obronności. Produkt firmy Ada-

ptec TOE NAC 7711 jest rozwiązaniem
przyspieszającym działanie sieci, obni-
żającym poziom zaistniałych opóźnień
oraz redukującym stopień zużywania
procesora. Technologia NAC zawiera
specjalizowany układ scalony ASIC kie-
rujący TCP/IP oraz rozładowujący prze-
twarzanie TCP/IP z hosta i jest najszyb-
ciej pracującym i najbardziej wytrzy-
małym rozwiązaniem dostępnym na
rynku. Technologia NAC redukuje
w znaczącym stopniu obciążenie w sieci
LAN, przedłużając czas działania serwe-
rów oraz maksymalizując ich wydaj-
ność.

KK:

Dziękuję za rozmowę.

W Internecie:

– Strona domowa firmy Adaptec:

http://www.adaptec.com/

– Strona firmy Adaptec poświęcona

zagadnieniom Linuksa:
http://linux.adaptec.com/

– Polski oddział firmy Adaptec:
http://www.adaptec.pl/

gnome

aktualności

oprogramowanie

grudzień 2004

www.lpmagazine.org

GNOME

News

Dvd::rip

– ripper płyt DVD

vd::rip to napisana w Perlu, z uży-
ciem biblioteki GTK, nakładka gra-

ficzna na program Transcode, pozwalają-
ca zgrać filmy z płyt DVD do pliku .avi
lub .mpeg.

Instalacja i konfiguracja

Na stronie projektu są dostępne pakiety
dla wielu dystrybucji Linuksa, a nawet dla
FreeBSD i OpenBSD. Warto z nich skorzy-
stać, pamiętając jednak o zależnościach.
Do uruchomienia Dvd::rip potrzebny bę-
dzie pakiet transcode, bez którego aplikja-
cja jest bezużyteczna. Należy również za-
instalować ImageMagick. Potrzebny bę-
dzie także interpreter Perla, w wersji co
najmniej 5.6.0, oraz moduł Perl GTK. War-
to również zainstalować takie pakiety, jak
xvid4conf, ogmtools, subtitleripper, dzię-
ki którym będziemy dysponować więk-
szą liczbą funkcji przy rippowaniu. Ponad-
to, w systemie powinien być zainstalowa-
ny jeden z dwóch najpopularniejszych od-
twarzaczy multimediów (a najlepiej oby-
dwa), czyli MPlayer lub Xine.

Jeśli chcemy instalować program ze

źródeł, to, po zainstalowaniu wyżej wy-
mienionych aplikacji, musimy rozpako-
wać skompresowane źródła poleceniem:

tar xfz Video-DVDRip-<wersja>.tar.gz

przejść do utworzonego katalogu (

Video-DVDRip-<wersja>

) i wykonać w nim

kolejno polecenia:

perl Makefile.PL

make

make test

. Jeśli test przebiegnie pomyśl-

Witold Kieraś

nie, możemy wówczas zainstalować pro-
gram w systemie, wydając, jako root, pole-
cenie

make install

. Program uruchamiamy

poleceniem

dvdrip

Przy pierwszym uruchomieniu pro-

gramu ukaże się nam okno konfiguracji.
Nie trzeba wszystkich pól uzupełniać od
razu, gdyż można do konfiguracji wró-
cić później, wybierając z menu progra-
mu pozycję Edit–>Edit Preferences... Pro-
gram przechowuje wszystkie ustawienia
w ukrytym pliku .dvdriprc, znajdującym
się w katalogu domowym użytkownika,
więc najłatwiejszym sposobem na przy-
wrócenie ustawień domyślnych jest wy-
kasowanie tego właśnie pliku.

Okno konfiguracji jest podzielone na

kilka zakładek. W każdej zakładce na do-
le znajduje się okno, w którym na zielo-
no są wypisane opcje skonfigurowane po-
prawnie, a na czerwono te, których jesz-
cze nie ustawiono. Niektórych z nich nie
trzeba ustawiać w ogóle, jeśli zdecyduje-
my, że nie chcemy korzystać z dostarcza-
nych przez nich funkcji. W każdej zakład-
ce mamy dostęp do przycisków Check all
settings oraz Check settings on this page, po
których wciśnięciu zostanie sprawdzona
poprawność ustawień odpowiednio całe-
go programu i opcji konfigurowanych tyl-
ko w danej zakładce.

W pierwszej zakładce (Filesystem)

wskazujemy kolejno ścieżkę do napędu
DVD (zwykle /dev/dvd lub /dev/cdrom),
punkt montowania napędu DVD (praw-
dopodobnie /mnt/dvd/ lub /mnt/cdrom/ ),
domyślny katalog dla danych programu
(ustawiony wedle uznania – należy pa-
miętać, aby użytkownik miał prawa zapisu
i odczytu do tego katalogu), domyślny ka-
talog dla plików rip, w których są zapisy-
wane projekty, oraz rozszerzenie dla pli-
ków w formacie OGG.

W drugiej zakładce (Commands), je-

śli tylko mamy zainstalowane odtwarza-
cze Xine i MPlayer, prawdopodobnie nie
musimy nic poprawiać. Wyjątkiem może
być ostatnia rubryka dotycząca ścieżki do
programu rar – program domyślnie szu-

ka pliku wykonywalnego rar w katalogu
/usr/local/bin/.

W trzeciej zakładce (CD Burning) mo-

żemy zdefiniować opcje wypalania płyt.
W większości przypadków będą one już
ustawione poprawnie – wskazujemy ścież-
kę do urządzenia nagrywającego, numer
urządzenia nagrywającego w formacie wy-
maganym przez program cdrecord (X,X,X,
gdzie każdy X jest jest jakąś liczbą całkowi-
tą – wartości te można uzyskać wydając ja-
ko root polecenie

cdrecord -scanbus

), oraz

ścieżki do programów cdrecord, cdrdao,
mkisofs i vcdimager (jeśli te programy są
zainstalowane w systemie, a ich pliki wy-
konywalne są w standardowych ścieżkach
dostępu, to wystarczy wpisać ich nazwę).
W omawianej zakładce możemy jeszcze
zdefiniować szybkość zapisu (Writing spe-
ed) oraz metodę kasowania zawartości
nośników CD-RW (fast lub all). W kolej-
nej zakładce możemy jeszcze zdefiniować
opcje programu nagrywającego cdrdao
– wybrać sterownik (można sprawdzić, ja-
ki sterownik obsługuje naszą nagrywarkę
na stronie programu, pod adresem: http://
cdrdao.sourceforge.net/drives.html#dt), ze-
zwolić lub nie na tzw. overburning, czy-
li nagrywanie na obszarze nośnika wy-
kraczającym poza jego nominalną pojem-
ność, oraz zadecydować, czy po zakoń-
czeniu nagrywania tacka nagrywarki ma
się wysuwać automatycznie. Należy jed-
nak pamiętać, że program Dvd::rip oferu-
je tylko podstawowe funkcje nagrywania,
zatem użytkownik nie powinien zrażać się
ewentualnym niepowodzeniem w konfi-
guracji tych opcji, ponieważ do nagrywa-
nia można wykorzystać zewnętrzne, bar-
dziej przyjazne, programy, np. K3b.

Przedostatnią

zakładkę,

Cluster

options, pomijamy – dotyczy ona wyko-
rzystywania klastrów do rippowania płyt
DVD. W ostatniej zakładce, Miscellane-
ous options, możemy zdefiniować domyśl-
ny kodek, wykorzystywany przy konwer-
sji filmów DVD, oraz domyślny format pli-
ków wynikowych konwersji. Ustawienie
opcji Preferred language spowoduje, że

Rysunek 1.

Konfiguracja programu jest

bardzo prosta

gnome

aktualności

oprogramowanie

grudzień 2004

www.lpmagazine.org

GNOME

News

GIMP 2.2 coraz bliżej

Twórcy GIMP-a, najpopularniejszego
linuksowego programu do obróbki
grafiki, nie zwalniają tempa. Po
udanej wersji 2.0 przygotowują już
wersję 2.2 – jej kolejne wersje testowe
są dostępne w Internecie. Wśród wielu
zapowiadanych zmian uwagę zwracają
liczne udogodnienia w pracy, takie
jak poprawienie interfejsu, znaczne
ulepszenie obsługi techniki drag-and-
drop pomiędzy GIMP-em a innymi
programami, oraz usprawnienie
kopiowania i wklejania obiektów
pomiędzy GIMP-em a programami
zewnętrznymi, w tym OpenOffice.org
i Abiwordem.
http://gnomedesktop.org/node/2051
http://www.gimp.org/

GNOME-owy Firefox

Na fali popularności przeglądarki
Firefox powstały tematy graficzne dla
niej, upodabniające ją do natywnych
programów GNOME.
http://gnomefx.mozdev.org/

GNOME 2.9.1

Od niedawna możemy cieszyć się
wersją 2.8 środowiska GNOME, ale
jego programiści nie marnują czasu
i ostro zabierają się za tworzenie
wersji 2.10. Na razie ukazała się
pierwsza wersji środowiska w gałęzi
rozwojowej, oznaczona numerem 2.9.1.
Zakończenie prac nad wersją 2.10
planowane jest na marzec 2005 roku.
Deweloperzy zachęcają do testowania!
http://gnomedesktop.org/node/2021

GNOME Personal Web

Publishing

Powstał niedawno projekt GNOME
Personal Web Publishing. mający na
celu stworzenie narzędzia podobnego
do znanego z MacOS X programu
Personal Web Sharing. Ma on ułatwiać
użytkownikowi publikowanie stron
internetowych oraz wymianę plików
zarówno w Internecie, jak i w sieciach
lokalnych. Na razie program jest
w wersji 0.0.2. Napisany jest w C#
i, co za tym idzie, wymaga Mono.
http://gpws.sourceforge.net/

Grisbi 0.5.2

Grisbi to ciekawy program do
zarządzania osobistymi finansami,
napisany przy użyciu GTK
i przeznaczony oczywiście dla
GNOME. Dzięki programowi możemy
zaplanować nasz domowy budżet na
najbliższy miesiąc. Grisbi posiada
też wersję dla platformy Win32.
Program został napisany przez
deweloperów z Francji i pierwotnie
był przystosowany dla francuskiego
użytkownika. Jego popularność
wzrosła jednak z chwilą stworzenia
angielskiej wersji programu.
Deweloperzy wciąż jednak poszukują
chętnych do przetłumaczenia
Grisbi na inne języki. Program
rozpowszechniany jest na licencji GPL.

program domyślnie będzie wybierał przy
rippowaniu ścieżkę dźwiękową w zdefi-
niowanym przez nas języku, o ile oczy-
wiście na płycie DVD zapisane jest więcej
niż jedna ścieżka dźwiękowa i dostępna
jest preferowana przez nas wersja języko-
wa. Całość ustawień zatwierdzamy przyci-
skiem OK.

Rippowanie

Po pomyślnym skonfigurowaniu progra-
mu możemy zabrać się od razu do przete-
stowania jego działania. Z menu programu
wybieramy File–>New Project. Konfigura-
cja projektu przebiega w podobny spo-
sób, jak konfiguracja programu – przecho-
dzimy kolejno od jednej zakładki do dru-
giej. W pierwszej z nich (Storage) wybiera-
my nazwę dla projektu. Po wpisaniu na-
zwy, kolejne pola, w których musimy po-
dać miejsce przechowywania plików VOB
(film DVD) i plików AVI (przekonwertowa-
ny film), zostaną odpowiednio wypełnio-
ne (możemy je oczywiście zmienić). Mu-
simy jeszcze wybrać sposób rippowania
– przegranie na dysk i potem konwersja
(Rip data from DVD to harddisk before en-
coding), konwersja w locie wprost z płyty
DVD (Encode DVD on the fly) lub konwer-
sja z wykorzystaniem obrazu płyty DVD
przechowywanym na dysku we wskaza-
nym katalogu (Use existing DVD image lo-
cated in this directory:).

W drugiej zakładce (RIP Title) może-

my już przeglądać zawartość płyt DVD
– jeśli włożyliśmy płytę do napędu, to
należy wcisnąć przycisk Read DVD table
of contents, a w ramce poniżej ukażą się
wszystkie ścieżki zapisane na płycie. Inte-
resuje nas ta najdłuższa (pierwsza pozycji
w każdym wierszu to czas trwania ścież-
ki), ewentualne pozostałe (jeśli w ogó-
le są), które stanowią dodatki i filmy re-
klamowe. W rozwijanym menu po pra-
wej stronie, możemy też wybrać domyśl-
ną dla rippowania, ścieżkę dźwiękową dla
filmu. Należy pamiętać, że w kolejnych za-
kładkach przetwarzane będą ścieżki, które
zostały wskazane w tym oknie. Wciśnię-
cie przycisku RIP selected title(s)/chapter(s)
spowoduje przegranie wskazanych ścieżek
z płyty DVD na twardy dysk.

W trzeciej zakładce, Clip & Zoom,

decydujemy o parametrach przycięcia
i zmiany wielkości obrazu. Standardowo
proces ten przebiega w trzech krokach:
pierwsze cięcie (1st clipping), powiększe-
nie (Zoom) i drugie cięcie (2nd clipping).
Parametry każdego z tych kroków mo-

GNOME

News

żemy dobrać samodzielnie w dolnej czę-
ści okna. Każdemu z kroków odpowiada
podgląd dostępny w trzech oddzielnych
okienkach.

Czwarta zakładka, Subtitles, dotyczy

napisów w filmie – możemy w niej wy-
brać jedną z wersji napisów, jeśli jest do-
stępnych kilka na płycie. Możemy też zmo-
dyfikować sposób ich wyświetlania (ram-
ka Render subtitle on movie).

Kolejna zakładka, Transcode, to konfi-

guracja opcji programu kodującego. Więk-
szość z nich zdefiniowaliśmy już wcze-
śniej, ale możemy je tutaj zmienić. Prze-
ciętnego użytkownika zainteresuje naj-
bardziej ramka Video bitrate calculation,
w której definiujemy, na ilu nośnikach i ja-
kiej wielkości ma zmieścić się przekonwer-
towany film. Domyślne wartości to dwie
płyty po 700 MB każda. Możemy je do-
brać według własnych preferencji. Na do-
le okna dostępnych jest kilka przycisków:
Transcode + Split przekonwertuje wybra-
ne ścieżki i stworzy tyle plików wyjścio-
wych, ile wybraliśmy nośników dla fil-
mu. Przycisk View AVI służy do podglą-
du pliku wyjściowego. Proces konwersji
trwa kilkanaście do kilkudziesięciu mi-
nut – w zależności od wielkości filmu
i parametrów komputera.

Przedostatnia zakładka, Burning, doty-

czy wypalania efektów rippowania na pły-
cie – definiujemy m.in. rodzaj płyty (zwy-
kły obraz ISO 9660, (X)SVCD/CVD lub
(X)VCD). Zależy on od wybranego przez
nas wcześniej kodeka – w przypadku stan-
dardowego formatu DivX będzie to opcja
pierwsza. Możemy też nadać płycie etykie-
tę i zdefiniować szybkość zapisu.

Podsumowanie

To tylko pobieżny przegląd podstawo-
wych i najczęściej wykorzystywanych
możliwości programu Dvd::rip. Zaawan-
sowanych użytkowników zainteresuje
z pewnością tryb klastrowy – możliwość
rozłożenia zasobożernego procesu rippo-
wania płyt na kilka maszyn połączonych
w sieć. Pewnym mankamentem programu
jest z pewnością język interfejsu – Dvd::
rip przemówi do nas wyłącznie po angiel-
sku. Zrekompensować to może, przynajm-
niej częściowo, intuicyjny układ sterowa-
nia programem. Dużą zaletą programu jest
również bardzo dobra dokumentacja, do-
stępna na stronie internetowej projektu
– niestety również tylko po angielsku.

http://www.exit1.org/dvdrip/

kde

aktualności

oprogramowanie

styczeń 2005

www.lpmagazine.org

KDE

News

KGpg

– menedżer kluczy

szyfrujących

ym, którzy nie spotkali się z szyfro-
waniem asymetrycznym i podpisem

cyfrowym, należy się kilka słów wyja-
śnienia. Nie wnikając w szczegóły tech-
niczne, potrzebujemy zawsze dwóch po-
łączonych w parę kluczy – prywatnego
(tajnego) i publicznego. Klucza tajne-
go strzeżemy jak oka w głowie, nato-
miast klucz publiczny rozdajemy wszyst-
kim chętnym – możemy go umieścić na
swojej stronie internetowej lub na spe-
cjalnym serwerze. Wszystko, co zosta-
ło zaszyfrowane naszym kluczem pu-
blicznym, może zostać odszyfrowane
wyłącznie przy pomocy naszego klu-
cza tajnego (takiej wiadomości nie moż-
na odszyfrować nawet kluczem publicz-
nym, którego użyto do jej zaszyfrowania
– na tym zresztą polega siła kryptogra-
fii asymetrycznej). Zatem, jeśli ktoś bę-
dzie chciał przesłać nam poufną wiado-
mość, zaszyfruje ją naszym kluczem pu-
blicznym i prześle e-mailem, nie mar-
twiąc się, że list może zostać przechwy-
cony. W gruncie rzeczy może on taką
wiadomość umieścić nawet na publicz-
nie dostępnym serwerze lub (jeśli bę-
dzie miał taki kaprys) jako ogłoszenie
w gazecie codziennej. Nie ma to znacze-
nia, ponieważ i tak odszyfrować ją bę-
dzie mógł tylko adresat, czyli posiadacz
klucza tajnego.

Wraz z szyfrowaniem asymetrycznym

dostępny jest również podpis cyfrowy.
Podpisać możemy nim zarówno doku-
ment tekstowy, jak i plik binarny. Podpisu
dokonujemy przy pomocy klucza prywat-
nego. Zweryfikować go możemy przy po-
mocy klucza publicznego – zatem auten-
tyczność podpisu może potwierdzić nie-
mal każdy. Nie można jednak zmienić za-
wartości dokumentu lub pliku bez złama-
nia poprawności podpisu. Jeśli podmieni-
my chociaż jeden bit, wówczas weryfika-
cja da wynik negatywny. Ponadto, podpi-
sanie kluczem publicznym da inny efekt
niż podpisanie kluczem tajnym – zatem

Witold Kieraś

klucz publiczny nie może posłużyć do
sfałszowania podpisu.

Generujemy klucze

Jeśli posiadamy zainstalowane środowi-
sko KDE przynajmniej w wersji 3.2, to
prawdopodobnie KGpg jest już zainstalo-
wane w systemie.

Jeśli posiadaliśmy już wcześniej klu-

cze GnuPG w standardowej ścieżce (ka-
talog .gnupg/ w katalogu domowym), to
KGpg wykryje je i będziemy mogli z nich
normalnie korzystać. Jeśli jednak nie po-
siadamy kluczy, to będziemy je musieli te-
raz wygenerować. Aby wygenerować no-
wą parę kluczy, wybieramy z menu Klu-
cze–>Wygeneruj parę kluczy... lub wci-
skamy kombinację klawiszy [Ctrl]+[N ].
Musimy teraz wypełnić kilka pól w no-
wootwartym oknie. Nazwa to miejsce na
nasze imię i nazwisko lub pseudonim.
W polu E-mail wpisujemy adres poczty
elektronicznej, z którego będziemy korzy-
stać np. przy wysyłaniu zaszyfrowanych
listów. W polu Komentarz możemy (choć
nie musimy) zamieścić własne uwagi na
temat klucza. Następnie określamy datę
ważności klucza, czyli czas, po którym
klucz zostanie unieważniony (uznany za
nieważny). W przypadku gdy generujemy
klucze jakiegoś projektu programistycz-
nego, warto określić rozsądny termin ich
wygaśnięcia, bo może mieć to krytycz-
ne znaczenie dla bezpieczeństwa nie tyl-
ko naszego, ale i innych użytkowników
projektu. Jeśli natomiast ma to być klucz
wykorzystywany wyłącznie do korespon-
dencji prywatnej, to zwykle wybierzemy
tutaj opcję Nigdy – wówczas wygeneruje-
my klucze bezterminowe. Rozmiar klucza
to kolejny parametr decydujący o bezpie-
czeństwie – im większy klucz, tym lepszy.
Autorzy GnuPG twierdzą, że klucz 1024-
bitowy w zupełności wystarcza. Zwykle
to prawda, ale z drugiej strony jedyną nie-
dogodnością większych kluczy jest wy-
dłużony czas szyfrowania – jeśli nie pra-

cujemy na archaicznych maszynach, to
raczej nie zauważymy różnicy. Propo-
nuję wybrać co najmniej klucz 2048-bi-
towy. W polu Algorytm najlepiej pozo-
stawić opcję domyślną, czyli DSA & El-
Gamal. Niektórych użytkowników być
może skusi przycisk Tryb eksperta. Jest
to opcja otwierająca wirtualny terminal
i rozpoczynająca w nim proces genero-
wania kluczy bezpośrednio w GnuPG.
Mamy wówczas do dyspozycji wszyst-
kie opcje tego programu, ale w większo-
ści przypadków nie są nam one potrzeb-
ne. Po wciśnięciu przycisku OK zostanie-
my poproszeni o dwukrotne podanie ha-
sła dla pary kluczy. Ważne jest, aby ha-
sło było ono odpowiednio długie (najle-
piej kilkunastoznakowe) i z pozoru bez-
sensowne (zawierające znaki niealfanu-
meryczne), aby w przypadku wykrad-
nięcia przez kogoś klucza tajnego, unie-
możliwić tzn. atak słownikowy. Po za-
twierdzeniu hasła rozpoczyna się właści-
wy proces generowania kluczy. Im więk-
sze klucze generujemy, tym dłużej będzie
on trwał - w przypadku kluczy 4096-bi-
towych na średniej klasy maszynie nawet
kilkadziesiąt sekund. Dzieje się tak dla-
tego, że generator liczb pseudolosowych
potrzebuje zapełnić swój bufor losowymi
danymi, a im większy klucz generujemy,
tym więcej czasu to zajmuje. Można mu
w tym pomóc poruszając w trakcie gene-
rowania kluczy myszką i/lub wciskając

Rysunek 1.

W KGpg możemy wygodnie

zarządzać kluczami szyfrującymi

kde

aktualności

oprogramowanie

styczeń 2005

www.lpmagazine.org

KDE

News

Książka dostępna w sieci

Książka pod tytułem C++
GUI Programming with Qt 3,
autorstwa Jasmina Blanchette'a,
jednego z inżynierów firmy
Trolltech, oraz menedżera
dokumentacji, Marka Summerfielda,
jest obecnie dostępna do ściągnięcia
w postaci pliku PDF na stronie
wydawcy.
http://phptr.com/title/0131240722#

KOffice 1.3.4

Wydano kolejną wersję
poprawkową pakietu biurowego
KOffice z gałęzi 1.3.x. Poprawiono
w niej między innymi błąd filtra
importu dokumentów PDF w
KWordzie oraz przywrócono
możliwość kompilacji w KDE 3.1.5
i Qt 3.1.2.
http://www.koffice.org/
announcements/changelog-1.3.4.php

Wprowadzenie do Hydrogen

Linux Jurnal opublikował
artykuł pod tytułem An Introduction
to Hydrogen. Hydrogen jest
zaawansowanym programem
perkusyjnym napisanym przy
użyciu biblioteki Qt, bardzo
wysoko ocenianym przez
użytkowników.
http://www.linuxjournal.com/
article.php?sid=7846
http://hydrogen.sourceforge.net/

Nuvola 1.0

Znany artysta grafik, David
Vignoni, udostępnił niedawno
wersję 1.0 popularnego zestawu
ikon dla KDE swojego autorstwa
o nazwie Nouva. Przyznać
trzeba, że ikony robią wrażenie
i ucieszą z pewnością każdego
fana biurkowych “upiększaczy”.
W skład zestawu wchodzi ponad
sześciuset (!) ikon Davida.
http://www.kde-look.org/content/
show.php?content=5358

QGO 0.2.2

Powstały niedawno projekt QGO,
klient starożytnej dalekowschodniej
gry Go, napisany w Qt, rozwija
się całkiem prężnie. Ostatnio
udostępniono wersję 0.2.2 tego
programu. QGO pozwala na grę
z żywym przeciwnikiem w Sieci
lub z programem, np. popularnym
silnikiem do gry w Go o nazwie
Gnugo.
http://qgo.sourceforge.net/

Tropical TuxSaver 1.0

Jesteście spragnieni trójwymiarowych
wygaszaczy ekranu? Oto ukazała
się właśnie wersja 1.0 wygaszacza
o nazwie Tropical TuxSaver.
Możemy teraz obserwować na
naszych ekranach życie pingwina
na tropikalnej wyspie lub na górze
lodowej...
http://kde-apps.org/content/
show.php?content=4773

losowo na klawiaturze klawisze, które nie
powodują drukowana znaków, tzn. [Tab],
[Caps Lock], [Shift], [Ctrl] i [Alt]. Po wyge-
nerowaniu kluczy dobrze jeszcze zapisać
do pliku tzw. certyfikat unieważnienia.
W przypadku zapomnienia hasła, zagu-
bienia lub złamania klucza publicznego
certyfikat ten może zostać rozpowszech-
niony w celu poinformowania innych,
że ten klucz nie powinien być już więcej
używany. Unieważniony klucz publiczny
nadaje się nadal do potwierdzania pod-
pisów wykonanych w przeszłości, ale nie
będzie nim można podpisać dokumen-
tów w imieniu jego właściciela. Nadal bę-
dzie można odszyfrowywać stare wiado-
mości przy pomocy odpowiadającego mu
klucza prywatnego.

I co dalej?

Klucz możemy modyfikować po jego
wygenerowaniu. Wystarczy w głównym
oknie KGpg kliknąć na wybrany klucz
prawym przyciskiem myszy i odnaleźć
opcję Modyfikuj klucz. Możemy modyfi-
kować datę ważności klucza, hasło oraz
stopień zaufania. Możemy również do-
dać do klucza nasze zdjęcie –wybieramy
opcję Dodaj fotografię, a następnie wska-
zujemy plik ze zdjęciem. W menu kontek-
stowym dostępne są również takie opcje,
jak eksport klucza tajnego do pliku (tak,
abyśmy mogli zrobić jego kopię zapaso-
wą) czy podpisanie cudzego klucza pu-
blicznego (świadczy to o naszym przeko-
naniu, że klucz jest poprawny i należy do
zaufanej osoby).

Teraz możemy w łatwy sposób zarzą-

dzać kluczami, a także szyfrować i pod-
pisywać wiadomości oraz pliki. Najwy-
godniej użyć do tego schowka systemo-
wego. Wystarczy zaznaczyć zaszyfrowany
tekst (wraz z nagłówkami), wcisnąć kom-
binację klawiszy [Ctrl]+[C ] (kopiowanie
do schowka), a następnie prawym przy-

ciskiem myszy kliknąć na ikonce KGpg
(kłódka) w tacce systemowej i z menu
wybrać Odszyfruj zawartość schowka.
Otworzy się edytor KGpg i poprosi nas
o podanie hasła. Jeśli hasło będzie prawi-
dłowe, to wyświetli rozszyfrowaną wia-
domość. Podobnie w przypadku szyfro-
wania – zaznaczamy niezaszyfrowany
tekst, kopiujemy go do schowka i w me-
nu ikonki wybieramy Zaszyfruj zawar-
tość schowka. Wówczas program zapy-
ta nas, którego klucza ma użyć do zaszy-
frowania wiadomości, a następnie wyko-
na zadanie w wewnętrznym edytorze. Za-
miast kopiowania do schowka, możemy
użyć samego zaznaczania tekstu (bez ko-
nieczności wciskania klawiszy [Ctrl]+[C ]).
W tym celu w menu głównego okna pro-
gramu wybieramy: Ustawienia–>Konfi-
guracja: KGpg..., a następnie w zakładce
Różne zaznaczamy opcję Używanie za-
znaczenia myszy zamiast schowka. Po
zrestartowaniu programu będziemy mo-
gli już korzystać z tej funkcji.

KGpg, jako część KDE, jest w pełni

zintegrowany z tym środowiskiem. Klika-
jąc na dowolny plik prawym przyciskiem
myszy, otrzymamy w menu konteksto-
wym opcję: Działania–>Zaszyfruj plik,
wywołującą ten program.

Opcje dostępne w menu konfigu-

racji są raczej intuicyjne i nie powin-
ny sprawić użytkownikowi problemów.
Jedną z ciekawszych funkcji dostępnych
w KGpg jest Niszczarka. W menu progra-
mu wybieramy: Ustawienia–>Konfigura-
cja: KGpg...–>Różne, a następnie klika-
my przycisk Zainstaluj Niszczarkę. Na na-
szym pulpicie pojawi się ikona Niszczar-
ka. Służy ona do skutecznego zamazy-
wania dokumentów, których chcemy się
pozbyć tak, aby nie można ich było od-
tworzyć na podstawie zapisów na dysku.
O przydatności takiej funkcji boleśnie
przekonał się w ostatnich miesiącach nie-
jeden polityk w naszym kraju.

Podsumowanie

KGpg to program, który za pomocą kil-
ku kliknięć myszą udostępnia użytkow-
nikowi silne narzędzie kryptograficzne.
Z pewnością przyda się ono nawet tym,
którzy twierdzą, że nie mają nic do ukry-
cia, tym bardziej, że w świecie Wolnego
Oprogramowania podpisywanie pakie-
tów kluczami PGP to podstawa bezpie-
czeństwa.

http://developer.kde.org/~kgpg/

Rysunek 2.

KGpg ma również wbudowany

edytor

linuxfresh

aktualności

oprogramowanie

styczeń 2005

www.lpmagazine.org

FRESH

News

Gubed

– debugger skryptów w PHP

ówi się, że język PHP jest bardzo
prosty. Owszem, łatwo nauczyć

się podstaw, a wiele rzeczy można
w nim zrobić na wiele sposobów. Pod-
czas programowania może przytrafić
się nam błąd. Szczególnie, gdy pracu-
jemy nad jakimś większym projektem.
W takim przypadku z pomocą przy-
chodzą debuggery. Jednym z nich,
przeznaczonym do analizowania pro-
gramów napisanych w PHP, jest Gu-
bed.

Do czego może przydać się debug-

ger? Na pewno nie do szukania braku-
jącego nawiasu – do tego w zupełno-
ści powinien wystarczyć dobry edy-
tor z kolorowaniem składni. Jeśli nasz
program działa nie do końca tak,
jak powinien, zapętlając się w nieskoń-
czoność lub, przeciwnie, nie wyko-
nując jakiejś pętli ani razu, to wtedy
właśnie pora na debuggera. Z jego
pomocą możemy prześledzić program
krok po kroku, obserwując zmienia-
jące się wartości zmiennych, i może
w końcu dostrzeżemy, że znów zamiast

= =

w warunku wstawiliśmy

. Oczy-

wiście, błąd może być zupełnie inny,
i niekoniecznie tak trywialny. Zawsze
jednak mamy większe szanse na zna-
lezienie go obserwując kod podczas
działania.

W przypadku debuggera Gubed

z pewnością ucieszy nas wiadomość,
że nie są wymagane żadne przerób-
ki w oprogramowaniu serwera, ani
tym bardziej w sprawdzanym ko-
dzie. Co więcej, możemy uruchamiać
Gubed na innym komputerze niż te-
stowany skrypt. Przykładowo, skrypt
może być uruchamiany na serwe-
rze linuksowym, a sam Gubed może
działać na naszym domowym kompu-
terze z Windows (Gubed działa zarów-
no w środowisku Linuksa, jak i Win-
dows).

Piotr Machej

Instalacja może sprawić nieco pro-

blemu. Tym bardziej, że ze względów
bezpieczeństwa lepiej nie dawać do-
stępu do Gubed nieupoważnionym
osobom. Jeśli do naszego kompute-
ra mają dostęp inni użytkownicy (za-
równo zdalny, jak i lokalny), koniecz-
nie powinniśmy przeczytać sekcję
Security zawartą w pliku serverse-
tup.txt. Jeśli jednak nie boimy się za-
grożeń lub potrafimy sobie z nimi po-
radzić, to możemy zabrać się za in-
stalację. Ze strony domowej pobiera-
my plik Gubed0.1.2.tar.gz, a następ-
nie rozpakowujemy go. W utworzo-
nym katalogu najpierw zainteresu-
je nas podkatalog Clients/wxGubed/.
Wchodzimy do niego i wydajemy pole-
cenia:

./autogen.sh

./configure

make

Jeśli wszystko przebiegnie bez pro-
blemów (w przypadku Auroksa wy-
magany jest pakiet wxGTK-devel ), to
w podkatalogu src/ powinniśmy zna-
leźć plik o nazwie gbdwxGubed. Jest

to nasz klient, z którego będziemy ko-
rzystać.

Teraz pora na umieszczenie kil-

ku plików w głównym katalogu na-
szego serwera WWW. W tym celu po-
trzebujemy uprawnień administratora.
Znajdując się w katalogu Gubed0.1.2/,
wydajemy polecenie

cp -r Gubed/

/var/www/html/

(zależnie od konfigura-

cji naszego serwera WWW, katalog do-
celowy może być inny).

Możemy już uruchomić nasze-

go klienta poleceniem

./gbdwxGubed

Oprócz tego, należy uruchomić prze-
glądarkę internetową i wejść do
katalogu, w którym umieściliśmy skry-
pty Gubed (np. http://localhost/Gubed/ ).
W ten właśnie sposób będziemy pra-
cować – z pomocą przeglądarki bę-
dziemy podawać, jakie skrypty mają
być testowane (i będziemy obserwować
wyniki działania), a z pomocą klien-
ta będziemy śledzić działanie progra-
mu.

Rysunek 1.

Gubed pozwala zapoznać się dokładnie z działaniem skryptu

linuxfresh

aktualności

oprogramowanie

styczeń 2005

www.lpmagazine.org

FRESH

News

PostgreSQL AutoDoc 1.24

Program ten pozwala na zapisywanie
do pliku XML informacji o bazie
PostgreSQL, które później mogą
być wykorzystane do stworzenia
diagramu UML. Diagram taki (wraz
z relacjami pomiędzy tabelami
i informacjami opisowymi) można
utworzyć wczytując plik XML do
programu Dia. Oprócz plików XML,
możemy zapisywać informacje
o bazie w formatach HTML,
GraphViz .dot, a także SGML
(Docbook 4.1). Program
współpracuje z każdą bazą opartą
na PostgreSQL 7.x. W najnowszej
wersji wprowadzono poprawki kilku
błędów.
http://freshmeat.net/projects/
postgresql_autodoc/

MPFC 1.3.3

MPFC to działający w trybie
tekstowym (w oparciu o bibliotekę
Curses) odtwarzacz muzyki. Dzięki
wykorzystaniu listy odtwarzania
jest wygodniejszy w użyciu od
programów typu mpg321. Program
obsługuje wiele różnych formatów
plików (wykorzystuje w tym celu
wtyczki). W nowej wersji znacznie
poprawiono system konfiguracji
i wprowadzono dowiązania klawiszy.
http://freshmeat.net/projects/mpfc/

Exobius 0 0.3

Grając w rozbudowane gry
z trójwymiarową grafiką,
czasem zapominamy o prostych
strzelaninach, od których wszystko
się zaczęło. Próbą stworzenia takiej
dwuwymiarowej gry jest właśnie
Exobius 0. Gra zawiera obecnie 13
poziomów, wypełnionych broniami
i przeciwnikami. Pomimo wczesnej
fazy rozwoju, gra jest już w pełni
funkcjonalna – można przechodzić
ją od początku do końca.
Największym mankamentem jest
niedokończona grafika, która jednak
ma zostać poprawiona w następnych
wydaniach. Warto zainteresować się
tym tytułem, a może nawet wesprzeć
autora w jego wysiłkach.
http://freshmeat.net/projects/
exobius0/

Thunder&Lightning 041013

Thunder&Lightning to futurystyczny
symulator lotu. Pozwala nam zasiąść
za sterami myśliwca i toczyć walki
zarówno z innymi samolotami, jak
i z czołgami. Ładna, trójwymiarowa
grafika z pewnością ułatwi wczucie
się w grę. Program jest wciąż w fazie
rozbudowy – dopiero niedawno
został udostępniony publiczności.
Najnowsza wersja działa również
pod Windows. Obecnie można
latać jednym z dwóch dostępnych
samolotów (tytułowe Thunder
i Lightning), lecz w przyszłości
autor zamierza udostępnić więcej
typów maszyn.
http://freshmeat.net/projects/tnl/

Przy pierwszym korzystaniu z Gubed

warto uruchomić testy. Pozwoli to na za-
poznanie się z możliwościami progra-
mu. W tym celu na wyświetlonej stronie
należy wybrać odnośnik znajdujący się
w sekcji Gubed tests. Jeśli później zdecy-
dujemy się testować własne skrypty, to
skorzystamy z odnośnika specify script to
debug (albo od razu wejdziemy na stronę
http://localhost/Gubed/StartSession.php).
Mamy do dyspozycji cztery grupy
testów. O każdym z nich możemy
najpierw poczytać. Drugi odnośnik
pozwala na uruchomienie skryptu bez
udziału debuggera – dzięki temu mo-
żemy zaobserwować jego działanie
i wynik. Trzeci odnośnik to wykonanie
skryptu pod kontrolą Gubed. Po jego wy-
wołaniu należy przełączyć się na klienta.
Musimy bowiem zdecydować, czy chce-
my obserwować wykonanie krok po kro-
ku (przyciski Step), czy też wolimy po-
zwolić skryptowi się wykonywać – przy-
cisk Run. W tym drugim przypadku za-
wsze możemy wcisnąć przycisk Pause.
Warto przeczytać wszystkie wprowadze-
nia do testów. Pouczają one między in-
nymi o ustawieniach dotyczących reago-
wania na pojawiające się błędy. Wykonu-
jąc po kolei testy, nauczymy się korzystać
z punktów kontrolnych (breakpoint), ob-
serwować wywołania funkcji (tu przy-
dadzą się przyciski Step Over, Step Into
i Step Out), konfigurować Gubed tak, aby
zwracał uwagę na konkretne błędy oraz
będziemy mieli okazję śledzić wartości
zmiennych i ustawiać warunkowe punk-
ty kontrolne.

Analizowanie własnego skryptu

przebiega bardzo podobnie do tego,
co robiliśmy w czasie testów. Skrypt
należy umieścić gdzieś pod głównym
drzewem katalogu serwera WWW
(a więc w naszym przykładzie w pod-
katalogu katalogu /var/www/html/ ).
Następnie ścieżkę do niego podaje-
my na stronie http://localhost/Gubed/
StartSession.php, po czym wciskamy
przycisk Debug i przechodzimy do
okna klienta Gubed. Tutaj możemy do
woli analizować go krok po kroku, lub
też ustawić punkty kontrolne w wątpli-
wych miejscach i pozwolić mu się wy-
konywać.

W najnowszej wersji wprowadzono

funkcje Step over (wykonuje funkcję,
lecz nie śledzi jej wykonania), Step out
(śledzi wykonanie funkcji krok po kro-
ku) oraz Backtrace. Oprócz tego, po-
prawiono otwieranie skryptów z klien-
ta oraz dodano listę historii do Start-
Session.
http://freshmeat.net/projects/gubed

Rysunek 2.

Gubed może zostać zintegrowany z programem Quanta

Rysunek 3.

Gubed analizujący skrypt PHP

linuxfresh

aktualności

oprogramowanie

styczeń 2005

www.lpmagazine.org

FRESH

News

Cssed

– edytor arkuszy stylów CSS

oraz więcej twórców stron WWW
wykorzystuje w swej pracy kaskado-

we arkusze stylów (CSS – Cascading Sty-
le Sheets). Jest to godne pochwały, gdyż
dzięki temu nie tylko oszczędzają sobie
mnóstwo pracy, ale równocześnie idą
z duchem czasu. A jeśli tylko wykażą
trochę wysiłku, to mogą stworzyć stro-
nę, którą nie tylko da się wygodnie oglą-
dać w dowolnej przeglądarce, ale również
będzie dostępna dla niepełnosprawnych
(czy to korzystających z linijek brajlow-
skich czy z syntezatorów mowy).

Cssed to program ułatwiający tworze-

nie arkuszy stylów. Co prawda, obecnie
potrafi podświetlać również składnie in-
nych plików, ale nadal pozostaje edyto-
rem plików CSS. Wśród jego zalet war-
to wymienić podświetlanie i autouzupeł-
nianie. Program wyposażony jest również
w wiele kreatorów pomagających przy
tworzeniu najczęściej wykorzystywanych
stylów (np. układu marginesów czy ro-
dzaju fontów). Oczywiście, Cssed jest
w stanie sprawdzić poprawność wpisane-
go kodu. Nie można mu również odmó-
wić wygody użytkowania – interfejs jest
przejrzysty i łatwy w obsłudze.

Program możemy zainstalować za-

równo z pakietów (dostępne są pakiety
RPM i DEB), jak również ze źródeł. Naj-
wygodniejsza oczywiście jest ta pierwsza
możliwość. Po zainstalowaniu możemy
uruchomić program poleceniem

cssed

Po uruchomieniu, gdy zaczyna-

my pracę z nowym dokumentem, war-
to od razu ustawić odpowiednią czcion-
kę. Dokonujemy tego wybierając z me-
nu Document pozycję Change font. War-
to też wybrać typ pliku, z jakim będzie-
my pracować. W tym celu wskazujemy
Document–>Highlighting–>CSS. Oczy-
wiście, jeśli mamy zamiar tworzyć in-
ny dokument (np. stronę WWW ), to za-
miast CSS wybieramy HTML/PHP lub
inną odpowiednią wartość. Jeśli chce-

Piotr Machej

my korzystać z autouzupełniania, mu-
simy zaznaczyć opcję Document–>Ena-
ble autocompletion (ma to tylko sens
w przypadku CSS). Przydatna może
się też okazać opcja Document–>Ena-
ble folding – szczególnie, gdy pracuje-
my z dłuższym plikiem. Pozwala ona
bowiem zwijać zawartość poszczegól-
nych klas tak, że widoczny jest tylko na-
główek. Warto przy tym zauważyć, że
opcje ustawiane w menu Document są
charakterystyczne dla każdego doku-
mentu z osobna – możemy w każdym
z nich korzystać z innej czcionki i edyto-
wać inny typ pliku.

Wartości do naszego pliku stylów mo-

żemy wprowadzać na kilka sposobów.
Najbardziej podstawowy to wpisywa-
nie wszystkich wartości ręcznie. Do te-
go jednak nie potrzebowalibyśmy Cssed.
Jak już wiemy, możemy sobie pomóc au-
touzupełnianiem. Co ważne, pomaga ono

nie tylko we wprowadzaniu nazw atrybu-
tów, ale również ich wartości. Sugeruje
bowiem zarówno możliwe wartości, jak
i pozwala skorzystać z kreatora (np. z pa-
lety barw w przypadku kolorów czcionek
lub obramowań). Kreator możemy rów-
nież uruchomić ręcznie, wybierając od-
powiednią ikonę z paska znajdującego
się tuż nad dokumentem lub z menu CSS.
Ostatnia możliwość wstawienia do doku-
mentu atrybutu wraz z wartością to sko-
rzystanie z drzewka atrybutów znajdują-
cego się po prawej stronie dokumentu,
w zakładce CSS.

Podczas edycji może przydać się nam

pewna wygodna funkcja. Wystarczy za-
znaczyć grupę atrybutów, które chcemy
modyfikować, a następnie wybrać opcję
Tools–>Scan selector. Wybrane atrybu-
ty znajdą się w prawym górnym oknie,
gdzie w wygodny sposób będziemy mo-
gli zmodyfikować ich wartości.

Rysunek 1.

Nic dziwnego, że arkusz stylów użyty na stronie domowej Cssed nie zawiera

błędów

linuxfresh

aktualności

oprogramowanie

styczeń 2005

www.lpmagazine.org

FRESH

News

CbrPager 0.9.4

CbrPager to jeden z programów
pozwalających przeglądać archiwa CBR,
w których coraz częściej rozprowadzane
są w sieci komiksy i mangi. Co prawda
nie jest to program na miarę CDisplay,
znanego z Windows, ale autor wciąż
dodaje nowe funkcje. Program pozwala
przeglądać pliki JPG, GIF i PNG. Oprócz
podstawowych funkcji powiększania
i zmniejszania widoku, posiada kilka
ciekawych opcji konfiguracyjnych
(np. możemy określić, czy przy przejściu
do kolejnej strony ma być wyświetlona
jej górna lub dolna część, czy też raczej
ta, którą właśnie wyświetlaliśmy).
Najnowsza wersja programu pozwala
także określić, czy panel nawigacyjny
ma być wyświetlany poziomo czy
pionowo.
http://freshmeat.net/projects/cbrpager/

Player vs. Player Gaming

Network 1.6.6

PvPGN to darmowe oprogramowanie
emulujące serwer Battle.net. Dzięki
niemu można w sieci lokalnej
uruchomić serwer i pograć w takie
gry, jak Diablo II czy Starcraft.
Dostępne są statystyki gier, możliwość
organizowania turniejów, jak również
drabinki punktowe. W najnowszej
wersji poprawiono szereg wykrytych
błędów oraz dodano kilka nowych
opcji, np. opcję pozwalającą ograniczyć
dostęp do wybranych klientów.
http://freshmeat.net/projects/pvpgn/

HTML Forms generation and

validation 2004.10.13

Twórcy stron WWW piszący
w PHP wcześniej lub później stają
przed problemem stworzenia
formularzy wraz z ich obsługą.
Opisywana klasa PHP pozwala na
generowanie takich formularzy wraz
z odpowiednią obsługą z klawiatury
oraz sprawdzaniem poprawności
danych (zarówno po stronie serwera,
jak i klienta). Jej funkcjonalność
może być rozszerzana poprzez
dodawanie klas-wtyczek. Wygląd
wynikowych formularzy może być
definiowany szablonami z użyciem
PHP, zagnieżdżonego w HTML-u lub
też silnika Smarty. Najnowsza wersja
niesie ze sobą kilka poprawek, m.in.
poprawiono działanie klasy przy
wyłączonej opcji register_globals.
http://freshmeat.net/projects/htmlformsg
enerationandvalidation/

Getmail 4.2.2

Pojawiła się nowa wersja programu
Getmail, który w zamierzeniu autora
ma być prostą i bezpieczną alternatywą
dla popularnego programu Fetchmail.
Zmiany dotyczą poprawionej obsługi
uszkodzonych plików oldmail,
jak również zmiany prawdziwego
i efektywnego identyfikatora
użytkownika i grupy potomnego
procesu odpowiedzialnego za
dostarczanie poczty.
http://freshmeat.net/projects/getmail/

Inną przydatną funkcją są znaczniki.

Podczas edycji dużych plików są one po
prostu nieocenione. Jeśli podczas edycji
często skaczemy pomiędzy konkretny-
mi liniami poprawiając wartości, to wy-
starczy kliknąć na marginesie po lewej
stronie każdej z tych linii. Powinny po-
jawić się tam białe znaczniki. Teraz mo-
żemy poruszać się pomiędzy nimi ko-
rzystając ze strzałek Previous Bookmark
i Next Bookmark, widocznych na pasku
narzędzi.

W dolnej części ekranu mamy dwie

zakładki – Program output i Scratch Pad
/ Static Pad. Pierwsza z nich zawiera wy-
niki zwracane przez program, np. komu-
nikaty o błędach. Szczególnie przydatna
jest podczas testowania poprawności ko-
du, czego dokonujemy wybierając z menu
pozycję Tools–> Validate only. Warto przy
tym mieć włączone numerowanie linii
(Document–>View line numbers), gdyż
dzięki temu łatwiej zlokalizować błąd
w większym pliku. Druga zakładka za-
wiera dwa okna, które możemy wyko-
rzystać na notatki. Mogą się one również
przydać jako schowek – zaznaczony tekst
można tu przeciągnąć z dokumentu, a na-
stępnie wkleić go do innego dokumentu
(przeciągając go ponownie).

Jeśli Cssed spodoba się nam, warto

zmienić jego domyślne ustawienia. Każ-
dorazowe ustawianie opcji w menu Do-
cument może być męczące. Zamiast te-
go wybieramy Edit–>Preferences. Tutaj,
w zakładce Document settings, możemy

ustawić domyślne wartości dla każdego
dokumentu. Warto zaznaczyć opcje View
line numbers i Enable autocompletion.
W zakładce Font ustawiamy odpowiada-
jącą nam czcionkę i zatwierdzamy ją przy-
ciskiem Apply. Pozostaje jeszcze zakładka
Highlighting. Tutaj możemy dokładnie
określić, jakie kolory powinny być uży-
te do podświetlania w konkretnych przy-
padkach.

Trzeba przyznać, że Cssed zapowia-

da się interesująco. Już w tej chwili jest
przyjemnym edytorem CSS, a autor sta-
ra się jeszcze bardziej rozbudować je-
go możliwości. Wśród najbardziej intere-
sujących planów można wymienić moż-
liwość przeglądania strony WWW z na-
łożonym stylem w zewnętrznej przeglą-
darce oraz (uwaga!) możliwość tworze-
nia arkusza stylu na podstawie dokumen-
tu HTML. Chodzi tu o przetworzenie sta-
rych znaczników HTML (np. <font>) na
ich odpowiedniki w kaskadowych arku-
szach stylów.

W najnowszej wersji programu znacz-

nie ulepszono wsparcie dla różnych ko-
dowań znaków. Dodano też schematy
podświetleń dla innych języków, takich
jak HTML, PHP, skrypty powłoki, Python
i inne. Stworzono interfejs rozbudowywa-
ny wtyczkami i od razu udostępniono kil-
ka wtyczek: panel przeglądania plików,
okno terminala VTE, a także panel wy-
szukiwania tekstu w plikach.

http://freshmeat.net/projects/cssed/

Rysunek 2.

Oprócz Cssed, autor oferuje również kilka innych narzędzi pomocnych przy

edycji arkuszy stylów

linuxfresh

aktualności

oprogramowanie

styczeń 2005

www.lpmagazine.org

FRESH

News

Vuurmuur

– konfigurator zapór

sieciowych

ażdy, kto kiedyś tworzył zapo-
rę ogniową z wykorzystaniem

iptables lub ipchains, z pewnością zdaje
sobie sprawę, że w pewnym momencie
liczba regułek zaczyna przytłaczać. Z te-
go powodu wielu użytkowników wciąż
szuka metod łatwiejszego tworzenia re-
guł i zarządzania zaporą sieciową. Jed-
nym z ciekawszych pomysłów jest pro-
gram Vuurmuur. W założeniu program
ten ma przetwarzać regułki zrozumia-
łe dla człowieka (np. Zablokuj połącze-
nia FTP z komputera Janka do serwera
w Internecie) na reguły zrozumiałe dla
komputera. I trzeba przyznać, że radzi
sobie z tym całkiem dobrze. Co więcej,
pozwala również na przeglądanie logów
w bardziej zrozumiałej formie. Począt-
kowa konfiguracja wymaga trochę wy-
siłku, ale i tak jest znacznie prostsza niż
przekopywanie się przez dokumentację
IPtables. Z pewnością warto się z nim
bliżej zapoznać.

Piotr Machej

Po pobraniu archiwum ze strony

domowej programu powinniśmy je roz-
pakować. Należy uważać, gdyż nie jest
tworzony dodatkowy katalog – pliki
znajdą się w bieżącym katalogu. Na-
stępnie uzyskujemy uprawnienia admi-
nistratora (poleceniem

su -

lub logując

się na konto użytkownika root) i prze-
chodzimy do katalogu, w którym roz-
pakowaliśmy archiwum. Nie wystarczy
tu polecenie

(bez myślnika), gdyż

w takim przypadku najczęściej nie ma-
my dostępu do polecenia iptables bez
podawania pełnej ścieżki – a taki do-
stęp jest nam potrzebny podczas insta-
lacji. W najnowszej wersji mamy do dys-
pozycji skrypt instalacyjny, który wyko-
na za nas większość czynności. Uru-
chamiamy go poleceniem

./install.sh

a następnie odpowiadamy na kilka py-
tań o nazwy katalogów. W większości
przypadków możemy zatwierdzić do-
myślne ustawienia (wystarczy wcisnąć

klawisz [Enter]). Teraz musimy chwilę
poczekać, aż program skompiluje się
i zainstaluje.

W celu dokończenia konfiguracji

należy uruchomić program

vuurmuur

_conf

. Najlepiej zacząć od ustawień

ogólnych: Vuurmuur Config –>Gene-
ral. Możemy tu się upewnić, że ścieżki
do programów ifconfig i iptables są pra-
widłowe, a także sprawdzić pozostałe
ścieżki. Do wcześniejszego menu wy-
chodzimy wciskając klawisz [F10 ]. Po-
dobnie warto sprawdzić i ewentualnie
poprawić wartości w pozostałych sek-
cjach konfiguracyjnych (z naciskiem na
Logging).

Teraz pora dodać interfejsy. Wycho-

dzimy do głównego menu i wybieramy
Interfaces. Klawiszem [Insert] możemy
dodać nową pozycję. Wpisujemy na-
zwę naszego interfejsu. Jest to nazwa,
jaka będzie wykorzystywana tylko
w programie Vuurmuur – najlepiej, je-
śli będzie czytelna i krótka (np. inet dla
interfejsu łączącego nas z Internetem
lub dom dla sieci domowej). W kolej-
nym oknie możemy wpisać jego adres
IP (jeśli zaznaczymy pole Dynamic, to
program spróbuje odczytać adres z sys-
temu) oraz nazwę urządzenia (Device).
Możemy też dopisać komentarz.

W analogiczny sposób możemy do-

dać strefy (Zones). Domyślnie mamy
zdefiniowane cztery – dmz (strefa zde-
militaryzowana), ext (zewnętrzna – In-
ternet), lan (sieci lokalne) i vpn (wir-
tualne sieci lokalne). Wejdźmy na po-
czątek do strefy ext. Zobaczymy spis
sieci (Networks), składających się na
tą strefę. Domyślnie jest tu tylko sieć
internet, ale możemy dodawać inne.
Wskażmy sieć internet i wciśnijmy
klawisz [E ]. Okazuje się, że nie ma
przypisanego interfejsu. Jeśli dodaliśmy
już wcześniej interfejs łączący nas
z Internetem, to teraz możemy go

Rysunek 1.

Z pomocą Vuurmuur możemy również przeglądać aktywne połączenia

linuxfresh

aktualności

oprogramowanie

styczeń 2005

www.lpmagazine.org

FRESH

News

tu przypisać. W tym celu wciskamy
klawisz [F6 ], następnie [Insert] i wska-
zujemy nasz interfejs. W miarę potrzeb
możemy też ustawić inne opcje doty-
czące sieci, po czym ustawiamy war-
tość opcji Active na Yes.

Gdy dodamy inne sieci do pozosta-

łych stref (np. naszą sieć osiedlową),
należy do nich dodać konkretne adresy
komputerów (Hosts). Komputery może-
my także łączyć w grupy (Groups), np.
w celu określenia wspólnych reguł dla
wszystkich serwerów pocztowych lub
dla nielubianych kolegów. Wszystkie te
czynności mają na celu dokładne opi-
sanie naszej sieci, dzięki czemu później
będziemy mogli łatwo tworzyć odpo-
wiednie regułki. Ta wstępna konfigu-
racja jest dokładniej opisana na stro-
nie domowej programu, w sekcji User
Manual.

Następnie możemy przejść do do-

dawania regułek (Rules w głównym
menu). I tutaj właśnie mamy najprzy-
jemniejszą część zadania. Po wciśnię-
ciu [Insert], w większości pól możemy
użyć klawisza spacji w celu wyświetle-
nia możliwych wartości. Tak więc, je-
śli chcemy zablokować koledze połą-
czenie HTTP z naszym serwerem, to
ustawiamy kolejno: (w polu Action) Re-
ject (Service) http (From) komputerkole-
gi (To) firewall. W nawiasach są umiesz-
czone nazwy pól, w których należy
umieszczać następujące po nich war-
tości. Jeszcze w polu Reject type usta-
wiamy odpowiedni typ odmowy (np.

icmp-port-unreachable) i już możemy
wyjść do spisu reguł klawiszem [F10 ].
Przy okazji warto zauważyć, że użyli-
śmy tu oznaczenia komputera firewall.
Jest to specyficzne oznaczenie, gdyż
określa komputer, na którym zainsta-
lowana jest zapora. Wszystkie regułki
z jego udziałem dotyczą połączeń przy-
chodzących i wychodzących, podczas
gdy pozostałe dotyczą połączeń prze-
syłanych (forwarded ).

Gdy już wszystko mamy skonfigu-

rowane, możemy uruchomić właści-
wy program na kilka różnych sposo-
bów. Do wyboru mamy uczynienie
z niego demona (jest to zalecana opcja),
jednorazowe uruchomienie w celu za-
ładowania reguł oraz wygenerowa-
nie skryptu powłoki tworzącego reguł-
ki. Odpowiednie opcje można znaleźć
po uruchomieniu polecenia

/usr/bin/

vuurmuur -h

. W katalogu /usr/share/

vuurmuur/scripts/ można znaleźć przy-
kładowe skrypty startowe oraz odpo-
wiadające za rotację logów.

W najnowszej wersji dodano wy-

godny skrypt instalacyjny, funkcję po-
mocy w interfejsie graficznym, wspar-
cie dla wirtualnych interfejsów, komen-
tarze dla regułek oraz różne ulepsze-
nia interfejsu GUI. Oprócz tego, reguł-
ki z włączonym logowaniem mogą mieć
ustawione ograniczenia, co powinno
utrudnić część ataków typu odmowa
usługi (DoS – Denial of Service).

http://freshmeat.net/projects/vuurmuur/

Rysunek 2.

Na domowej stronie projektu można przeczytać dokładny opis systemu stref,

sieci, grup i usług

FreeRails 0.2.5

Miłośnicy klasycznej już gry Railroad
Tycoon z pewnością ucieszą się,
że pojawiła się kolejna wersja gry
FreeRails. Ta darmowa gra została
zainspirowana dziełem niezrównanego
Sida Meiera. Chociaż gra jest w fazie
Alpha, z każdą wersją pojawia się
w niej więcej funkcji. Tym razem
m.in. dodano opcję automatycznego
rozkładu jazdy, który może wybrać
odpowiednie wagony zależnie od
rodzaju ładunku oczekującego na stacji
początkowej i zapotrzebowania na
stacji docelowej.
http://freshmeat.net/projects/freerails/

GTorrentViewer 0.2a

Ten program pozwala na sprawdzenie
i zmodyfikowanie plików .torrent
bez konieczności rozpoczynania
pobierania. Możliwe jest sprawdzenie
plików (ile zostało do pobrania,
na ile części są podzielone), jak
również pobranie informacji
z trackera. Można też sprawdzić
liczbę osób udostępniających pliki
i je pobierających. W ostatnich
wersjach wprowadzono obsługę
drag&drop, jak również usunięto
zależności od bibliotek libglade i libssl.
Poprawiono także szereg błędów.
http://freshmeat.net/projects/
gtorrentviewer/

Childsplay 0.72

Childsplay to zestaw gier dla dzieci,
zgodny z dewizą: bawiąc – uczy,
ucząc – bawi. Program posiada
wbudowane dwie gry (Memory
i wprowadzanie liter) – pozostałe gry
dostępne są w osobnym pakiecie.
Dostępne gry są przeznaczone dla
młodszych dzieci, które mogą tu
poćwiczyć rozpoznawanie liter,
podstawowe działania arytmetyczne,
a także rozpoznawanie obrazków
i dźwięków. W najnowszej wersji
poprawiono szereg błędów i dodano
nową grę do zestawu. Niektóre gry
wykorzystują obecnie zlokalizowane
pliki dźwiękowe.
http://freshmeat.net/projects/childsplay/

Aviascene 2

Czy przed wybraniem się w dalszą
wyprawę nie chcielibyśmy mieć
możliwości zapoznania się z rzeźbą
terenu? Program Aviascene nam
to umożliwia, ale na razie tylko
dla niektórych rejonów Stanów
Zjednoczonych. Dane o topografii
terenu są wykorzystywane do
zrenderowania obrazu. Następnie
możemy udać się w wycieczkę
pojazdem kołowym lub nawet
samolotem. Możemy nawet
wykorzystać współrzędne GPS do
ustalania punktów kontrolnych. Jeśli
nie zamierzamy wybierać się na
wyprawę, zawsze możemy polatać
sobie samolotem nad rzeczywistymi
terenami.
http://freshmeat.net/projects/aviascene/

gry

aktualności

oprogramowanie

styczeń 2005

www.lpmagazine.org

GAMES

News

Simutrans

– gra ekonomiczna

1994 roku wydano Transport Tyco-
on Deluxe – świetną strategię eko-

nomiczną, o niebywałej grywalności. Po-
mimo dziesięciu lat istnienia wciąż ma licz-
ne grono zwolenników i są przygotowy-
wane kolejne wersje poprawek (Drexler
Patch). TTD ma swoje minusy – tylko jed-
na wielkość mapy oraz ograniczenia co do
liczby pojazdów w grze. Niektórzy narze-
kają również na zbyt małą liczbę przedsię-
biorstw dostępnych w grze. Grą, która nie-
wątpliwie zaspokoi nawet dość wygóro-
wane wymagania najzagorzalszych fanów
TTD, jest z pewnością Simutrans. W po-
równaniu do pierwowzoru, posiada wie-
le rozszerzeń, które w znaczący sposób
uatrakcyjniają rozgrywkę. Dostępne są
wersje dla Linuksa, Windows oraz BeOS.

W tym miejscu muszę zaznaczyć, że

najnowszą wersją gry jest 0.84.16.2. Jak
sam autor przyznaje, jest to jeszcze wer-
sja beta, więc nie należy dziwić się poten-
cjalnym błędom oraz niezgodnością dzia-
łania aplikacji z dokumentacją.

Simutrans to gra ekonomiczna, a jej

celem jest zbudowanie jak najwydajniej-
szej infrastruktury transportowej dla to-
warów i ludzi. Do dyspozycji mamy środ-
ki transportu lądowego (pociągi i samo-
chody) oraz wodnego (promy, tankowce,
barki), ale niestety nie została jeszcze do-
dana możliwość korzystania z transpor-
tu powietrznego (autorzy przewidują ją w
przyszłych wersjach).

Instalacja i uruchamianie

Aby zainstalować Simutrans, musimy ścią-
gnąć ze strony www.simutrans.de dwa
pakiety: simubase-0_84_16_2.zip ( ok 1,6
MB) oraz simulinux-0_84_16_2.tar.gz
(ok 460 KB). Następnie rozpakowujemy
pierwszy pakiet poleceniem

unzip simu-

base-0_84_16_2.zip

. W następnej kolejno-

ści rozpakowujemy drugie archiwum:

tar

-zxvf simulinux-0_84_16_2.tar.gz

. Jeżeli

obie czynności wykonaliśmy w tym sa-
mym katalogu, to otrzymaliśmy katalog
simutrans, zawierający wszystkie pliki

Marek Bettman

potrzebne do uruchomienia gry. Gdy roz-
pakowywaliśmy pakiety w różnych kata-
logach, musimy przenieść plik simutrans,
który znajduje się w katalogu o tej sa-
mej nazwie, powstałym po rozpakowa-
niu drugiego pakietu, do katalogu simu-
trans z plikami gry. Po takich przygoto-
waniach możemy uruchomić grę polece-
niem

~/simutrans/simutrans

, ale warto

wiedzieć o paru przełącznikach:

•

-screensize 1024x768

– podajemy roz-

dzielczość, w której zostanie urucho-
miona gra;

•

-freeplay

– bez tego parametru, jeśli

stan naszej gotówki zejdzie poniżej
zera, otrzymamy trzy miesiące (czasu
gry) na zlikwidowanie debetu, a po
tym czasie, jeżeli nam się nie uda, na-
stąpi koniec gry;

•

-refresh x

– zmniejsza ilość po-

kazywanych

klatek

animacji,

przez co gra lepiej działa (np.

-re-

fresh 2

będzie pokazywał co drugą

klatkę, co powinno przyspieszyć grę
o ok. 20%);

•

-log

– wszystkie komunikaty z dzia-

łania gry będą zapisywane w logu
– opcja przydatna, jeśli chcemy po-
móc deweloperom i w razie błędu
móc przesłać pełny raport.

Kompletną listę przełączników oraz kilka
dodatkowych informacji możemy znaleźć
w pliku readme.txt, w katalogu z grą.

Interfejs

Po uruchomieniu gry pojawią się dwa
okna: wybór języka oraz menu nowej
gry. Trzeba zaznaczyć, że gra ma możli-
wość wyświetlania (prawie wszystkich)
elementów tekstowych po polsku, oprócz
mini-mapy, na której, zamiast polskich li-
terek, w większości przypadków widzimy
krzaczki. Ponadto, nawet po ustawieniu
języka na Polski, niektóre napisy są po
angielsku, ale nie przeszkadza to w więk-
szym stopniu w grze.

W menu nowej gry możemy ustalić

wielkość mapy, ilość miast, gęstość obiek-
tów przemysłowych (im większa, tym
więcej znajdzie się ich na mapie), natęże-
nie ruchu drogowego, topografię terenu
oraz podstawowe opcje graficzne, takie
jak widoczność pieszych i używanie/
nieużywanie trybu dzień-noc. Należy pa-
miętać, że ustawienie wysokich wartości
zmiennych może zwolnić działanie gry na
słabych maszynach. Jeżeli jesteśmy zado-
woleni z ustawień, możemy kliknąć przy-
cisk Nowa gra i rozpocząć budowę nasze-
go własnego imperium transportowego.

Okno gry jest podzielone na trzy części:

• pasek narzędzi – znajduje się na gó-

rze ekranu i zawiera ikony grup dzia-
łań dostępnych w grze, np. kliknięcie
ikony Buduj kolej daje nam dostęp do
menu budowania różnych rodzajów
torów, stacji, lokomotywowni oraz sy-
gnalizacji;

• główne okno gry – tutaj faktycznie to-

czy się gra;

• pasek statusu – zawiera aktualną datę

i czas (w grze), pokazuje aktualne
współrzędne kursora na mapie, ilość
posiadanych przez nas pieniędzy oraz
szybkość gry (T=1.0 oznacza, że toczy
się ona standardowym rytmem, ale mo-
żemy zwiększać i zmniejszać szybkość
gry klawiszami [,] i [.]); czasami nad
tym paskiem pojawiają się komunikaty
z gry, np. o tym, że pociąg, który skiero-
waliśmy do zajezdni, już tam czeka.

Simutrans w pełnej okazałości

gry

aktualności

oprogramowanie

styczeń 2005

www.lpmagazine.org

GAMES

News

Freeciv 2.0.0 beta 4

Freeciv to jedna z najbardziej
znanych gier linuksowych, klon
popularnej Civilization Sida Meiera.
Obecne wydanie – 2.0.0 beta 4
– jest jednym z ostatnich,
przed opublikowaniem finalnej
wersji 2.0. Lista zmian i ulepszeń
jest bardzo długa (http://www.
freeciv.org/index.php/NEWS-beta).
Najważniejsze to usprawnienie gry
sieciowej, lepsza AI przeciwników,
nowe jednostki, nowy poziom
trudności oraz wiele innych.
http://www.freeciv.org/

ZengaiaSpace 0.1.2

Wystartował nowy projekt:
ZengaiaSpace – w zamierzeniu
ma być rozbudowaną strategią,
rozgrywaną on-line, na centralnym
serwerze internetowym. W grze
naszym zadaniem jest budowanie
statków kosmicznych, zdobywanie
planet, budowa nowych portów,
walka z wrogami, podbój nowych
planet i systemów słonecznych.
Gra jest napisana w Javie, więc
wymaga zainstalowanego w systemie
środowiska dla aplikacji napisanych
w tym języku.
http://www.mpc-donkey.de/index.php?
doc=zengaia.htm

The Black Legacy Darkness 0.7.4

The Black Legacy Darkness to
nowy projekt z gatunku MMORPG
(Massive Multiplayer Online Role
Playing Game). Jest to gra w realiach
średniowiecznych, o świetnej
grafice 3D. Używa bibliotek
OpenGL oraz SDL. Obecnie
jest jeszcze w fazie testów, ale
udostępniono już duże miasto
(w świecie gry) do zwiedzania.
Co ciekawsze, można stworzyć
swoje własne mapy w Blenderze,
a następnie eksportować je do gry
za pomocą skryptu eksportującego,
napisanego w Pythonie.
http://www.black-legacy.com/

Unreal Tournament 2004 3339

Firma Epic Games wypuściła
ostatnio kolejną – piątą już – łatę
do gry Unreal Tournament 2004.
Obecny pakiet jest kompatybilny
z poprzednimi łatami i zawiera
wszystkie poprawki z poprzednich
wydań. Powinien być instalowany
po Editors Choice Bonus Pack,
ponieważ aktualizuje część
kodu dodanego do gry po jego
instalacji. Lista zmian jest dość
długa, a poprawiono m.in. błędne
efekty dźwiękowe i graficzne
towarzyszące niektórym zdarzeniom
w grze, a także błąd w przeglądarce
serwerów, powodujący niepoprawne
wyświetlanie typu gry.
http://www.unrealtournament.com/
news/view.php?id=2318

Gra

Naszym celem jest zarabianie na transpor-
cie towarów i ludzi. Obowiązuje tu prosta
zasada: im szybciej towar zostanie przewie-
ziony, tym więcej na tym zarobimy, ale pre-
mie za szybką dostawę bywają różne i cza-
sami spokojnie można zakupić tańszą i wol-
niejszą lokomotywę do obsługi danej linii,
nie martwiąc się o straty (wysokości premii
za szybkość dostawy są dostępne po na-
ciśnięciu [Shift]+[g]). Dobrze jest pamiętać
o tym, że towar ma swoje miejsce przezna-
czenia i jeśli będziemy próbowali go prze-
wieźć do fabryki, która go nie przyjmuje,
nic nie zarobimy, a będziemy stratni o kosz-
ty działania danego środka transportu. Te-
go, gdzie należy dowieźć dany towar, mo-
żemy dowiedzieć się klikając na obiekcie
produkcyjnym (kopalnia, fabryka ...) narzę-
dziem informacji [a]. W otrzymanym oknie
znajdziemy opis, dokąd można transporto-
wać towary, oraz jakich towarów – i skąd
– dany obiekt wymaga (informacje te są
również dostępne na mini-mapie: po naje-
chaniu na dany obiekt pokażą się linie po-
kazujące, gdzie towary mogą być transpor-
towane). Musimy pamiętać, że aby fabryka
zaczęła wytwarzać półprodukty, należy do-
starczyć wszystkich wymaganych surow-
ców (np. aby móc transportować stal, naj-
pierw należy dostarczyć do huty rudę że-
laza i węgiel).

Jak zacząć?

Aby uruchomić nasze pierwsze połącze-
nie, wybieramy np. kopalnię węgla i elek-
trownię. Ponieważ będziemy transporto-
wać duże ilości surowca, stworzymy po-

łączenie kolejowe. Otwieramy okno bu-
dowy kolei i wybieramy rodzaj torów, jaki
chcemy położyć, oraz zaznaczamy punkt
początkowy i końcowy trasy. Gra automa-
tycznie zbuduje tory łączące oba punkty.
Tworzymy też małą odnogę, gdzie stanie
zajezdnia (depot). Gdy tory zostaną zbu-
dowane, z naszego konta zostanie odjęty
koszt tej inwestycji. Teraz należy postawić
stację – tu ważna uwaga: stację i zajezdnię
dla pociągów można wybudować , tylko
na istniejących torach. Gdy już mamy sta-
cję i zajezdnię, wciskamy [a] i klikamy na
zajezdni. Aby kupić nową lokomotywę,
klikamy na obrazek wybranej maszyny,
przechodzimy do zakładki wagony i do-
bieramy odpowiednie wagony do trans-
portu węgla (jeżeli wybierzemy lokomo-
tywę na węgiel, pierwszym wagonem, ja-
ki dobierzemy, musi być węglarka). Teraz
klikamy na przycisk Rozkład jazdy i usta-
lamy stacje, na których ma się zatrzymy-
wać pociąg. Mamy tu możliwość określe-
nia procentowego załadowania składu, na
jaki będzie pociąg oczekiwał, nim ruszy
w dalszą drogę. Gdy jesteśmy zadowoleni
z ustawień, klikamy Start i nasz pierwszy
pociąg wyjedzie na trasę.

Analogicznie postępujemy z samo-

chodami: budujemy drogę, przystanki,
zajezdnię, kupujemy maszyny, wyznacza-
my trasę i uruchamiamy linię.

Z komunikacją wodną jest jeszcze ła-

twiej – musimy tylko zadbać, aby stacja
początkowa i końcowa znajdowały się
w tym samym akwenie razem ze stocznią,
czyli depotem dla statków.

Podsumowanie

Simutrans to świetna gra, nawet pomi-
mo błędów i wczesnej wersji. Jest to jed-
na z najciekawszych gier, z jakimi mia-
łem do czynienia – biorąc pod uwagę
zarówno gry dla Windows, jak i Linuksa
– i wprost nie mogę się już doczekać jej fi-
nalnej wersji.

Na zakończenie małe ostrzeżenie:

w obecnej wersji gry większość użytkow-
ników nie może korzystać z funkcji sta-
wiania znaków z opisem (etykieta), po-
nieważ powoduje to zamknięcie gry.
Drugą rzeczą, o której należy wspomnieć,
jest to, że czasami, po zakończeniu gry,
X Window nie wraca do poprzedniej roz-
dzielczości. Możemy sobie z tym poradzić
restartując serwer X, bądź uruchomić grę,
na moment, w domyślnej rozdzielczości
naszego systemu.
http://simutrans.de/

Przydatne skróty

klawiaturowe:

• [Shift]+[“] – włącza/wyłącza

przezroczystość obiektów;

• [Shift]+[3] – włącza/wyłącza siatkę

na mapie;

• [,] i [.] – zmiana szybkości gry;
• [Shift]+[g] – okno z wartościami

premii za szybki przewóz danego
towaru;

• [PgUp], [PgDown] – przybliżanie

i oddalanie widoku;

• aby wyświetlić okno ze wszystkim

skrótami klawiaturowymi, należy
nacisnąć [Control] lub [Shift]
+ dowolna – jeszcze nie
przypisana – litera, np. [Control]+[q].

dla początkujących

styczeń 2005

Nessus – skaner

bezpieczeństwa

Piotr Machej

dy podłączamy nasz kom-
puter do Internetu, uzysku-
jemy dostęp do nieprzebra-
nych zasobów. Równocze-

śnie nasz komputer staje się dostępny dla
innych użytkowników. Nie wszyscy z nich
są nastawieni pokojowo. Trudno zresztą na
to liczyć, biorąc pod uwagę wciąż rosną-
cą liczbę mieszkańców globalnej wioski.
Z tego powodu bardzo ważne jest, aby
zdawać sobie sprawę z zagrożeń, które
mogą na nas czekać. Jeszcze ważniejsze
jest, aby potrafić się przed nimi ochronić.

W łataniu powszechnie znanych luk

bezpieczeństwa znacznie mogą nam
pomóc wszelkiego typu skanery bezpie-
czeństwa. Programy takie mają za zada-
nie przetestowanie, czy system jest podat-
ny na określoną metodę ataku. Powinni-
śmy skorzystać ze skanera (lub kilku ska-
nerów) bezpieczeństwa zaraz po zain-
stalowaniu systemu. Później powinni-
śmy powtarzać tę czynność co jakiś
czas (np. co miesiąc). Pozwoli to wykryć
znane już luki, więc będziemy mieli moż-
liwość załatać je zanim wykorzysta je wła-
mywacz. Pamiętajmy bowiem, że rów-
nież "czarne charaktery" mogą korzystać
z takiego oprogramowania.

Jednym z bardziej uniwersalnych

(a przy tym otwartym i bezpłatnym) ska-
nerem jest Nessus. Jego wielką zaletą
jest aktualność oraz łatwość rozbudowy.
Opiera się na wtyczkach, dzięki czemu
możemy dodać do niego własne testy.
Oprócz tego, możemy automatycznie uak-
tualniać listę wtyczek, dzięki czemu zosta-
ną one dołączone od razu po udostępnie-
niu. Niniejszy artykuł ma na celu popro-
wadzenie Czytelników przez instalację
i konfigurację Nessusa, a także zwróce-
nie uwagi na różne aspekty bezpieczeń-
stwa systemu.

Przykład użycia

Około rok temu, rozmawiając ze znajo-
mymi na IRC, dowiedziałem się, że kom-

puter jednego z nich padł ofiarą ataku.
Jak się okazało, zainstalował on Linuk-
sa i będąc święcie przekonany, że to
bezpieczny system, nie podjął żadnych
dodatkowych kroków w celu jego zabez-
pieczenia. Oczywiście, gdy w wyniku
ataku script-kiddies stracił dane na dysku,
był pełen pretensji do naszego ulubione-
go systemu. Wytłumaczyliśmy mu, że
system dopiero wtedy jest bezpieczny,
gdy się o to samemu zadba. I że nie ma
tu większego znaczenia, czy jest to Linux,
czy Windows. Przy okazji postanowili-
śmy sprawdzić, który z naszych kompute-
rów jest lepiej zabezpieczony. Do testów
wykorzystaliśmy Nessusa i okazało się, że
mój system zajął dopiero trzecie miejsce
(na pięć możliwych). Jak to mówią, leni-
stwo nie popłaca. Oczywiście, od razu
załatałem najgroźniejsze ze znalezionych
luk bezpieczeństwa i obiecałem sobie,
że będę częściej kontrolował system.

Analiza zabezpieczeń

Przede wszystkim musimy odpowie-
dzieć sobie na pytanie, czy nasz system
jest dobrze zabezpieczony. Odpowiedź
nie jest taka prosta. Włamywacz ma do
dyspozycji szereg różnych technik, z któ-
rych warto wymienić wykorzystanie sła-
bych haseł, dziur w oprogramowaniu lub
błędów w konfiguracji. Nie należy rów-
nież zapominać o tym, że zwykle najsłab-
szym ogniwem jest człowiek – to my sami

Na płycie CD/DVD

Na płycie CD/DVD zamieścili-

śmy oprogramowanie omawiane

w artykule.

Rysunek 1.

Nowe wersje Nessusa

pozwalają przeprowadzać również testy
lokalne i przyrostowe

dla początkujących

nessus

www.lpmagazine.org

możemy nieumyślnie podać intruzowi
hasło lub wykonać przysłany przez niego
kod, otwierając mu drogę do systemu.

Hasła powinny być łatwe do zapamię-

tania i trudne do odgadnięcia. Nie zawsze
trudność odgadnięcia hasła będzie warun-
kiem wystarczającym, gdyż jeśli jest ono
przesyłane przez sieć (np. w celu zalogo-
wania się na zdalną maszynę lub autory-
zowania się w serwisie WWW), to może
zostać podsłuchane. Z tego powodu lepiej
jest używać oprogramowania korzystającego
z szyfrowanej transmisji, a w dodatku nigdy
nie używać hasła systemowego do autoryza-
cji w innych serwisach.

Z błędami w oprogramowaniu trzeba

zawsze się liczyć. Praktycznie każdy pro-
gram, bardziej skomplikowany niż popu-
larny Hello World, może zawierać błąd – jest
to sprawa naturalna. Odpowiednie wyko-
rzystanie niektórych błędów może pro-
wadzić do uzyskania przez intruza więk-
szych uprawnień w systemie niż miałby
normalnie. Może też pozwolić na uzyska-
nie dostępu do systemu, do którego intruz
w zwykłych okolicznościach nie powinien
mieć wcale dostępu. Takie błędy są wcześniej
lub później ujawniane, a jeśli autorzy progra-
mu opiekują się swoim projektem, to publi-
kują odpowiednie poprawki. W przypad-
ku programów Open Source mogą to zrobić
również inni programiści, a nawet my sami
(o ile posiadamy odpowiednie umiejętności).
Warto więc dbać o to, aby w systemie były
zainstalowane jak najnowsze wersje oprogra-
mowania – szczególnie chodzi tu o progra-
my najbardziej narażone na atak, takie jak
serwery WWW czy programy pocztowe.

Bardzo często zdarza się, że użytkow-

nik przez własną nieuwagę lub niewiedzę
staje się ofiarą włamania lub zwykłej utraty
danych. Swego czasu wiele osób korzystają-
cych z IRC miało zwyczaj doradzać nowym
użytkownikom Linuksa zalogowanie się na
konto root i wydanie polecenia

rm -rf /

. Jeśli

delikwent był łatwowierny, a na dodatek nie
znał jeszcze podstawowych poleceń linukso-
wych, mogło skończyć się to dla niego nie-
zbyt przyjemnie (wspomniane polecenie
bez pytania kasuje wszystkie pliki na dysku).
Jak widać, należy mieć mocno ograniczo-
ne zaufanie do tego, co mówią inni – czy
to na IRC, w listach elektronicznych, czy za
pośrednictwem komunikatora. Nie należy
też bez namysłu uruchamiać zasłyszanych
poleceń czy programów nadesłanych przez
nie do końca zaufane osoby. To samo zresztą
dotyczy podawania haseł czy udostępniania
naszego komputera innym – jeśli to robimy,

to musimy być święcie przekonani, że tej
konkretnej osobie możemy zaufać.

Wspomniałem o błędach konfigu-

racji. Tu w zasadzie również wchodzi
w grę czynnik ludzki, gdyż błąd w kon-
figuracji jest zwykle wynikiem nasze-
go przeoczenia, pomyłki w planowaniu
lub po prostu nieznajomości niektórych
dostępnych opcji. Wyobraźmy sobie sytu-
ację, gdy wydaje nam się, że zabezpieczy-
liśmy dobrze nasz komputer. Założyliśmy
dobre hasła, uruchomiliśmy zaporę sieciową
i udostępniliśmy na zewnątrz tylko wybrane
usługi. I wszystko byłoby w porządku, ale...
w zaporze sieciowej pomyliliśmy kolejność
dwóch regułek. I to wystarczy, aby działa-
ła nie do końca zgodnie z naszymi oczeki-
waniami – może przykładowo dawać dostęp
do portu, który miał być zablokowany.
A włamywacz tylko czeka na takie okazje.

Instalacja Nessusa

Przed zainstalowaniem Nessusa warto
zadbać o to, aby w systemie były zain-
stalowane biblioteki i pliki nagłówkowe
OpenSSL. W przypadku Auroksa jest to
pakiet openssl-devel.

Zaczynamy od wejścia na stronę do-

mową programu (http://www.nessus.org/ ).
Wybieramy sekcję Download, a następ-
nie odnośnik Nessus 2.2 (w chwili pisa-
nia artykułu była to wersja najnowsza).
Z wyświetlonej strony możemy dowie-
dzieć się o trzech metodach instalacji Nessu-
sa. My zdecydujemy się na drugą – prostą,
a równocześnie bezpieczniejszą od najła-
twiejszej metody. W sekcji The easy and
less dangerous way znajdziemy spis adre-
sów, pod którymi możemy znaleźć insta-
lator. Wybieramy jeden z nich (np. http://
ftp.gwdg.de /pub/linux /misc/nessus/
nessus-2.2.0/nessus-installer/ ) i pobieramy
z niego plik nessus-installer.sh. Teraz
już wystarczy wejść do katalogu,
w którym zapisaliśmy plik i uruchomić
go poleceniem

sh nessus-installer.sh

. Tę

operację wykonujemy z poziomu zwykłe-
go użytkownika (nie wchodzimy na konto
root).

Po przeczytaniu informacji powital-

nej możemy wcisnąć klawisz [Enter]. Pro-
gram zostaje rozpakowany, a następnie
jesteśmy powiadomieni, że zostanie utwo-
rzona tymczasowa powłoka z ustawio-
nym bitem SUID. Pozwoli to instalatorowi
w razie potrzeby na automatyczne korzysta-
nie z uprawnień użytkownika uprzywile-
jowanego. Przyjmujemy to do wiadomości
wciskając klawisz [Enter], a następnie poda-

jemy hasło użytkownika root (przy pyta-
niu o Root Password). Instalator pyta nas
o katalog, w którym chcemy zainstalo-
wać Nessusa. Klawiszem [Enter] zatwier-
dzamy domyślny wybór (chyba, że
z jakiegoś powodu chcemy go zmie-
nić – wówczas wpisujemy naszą ścieżkę).
Po kolejnym wciśnięciu klawisza [Enter]
następuje kompilacja i instalacja programu
(w razie konieczności poprzedzona usu-
nięciem starszej wersji). Na koniec zostają
wyświetlone ostatnie wskazówki i możemy
opuścić instalator ponownym wciśnięciem
klawisza [Enter]. Jak widać, dzięki instalato-
rowi mogliśmy ograniczyć się do wciskania
tylko jednego klawisza, chociaż pozostało
przed nami jeszcze kilka czynności.

Najpierw musimy wygenerować cer-

tyfikat, który będzie wykorzystywa-
ny do szyfrowania komunikacji pomię-
dzy serwerem i klientem Nessusa. W tym
celu wydajemy polecenie

/usr/local/

sbin/nessus-mkcert

(do tego już potrze-

bujemy

uprawnień

superużytkowni-

ka, więc najpierw korzystamy z polecenia

su -

i podajemy hasło użytkownika root).

Oczywiście, jeśli zainstalowaliśmy Nessusa w
innym katalogu niż domyślny, to ścieżka do
programu nessus-mkcert będzie odpowied-
nio inna. Kolejno będziemy musieli podać
następujące informacje:

• termin ważności certyfikatu CA

(w dniach),

• termin ważności certyfikatu serwera

(w dniach),

• kod naszego państwa (np. dla Polski

– PL),

• nazwa naszego województwa lub

powiatu,

• nazwa miasta,
• nazwa naszej organizacji.

Jeśli mamy wątpliwości, co powinniśmy
wpisać, możemy skorzystać z wartości

Rysunek 2.

Nessus potrafi

przeprowadzać równoczesne testy na
różnych komputerach

dla początkujących

styczeń 2005

domyślnych. Po przeczytaniu informa-
cji o nazwach plików, w których zosta-
ły zapisane poszczególne certyfikaty,
możemy wcisnąć [Enter].

Teraz musimy dodać użytkownika,

który będzie mógł korzystać z Nessusa.
Nie opuszczając konta użytkownika root,
wydajemy polecenie

/usr/local/sbin/

nessus-adduser

. Podajemy nazwę użyt-

kownika, a następnie wybieramy sposób
uwierzytelniania. Prostsze jest korzysta-
nie z hasła niż z certyfikatu, więc wybie-
ramy tę pierwszą metodę (pass). Oczywi-
ście, należy też podać nasze hasło. Pamię-
tajmy jednak, aby nie było to takie samo
hasło, jak do któregoś z naszych kont. Jeśli
wybraliśmy metodę uwierzytelniania za
pomocą certyfikatu, to będziemy musieli
odpowiedzieć na te same pytania, co przy
tworzeniu certyfikatu Nessusa (a oprócz
tego, na dwa dodatkowe – o nazwisko
i imię oraz o adres e-mail).

Tworząc użytkownika możemy od

razu nałożyć na niego ograniczenia. Doty-
czą one adresów komputerów, które
może testować dany użytkownik. Jeśli
nie chcemy ustalać żadnych ograniczeń,
to po prostu możemy wcisnąć kombi-
nację klawiszy [Ctrl]+[d]. W innym przy-
padku możemy wpisać szereg reguł
(po jednej w każdej linii), np.:

accept 192.168.100.0/24
accept 192.168.5.1
default deny

Powyższe linie pozwalają użytkow-
nikowi na testowanie komputerów
w sieci 192.168.100.0/24 oraz kompute-
ra 192.168.5.1. Żadnego innego kompu-
tera nie będzie mógł przetestować, gdyż
domyślna reguła odmawia mu dostępu
(default deny). Oczywiście, reguły można
zbudować inaczej – zabronić dostępu do
określonych komputerów i pozwolić do
wszystkich pozostałych. Ciekawostką jest
możliwość użycia słowa client_ip zamiast

adresu komputera. W jego miejsce pod-
stawiany jest adres komputera, z którego
łączy się użytkownik korzystający z Nes-
susa. Dzięki temu łatwo można pozwolić
użytkownikowi tylko na testowanie jego
własnego komputera. Odpowiednie reguł-
ki wyglądają następująco:

accept client_ip
default deny

Wpisywanie regułek kończymy znaną już
kombinacją [Ctrl]+[d]. Wprowadzone dane
potwierdzamy wpisując y.

Przed uruchomieniem serwera warto

sprawdzić, czy nie pojawiły się nowe
wtyczki. Wydajemy polecenie

/usr/local/

sbin/nessus-update-plugins

– jeśli zosta-

ną znalezione nowe wtyczki, program je
zainstaluje. Oczywiście, do wykonania
tego polecenia potrzebujemy połączenia
z Internetem.

Teraz możemy już uruchomić serwer

Nessusa poleceniem

/usr/local/sbin/

nessusd -D

. Pojawi się informacja o łado-

waniu wtyczek (ang. plugins). Jeśli nie
zadbaliśmy o skompilowanie Nessusa
z obsługą OpenSSL, to może pojawić się
kilka ostrzeżeń. Jeśli zainstalowaliśmy
wcześniej wspomniany pakiet openssl-
devel, to powinniśmy zobaczyć napis All
plugins loaded. Klienta Nessusa urucha-
miamy już z konta zwykłego użytkownika
poleceniem

/usr/local/bin/nessus

Konfiguracja Nessusa

Po uruchomieniu pokazuje się nam okno
programu z kilkoma zakładkami. Na
razie interesuje nas tylko pierwsza, gdyż
musimy połączyć się z serwerem Nessu-
sa. W polu Nessusd Host wpisujemy nazwę
komputera, na którym jest uruchomiony
serwer. Jeśli jest uruchomiony na kompu-
terze, z którego korzystamy, możemy po
prostu wpisać

localhost

. Pole Port pozo-

stawiamy bez zmian – Nessus standardo-
wo nasłuchuje na porcie 1241. W polach
Login i Password wpisujemy nazwę i hasło
użytkownika Nessusa (te, które wpisywa-
liśmy po wydaniu polecenia

nessus-addu-

ser

). Teraz wystarczy wcisnąć przycisk Log

in. Przy pierwszym uruchomieniu pojawi
się informacja o certyfikacie. Sprawdzamy,
czy jest on poprawny, tzn. wyświetlone
wartości zgadzają się z tym, co podawali-
śmy podczas jego tworzenia, a następnie
zatwierdzamy go wciskając Yes.

Po zalogowaniu się zostaniemy prze-

niesieni do drugiej zakładki (Plugins),

gdzie możemy zapoznać się ze wszyst-
kimi dostępnymi wtyczkami. Biorąc pod
uwagę, że jest ich obecnie sporo ponad 5
tysięcy, mamy lekturę na dłuższy czas. Na
szczęście, jeśli chcemy przeprowadzić
kompletny test, nie musimy czytać opisu
wszystkich wtyczek (opisy są dostęp-
ne po wskazaniu konkretnej wtyczki).
W górnej części znajduje się spis grup,
natomiast w dolnej spis wtyczek nale-
żących do danej grupy. Możemy zazna-
czyć wszystkie wtyczki wciskając przy-
cisk Enable all. Należy zwrócić uwagę, że
niektóre testy mają na celu destabilizację
testowanego systemu (tzw. ataki odmowy
usługi). Jeśli wolimy nie przeprowadzać
aż tak niebezpiecznych testów, możemy
je wyłączyć przyciskiem Enable all but
dangerous plugins. Dodatkowo możemy
wyłączyć całą grupę testów związanych
z odmową usługi (Denial of Service).

Oczywiście, nic nie stoi na przeszko-

dzie, aby przeprowadzić tylko pojedyn-
cze, wybrane testy. W tym celu wystar-
czy najpierw wcisnąć przycisk Disable
all, a następnie ze spisu wybrać potrzeb-
ne nam wtyczki. Warto przy tym zazna-
czyć opcję Enable dependencies at runti-
me, dzięki czemu w razie potrzeby zosta-
ną zaznaczone inne potrzebne wtyczki
(jeśli są potrzebne do działania wybra-
nych przez nas testów). Dostępny przycisk
Filter pozwala nam na wyświetlenie tylko
wtyczek spełniających określone kryteria
(np. w nazwie lub opisie zawierających
słowo ssh).

Następne dwie zakładki (Prefs.

i Scan options) służą do ustawie-
nia dokładniejszych opcji. Możemy tu
zdecydować, jaka technika skanowa-
nia portów ma być zastosowana, jakie

Rysunek 3.

Te systemy wymagają

wprowadzenia jeszcze kilku zabezpieczeń

Ostrzeżenie

Skaner systemowy możemy stosować
tylko względem systemów komputero-
wych i sieci, które należą do nas lub co
do których uzyskaliśmy stosowną zgodę.
Niezastosowanie się do tej zasady może
grozić niezbyt przyjemnymi konsekwen-
cjami, z odpowiedzialnością karną włącz-
nie. O ile bowiem trudno podstawowe
skanowanie jednoznacznie uznać za
próbę ataku, o tyle niektórzy administra-
torzy są na tym punkcie mocno przewraż-
liwieni. Ponadto, niektóre testy mogą
doprowadzić do zawieszenia niektórych
usług, a to w przypadku systemów pro-
dukcyjnych nie może już być traktowane
w kategorii żartu.

dla początkujących

nessus

www.lpmagazine.org

nazwy użytkowników i hasła mają być
użyte przy logowaniu się do poszcze-
gólnych usług oraz możemy określić
liczbę testów wykonywanych w tym
samym czasie. Jest tu też dostępna
opcja Safe checks (domyślnie włączona).
Powoduje ona, że potencjalnie groźne
wtyczki wykonują "łagodniejsze" testy,
np. opierając się na rozpoznaniu wersji
oprogramowania, zamiast na własnych
testach. Należy pamiętać, że nie wszyst-
kie wtyczki uwzględniają tę opcję. Jej
użycie może też prowadzić do pojawie-
nia się większej liczby fałszywych alar-
mów (więcej informacji w ramce Fałszy-
we alarmy). Jeśli nie wiemy, do czego
służy dana opcja, lepiej pozostawić ją
w domyślnym ustawieniu.

W zakładce Target selection może-

my wreszcie określić, który kompu-
ter chcemy skanować. Jego adres wpi-
sujemy w polu Target(s). Oczywiście,
zamiast pojedynczego adresu (np.

127.0.0.1

) możemy od razu wpisać cały

zakres (np.

192.168.0.1-192.168.2.50

lub

192.168.10.1/24

). Możemy też

wymienić kilka pojedynczych kompu-

terów i kilka zakresów oddzielając je
przecinkami.

Te opcje powinny nam wystarczyć.

Teraz już możemy wcisnąć widoczny na
dole okna przycisk Start the scan. Otwo-
rzy się kolejne okno, w którym będziemy
mogli obserwować przebieg skanowania
poszczególnych komputerów. Gdy ska-
nowanie zakończy się, otwarte zostanie
okno z raportem.

Analiza wyników

Pora sprawdzić, co znalazł Nessus na
naszym systemie. Okno raportu podzie-
lone jest na pięć części. Po lewej stro-
nie widzimy adresy testowanych podsieci
(Subnet). Przy ich adresach można zauwa-
żyć znaczek określający, czy Nessus wykrył
jakieś problemy. Ikona żarówki oznacza
informację, znak ostrzeżenia z wykrzyk-
nikiem oznacza ostrzeżenie dotyczące
bezpieczeństwa, a znak zakazu wjazdu
oznacza potencjalną lukę w bezpieczeń-
stwie. Po wybraniu konkretnej podsieci
w okienku poniżej (Host) pojawi się spis
przetestowanych komputerów należących
do tej podsieci. Również tutaj możemy na

pierwszy rzut oka ocenić, który kompu-
ter jest najbardziej zagrożony. Po zazna-
czeniu adresu komputera w umiesz-
czonym na górze oknie Port, pojawi się
spis znalezionych portów (ponownie
z informacją o zagrożeniach). Wybranie
jednego z nich sprawia, że w umieszczo-
nym obok okienku Severity zobaczymy
listę zagrożeń uporządkowaną względem
powagi. Dopiero, gdy wskażemy jedno
z nich, w głównej części okna zobaczy-
my szczegółowy opis luki. Metody sorto-
wania w poszczególnych oknach możemy

Rysunek 4.

Z pomocą obszernego

podręcznika możemy napisać własne
wtyczki do Nessusa

dla początkujących

styczeń 2005

dowolnie zmieniać, dzięki czemu znaj-
dywać luki w inny sposób. Przykłado-
wo, warto zamienić miejscami pola Port
i Severity, ale również inne kombina-
cje mogą dać ciekawe efekty – wszystko
zależy od tego, jakie informacje bardziej
nas interesują.

Istotne jest, abyśmy zapoznali się

ze wszystkimi informacjami zawartymi
w głównym oknie. W przypadku ostrzeżeń
i powiadomień o lukach w bezpieczeń-
stwie otrzymujemy opis zagrożenia. Przy-
kładowo, w sytuacji wykrycia przez Nes-
susa serwera WWW Apache w wersji star-
szej niż 2.0.51, jesteśmy powiadamiani o
jego wrażliwości na zdalny atak odmowy
usługi (DoS – Denial of Service). Wersje
te są również podatne na atak z wyko-
rzystaniem przepełnienia bufora. Oprócz
takiego opisu, możemy też zobaczyć
kilka dodatkowych rubryk. Adres podany
w See also pozwala nam zapoznać się
z szerszym opisem błędu. Najważniej-
sza dla nas jest zawartość rubryki Solu-
tion, gdyż opisuje ona możliwe rozwiąza-
nie problemu. W przypadku wspomnia-
nego błędu rozwiązaniem jest uaktualnie-
nie serwera Apache do wersji 2.0.51 lub

nowszej. Dalej możemy dowiedzieć się,
jak duże ryzyko (Risk factor) jest związane
z danym błędem. W tym przypadku
ryzyko jest wysokie (High). Najlepiej jak
najszybciej uaktualnić oprogramowanie.
W przypadku innych ostrzeżeń, ryzyko
może być średnie (Medium) lub niskie
(Low), a w przypadku informacji o bez-
pieczeństwie – nawet zerowe (None). Nie-
mniej, powinniśmy zapoznać się ze wszy-
stkimi informacjami, gdyż każda z nich
może być istotna. Przykładowo, może
okazać się, że jedna z usług, pomimo
naszych starań, nadal jest dostępna z Inter-
netu, a nie tylko z sieci lokalnej. Nie należy
od razu podejmować czynności opisanych
w Solution bez zapoznania się z całym
opisem problemu. Może bowiem okazać
się, że w ten sposób zablokujemy sobie
usługę, na której nam zależało, a co do
której tylko dostaliśmy pewne pouczenie
(jak ma to miejsce w przypadku zainstalo-
wanego oidentd, potrzebnego do łączenia
z niektórymi serwerami IRC).

Jeśli chcemy uzyskać jeszcze więcej

informacji na temat błędu, możemy sko-
rzystać z wartości podanych w rubrykach
CVE i BID. Pierwsza z nich podaje sym-
bole, według których możemy wyszuki-
wać informacje na stronie Common Vul-
nerabilities and Exposures (pod adre-
sem

http://www.cve.mitre.org/cve/index

.html wpisujemy symbol w polu CVE
Name). Druga podaje identyfikator błędu
na liście BugTraq (możemy go wpisać
w polu Bugtraq ID na stronie http://
www.securityfocus.com/bid/bugtraqid/ ).

Raport ze skanu możemy zapisać na

dysku korzystając z przycisku Save report.
Do wyboru mamy kilka różnych forma-
tów zapisu danych. Jeśli zdecydujemy się
zapisać raport w formacie NBE, to później
będziemy mogli go ponownie otworzyć
w kliencie Nessusa. Jeśli natomiast chcemy
później obejrzeć raport wraz z różnymi
wykresami i zestawieniami w przeglądar-
ce internetowej, to powinniśmy wybrać
format HTML with Pies and Graphs.

Wyniki skanowania zależą od tego,

jakie opcje dobierzemy. Warto zapoznać
się z obszerną dokumentacją dostępną
na stronie domowej Nessusa, aby lepiej
poznać jego możliwości i zastosowa-
nie poszczególnych opcji konfiguracyj-
nych. Z pewnością sprawi to, że będzie-
my mogli lepiej dobierać ustawienia do
naszych potrzeb, co w rezultacie pozwo-
li skuteczniej zwiększyć bezpieczeństwo
systemu i sieci.

Dodatkowe

oprogramowanie

Nessus, oprócz własnych wewnętrz-
nych testów, może wykorzystywać kilka
innych programów. Przykładowo, pro-
gram Nmap może być użyty do skano-
wania portów i wielu bardziej zaawan-
sowanych operacji, takich jak rozpozna-
wanie systemu operacyjnego. Jeśli zależy
nam na przeprowadzeniu testów odpor-
ności haseł na złamanie, możemy zain-
stalować program Hydra. Pozwoli on na
wykonanie prób brutalnego złamania
haseł (bruteforce attack) w takich usłu-
gach, jak Telnet, WWW, POP3, IMAP
i inne. Oprócz tego, można wykorzy-
stać program Nikto – zapewnia on obsłu-
gę specyficznych ataków i testów doty-
czących serwerów WWW i usług skryp-
tów CGI.

O ile program Nmap możemy zna-

leźć w większości dystrybucji Linuksa,
o tyle pozostałe programy raczej
musimy zainstalować osobno. Nie są
one niezbędne do działania Nessusa,
ale zwiększają jego funkcjonalność.
Adresy ich stron domowych znajdują się
w ramce W Internecie.

Przykładowe testy

W rozdziale Analiza wyników mogliśmy
zapoznać się ze sposobem odczytywania
wyników testów. Spróbujmy teraz zoba-
czyć kilka wyników z prawdziwego ska-
nowania i zastanowić się, jak je trakto-
wać. Analizie został poddany kompu-
ter z dosyć dawno instalowanym sys-
temem, tylko w razie potrzeby uzupeł-
nianym nowymi pakietami, więc zgło-
szeń błędów było dosyć dużo (7 luk, 18
ostrzeżeń i 39 informacji). Raport został
zapisany w formacie HTML with Pies and
Graphs.

Na pierwszej stronie raportu został

przedstawiony w formie graficznej pro-

Fałszywe alarmy

Należy pamiętać, że Nessus przepro-
wadza analizę na podstawie dostępnych
informacji. Może się okazać, że będą
one niewystarczające lub doprowadzą do
błędnych wniosków. Z tego powodu część
ostrzeżeń, a nawet powiadomień o lukach
w zabezpieczeniach, może okazać się fał-
szywa.

Może się tak przykładowo zdarzyć

w sytuacji, gdy Nessus jest w stanie roz-
poznać oprogramowanie nasłuchujące
na określonym porcie, ale nie umie usta-
lić jego wersji. W tym przypadku może
ostrzec o błędach, które dotyczą wcze-
śniejszych wersji tego programu niż zain-
stalowana w naszym systemie.

Inna sytuacja, gdy ostrzeżenie może

być fałszywe, to przypadek, gdy błąd
sam w sobie jest groźny, ale ze wzglę-
du na podjęte przez nas inne czynności
(np. odpowiedni podział dysku na party-
cje), w naszym systemie okazuje się być
nieszkodliwy.

Nie da się wyliczyć wszystkich sytu-

acji, gdy Nessus może zwrócić fałszy-
we alarmy. Dobrze jest uważnie czytać
opisy zgłoszeń i starannie je analizować.
Nessus zwraca stosunkowo mało fałszy-
wych alarmów, ale nie należy mu ufać
bezgranicznie.

Rysunek 5.

W serwisie SecurityFocus

możemy wyszukiwać informacje o lukach
na podstawie różnych kryteriów

dla początkujących

nessus

www.lpmagazine.org

W Internecie:

• Strona domowa programu Nessus:

http://www.nessus.org/

• Strona domowa programu Nmap:

http://www.insecure.org/nmap/
index.html

• Strona domowa programu Hydra:

http://www.thc.org/releases.php

• Strona domowa programu Nikto:

http://www.cirt.net/code/nikto.shtml

• Wprowadzenie do Nessusa (artykuł

autorstwa Harry'ego Andersona):
http://www.securityfocus.com/
infocus/1741

• Lista BugTraq:

http://www.securityfocus.com/
archive/1

centowy udział poszczególnych pozio-
mów ryzyka. Ponieważ poziomy High
i Medium uzyskały odpowiednio po
11% i 28%, to odpowiednie kroki
powinno podjąć się jak najszybciej. Naj-
bardziej zagrożonymi usługami oka-
zały się CVSpserver i usługa działają-
ca na porcie 5432 (zidentyfikowana
później jako PostgreSQL). co przedsta-
wił kolejny wykres. W celu uzyskania
dokładniejszych informacji powinniśmy
przejść do części drugiej raportu, wska-
zując nazwę testowanego komputera.

Tu możemy zobaczyć listę otwar-

tych portów. Okazuje się, że jest ich
aż 34, z czego na pięciu Nessus zna-
lazł luki bezpieczeństwa (CVSpserver,
MySQL, HTTPS, Microsoft-ds i port
5432, wykorzystywany przez Postgre-
SQL), a dla sześciu wyświetlił ostrzeże-
nia. Poza tym jedenaście portów zosta-
ło opatrzonych informacjami, a pozo-
stałe zostały tylko zakomunikowane
jako nasłuchujące. Zapoznajmy się naj-
pierw z dwoma lukami dotyczącymi
serwera CVS.

Pierwsza z nich została wykryta

przez wtyczkę opisaną na stronie
http://cgi.nessus.org/plugins/dump.php3?id
=11970. Do opisów wtyczek prowadzą
odnośniki umieszczone w polu Nessus
ID. Jest to ostrzeżenie przed błędem ist-
niejącym w CVS do wersji 1.11.10, mogą-
cym pozwolić intruzowi na wykonywa-
nie w systemie poleceń z uprawnienia-
mi użytkownika root. Ponieważ Nessus
nie był w stanie określić numeru wyko-
rzystywanej wersji CVS, pojawiło się
ostrzeżenie, że może to być fałszywy
alarm. Niestety, sprawdzenie w testowa-
nym systemie (

rpm -q cvs

) wykazało, że

jednak jest on narażony na atak – zain-
stalowana wersja CVS to 1.11.2-10. Zale-
canym przez Nessusa (i w zasadzie naj-
lepszym) rozwiązaniem jest aktualiza-
cja oprogramowania do wersji co naj-
mniej 1.11.11.

Zanim to zrobimy, zapoznajmy się

z opisem drugiej luki. Ta została wykry-
ta przez wtyczkę opisaną na stro-
nie http://cgi.nessus.org/plugins/dump.
php3?id=12265. Również ta luka nie
jest mała – ze względu na brak termi-
natora NULL w źle sformatowanych cią-
gach tekstowych, intruz może wykony-
wać pewne polecenia w naszym sys-
temie. Zalecana jest aktualizacja aż do
wersji 1.11.17, a więc wyższej niż przy
poprzedniej luce.

Obie te luki umożliwiają atak

z zewnątrz, więc należą do najbardziej
niebezpiecznej grupy. O ile w przypad-
ku pierwszej z nich nie potwierdzono
istnienia działających eksploitów, o tyle
w przypadku drugiej taki kod istnieje.

Oprócz nich, Nessus zgłosił dwa

ostrzeżenia dotyczące serwera CVS.
Pierwszy z nich (http://cgi.nessus.org/
plugins/dump.php3?id=11947) dotyczy
błędu sprawdzania wprowadzanych
danych, mogącego pozwolić intruzo-
wi na tworzenie katalogów i plików
w głównym katalogu systemu plików
przechowującego drzewo CVS. Drugi
z kolei (http://cgi.nessus.org/plugins/
dump.php3?id=12212) może pozwalać
na pobieranie plików RCS nawet spoza
głównego katalogu CVS. Do poprawie-
nia tych błędów powinno wystarczyć
uaktualnienie CVS do wersji 1.11.15 lub
wyższej.

Korzystając z informacji zawartych

we wszystkich czterech zgłoszeniach,
ostatecznie powinniśmy się zdecydo-
wać na wersję 1.11.17 lub wyższą.

Warto zwracać uwagę na komuni-

katy informacyjne. Właśnie odnośnie
serwera CVS został wyświetlony jeden
taki komunikat (http://cgi.nessus.org/
plugins/dump.php3?id=10051). Sugeruje
on, aby zablokować dostęp z zewnątrz
dla portu CVS. Jest to mądre, i o ile
tylko nie musimy udostępniać serwera
CVS osobom z sieci, powinniśmy dopi-
sać odpowiednią regułkę w zaporze sie-
ciowej. Jeśli koniecznie musimy udo-
stępnić serwer, to powinniśmy przy-
najmniej ograniczyć liczbę komputerów,
które mogą się z nim łączyć. Warto też
zauważyć, że powinno to automatycz-
nie zniwelować możliwość wykorzysta-
nia przez włamywacza wymienionych
wcześniej luk.

Innym przykładem portu, który

powinien być odfiltrowany na zapo-
rze sieciowej, jest port 901, należą-
cy do programu SWAT. O ile bowiem
błąd przedstawiony w ostrzeżeniu
(http://cgi.nessus.org/plugins/dump.
php3?id=10273) dotyczy dosyć starej
wersji 2.0.7 (więcej informacji na stro-
nie http://www.securityfocus.com/bid/
1872). o tyle rzeczywiście możliwe jest
wykonanie brutalnego ataku na tę
usługę. Może to być szczególnie nie-
bezpieczne, jeśli hasła Samby są zsyn-
chronizowane z hasłami systemowymi.
Oczywiście, zamiast filtrować port na

zaporze sieciowej możemy po prostu
wyłączyć SWAT (o ile go nie potrze-
bujemy).

Jak widać, w celu wyrobienia sobie

obrazu tego, co musimy zrobić, powin-
niśmy zapoznać się ze wszystkimi opi-
sami błędów, ostrzeżeniami, a nawet
zwykłymi informacjami. W przypad-
ku, gdy chodzi o bezpieczeństwo, nie
powinniśmy pozwalać sobie na nie-
dbałość. Poza tym, szkoda naszej pracy
– gdybyśmy działali od razu po przeczy-
taniu każdej informacji, to serwer CVS
uaktualnialibyśmy w najgorszym przy-
padku cztery razy.

Zakończenie

Zabezpieczanie komputerów i sieci to
wyścig bez końca. Należy pamiętać, że
istnieje pewna granica, której podczas
zabezpieczania nie możemy lub nie
powinniśmy przekroczyć. Jest to grani-
ca wygody naszej lub naszych klientów
w korzystaniu z systemu lub sieci.
Nie ulega bowiem wątpliwości, że nie
ma sensu zabezpieczać komputera do
tego stopnia, że nikt nie będzie chciał
z niego korzystać. Jakie dane będzie-
my wtedy chronić? Znalezienie kom-
promisu pomiędzy wygodą i bezpie-
czeństwem to właśnie nasze zada-
nie. Należy do niego nie tylko zabez-
pieczenie sprzętu i oprogramowania,
ale również odpowiednie wychowa-
nie użytkowników. Pamiętajmy zawsze
o tym, że łańcuch zabezpieczeń jest
tak silny, jak jego najsłabsze ogniwo.
A najsłabszym ogniwem bardzo często
okazuje się człowiek.

dla początkujących

styczeń 2005

www.lpmagazine.org

dla początkujących

sztuczki i kruczki

Sztuczki i kruczki

Grzegorz Niewęgłowski

Synchronizowanie czasu i daty

z serwerami w Internecie

Wygodnym

sposobem

ustawiania

daty systemowej jest synchronizowa-
nie jej ze specjalnymi serwerami czasu.
Dzięki temu mamy poprawnie działa-
jący, co do sekundy, zegar systemo-
wy i na dodatek nie musimy przepro-
wadzać tej operacji ręcznie – wystar-
czy tylko znaleźć adres odpowiednie-
go serwera. Najpopularniejsze są pole-
cenia rdate i ntpdate (odpowiednio
z pakietów rdate i ntp). Do normal-
nych zastosowań wystarcza rdate, ale
dla osób potrzebujących precyzji idącej
w milisekundy, ntpdate będzie lep-
szym wyborem.

Dobrym źródłem aktualnego czasu

jest ntp.task.gda.pl. Najpierw warto
sprawdzić, czy możemy połączyć się
z serwerem i czy jego czas jest popraw-
ny. Zdalny czas odczytujemy tymi pole-
ceniami:

# rdate ntp.task.gda.pl
# ntpdate -q ntp.task.gda.pl

Jeśli podawany czas jest popraw-
ny, możemy zsynchronizować według
niego własny komputer. Ten krok
wymaga już uprawnień superużytkow-
nika, bo przestawieniu ulegnie zegar
systemowy Linuksa:

# rdate -s ntp.task.gda.pl
# ntpdate ntp.task.gda.pl

Taka korekta zniknie jednak zapew-
ne po restarcie komputera. Jest to spo-
wodowane istnieniem dwóch osob-
nych zegarów – jeden z nich to zegar
utrzymywany przez Linuksa w trak-
cie jego pracy, a drugi jest wbudowany
w płytę główną i podtrzymywany
bateryjką po wyłączeniu maszyny.
Przy uruchamianiu, Linux odczytuje
jego ustawienia i bazując na nich
zaczyna prowadzić swój własny ze-

gar. Synchronizacja zmienia tylko
zegar Linuksa, ale nadal działa nie-
skorygowany zegar płyty głównej.
Dlatego, aby zmiana była stała, należy
po synchronizacji zegara zapisać jego
ustawienia w zegarze płyty głów-
nej. Wykonamy to programem /sbin/
hwclock, który wchodzi w skład Util-
linux:

# /sbin/hwclock –systohc

Wiele dystrybucji Linuksa (choć nie
wszystkie) wykonują taką czynność
automatycznie przy wyłączaniu kompu-
tera, ale jeśli nie mamy co do tego pew-
ności, to lepiej samodzielnie zapisać
ustawienia zegara po synchronizacji.

■

X-Server i dostęp do fontów

Wiele razy spotykam się z pytaniem:
„A po co jest ten cały xfs ?”, w odniesie-
niu do tajemniczego programu potrzeb-
nego X-om do pracy. Xfs jest serwe-
rem fontów. To oznacza, że w opar-
ciu o swój plik konfiguracyjny, defi-
niujący, gdzie położone są fonty, udo-
stępnia je X-om. Ma naturę sieciową
i może obsługiwać wielu klientów,
więc możliwe jest uruchomienie poje-
dynczego serwera Xfs w sieci lokalnej
i takie skonfigurowanie X-ów na
innych maszynach, aby wszystkie
pobierały od niego fonty. Pozwa-
la to zaoszczędzić miejsce na dysku
(wielu klientów ma wspólne repozy-
torium fontów) i często ominąć pewne
restrykcje licencyjne samych fontów
(korzysta się z pojedynczej kopii
fontów).

Ale czy ma to sens w przypad-

ku typowej stacji roboczej, gdy fonty
leżą na lokalnym dysku? Kiedyś
owszem, gdyż miało to swoje uzasad-
nienie – tylko zewnętrzne serwery
fontów umiały udostępniać fonty True-
Type. Obecnie sam X-Server (nieważne,
czy wersja XFree86, czy X.org) dos-

konale radzi sobie z obsługą fontów
bitmapowych i skalowalnych (w tym
TrueType). Można więc zrezygnować
z osobnego serwera fontów, wyłą-
czając jego proces i zdając się na
mechanizmy wbudowane w same X-y.
Oszczędzi to trochę zasobów, a uru-
chamianie X-ów stanie się prostsze
(nie trzeba będzie najpierw urucha-
miać xfs).

Zmian dokonujemy w pliku kon-

figuracyjnym X-ów, czyli /etc/X11/
XF86Config (lub xorg.conf ). Najpierw
musimy poprawić sekcję Files, usu-
wając z niej wiersz

FontPath "unix/:

7100"

(lub podobny). Zamiast niego

wpisujemy bezpośrednio ścieżki dostę-
pu do katalogów z fontami – można
posiłkować się zawartością konfigu-
racji Xfs, zwykle w /etc/X11/fs/config.
Powinniśmy wpisać te katalogi do
sekcji Files tak, aby wyglądała po-
dobnie do tej z Listingu 1 (oczy-
wiście, katalogi z fontami mogą być
inne).

Oprócz tego, konieczne może być

skorygowanie sekcji Module. W zależ-
ności od używanych fontów, musimy
włączyć odpowiednie moduły:

Load "freetype"
Load "type1"
Load "bitmap"

Listing 1.

Przykładowa sekcja “Files”

Section "Files"

FontPath "/usr/lib/X11/fonts/misc"
FontPath "/usr/lib/X11/fonts/

100dpi”

FontPath "/usr/lib/X11/fonts/75dpi"
FontPath "/usr/lib/X11/fonts/Type1"
FontPath "/usr/share/fonts/

FantasyTTF"

EndSection

dla początkujących

styczeń 2005

www.lpmagazine.org

dla początkujących

sztuczki i kruczki

Moduł freetype odpowiada za fonty
TrueType (*.ttf ). Moduł type1 obsługuje
fonty

Adobe Type1

(*.afm, *.pfm, *.pfb),

a niezbędny moduł bitmap fonty bit-
mapowe (zwykle w plikach *.bdf ). Jeśli
nie mamy zamiaru używać np. fontów
Type1, to możemy pominąć ładowanie
odpowiedniego modułu.

■

Dlaczego mój Aterm/Eterm

nie jest przezroczysty?

Nowi użytkownicy terminali obsługu-
jących przezroczystość (np. Aterm lub
Eterm) często ze zdziwieniem zauwa-
żają, że tło, zamiast oczekiwanej prze-
zroczystości, jest całkiem czarne.
Wyjaśnienie jest proste – aby prze-
zroczystość mogła zadziałać, potrzeb-
na jest jakaś tapeta na pulpicie. Nie
jest to jedyny warunek, gdyż oprócz
tego, tapeta musi być ustawiana
specjalnym programem, przystoso-
wanym do wykonywania w pamię-
ci operacyjnej specjalnej kopii tapety
na użytek przezroczystości. Takimi
programami są przykładowo Esetroot
(zwykle rozprowadzany razem z Eter-
mem) oraz Habak (używany w silnie
zorientowanym na efekty przezroczy-
stości projekcie Fvwm Crystal ). Uży-
wając odpowiedniego narzędzia do
ładowania tapety, bez problemu osią-
gniemy np. takiego Aterma jak na
Rysunku 1.

■

Co znaczą symbole typu

char-major-10-135 w logach?

Czasem w logach jądra, zwłaszcza po
pierwszych w życiu próbach samodziel-
nej kompilacji, pojawiają się komunika-
ty dotyczące niemożności załadowania
modułu np. dla

char-major-10-135

. Co

oznacza ten zapis?

Jest to sposób oznaczenia pliku

urządzenia w /dev, czyli zapewne

w jądrze zabrakło obsługi jakiegoś
specyficznego urządzenia. W tym
przypadku chodzi o urządzenie typu
char (urządzenie znakowe), o głów-
nym (major) numerze równym 10
oraz pobocznym (minor) równym 135.
Na szczęście, ten kod da się prze-
łożyć na język zrozumiały dla zwy-
kłego użytkownika – odpowiedzi mo-
żna znaleźć w pliku /usr/src/linux/
Documentation/devices.txt (jest on
częścią dokumentacji jądra). Znajdu-
ją się w nim szczegółowe tabele opi-
sujące kombinacje numerków i typów.
Najpierw musimy znaleźć rozpiskę
dla głównego numeru 10 urządzeń
znakowych. Szukanie ciągu 10 char
od razu zaprowadzi nas tam, gdzie
trzeba. Teraz wystarczy odszukać
pozycję z numerem pobocznym 135.
Oto jak wygląda ten fragment doku-
mentacji:

(...)
134 = /dev/apm_bios Advanced Power

Management BIOS

135 = /dev/rtc Real Time Clock
139 = /dev/openprom SPARC OpenBoot

PROM

Jak widać, numer 135 przypisany
jest urządzeniu

/dev/rtc

, czyli Real

Time Clock. Z tymi informacjami
już wiadomo, której funkcjonalności
jądra brakuje i co musimy dokompi-
lować.

■

ROX-Filer i katalog ~/Choices

Nietypowe położenie katalogu

~/Choices

może być irytujące. Tradycyjnie, apli-
kacje linuksowe przechowują swoje
prywatne dane (zapisaną konfigura-
cję) w katalogach ukrytych, o nazwach
zaczynających się od kropki. ROX-Filer
wyłamuje się z tej konwencji, a obec-
ność tego katalogu bezpośrednio
w

$HOME

może przeszkadzać. Z tego

względu autorzy ROX-Filera wprowa-
dzili możliwość przesunięcia tego kata-
logu. Opcja ta nie jest dostępna w kon-
figuratorze, gdyż jest sterowana przez
zmienną środowiskową

CHOICESPATH

Jeśli dodamy do swojego ~/.bashrc
wiersz:

export CHOICESPATH=$HOME/.Choices

i zmienimy nazwę katalogu

Choices

.Choices

, to ROX-Filer zacznie zacho-

wywać się jak typowa linuksowa apli-
kacja. Oczywiście, możemy użyć
dowolnej innej ścieżki, ale

~/.Choices

wydaje się być naturalnym wybo-
rem.

■

Położenie katalogu ze źródłami

jądra

Umieszczasz swoje źródła jądra w /usr/
src/linux ? A ktoś mówi, że to zły
nawyk? Pora to wyjaśnić, bo dooko-
ła miejsca, w którym trzyma się źródła
jądra, narosło już dość nieporozu-
mień.

Tak naprawdę chodzi nie o jądro,

lecz bibliotekę glibc. Zawsze integruje
się ona z nagłówkami jądra, na którym
jest kompilowane, również z częścią
nagłówków Linuksa. I to o te nagłów-
ki chodzi. Po instalacji glibc powinny
się one znajdować w /usr/include/
linux i /usr/include/asm (oraz /usr/
include/asm-generic na nowszych sys-
temach). Do tych katalogów odwołują
się nagłówki glibc i w katalogach tych
powinny zawsze znajdować się kawał-
ki tego jądra, na którym glibc skom-
pilowano.

Aby zaoszczędzić miejsce na dysku,

wiele dystrybucji, zamiast kopiować
pliki do

/usr/include/linux

, po prostu

robiło tam dowiązania symbolicz-
ne od źródeł jądra w

/usr/src/linux

Dzięki temu nie dublowało się plików,
ale dochodziło do potencjalnie nie-
bezpiecznej sytuacji – w momen-
cie aktualizacji źródeł jądra, poprzez
dowiązania symboliczne dochodzi-
ło też do aktualizacji części nagłów-
ków glibc – tyle, że samo glibc nic
o tym nie wiedziało. W efekcie mogło
dojść przez to do konfliktów nagłów-
ków i trudnych do przewidzenia
awarii w nowo kompilowanych pro-
gramach.

Jeśli jesteśmy ciekawi, to sprawdź-

my, jak wyglądają nasze pliki /usr/
include/linux itp. – jeśli to prawdzi-
we katalogi, to spokojnie możemy
trzymać źródła najnowszego jądra
w /usr/src/linux, bo nie powodu-
je to podmieniania nagłówków. Jeśli
jednak /usr/include/linux to nie kata-
log, a dowiązanie symboliczne prowa-
dzi gdzieś do /usr/src/linux, to lepiej
nie zmieniajmy tam nic i źródła naj-
nowszego jądra ściągniętego z http://
www.kernel.org rozpakowujmy w ja-
kimś innym miejscu.

■

Rysunek 1.

Aterm – uruchomiony

przez wywołanie polecenia:

# aterm -tr -rv -fn 9x15bold -sh 70

sprzęt

styczeń 2005

Programowy

RAID oraz LVM

Piotr Wolny

oraz więcej spośród naszych
komputerów jest wyposażo-
nych w więcej niż jeden dysk
twardy. Tradycyjnie, zakłada-

my na tych dyskach kilka partycji, gdyż
Linux umożliwia nam montowanie róż-
nych części systemu plików (np. /usr czy
/home) z niezależnych urządzeń. Na tym
nie kończą się możliwości wykorzystania
dysków twardych w Linuksie. Od dawna
nasz system wspiera dwa bardziej zaawan-
sowane mechanizmy gromadzenia danych:
Software RAID oraz Logical Volume Mana-
ger. Przy ich pomocy możemy zwięk-
szyć wydajność pamięci masowej, a także
poprawić bezpieczeństwo przechowy-
wanych danych. Choć zarówno Softwa-
re RAID, jak i Logical Volume Manager
(LVM), kojarzą się często z wielkimi serwe-
rami, wyposażonymi w dziesiątki dysków,
to z powodzeniem możemy je wykorzysty-
wać również na domowych komputerach,
wyposażonych w dwa, trzy dyski twarde.
Ponadto, LVM jest również użyteczny
z jednym dyskiem.

RAID a LVM

Historycznie, starszym rozwiązaniem jest
programowy RAID. Idea Redundant Arrays
of Inexpensive Disks nie jest taka stara, gdyż
pochodzi z 1987 roku. Opracowano wtedy
koncepcję łączenia wielu tanich dysków
w jedno duże i szybkie urządzenie. Aby
awaria jednego z połączonych dysków nie
powodowała utraty danych na całej macie-
rzy, w koncepcji ujęto dyski nadmiarowe
(ang. redundant), niezbędne do odtwo-
rzenia danych, w przypadku awarii. Tra-
dycyjne RAID wykonuje się sprzętowo,
najczęściej łącząc dyski SCSI, które, po
podłączeniu do komputera, są widocz-
ne jako jedno urządzenie. Linux umożli-
wia nam budowę RAID poprzez progra-
mowe połączenie dysków w macierze
i mogą to być zarówno urządzenia SCSI,
IDE, jak również SATA. Na temat popu-

larnych rodzajów RAID można przeczytać
w ramce Poziomy RAID. Generalnie, RAID
umożliwia:

• zwiększenie bezpieczeństwa danych,

jeśli stosujemy nadmiarowe dyski
(bez nadmiarowych dysków nasz
RAID jest bardziej podatny na awarię
niż pojedyncze dyski);

• szybkość odczytu i zapisu danych

zwiększa się, jeśli tylko zastosujemy
rozdzielanie (ang. striping) danych
na dwa lub więcej niezależnych urzą-
dzeń fizycznych;

• połączenie kilku niezależnych urzą-

dzeń w jeden system plików może
zwiększyć wygodę administracji sys-
temem w pewnych konfiguracjach.

Pamiętajmy jednak, że RAID ma pewne
ograniczenia:

• jedno utworzone urządzenie RAID nie

może być dzielone na partycje, co cza-
sami powoduje konieczność konfigu-
rowania kilku RAID równocześnie;

O autorze

Autor hobbistycznie i zawodo-

wo zajmuje się Linuksem mniej

więcej od czasów jądra 2.0.20.

Obecnie pracuje w organiza-

cji społecznej. Poza Linuksem

fascynuje go rock progresywny.

Kontakt z autorem:

autorzy@lpmagazine.org

DVD

Po uruchomieniu Linux+ Live

DVD można przetestować oma-

wiane zagadnienia.

Na płycie CD/DVD

Na płycie CD/DVD znajduje się

oprogramowanie omawiane

w artykule.

Rysunek 1.

W Linuksie dyski różnego

typu możemy łączyć w jedno urządzenie
RAID lub LVM

sprzęt

www.lpmagazine.org

software raid oraz logical volume manager

• raz utworzony RAID nie może zostać

rozszerzony na więcej dysków.

Dzięki RAID, to co komputer widzi jako
jedno urządzenie blokowe, może być
w istocie kombinacją kilku partycji na róż-
nych dyskach twardych. Logical Volume
Manager idzie znacznie dalej. Udostęp-
niane przez niego urządzenia blokowe
nie tylko mogą fizycznie znajdować się
na dowolnej ilości dysków czy partycji, ale
również możliwe jest ich łatwe powięk-
szanie, zmniejszanie oraz przenoszenie.
To tak, jakby jedna tablica partycji obej-
mowała nie tylko kilka dysków, ale rów-
nież umożliwiała dodawanie/usuwanie,
zwiększanie/zmniejszanie partycji bez
żadnej przerwy w pracy systemu – czasem
nawet bez odmontowania partycji. Możli-
we jest przy tym równie łatwe dokładanie
kolejnych dysków. Reasumując, dzięki LVM
otrzymujemy:

• całkowitą dowolność w przydzielaniu

poszczególnych fizycznych dysków czy
partycji jako urządzeń blokowych w sys-
temie (np. urządzenie zamontowane
jako /home może składać się z jedne-
go dysku IDE i połowy dysku SCSI);

• możliwość łatwego zwiększania i zmnie-

jszania (jeśli system plików umożliwia
to drugie) poszczególnych urządzeń
widzianych przez system operacyjny
oraz przenoszenia ich między dyskami
(obejmuje to również łatwe dodawanie
i odejmowanie dysków z systemu);

• rozdzielanie (ang. striping) danych na

dwa lub więcej niezależnych urządzeń
fizycznych, aby zwiększyć wydajność;

• funkcję ułatwiającą wykonywanie

kopii bezpieczeństwa (snapshot).

Wadą linuksowego LVM-a jest brak możli-
wości stosowania nadmiarowych dysków,
ale możemy połączyć go z programowym
RAID-1, aby zapewnić sobie dodatkowe
zabezpieczenie.

Tworzymy programowy

RAID

Programowy RAID możemy założyć na
co najmniej dwóch dowolnych partycjach.
Aby miał on jakikolwiek sens, partycje te
powinny znajdować się na osobnych dys-
kach. Zakładanie RAID na dwóch party-
cjach jednego dysku nie zwiększy bezpie-
czeństwa danych, ani nie przyspieszy ope-
racji dyskowych. Możemy łączyć w jeden
RAID partycje z całkiem różnych dysków,
np. IDE, SCSI czy SATA, ale z reguły taka
hybryda będzie pracowała z prędko-
ścią najwolniejszego spośród nich. Jeśli
chcemy łączyć dwa dyski IDE, powinny
one znajdować się na osobnych kanałach
IDE – gdy będą połączone jedną taśmą,
zauważymy wyraźny spadek wydajności.

Programowy RAID jest realizowany na

poziomie jądra systemu. Musimy posiadać
w jądrze wsparcie dla RAID. Przy konfi-
guracji jądra, w dziale Multi-device sup-
port (RAID and LVM), powinniśmy zazna-
czyć RAID support oraz potrzebne tryby
RAID (możemy wszystkie). Najwygodniej
jest wkompilować obsługę RAID na stałe
do jądra. Możemy również nie kompilo-
wać jądra samodzielnie i polegać na dys-
trybucyjnym – we wszystkich nowych
dystrybucjach znajdziemy moduły linear,
raid0, raid5 itd., potrzebne do działa-
nia naszej macierzy. Wystarczy polecenie

cat /proc/mdstat

, aby dowiedzieć się, czy

nasze jądro posiada wsparcie dla Software
RAID. Jeśli zobaczymy komunikat o braku
pliku, musimy skonfigurować i skompilo-
wać nowe jądro własnoręcznie.

Programowy RAID jest dostępny w ją-

drze Linuksa od bardzo dawna – jest stan
dardowo obecny w jądrach z serii 2.4.x
i 2.6.x, ale istnieją łatki pozwalające używać
go z jądrami 2.2.x, a nawet 2.0.x. Wszystkie
opisane tutaj czynności wykonywałem na
jądrze 2.6.9 – powinny one wyglądać iden-
tycznie w starszych wersjach jądra, włą-
cznie z serią 2.4.x.

Poza wsparciem w jądrze systemu,

będziemy potrzebować jeszcze dwóch
pakietów z oprogramowaniem: mdadm
oraz raidtools (w Debianie – raidtools2).
Ten pierwszy zawiera narzędzie do akty-
wowania i zatrzymywania urządzeń
RAID, a drugi dostarcza podstawowych
narzędzi do tworzenia macierzy. Znajdzie-
my te pakiety we wszystkich popularnych
dystrybucjach Linuksa.

Załóżmy, że nasz system operacyj-

ny jest zainstalowany na dysku sda, a na
RAID chcemy przeznaczyć dyski IDE: hda

i hdd. Na obydwu tych dyskach utwo-
rzyliśmy partycje, przy czym na RAID
mają być przeznaczone hda2 oraz hdd2.
Zanim rozpoczniemy właściwą pracę,
możemy przetestować szybkość działa-
nia tych dysków, przed zbudowaniem
z nich macierzy. Jak na poważnie podejść
do testowania wydajności dysków, korzy-
stając z programu Bonnie++, opisuję
w ramce Jak testować dyski?. Przy pro-
jektowaniu systemu, w którym ważną
rolę odgrywa wydajność pamięci maso-
wej, należy zawsze kierować się wskaza-
niami programu Bonnie++ lub podobne-
go. W tym artykule, aby szybko i obrazo-
wo pokazać różnice pomiędzy konfigura-
cjami RAID, posłużę się programem

Przykładowo, po utworzeniu na partycji

RAID i LVM podczas

instalacji dystrybucji

Instalatory większości nowoczesnych dys-
trybucji umożliwiają utworzenie urządzeń
RAID i LVM już podczas instalacji Linuksa.
Przykładowo, w Aurox Linuksie wystarczy,
że wybierzemy Partycjonowanie ręczne
Disk Druidem i będziemy mogli utworzyć
RAID-a, LVM-a, a nawet LVM-a na RAID-
ie. W nowych wersjach Mandrakelinuksa
również musimy wybrać ręczny podział
na partycje, a później dodatkowo przełą-
czyć się na tryb zaawansowany. Instala-
tor tej dystrybucji ma podobne możliwości,
ale zdaje się, że nie pozwala na tworzenie
LVM-a na RAID-ie.

Jeśli wiemy, jak działają urządze-

nia RAID oraz LVM, utworzenie ich przy
pomocy któregoś z tych instalatorów
nie powinno stwarzać żadnych proble-
mów. Przykładowo, aby stworzyć RAID
w Aurox Linuksie, klikamy na RAID, wybie-
ramy pierwszy z dysków i zaznaczamy
utworzyć partycję programowego RAID.
Następnie to samo powtarzamy dla kolej-
nych dysków. Na zakończenie, jeszcze raz
klikamy na RAID i wybieramy utworzyć
urządzenie programowego RAID. Wtedy
będziemy mogli podać jego typ, punkt
zamontowania oraz system plików, który
zostanie na nim utworzony. LVM tworzy-
my podobnie – najpierw tworzymy jedną
lub kilka partycji typu physical volume
LVM, a później klikamy na LVM i tworzymy
poszczególne woluminy logiczne.

Moje doświadczenia z tworzeniem

RAID-a oraz LVM-a przez instalatory
dystrybucji nie są zachęcające. Polecam
instalację na tradycyjnych urządzeniach,
a dopiero później stworzenie RAID-a czy
LVM-a i przeniesienie na nie odpowiednich
katalogów.

Rysunek 2.

Sterowniki do RAID i LVM

znajdziemy w jądrze Linuksa

sprzęt

styczeń 2005

hda2 systemu plików ext2, zamontowa-
niu jej w /mnt/test/, wykonałem komendy:

cd /mnt/test;

dd if=/dev/zero of=ska-

suj_mnie count=2000000

. W efekcie otrzy-

małem następującą prędkość zapisu linio-
wego jednego dużego pliku:

1024000000 bytes transferred
in 28,490542 seconds
(35941752 bytes/sec)

Przy zastosowaniu systemu plików ext3
czas potrzebny dla wykonania tej opera-
cji urósł do 32,8 sekundy.

RAID-0

Najpierw wypróbujemy RAID-0. Aby
go utworzyć, musimy napisać plik /etc/
raidtab. Na początek umieściłem tam
następujące wpisy:

raiddev /dev/md0
raid-level 0
nr-raid-disks 2
persistent-superblock 1
chunk-size 4
device /dev/hda2
raid-disk 0
device /dev/hdd2
raid-disk 1

Jak widzimy, ten plik nie jest skompli-
kowany. Pierwsza linia określa, które-
go urządzenia dotyczy ta konfigura-
cja. Poza md0 możemy mieć dowol-
nie dużą ilość innych urządzeń (oczy-
wiście, powinny się one znajdować na
innych partycjach). Opcją raid-level
ustalamy rodzaj macierzy – w tym
przypadku RAID-0, czyli stripe. Jako nr-
raid-disk podajemy, ile partycji ma pracować
w tym urządzeniu; persistent-superblock
spowoduje, że w superbloku podanych
dalej partycji zostaną zapisane informa-
cje potrzebne do automatycznego wykry-

cia tej macierzy podczas uruchamiania
się jądra systemu; chunk-size określa w
kilobajtach, na jakie najmniejsze jednost-
ki będą dzielone dane podczas zapisu na
macierz (nie można jednoznacznie powie-
dzieć, jaka wartość spowoduje najlepszą
wydajność, ale wstępnie możemy przyjąć,
że będzie ona równa block size naszego
systemu plików). Dalej wyliczamy i nume-
rujemy wszystkie użyte partycje.

Kolejnym krokiem jest zmiana przy

pomocy programu

fdisk

identyfikato-

rów partycji, na których będzie działa-
ła macierz. Powinny one otrzymać typ
fd, czyli Linux raid auto. Bez tej czynno-
ści macierz będzie działać, ale nie zosta-
nie automatycznie wykryta przez jądro
systemu.

Gdy wszystko jest gotowe, wykonu-

jemy polecenie

mkraid /dev/md0

. Oczy-

wiście, w jego wyniku utracimy wszyst-
kie dane, które mieliśmy na partycjach
wymienionych w /etc/raidtab. W rezulta-
cie powinniśmy otrzymać coś takiego:

handling MD device /dev/md0
analyzing super-block
disk 0: /dev/hda2, 14659312kB,
raid superblock at 14659200kB
disk 1: /dev/hdd2, 18922680kB,
raid superblock at 18922560kB

Jak widzimy, mimo, że partycje te różnią
się wielkością, macierz została utworzona.
Teraz możemy sprawdzić ją komendą

cat

/proc/mdstat

. Powinniśmy zobaczyć np.

coś takiego:

Personalities : [linear] [raid0]
[raid1] [raid5] [raid6] [raid10]
md0 : active raid0 hdd2[1] hda2[0]
33581760 blocks 4k chunks
unused devices: <none>

Od teraz urządzenie /dev/md0 traktujemy
jak partycję dysku twardego. Możemy np.
wykonać polecenia:

# mkfs.ext3 /dev/md0
# mount /dev/md0 /mnt/test/
# cd /mnt/test/
# dd if=/dev/zero of=
skasuj_mnie count=2000000

Na moim systemie ten szybki test pokazał:

1024000000 bytes transferred
in 18,410448 seconds
(55620591 bytes/sec)

Widzimy prawie dwukrotny wzrost pręd-
kości zapisu tego pliku (z 32,8 do 18,4
sekundy). Podobna macierz, utworzo-
na w moim komputerze na dyskach
SATA, poradziła sobie z tym zapisem
w 14 sekund.

W ten sposób otrzymaliśmy urzą-

dzenie, które powinno działać znacz-
nie szybciej od pojedynczego dysku,
zarówno przy operacjach odczytu, jak
i zapisu. Możemy zamontować je
w dowolnym miejscu systemu plików,
w którym występuje intensywne użycie
dysku, np. w /var/www. Wystarczy tylko
odpowiedni wpis w /etc/fstab i prze-
niesienie starych danych na nowe urzą-
dzenie. Jeśli chcemy używać macierzy
w kilku różnych miejscach systemu
plików, musimy dołożyć więcej dysków
lub posiadane dyski podzielić na więcej
partycji, następnie zdefiniować w /etc/
raidtab kolejne urządzenia /dev/md1, md2
itd., wszystkie je zainicjować (

mkraid

), sfor-

matować oraz zamontować.

Jeśli prawidłowo zainstalowaliśmy

pakiety mdadmin oraz raidtools, skryp-
ty odpowiedzialne za zamykanie syste-
mu powinny zatrzymać macierz (wyko-
nać komendę

raidstop

z odpowiednim

parametrem), zanim nasze dyski zostaną
odłączone od zasilania. W wielu dystry-
bucjach będzie również działało powia-
damianie pocztą administratora systemu
o awarii któregoś z dysków. Wspomnia-
ne pakiety mają jeszcze sporo więcej moż-
liwości – warto przejrzeć ich pliki konfi-
guracyjne w katalogach /etc/default/ oraz
/etc/mdadm/.

RAID-1

Załóżmy, że postanowiliśmy zmienić swoją
konfigurację, tworząc RAID-1 w miejsce
RAID-0 – tak naprawdę dopiero RAID-1
jest prawdziwym RAID, gdyż w RAID-0
nie ma nadmiarowych dysków. Zanim
rozpoczniemy tworzenie nowego urzą-
dzenia, musimy koniecznie dezakty-
wować poprzednie. Pierwszym kro-
kiem jest odmontowanie systemu plików
zamontowanego na macierzy (np.

umount

/var/www

). Następnie wykonujemy ko-

mendę

raidstop

/dev/md0

. Dopiero

wtedy możemy zmieniać układ partycji
na dyskach i tworzyć nowe macierze.
Jeśli pominiemy te kroki, ani konfigura-
cja nowej macierzy, ani zmiany w ukła-
dzie partycji nie będą skuteczne – co naj-
wyżej mogą doprowadzić do bezpowrot-
nej utraty danych.

Rysunek 3.

Wszystkie potrzebne

informacje do zbudowania RAID
i LVM możemy znaleźć po angielsku
w odpowiednich HOWTO

sprzęt

www.lpmagazine.org

software raid oraz logical volume manager

Plik konfiguracyjny /etc/raidtab dla

RAID-1 jest prawie identyczny, jak dla
RAID-0:

raiddev /dev/md0
raid-level 1
nr-raid-disks 2
persistent-superblock 1
chunk-size 4
device /dev/hda2
raid-disk 0
device /dev/hdd2
raid-disk 1

Następnie wydajemy polecenie

mkraid

/dev/md0

i dostajemy w efekcie komu-

nikat:

handling MD device /dev/md0
analyzing super-block
disk 0: /dev/hda2, 14659312kB,
raid superblock at 14659200kB
/dev/hda2 appears to be already
part of a raid array -- use -f to
force the destruction of the
old superblock
mkraid: aborted.

Jak widać, system odmówił stworzenia
nowej macierzy na urządzeniach, na któ-
rych poprzednio utworzyliśmy RAID-0.
Jesteśmy jednak pewni, że chcemy całko-
wicie zniszczyć poprzednią macierz, więc
wydajemy polecenie:

mkraid -R /dev/md0

i otrzymujemy np.:

DESTROYING the contents of /dev/md0
in 5 seconds, Ctrl-C if unsure!
handling MD device /dev/md0
analyzing super-block
disk 0: /dev/hda2, 14659312kB,
raid superblock at 14659200kB
disk 1: /dev/hdd2, 18922680kB,
raid superblock at 18922560kB

Od teraz urządzenie /dev/md0 jest
gotowe do użycia. Ma ono pojemność 14
GB, czyli tyle samo, ile mniejsza z uży-
tych partycji. Tworzymy na nim system
plików i sprawdzamy, jak działa. Komen-
da

, użyta identycznie jak w poprzed-

nich przykładach, tym razem potrzebo-
wała aż ponad 35 sekund na wykonanie
swojego zadania. Widzimy, że RAID-1
przy operacji zapisu działa nieznacznie
wolniej niż pojedynczy dysk twardy.

Kosztem zmniejszenia wydajności

otrzymujemy większe bezpieczeństwo
danych. Gdy jeden z dysków ulegnie
awarii, macierz będzie pracowała dalej,
a w logach systemowych pojawi się infor-
macja o konieczności jego wymiany.

RAID-5

Stworzenie RAID-5 nie jest wcale trud-
niejsze niż RAID-0 i RAID-1. Przykła-
dowy /etc/raidtab, który stworzyłem na
swoim komputerze, może wyglądać tak:

raiddev /dev/md0
raid-level 5

nr-raid-disks 4
persistent-superblock 1
chunk-size 4
device /dev/hda2
raid-disk 0
device /dev/hdd2
raid-disk 1
device /dev/sda3
raid-disk 2
device /dev/sdb9
raid-disk 3

Wydane polecenie

mkraid -R /dev/md0

pokazało:

Integracja RAID/LVM

w systemie

To, gdzie zamontujemy nowo powsta-
łe urządzenia, zależy od celu, jaki przy-
świecał nam przy konfiguracji LVM-a czy
RAID-a, jak również od specyfiki nasze-
go systemu. Mogą one zarówno przyspie-
szyć dostęp do danych (jeśli korzystamy z
rozdzielania dostępu na wiele fizycznych
urządzeń), jak i usprawnić administrowa-
nie miejscem na dysku i zwiększyć bez-
pieczeństwo danych. Stosujmy więc go
w tych miejscach, gdzie wymagana jest
któraś z tych właściwości. Pierwszymi
lokalizacjami, które przychodzą na myśl
są /home oraz /var – z reguły tam naj-
częściej przewidzieliśmy za dużo lub za
mało miejsca na dysku, a także tam na
ogół mamy najważniejsze dane. W przy-
padku, gdy nasze nowe urządzenie działa
szybciej niż zwykłe dyski (dzięki wykorzy-
staniu strip), możemy zdecydować się na
przeniesienie na niego katalogu /tmp – ist-
nieją aplikacje, które intensywnie go wyko-
rzystują, czy nawet /usr, co może minimal-
nie przyśpieszyć uruchamianie się progra-
mów na komputerze biurkowym.

Aby przenieść dane z podstawowego

urządzenia na nowe, możemy najprościej
zamontować go w tymczasowej lokali-
zacji (np. /mnt/tmp) i użyć komendy, np.

cp -ax /var/* /mnt/tmp/

, następnie

opróżnić przykładowy katalog /var i uak-
tualnić /etc/fstab, aby właściwe urządze-
nie było montowane w tym miejscu.

Rysunek 4.

Przykładowa konstrukcja LVM

sprzęt

styczeń 2005

disk 3: /dev/sdb9, 9775521kB,
raid superblock at 9775424kB

Tak utworzone urządzenie ma rozmiar
ok. 27 GB. Dlaczego? Musimy pomnożyć
rozmiar najmniejszej z użytych partycji
(9775521kB ~= 9GB) razy ilość dysków
i odjąć rozmiar jednej partycji, potrzeb-
nej na dane o parzystości, więc 9*4-
9=27.

Szybki test, przy pomocy komendy

i urządzenia /dev/zero, zajął na moim

systemie 20 sekund, więc RAID-5 działa
szybciej niż pojedynczy dysk, ale oczy-
wiście wolniej niż RAID-0.

Zapasowe dyski

Dla zwiększenia bezpieczeństwa macierzy
typu RAID-1 i RAID-5 (a także nieopisy-
wanych tutaj RAID-6 i RAID-10) możemy
wykorzystać dyski zapasowe (spare disk).
Taki dysk nie jest normalnie używany –
żadne dane nie są zapisywane ani odczy-
tywane z niego. W momencie, gdy jeden
z dysków zostanie uszkodzony, macierz
automatycznie odtworzy jego zawartość
na pierwszym, dostępnym spare disk.
Dzięki temu wyłączenie systemu w celu
wymiany uszkodzonych dysków może
zostać zaplanowane na znacznie później-
szy termin – możemy czekać nawet do
kolejnej awarii któregoś dysku i nie straci-
my żadnych danych.

Aby dodać do macierzy dysk zapaso-

wy, wystarczy do /etc/raidtab dopisać np.
takie linie:

device /dev/sdd1
spare-disk 0

Tworzymy LVM-a

Logical Volume Manager sam w sobie nie
jest trudny do skonfigurowania. To co
odstrasza od niego wielu użytkowników,
to stosowana w nim terminologia. Zanim

przystąpimy do pracy, musimy koniecznie
przyswoić sobie kilka podstawowych ter-
minów, stosowanych w LVM-ie – bez tego
dosyć szybko się pogubimy.

LVM tworzy dodatkową warstwę abs-

trakcji pomiędzy urządzeniami pamięci
masowej a systemem plików w systemie.
W efekcie, pomiędzy partycją na dysku
a systemem plików w komputerze poja-
wiają się dodatkowe terminy:

• physical volume (PV) – wolumin

fizyczny to po prostu dysk twardy lub
częściej partycja na dysku twardym,
ale może to być również urządzenie
programowego RAID-a;

• volume group (VG) – grupa wolumi-

nów to jeden lub kilka woluminów
fizycznych (mamy z nią do czynienia
zawsze, nawet gdy posiadamy tylko
jeden PV);

• logical volume (LV) – wolumin logicz-

ny (system widzi LV jako urządzenie
blokowe, więc jeśli stosujemy LVM-a,
system plików (np. ext3) zakładamy
nie na partycji, ale na LV; podobnie, w
systemie montujemy LV, a nie partycję;
na jednej grupie woluminów tworzy-
my jeden lub więcej LV);

• physical extent (PE) i logical extent

(LE) – ekstenty fizyczny i logicz-
ny (dane na woluminach fizycznych
i logicznych dzielone są na mniejsze
jednostki, np. po 4 MB; wielkość PE
i LE są takie same).

Do działania LVM-a potrzebujemy w ją-
drze wsparcia dla Device mapper. Przy
konfiguracji jądra znajdziemy go w dziale

Multiple devices driver support. Z dostęp-
nych tam dodatkowych opcji powinniśmy
zaznaczyć przynajmniej Snapshot target
oraz Mirror target – mimo, że są one ozna-
czone jako eksperymentalne, to są już
w powszechnym użyciu (najpierw musimy
wybrać Prompt for development and/or
incomplete code/drivers w dziale Code
maturity level options).

Najwygodniej

jest

wkompilować

LVM-a na stałe do jądra, ale w niektórych
dystrybucjach znajdziemy go w posta-
ci modułu o nazwie dm-mod. Jeśli pole-
gamy na jądrze dystrybucyjnym, musimy
tylko załadować ten moduł. Powinniśmy
używać jąder z serii 2.6.x, gdyż w star-
szych, z serii 2.4.x, znajduje się poprzed-
nia generacja LVM-a, która posiada nieco
mniejsze możliwości.

Poza wsparciem w jądrze, potrzebu-

jemy również zestawu programów do
tworzenia i administracji LVM. Są one
z reguły w pakiecie o nazwie lvm2,
a nie w pakiecie lvm lub lvm01, który jest
przeznaczony do współpracy ze starszy-
mi wersjami jądra. Używanie złej wersji
programów narzędziowych może ścią-
gnąć na nas nieoczekiwane problemy,
więc zwróćmy uwagę, czy mamy zainsta-
lowany właściwy i tylko właściwy pakiet.
Ponadto, musimy zainstalować wszyst-
kie biblioteki, od których jest on zależny
(zwłaszcza libdevmapper).

Wybór urządzeń

Przy projektowaniu macierzy dyskowej
musieliśmy wybrać, na których party-
cjach jakich dysków zostanie ona utworzo-
na. LVM może korzystać z poszczególnych

Listing 1.

Przykładowy raport, generowany przez vgdisplay

--- Volume group ---
VG Name dyski_IDE
System ID
Format lvm2
Metadata Areas 1
Metadata Sequence No 1
VG Access read/write
VG Status resizable
MAX LV 0
Cur LV 0
Open LV 0
Max PV 0
Cur PV 1
Act PV 1
VG Size 37,27 GB
PE Size 4,00 MB
Total PE 9540
Alloc PE / Size 0 / 0
Free PE / Size 9540 / 37,27 GB
VG UUID OEEclx-9gIP-Oqyl-R1cH-9tkK-Mlm7-rWW4xi

Rysunek 5.

Konfiguracja naszych

urządzeń wymaga użycia poleceń,
działających z linii komend

sprzęt

www.lpmagazine.org

software raid oraz logical volume manager

partycji, identycznie jak RAID, ale możemy
go również instalować bezpośrednio na
niepodzielonym na partycje dysku (jeśli
chcemy go w całości przeznaczyć do tego
celu). Ponadto, możemy również skonfi-
gurować LVM-a na urządzeniu /dev/md0,
czyli na dowolnym typie programowe-
go RAID-a. Jak wcześniej wspomniałem,
LVM, mimo swoich sporych możliwości,
nie obsługuje nadmiarowych dysków, więc
jeśli skonfigurujemy LVM-a na RAID-1, to
otrzymamy urządzenie, które łączy w sobie
zalety jednego i drugiego – podwyższone
bezpieczeństwo danych i lepszą elastycz-
ność w konfiguracji systemu.

W dalszej części artykułu podam,

jak łatwo stworzyć LVM-a na macierzy
RAID-1. Jeśli chcemy utworzyć LVM-a na
pojedynczym dysku czy partycji, wszyst-
kie czynności wykonujemy identycz-
nie, podając tylko inne nazwy urządzeń.
Zakładam, że utworzyliśmy już macierz
RAID-1, tak jak opisywałem wcześniej.

Kolejne kroki

Pierwszą czynnością jest oznaczenie
wszystkich urządzeń, które mają stać się
częścią jakiejś grupy woluminów (VG).
W naszym przypadku wydajemy pole-
cenie:

pvcreate /dev/md0

. Jeśli chcemy

zainstalować LVM-a na pojedynczej par-
tycji, np. /dev/hdb3, napiszemy

pvcre-

ate /dev/hdb3

, a gdy przeznaczamy na

LVM-a cały dysk hdb –

pvcreate /dev/hdb

W tym ostatnim przypadku powinniśmy
najpierw wymazać z tego dysku tablicę
partycji, np. poleceniem

dd if=/dev/zero

of=/dev/hdb bs=1k count=1

. Po wydaniu

polecenia

pvcreate

powinniśmy zoba-

czyć np. Physical volume "/dev/md0" suc-
cessfully created. Polecenie to powtarza-
my dla wszystkich urządzeń, które mają
być użyte w którejś z VG. Spowodu-
je ono zapisanie na początkowych sek-
torach urządzenia specyficznych danych,
identyfikujących dane urządzenie, dzięki
czemu, jeśli np. zamienimy dyski sda
i sdb, LVM będzie działało nadal bez prze-

nazwę, którą możemy dobrać według
własnego uznania. W moim przykładzie
utworzyłem VG poleceniem

vgcreate

dyski_IDE /dev/md0

, które odpowiedziało

komunikatem Volume group "dyski_IDE"
successfully created. Nadałem swojej
grupie nazwę „dyski_IDE”. Jeśli nasz wolu-
min ma się rozciągać na więcej urządzeń,
w tym poleceniu wymieniamy je wszyst-
kie, np.

vgcreate dyski_IDE /dev/hda3

/dev/hdc4 /dev/sda5

. Możemy utworzyć

więcej VG w jednym systemie (maksymal-
nie 99), ale oczywiście żadne urządzenie
fizyczne nie może być w dwóch grupach.
Przy okazji tworzenia VG możemy ustawić

Rysunek 6.

LVM pomaga nam lepiej zorganizować miejsce na dyskach

Poziomy RAID:

• Liniowy (linear mode). W tym trybie dwie

lub więcej partycji dodawanych jest do
siebie liniowo, aby utworzyć jedno duże
urządzenie RAID. Podczas zapisu na to
urządzenie, dane najpierw zapełnią całą
pierwszą partycję (pierwszy dysk), póź-
niej drugą itd. Pojemność uzyskanego
urządzenia równa jest sumie pojemno-
ści wszystkich użytych partycji. Partycje
nie muszą mieć tego samego rozmiaru.
Nie uzyskujemy zwiększenia prędkości,
a awaria jednego dysku powoduje utratę
danych z całej macierzy.

• RAID-0 (stripe). Pojemność dwóch lub

więcej urządzeń dodawana jest do sie-
bie, ale dane są zapisywane równocze-
śnie na wielu urządzeniach i podobnie
odczytywane. Jeśli mamy w ten spo-
sób połączone trzy dyski i ustaliliśmy
rozmiar paska danych (ang. stripe size)
na 16 kB, to przy nagrywaniu pliku o wiel-
kości 48 kB uruchomione zostaną wszy-
stkie dyski równocześnie i na każdym
z nich nagrane zostanie tylko 16 kB. Jak
łatwo się domyśleć, taka konfiguracja
zwiększa nawet wielokrotnie prędkość
transferu danych. Suma pojemności
dysków jest dodawana, ale powinny one
być takiej samej wielkości. Jeśli są różne,
na wszystkich dyskach używana jest
tylko pojemność najmniejszego z nich.
Awaria jednego dysku powoduje utratę
danych z całej macierzy.

• RAID-1 (mirror). Identyczne dane

zapisywane są równocześnie na
dwóch lub więcej dyskach. Odczyt
następuje z któregokolwiek z nich.
Pojemność takiej macierzy jest
równa

pojemności

najmniejszej

z użytych partycji. Prędkość zapisu jest
nieco mniejsza niż na pojedynczym
dysku. W przypadku awarii jednego
dysku, system może pracować dalej, nie
następuje żadna utrata danych.

• RAID-5. Wymaga trzech lub więcej

partycji. Wielkość powstałego urzą-
dzenia równa się sumie rozmiarów
wszystkich użytych partycji minus roz-
miar jednej. Jeśli mamy cztery par-
tycje po 15 GB, uzyskujemy 45 GB
miejsca. Gdy rozmiary partycji nie są
równe, w obliczeniach stosujemy wiel-
kość najmniejszej z nich. To odejmo-
wane miejsce wykorzystywane jest do
przechowywania kontroli parzystości
z urządzeń, dzięki czemu w przypad-
ku awarii jednego z dysków możliwe
jest odtworzenie wszystkich danych.
W przypadku równoczesnej awarii
dwóch dysków, dane zostaną bezpow-
rotnie utracone. Prędkość działania jest
zbliżona do RAID-0, ale przy zapisie
jest minimalnie mniejsza, gdyż oblicza-
na jest „parzystość” danych (a dokład-
niej wykonywana jest operacja logiczna
Exclusive OR na poszczególnych bitach
ze wszystkich dysków).

Ponadto rzadko stosowane są:

• RAID-4 – podobny do RAID-5, ale infor-

macja o parzystości jest zapisywana
wyłącznie na jednym urządzeniu, przez
co staje się ono wąskim gardłem. Powin-
no być dużo szybsze niż pozostałe.

• RAID-6 – podobny do RAID-5, z jesz-

cze jednym dyskiem na dane o parzy-
stości, dzięki czemu może przetrwać
równoczesną awarię dwóch dysków.

• RAID-2, RAID-3 są podobne do RAID-

4, ale nie przyjęły się i nie było sensu
zapewniać dla nich wsparcia w Linuksie.

• RAID-10 – Jest to RAID-0, ale poszcze-

gólnymi jego elementami nie są partycje
fizycznych dysków, a macierze RAID-1.
Wymaga więc czterech lub większej
liczby dysków.

szkód (nie dotyczy to mojego systemu,
w którym LVM powstaje na RAID-1).

Drugą czynnością jest utworzenie

grupy woluminów. Każda grupa ma swoją

sprzęt

styczeń 2005

rozmiar PE – według HOWTO domyślną
wartością jest 32 MB, ale na moim syste-
mie

vgcreate

użył wartości 4 MB. Własną

wartość możemy podać przy pomocy
opcji -s, np.

vgcreate -s 32 /dev/md0

Podana liczba (domyślnie w megabajtach)
musi być potęgą dwójki.

Następny krok to aktywacja woluminu.

Przeprowadzamy ją poleceniem

vgchan-

ge --available y dyski_IDE

. Powinno

ono odpowiedzieć: 0 logical volume(s) in

volume group "dyski_IDE" now active. Co
ważne, od tego momentu skrypty, odpo-
wiadające za start i zamykanie systemu,
które zainstalowaliśmy razem z pakietem
lvm2, będą opiekowały się naszym wolu-
minem, czyli aktywowały go przy starcie
i dezaktywowały przy zamykaniu syste-
mu.

Po aktywacji VG możemy uzyskać cie-

kawe informacje na jego temat, wydając
komendę

vgdisplay dyski_IDE

. Wynik jej

działania na moim systemie zamieściłem
na Listingu 1. Widzimy, że nasz rozmiar
PE wynosi 4 MB (PE Size), a do dyspozycji
mamy 9540 PE. Zwróćmy uwagę, że w tym
przykładzie LVM widzi tylko jedno urzą-
dzenie fizyczne (jest nim /dev/md0), mimo
że faktycznie mamy dwa dyski.

Zbliżamy się do końca. Teraz utwo-

rzymy woluminy logiczne. Jak wspomnia-
łem wcześniej, na jednym VG możemy
utworzyć wiele woluminów logicznych
(w systemie może ich być maksymal-

nie 256). Woluminy logiczne (LV), podob-
nie jak grupy woluminów (VG), mogą
mieć dowolne nazwy, wymyślone przez
nas.

Przeanalizujmy przykładowe polece-

nie, tworzące LV:

lvcreate -l3000 -nka-

talogi_domowe dyski_IDE

. Ta komenda

utworzyła LV o nazwie „katalogi_domowe”
i rozmiarze 3000 PE, czyli na moim sys-
temie 12000 MB. Nowy wolumin logicz-
ny powstał na bazie grupy woluminów
o nazwie „dyski_IDE”. Domyślnie, dane
zapisywane na tym woluminie będą zaj-
mowały po kolei dostępne miejsce na
poszczególnych urządzeniach fizycznych.
Dostęp do tego woluminu otrzymujemy
przez plik urządzenia /dev/dyski_IDE/
katalogi_domowe. Jeśli budujemy LVM-a
na bazie dwóch lub więcej niezależnych
urządzeń, możemy użyć opcji -i, aby sko-
rzystać z możliwości rozdzielania opera-
cji dyskowych (stripe) na kilka urządzeń.
Polecenie

lvcreate -i2 -l3000 -nnazwa_LV

nazwa_VG

spowoduje, że dane będą roz-

dzielane na dwa urządzenia. Jeśli mamy
więcej urządzeń, z powodzeniem możemy
zwiększyć ten parametr.

Na ogół, gdy korzystamy z LVM-a, nie

interesuje nas, na które fizyczne urządze-
nie trafią dane z konkretnego woluminu
logicznego – mamy bowiem kilka urzą-
dzeń, połączonych w jednym VG. Mimo
to, do polecenia

lvcreate

możemy dodać

jeszcze jedną opcję, która określi, z które-
go urządzenia fizycznego system skorzy-
sta, gdy zacznie zapełniać nasz wolumen.
Przykładowo,

lvcreate -l3000 -nnazwa_LV

nazwa_VG /dev/sdh1

określi pierwsze użyte

urządzenie jako /dev/sdh1. Oczywiście,
gdy skończy się tam miejsce, LVM zacznie
korzystać z innych urządzeń.

Aby usunąć wolumin logiczny, wyda-

jemy polecenie

lvremove /dev/dyski_IDE/

katalogi_domowe

. Najpierw musimy odmon-

tować systemy plików, jeśli jakieś zdążyli-
śmy już utworzyć i zamontować, korzysta-
jąc z /dev/dyski_IDE/katalogi_domowe.

Do zmiany nazwy LV możemy użyć

komendy

lvrename

. Przydatny jest również

program

lvscan

, który pokaże nam infor-

macje o wszystkich działających wolumi-
nach logicznych.

Ja na swoim systemie utworzyłem

od razu jeszcze jeden wolumin:

lvcre-

ate -l3000 -nlogi_systemowe dyski_IDE

a następnie wydałem polecenie

vgdisplay

które pokazało mi m.in. ilość wolnych PE:

Free PE / Size 3540 / 13,83 GB

Rysunek 7.

Wynik działania programu

Bonnie++ po konwersji do html

Jak testować dyski?

Zapewne wielu użytkowników Linuksa
zna narzędzie

hdparm

. Przy jego pomocy

możemy m.in. sprawdzić szybkość liniowego
transferu danych z dysku. To bardzo prosty
test, umożliwiający porównywanie różnych
dysków – w istocie bardzo niewiele mówi
nam o tym, jak wydajna będzie nasza pamięć
masowa, a już zupełnie nie nadaje się do
testowania RAID-a czy LVM-a.

Nie ma jednego, uniwersalnego mierni-

ka prędkości dysku, ponieważ każdy system
komputerowy jest inny – jedne ciągle odczytu-
ją pliki wielkości kilku gigabajtów, a inne dzie-
siątki tysięcy plików o wielkości kilku kilobaj-
tów. Na jednych równie ważna jak prędkość
odczytu jest prędkość zapisu, a na innych nie
ma ona znaczenia. Niektóre programy czytają
dane liniowo, a inne wciąż przeszukują dysk.
Z tego powodu mierząc wydajność pamięci
masowej, zawsze musimy brać pod uwagę
konkretny system.

Najpopularniejszym programem, który

da nam więcej informacji na temat dzia-
łania dysku jest Bonnie++ (http://www.
coker.com.au/bonnie++/). Jeśli nie znajduje-
my go w swojej dystrybucji, możemy ściągnąć
źródła z jego strony domowej, aby skompilo-
wać i zainstalować je tradycyjnymi komenda-
mi:

./configure

;

make

;

make install

. Pro-

gram ten testuje szybkość działania nie tyle
samego twardego dysku, a systemu plików.
Na testowanym dysku musimy założyć jakąś
partycję, utworzyć na niej system plików
i zamontować w systemie. Następnie prze-
chodzimy do katalogu, gdzie zamontowany
jest testowany dysk (np.

cd /mnt/test

) i uru-

chamiamy program:

bonnie++ -s 1000k

-n 128 -b

. Przy pomocy opcji -s 1000k

ustaliliśmy wielkość pliku, który utwo-
rzy Bonnie++, aby sprawdzić prędkości
zapisu i odczytu liniowego. Opcja -n 128
określa, jak wiele tysięcy małych plików
(o rozmiarze zerowym) ma zostać utwo-
rzonych, aby zmierzyć czas ich tworzenia,
odczytu oraz kasowania. Ostatnia opcja -b
wyłącza buforowanie zapisów, synchronizu-
jąc dysk po każdym z nich (fsync()), przez
co program zachowuje się jak popularne
bazy SQL czy serwery SMTP, które czynią
podobnie.

Po kilku lub kilkunastu minutach testów,

program wydrukuje kilka linii – na początku
będą dwie mało czytelne tabele z wynika-
mi, natomiast ostatnia linia zawiera wszyst-
kie wyniki, rozdzielone przecinkami. Aby
uzyskać ładną i czytelną tabelę z wynika-
mi w formacie html, możemy użyć progra-
mu

bon_csv2html

. Wczytuje on przez stan-

dardowe wejście ostatnią linię z wydru-
ku Bonnie++ i drukuje plik html na stan-
dardowym wejściu. Możemy użyć go więc
tak:

echo <ostatnia lini z bonie++> |

bon_csv2html >/tmp/dysk1.html

. Oczywi-

ście, interesującą nas długą linię z wynika-
mi działania Bonnie++ najwygodniej będzie
zaznaczyć i wkleić do tej komendy przy
pomocy myszki.

Wartości, podawane przez Bonnie++,

będą uzależnione nie tylko od dysku twar-
dego, ale również od zastosowanego syste-
mu plików (ext2/ext3), prędkości procesora,
obciążenia systemu itd.

sprzęt

www.lpmagazine.org

software raid oraz logical volume manager

Aby zapełnić całkowicie swój VG, two-
rząc ostatni wolumin logiczny, powinie-
nem podać parametr -l3540, gdyż tyle
zostało mi jednostek alokacji. Wiedzia-
łem jednak, że dobrze jest zostawić sobie
trochę miejsca na snapshot'y, o których
napiszę w dalszej części, więc wykonałem
polecenie

lvcreate -l3490 -nbazy_danych

dyski_IDE

W tym momencie jesteśmy gotowi, aby

sformatować wszystkie utworzone urzą-
dzenia. W moim systemie przykładowe
komendy mogą wyglądać tak:

mkfs.ext3 /dev/dyski_IDE/bazy_danych
mkfs.ext3 /dev/dyski_IDE/katalogi_domowe
mkfs.ext3 /dev/dyski_IDE/logi_systemowe

LVM w akcji

W tym momencie zapewne wielu Czytel-
ników zadaje sobie pytanie, po co wymy-
ślono LVM? Jak na razie dosyć długi opis
doprowadził nas do sytuacji, w której
mamy zwyczajny system. Co prawda jest
on zabezpieczony przed awarią jednego
dysku twardego, ale to zasługa wyłącznie
RAID-1, a nie LVM. Dodatkowo, mamy
spowolniony dostęp do dysku (prosty test
z komendą

na LVM-ie działa u mnie

o trzy sekundy dłużej niż na samym
tylko RAID-1). Oczywiście, LVM nie
został stworzony po to, aby mieć fan-
tazyjne nazwy urządzeń. Zobaczmy,
jak przy jego pomocy administrować
miejscem na dysku i jak wygodnie wyko-
nywać kopie bezpieczeństwa danych.

Dodajemy dysk

Załóżmy, że zabrakło miejsca na urzą-
dzeniu /dev/dyski_IDE/bazy_danych.
Do systemu dołożyliśmy nowy dysk
i możemy z niego wykorzystać jedną
partycję – /dev/sda3. Oczywiście, nie
jest to najlepszy pomysł, bowiem nasze
wcześniejsze urządzenia znajdują się na
RAID-1, więc są zabezpieczone przed
awarią jednego z dysków. Jeśli do całej
grupy woluminów dodamy jedno urzą-
dzenie fizyczne bez takiej ochrony,
w przypadku jego awarii stracimy
wszystkie dane. W realnym świecie
powinniśmy dodać przynajmniej dwie
partycje na różnych urządzeniach, two-
rząc na nich najpierw RAID-1. Na po-
trzeby demonstracji w tym artykule
posłużymy się jednak prostym przy-
kładem z jedną partycją.

Zaczynamy do zainicjowania partycji:

# pvcreate /dev/sda3
Physical volume "/dev/sda3" successfully

created

Następnie rozszerzamy grupę wolumi-
nów o nowe urządzenie:

# vgextend dyski_IDE /dev/sda3
Volume group "dyski_IDE" successfully

extended

Przy pomocy komendy

vgdisplay

spraw-

dzamy efekt naszych działań. Fragment jej
raportu u mnie wyglądał tak:

VG Size 74,52 GB
PE Size 4,00 MB
Total PE 19078
Alloc PE / Size 9540 / 37,27 GB
Free PE / Size 9538 / 37,26 GB

Możemy w tym momencie utworzyć cał-
kiem nowy wolumin logiczny na 9538
wolnych PE, ale nie o to nam przecież
chodzi, bo aktualnie zabrakło nam miej-
sca na woluminie zamontowanym
w /bazy. Po wykonaniu komendy

df -h

aktualnie mamy:

/dev/mapper/dyski_IDE-bazy_danych

14G 13G 397M 98% /bazy

Aby dodać wszystkie 9538 wolne PE do
tego woluminu, wydajemy komendę:

lvextend -l +9538 /dev/dyski_IDE/

bazy_danych

W ten sposób powiększyliśmy sam
wolumin logiczny, co możemy spraw-
dzić poleceniem

lvscan

. Teraz musimy

powiększyć system plików, aby obejmo-
wał miejsce na całym LV. Istnieją spe-
cjalne łatki na jądro, które pozwalają na
wykonanie tej operacji bez odmontowa-
nia systemu plików, ale my na chwilkę
zróbmy

umount /bazy/

i wydajmy pole-

cenie

resize2fs -p /dev/dyski_IDE/bazy

danych

. Program może nas popro-

sić, abyśmy sprawdzili system plików
przed zmianą jego rozmiaru, więc

sprzęt

styczeń 2005

w takim przypadku napiszemy:

e2fsck

-f /dev/dyski_IDE/bazy_danych

i wyda-

my komendę resize2fs ponownie. Pozo-
staje nam teraz tylko zamontować
LV ponownie i sprawdzić, co pokaże

df -h

. U mnie otrzymałem:

/dev/mapper/dyski_IDE-bazy_

danych 51G 13G 36G 27% /bazy

Operacja trwała bardzo krótko i zakoń-
czyła się sukcesem. Bez LVM koniecz-
na byłaby zapewne modyfikacja tablicy
partycji na przynajmniej jednym dysku,
a następnie mozolne przenoszenie danych.
Wszystko to spowodowałoby znacznie
dłuższą przerwę w pracy systemu.

Powiększanie systemu plików jest moż-

liwe nie tylko na ext2/ext3. Jeśli korzy-
stamy z reiserfs, w analogiczny sposób
używamy komendy

resize_reiserfs -f

W przypadku xfs mamy program

xfs_

growfs

, ale istotna różnica polega w tym

przypadku na tym, że powinniśmy pozo-
stawić system plików zamontowany, a jako
parametr tego programu podać punkt
zamontowania (np.

xfs_growfs /bazy

Inne manipulacje dyskami

W przypadku, gdy chcemy usunąć z sys-
temu jeden dysk (np. hdb) i mamy na tyle
dużo wolnego miejsca na pozostałych,
aby zmieścić tam wszystkie dane, wyda-
jemy polecenie:

pvmove /dev/hdb

. Teraz

wszystkie dane z hdb zostały przenie-
sione na pozostałe dyski, w ramach tej
samej grupy woluminów (VG). Następ-
nie

vgreduce nazwa_VG /dev/hdb

powo-

duje, że dysk nie jest już członkiem VG
o nazwie nazwa_VG.

Gdy do systemu dodaliśmy nowy dysk

dodany (np. sdf ), na który chcemy prze-
nieść dane ze starego (np. hdb), wydaje-
my polecenia:

# pvcreate /dev/sdf; vgextend dev /dev/sdf
# pvmove /dev/hdb /dev/sdf; vgreduce dev

/dev/hdb

Wcześniej powiększaliśmy wolumin lo-
giczny. Oczywiście, jest możliwe równie
łatwe zmniejszenie go. Problem pojawia
się ze zmniejszeniem systemu plików,
bowiem tylko ext2/ext3 oraz reiserfs
pozwalają na taką operację. Przykładowo:

# umount /home
# resize2fs /dev/dyski_IDE/katalogi_

domowe 524288

# lvreduce -L-1G /dev/dyski_IDE/

katalogi_domowe
# mount /home

W tym przypadku, jako parametr progra-
mu

resize2fs

, musieliśmy podać nową

wielkość systemu plików.

LVM zawiera również narzędzia do

przenoszenia grupy woluminów (VG)
na inne komputery, gdyż nie wystarczy
zwykłe przełożenie dysków. Powin-
niśmy, po odmontowaniu systemu
plików i dezaktywacji VG (

vgchange --

activate n nazwa_VG

), wykonać polece-

nie

vgexport nazwa_VG

, a następnie po

przełożeniu dysku do nowego kompu-
tera –

vgimport nazwa_VG

Snapshot

Wykonywanie kopii bezpieczeństwa
trwa dosyć długo, a nie każdy może
pozwolić sobie na zupełne zatrzymanie
systemu na ten czas. Wtedy utrapieniem
stają się pliki, które zostały zmodyfi-
kowane w czasie wykonywania kopii.
LVM udostępnia nam specjalny mecha-
nizm, który pozwala na obejście tego
problemu.

Możemy utworzyć snapshot aktual-

nego stanu któregoś z naszych wolumi-
nów logicznych. Snapshot jest dla admi-
nistratora systemu kolejnym wolumi-
nem logicznym, zawierającym kopię
któregoś z LV. Kopia ta nie zmienia
się, nawet jeśli na oryginale wyko-
nywane są operacje zapisu. Oczywi-
ście, przy tworzeniu snapshota dane na
nim zawarte nie są fizycznie kopiowa-
ne na nowy wolumin logiczny. Potrze-
bujemy trochę miejsca na danym VG,
aby było gdzie zapisywać informacje
o plikach, które zmieniły się od czasu
utrwalenia stanu woluminu logicznego.
Jeśli mamy katalog /home, w którym
znajduje się 20 GB danych, to wiemy,
że zrobienie jego kopii bezpieczeństwa
zajmie 10 minut. Zakładamy, że w ciągu
tych 10 minut na partycji z /home
użytkownicy utworzą lub zmodyfikują
co najwyżej 200 MB danych. Tyle wła-
śnie miejsca musimy mieć na danej
grupie woluminów. Snapshot tworzymy
poleceniem:

# lvcreate -L200M -s -n tylko_backup

/dev/dyski_IDE/katalogi_domowe

Jeśli używamy systemu plików xfs, pole-
cenie musi być nieco dłuższe:

# xfs_freeze -f /home; lvcreate -L200M

-s -n tylko_backup /dev/dyski_IDE/

katalogi_domowe

W tym momencie możemy zamontować
(tylko do odczytu) wolumin logiczny
o nazwie „tylko_backup”, który zawiera
kopię woluminu „katalogi_domowe”:

# mount /dev/dyski_IDE/tylko_backup

/mnt/backup/

Po zakończeniu wykonywania kopii
bezpieczeństwa, wydajemy polecenie:

lvremove -f /dev/dyski_IDE/tylko_backup

Musimy uważać, aby do tego czasu
zmiany na woluminie nie przekroczy-
ły rozmiaru snapshotu – w tym przy-
kładzie 200 MB. Po przepełnieniu staje
się on bowiem bezużyteczny i podob-
nie trzeba traktować dane z niego sko-
piowane.

Zakończenie

Stosowanie RAID-a i LVM-a może bardzo
ułatwić pracę administratora i zwiększyć
bezpieczeństwo oraz wydajność systemu.
Rozwiązania te często powodują jednak,
że czynności niegdyś proste (np. przenie-
sienie dysku do innego komputera) stają
się znacznie bardziej skomplikowane, a w
przypadku, gdy dochodzi już do awarii
któregoś z nich, odzyskanie danych jest
znacznie trudniejsze. Konieczne staje się
zaopatrzenie w odpowiednie narzędzia
do ratowania systemu, które będą potra-
fiły sobie poradzić z systemami plików
na takich urządzeniach, np. mini-dys-
trybucja (R)ecovery (I)s (P)ossible Linux.
Innymi słowy, rozwiązując pewne proble-
my, dokładamy sobie często cały szereg
nowych.

W Internecie:

• LVM HOWTO:

http://www.tldp.org/HOWTO/
LVM-HOWTO/

• Software RAID HOWTO:

http://www.tldp.org/HOWTO/
Software-RAID-HOWTO.html

• Dystrybucja ratunkowa,

m.in. dla RAID i LVM:

http://www.tux.org/pub/people/

kent-robotti/looplinux/rip/

• Strona domowa dystrybucji

(R)ecovery (I)s (P)ossible Linux:
http://www.tux.org/pub/people/

kent-robotti/looplinux/rip/

dla programistów

styczeń 2005

Pyro i OpenSSL

– bezpieczny

komunikator internetowy

Marek Sawerwain

dy planujemy przesyłać isto-
tne informacje poprzez Inter-
net, to wprowadzenie szy-
frowania danych w naszym

aplikacjach rozproszonych jest bardzo
ważnym zagadnieniem. Istnieje wiele
bibliotek wspomagających nas w tym
temacie. Jedną z najbardziej znanych jest
OpenSSL. Jest ona dostępna we wszyst-
kich większych dystrybucjach Linuk-
sa. Odpowiada za realizację bezpiecz-
nych kanałów komunikacyjnych w opar-
ciu o protokół SSL i jest wykorzystywana
przez wiele programów, w tym przeglą-
darki WWW.

Zastosowanie biblioteki OpenSSL naj-

lepiej pokazać na przykładzie. W nume-
rze Linux+ 10/2003 prezentowałem prosty
komunikator na wzór bardzo popularne-
go Gadu-Gadu. Jedną z niedoskonało-
ści tamtego programu była komunikacja
bez jakiegokolwiek szyfrowania danych.
W tym artykule postaram się pokazać,
jak małym kosztem zmienić ten stan
rzeczy.

Kilka postanowień

na początek

Najważniejszym zadaniem będzie doda-
nie do komunikatora obsługi szyfrowa-
nego kanału. Uprzedzając dalszą część
artykułu, już teraz mogę zdradzić, iż jest
to zadanie łatwe do wykonania. Głównie
dlatego, iż Pyro znakomicie współpracu-
je z biblioteką OpenSSL.

Aby w naszym komunikatorze znala-

zła się obsługa SSL, wymagana jest jesz-
cze instalacja jednego pakietu o nazwie
M2Crypt. Kilka uwag na ten temat zawiera
ramka Kompilacja i instalacja pakietów.

Pozostałe założenia naszego progra-

mu pozostają niezmienione. Nadal jest
to program napisany w Pythonie. Będzie
korzystał z biblioteki GTK+ oraz z plików

opisu interfejsu pochodzących z progra-
mu Glade.

Do poprawnego działania będzie

wymagał, tak jak poprzednio, dwóch uru-
chomionych usług Pyro: serwera nazw
(usługę uruchamiamy poprzez wydanie
polecenia ns) oraz serwera zdarzeń (usługę
należy uruchomić wydając polecenie es).

Warto przedstawić sposób działa-

nia naszej aplikacji w postaci schema-
tu, który znajduje się na Rysunku 1. Jak
widać, mamy trzy specjalne serwery. Ser-
wery zdarzeń i nazw należą do systemu
Pyro, ale główny serwer, nazwany ser-
werem rozmów, musimy napisać samo-
dzielnie, a raczej poprawić kod, doda-
jąc obsługę SSL, bo przecież serwer już
wcześniej napisaliśmy.

Typowy serwer Pyro

Program komunikatora to wbrew pozo-
rom niewielka aplikacja. Łączny kod źró-
dłowy serwera i klienta to tylko 7 kB
tekstu źródłowego w Pythonie. Zanim
wprowadzimy obsługę SSL do komunika-
tora, chciałbym przedstawić typową apli-
kację Pyro.

Listing 1 zawiera kod klasy o nazwie

test_obj

. Poprzez Pyro chcemy udostęp-

nić tę klasę w sieci tak, aby inny użyt-
kownicy Pythona mogli ją wykorzy-
stać we własnych programach. Pierwszą
czynnością jest definicja klasy (Listing 1),
którą zapisujemy w oddzielnym pliku
o nazwie test_obj.py.

Istnieje kilka sposobów na napisanie

serwera. Poniżej zaprezentuję sposób, który
został użyty w komunikatorze. Pierwszym
elementem w implementacji serwera jest
dołączenie odpowiednich pakietów:

import Pyro.core
import Pyro.naming
import test_obj

O autorze

Autor zajmuje się tworzeniem

oprogramowania dla WIN32

i Linuksa. Zainteresowania:

teoria języków programowania

oraz dobra literatura.

Kontakt z autorem:

autorzy@lpmagazine.org

Na płycie CD/DVD

Na płycie CD/DVD znajdują się

wykorzystywane biblioteki, kod

źródłowy programu oraz wszyst-

kie listingi z artykułu.

dla programistów

python/pyro/ssl

www.lpmagazine.org

Dwa pierwsze dotyczą Pyro, ale ostatni
pakiet to nasza klasa, którą mamy zamiar
udostępnić. W tym celu w serwerze
definiujemy specjalną klasę pośrednią
w następujący sposób:

class test_obj_class

(Pyro.core.ObjBase, test_obj.test_obj):
def __init__(self):
Pyro.core.ObjBase.__init__(self)

Następnie uruchomiamy serwer metodą

initServer

Pyro.core.initServer()

W przeciwieństwie do wcześniejszego
kodu serwera komunikatora, określa-
my jeszcze kilka dodatkowych informa-
cji. Na początku określamy ilość infor-
macji, które będą zapisywane do pliku
zdefiniowanego za pomocą następnej
linii:

Pyro.config.PYRO_TRACELEVEL=3
Pyro.config.PYRO_LOGFILE='server_log'

Później określamy komputer, na którym
został uruchamiany serwer nazw:

Pyro.config.PYRO_NS_HOSTNAME='localhost'

Ustalenie adresu serwera nazw oraz serwe-
ra zdarzeń (

Pyro.config.PYRO_ES_HOSTNAME

)

jest szczególnie istotne, gdy będziemy testo-
wać program na komputerze, na którym nie

ma zainstalowanej sieci i jest dostępny tylko
adres lokalny

127.0.0.1

Następnym krokiem w implementa-

cji serwera jest uzyskanie obiektu ser-
wera nazw:

ns=Pyro.naming.NameServerLocator().getNS()

Ostatnim obiektem do utworzenia jest

daemon

daemon=Pyro.core.Daemon()

Konieczną operacją jest podanie mu
obiektu serwera nazw i to wykonujemy
w następujący sposób:

daemon.useNameServer(ns)

Ostatnie czynności w serwerze polegają
na podłączeniu naszego obiektu. W pierw-
szym parametrze wykorzystujemy klasę
pomocniczą

test_obj_class

, a w drugim

ciąg znaków reprezentujący nasz obiekt,
czyli

test_obj

. Na koniec możemy wywo-

łać metodę

requestLoop

, co spowoduje

uruchomienie serwera. Kod tych dwóch
czynności przedstawia się następująco:

uri=daemon.connect(test_obj_class(), "test_obj")
daemon.requestLoop()

Klient Pyro

W programie klienta, podobnie jak w ser-
werze, na początek dołączamy potrzeb-
ne pakiety:

Rysunek 1.

Schemat działania komunikatora

Kompilacja oraz

instalacja pakietów

Nasza aplikacja to dość mały program.
Wielkość jest wynikiem zastosowania
kilku bibliotek, które pozwalają zaim-
plementować całkiem zgrabną apli-
kację minimalną ilością kodu. Z tego
powodu, aby nasz komunikator zadzia-
łał, potrzebny jest język programowa-
nia Python oraz pakiet OpenSSL. Sam
język, jak również bibliotekę, znajdzie-
my bez problemów w każdej dystrybucji
Linuksa. Autorzy biblioteki Pyro zale-
cają najnowszą wersję Pythona, naj-
lepiej 2.3.3, oraz wersję OpenSSL nie
starszą niż 0.9.7 (jeśli w dystrybucji jest
starsza wersja, to koniecznie trzeba
dokonać aktualizacji tego pakietu).

Biblioteki Pyro raczej nie znajdzie-

my, ale zanim przystąpimy do jej insta-
lacji, należy zainstalować inną biblio-
tekę o nazwie M2Crypt. Będzie ona
obsługiwać połączenia szyfrowane
SSL. Biblioteka M2Crypto ma również
swoje wymagania i do poprawnej kom-
pilacji wymaga pakietu SWIG w wersji
przynajmniej 1.3.21. Pakiet SWIG jest
oferowany przez niektóre dystrybucje,
ale gdy pojawi się konieczność jego
kompilacji, to dzięki skryptowi confi-
gure sprawdza się ona do trzech pole-
ceń:

# ./configure –prefix=/katalog
# make
# make install

Proces kompilacji oraz instalacji pakie-
tu M2Crypto (jak również Pyro) sprowa-
dza się do dwóch poleceń:

# python setup.py build
# python setup.py install

Pamiętajmy, aby wcześniej zainsta-
lować wszystkie pakiety bezpośred-
nio związane z interpreterem Pytho-
na oraz pakiety związane z biblioteką
OpenSSL.

Nasz komunikator wymaga jeszcze

jednej biblioteki do poprawnego działa-
nia, a mianowicie PyGTK+, gdyż wyko-
rzystujemy GTK+ oraz pakiet libgla-
de. Wiele dystrybucji, np. Aurox, Man-
drakelinux czy Fedora Core, zawiera-
ją odpowiednie pakiety – wystarczy je
tylko doinstalować.

dla programistów

styczeń 2005

import Pyro.util
import Pyro.core

Następnie inicjujemy klienta:

Pyro.core.initClient()

Później ustalamy parametry pomocnicze,
takie jak adres komputera, na którym
znajduje się serwer nazw.

Gdy to zrobimy, możemy uzyskać

referencję do zdalnego obiektu. Wyko-
rzystujemy metodę

getProxyForURI

test = Pyro.core.getProxyForURI

("PYRONAME://test_obj")

Po tych czynnościach metody ze zdalne-
go obiektu wywołujemy tak samo, jak
przy lokalnych obiektach:

print test.m1("Abcdef")
print test.m2(5)

Dodajemy obsługę SSL

do serwera

Jak widać, napisanie nieskompliko-
wanego serwera i klienta przy zasto-
sowaniu Pyro to dość łatwe zada-
nie. Kod źródłowy biblioteki zawie-
ra wiele przykładów, które polecam
przejrzeć czytelnikom, którzy w tym
momencie zainteresowali się tą biblio-
teką. Naszym głównym zadaniem jest
jednak komunikacja za pomocą proto-
kołu SSL.

Listing 2 zawiera pełny kod serwera

udostępniającego obiekt

test_obj

przy

zastosowaniu protokołu SSL. Postać ser-
wera jest bardzo podobna do poprzed-
niego przykładu, w którym komunika-
cja jest jawna.

Pierwszą różnicą są pakiety, które

dołączamy. Istotny jest

Pyro.protocol

używany w klasie

printCertValidator

Kolejna różnica kryje się w tworzeniu
obiektu

daemon

. W argumencie konstruk-

tora podajemy wartość

PYROSSL

daemon=Pyro.core.Daemon(prtcol='PYROSSL')

W ten sposób nakazujemy stosowanie
protokołu SSL.

Następnie podłączamy klasę

print-

CertValidator

, której zadaniem jest

sprawdzenie poprawności certyfikatu:

daemon.setNewConnectionValidator

(printCertValidator())

Listing 2.

Pełny kod serwera oparty o protokół SSL

#! /usr/bin/env python

import

sys

import

Pyro

core

import

Pyro

naming

import

Pyro

util

import

Pyro

protocol

from

Pyro

errors

import

PyroError

NamingError

from

Pyro

protocol

import

getHostname

import

test_obj

class

test_obj_class

(

Pyro

core

ObjBase

test_obj

def

__init__

(

self

Pyro

core

ObjBase

__init__

(

self

)

class

printCertValidator

(

Pyro

protocol

BasicSSLValidator

def

checkCertificate

(

self

cert

None

return

(

)

print

"Cert Subject: %s"

cert

get_subject

()

return

(

)

##### main program #####

Pyro

core

initServer

()

Pyro

config

PYRO_TRACELEVEL

Pyro

config

PYRO_NS_HOSTNAME

'localhost'

Pyro

config

PYRO_LOGFILE

'server_log'

Pyro

naming

NameServerLocator

()

getNS

()

daemon

Pyro

core

Daemon

(

prtcol

'PYROSSL'

)

daemon

setNewConnectionValidator

(

printCertValidator

())

daemon

useNameServer

(

)

uri

daemon

connect

(

test_obj_class

()

"test_obj"

)

print

"Server is ready. Let's go!!!"

daemon

requestLoop

()

Listing 1.

Postać klasy test_obj

class

test_obj

def

(

string

print

"Metoda m1 parametr:"

string

return

"Długość ciągu znaków: "

str

(

len

(

string

))

def

(

number

print

"Metoda m2 parametr:"

number

return

"Kwadrat liczby:"

+str(

number

)

dla programistów

python/pyro/ssl

www.lpmagazine.org

Kolejne czynności pozostają niezmie-
nione w porównaniu do zwykłego ser-
wera.

Zajmijmy się teraz klasą

printCert-

Validator

. Zawiera ona jedną metodę

–

checkCertificate

. Musi ona zwrócić

pewne określone wartości. Jeśli chcemy
zaakceptować certyfikat, to jako war-
tość powrotną zwracamy parę

(1,0)

W przypadku odrzucenia certyfikatu,
za pomocą słowa

return

musimy

przekazać parę

(0, kod_błędu)

. Przez

kod_błędu

rozumiemy jedną z poniż-

szych wartości:

•

Pyro.constants.DENIED_UNSPECIFIED

– dowolny powód błędu;

•

Pyro.constants.DENIED_SERVERTOOBUSY

– serwer jest zbyt zajęty;

•

Pyro.constants.DENIED_HOSTBLOCKED

– blokada komputera;

•

Pyro.constants.DENIED_ SECURITY

– błąd związany z bezpieczeństwem.

Na Listingu 2, gdy nie ma certyfikatu,
zwracamy parę

(0,3)

, co oznacza błąd

związany z bezpieczeństwem.

Jak widzimy, dodanie obsługi SSL

wymaga dołączenia jednej klasy oraz
kosmetycznych zmian w kodzie. Oprócz
serwera, musimy wygenerować certyfi-
katy dla serwera i klienta. Informacje o
tym, jak tego dokonać, podam w dal-
szej części artykułu. Teraz zajmiemy się
klientem.

Program klienta

W programie serwera najważniej-
szą zmianą było dodanie w kon-
struktorze obiektu

daemon

informacji

o tym, że będziemy korzystać z pro-
tokołu SSL. W kliencie nie musimy
wykonywać żadnych zmian! Bibliote-
ka Pyro samodzielnie wykryje fakt, że
serwer korzysta z protokołu SSL i klient
samoczynnie przełączy się na komu-
nikację poprzez SSL. Z tego powodu
uzyskanie referencji do obiektu nadal
możemy wykonywać w ten sposób:

test1 = Pyro.core.getProxyForURI

("PYRONAME://test_obj")

Jeśli jednak chcemy jawnie określić
komputer oraz fakt użycia przez nas pro-
tokołu SSL, to możemy w wywołaniu
metody

getProxyForURI

podać pełne

dane w następujący sposób:

test2 = Pyro.core.getProxyForURI
("PYROLOCSSL://localhost/test_obj")

Ostatni składnik w adresie to nazwa obie-
ktu, którą podaliśmy w drugim argu-
mencie metody

connect

podczas rejestro-

wania naszej klasy w serwerze.

Jak widać, siłą Pyro jest automaty-

zacja wielu operacji. Istotne zmiany,
które należy wprowadzić, aby zwięk-
szyć bezpieczeństwo aplikacji Pyro,
wykonujemy tylko po stronie serwe-
ra. Uzbrojeni w tę wiedzę w bardzo
łatwy sposób możemy dokonać zmian
w naszym komunikatorze.

Generowanie certyfikatów

Bezpieczeństwo komunikacji ściśle zależy
od utworzonych certyfikatów. Z tego
powodu, zanim zaczniemy modyfiko-
wać nasz program, wygenerujemy sto-
sowne certyfikaty. Nie jest to trudne,
ale musimy znać obsługę programu
openssl. Możemy ułatwić sobie zada-
nie, jeśli będziemy korzystać ze skryp-
tu pomocniczego, dostępnego w kodzie
źródłowym pakietu OpenSSL. Potrzeb-
ny skrypt można odnaleźć wtedy

Listing 3.

Postać plików z certyfikatami dla protokołu SSL

Plik z głównym certyfikatem:

-----BEGIN CERTIFICATE-----

MIIDkjCCAvugAwIBAgIBA i tak dalej ....
-----END CERTIFICATE-----

Plik client.pem:
-----BEGIN CERTIFICATE-----

MIIDvzCCAyigAwIBAgIBATANBgkqh i tak dalej ....
-----END CERTIFICATE-----

-----BEGIN RSA PRIVATE KEY-----
MIICXQIBAAKBgQC7ixGOs2Sq i tak dalej ...
-----END RSA PRIVATE KEY-----
Plik server.pem:
-----BEGIN CERTIFICATE-----

MIIDvzCCAyigAwIBAgIBATANBgkqh i tak dalej ....
-----END CERTIFICATE-----

-----BEGIN RSA PRIVATE KEY-----
MIICXQIBAAKBgQC7ixGOs2Sq i tak dalej ...
-----END RSA PRIVATE KEY-----

Rysunek 2.

Nasza aplikacja podczas rozmowy

dla programistów

styczeń 2005

w katalogu Apps. Pojawia się on w dwóch
wersjach: dla języka Perl, jako plik
o nazwie CA.pl, oraz jako zwykły skrypt
BASH-a – CA.sh. My będziemy korzystać
z tego drugiego (jego kopia znajduje się
również na płycie CD/DVD).

Pierwszym krokiem jest utworzenie

certyfikatu autoryzacji, czyli pliku CA.
Gdy korzystamy z pomocy skryptu CA.sh,
wystarczy wydać krótkie polecenie:

# ./CA.sh -newca

Skrypt utworzy kilka katalogów oraz plik
z certyfikatem (znajdzie się on w katalo-
gu demoCA). Zostaniemy również popro-
szeni o wypełnienie kilku pól.

Następnie generujemy certyfikat żąda-

nia:

# ./CA.sh -newreq

Tutaj ponownie zostaniemy poproszeni
o podanie kilku informacji. Po zakoń-
czeniu procesu powstanie plik o nazwie
newreq.pem. Następnym krokiem jest
podpis certyfikatu żądania:

# ./CA.sh -sign

Powstanie plik o nazwie newcert.pem.

Teraz możemy odczytać frazę klucza

i w tym celu wydajemy polecenie:

# openssl rsa < newreq.pem > newkey.pem

z pliku newcert.pem do pliku
o nazwie client.pem, a następnie dołą-
czamy do niego opis klucza prywatnego
z pliku newkey.pem.

Z certyfikatem przeznaczonym dla

serwera postępujemy w podobny
sposób, ale nie generujemy już cer-
tyfikatu autoryzacji (jest wspólny dla
klienta i serwera), lecz następny cer-
tyfikat żądania. Podczas wypełnia-
nia pól informacyjnych warto zwrócić
uwagę na to, aby pole Common Name
posiadało inną wartość dla klienta
i dla serwera.

Po zakończeniu operacji tworze-

nia plików client.pem oraz server.pem
brakuje nam jeszcze jednego pliku,
a mianowicie głównego certyfikatu. Znaj-
duje się on w katalogu demoCA pod nazwą
cacert. Wystarczy ten plik przekopiować do
katalogu, w którym znajdują się pozostałe
pliki naszej aplikacji. Zmieniamy nazwę pliku
z certyfikatem na ca.pem oraz kasujemy
początkowe informacje o certyfikacie aż do
linii rozpoczynającej certyfikat:

-----BEGIN CERTIFICATE-----

W ten sposób dysponujemy trzema pli-
kami, które są niezbędne do bezpiecz-
nej komunikacji pomiędzy serwerem
a klientem.

Rysunek 3.

Strona domowa PYRO

Listing 4.

Najważniejsze fragmenty programu serwera

#! /usr/bin/python

import

sys

import

Pyro

core

import

Pyro

naming

from

Pyro

EventService

Clients

import

Publisher

# identyczna postać jak na Listingu 2

class

printCertValidator

(

Pyro

protocol

BasicSSLValidator

class

TalkSrv

(

Pyro.core.ObjBase, Publisher

Pyro

core

initServer

()

Pyro

config

PYRO_TRACELEVEL

Pyro

config

PYRO_NS_HOSTNAME

'localhost'

yro.config.PYRO_LOGFILE

'server_log'

Pyro

naming

NameServerLocator

()

getNS

()

daemon

Pyro

core

Daemon

(

prtcol

'PYROSSL'

)

daemon

setNewConnectionValidator

(

printCertValidator

())

daemon

useNameServer

(

)

uri

daemon

connect

(

TalkSrv

()

"TalkSrv"

)

print

"TalkServer is ready."

daemon

requestLoop

()

Otrzymaliśmy wszystkie niezbędne
dane, aby utworzyć certyfikat dla
klienta. Niestety, musimy samodziel-
nie przenieść pewne dane z plików
wygenerowanych przez skrypt CA.sh
i program openssl. Kopiujemy cześć
opisującą certyfikat (Listing 3 przed-
stawia ogólną postać tych plików)

dla programistów

python/pyro/ssl

www.lpmagazine.org

z SSL zostały już omówione przy okazji
poprzedniego przykładu, więc musimy
tylko zadbać, aby pliki z certyfikata-
mi znalazły się w podkatalogu certs,
widocznym z poziomu programu ser-
wera oraz klienta.

Podobna sytuacja pojawia się w pro-

gramie klienta – nie zmieniamy ele-
mentów związanych z interfejsem
graficznym, a sposób implementa-
cji klienta jest zgodny z przykłada-
mi, które podałem na początku tego
artykułu.

OpenSSL w C/C++

Gdy chcemy pisać program bezpośred-
nio w języku C/C++, to sposób korzysta-
nia z OpenSSL nie jest znacznie bardziej
skomplikowany. Ogólny schemat two-
rzenia programu klienta wygląda wtedy
następująco:

/* utworzenie uchwytu SSL */
con=(SSL *)SSL_new();

Dla tych z czytelników, którzy nie

mieli styczności z takimi plikami, Li-
sting 3 przedstawia schematycznie postać
poszczególnych plików. Przenosimy wyra-
żenia znajdujące się pomiędzy liniami:

-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----

bądź

-----BEGIN RSA PRIVATE KEY-----
-----END RSA PRIVATE KEY-----

w przypadku klucza prywatnego. Mam
nadzieje, że podane informacje pomogą
we własnym tworzeniu certyfikatów.
Certyfikaty z płyty CD/DVD są ważne
do listopada 2005 roku. Okres waż-
ności certyfikatów może być inny.
W pliku CA.sh po początkowych komen-
tarzach natrafiamy na zmienną

DAYS

DAYS="-days 365"

czyli nasze certyfikaty będą ważne
przez 365 dni od momentu utworzenia.
Jeśli chcemy to zmienić, wystarczy podać
inną liczbę dni.

Poprawiamy komunikator

Wiemy, jak wygenerować certyfikat oraz
w jaki sposób należy napisać progra-
my serwera i klienta. Oznacza to, że
bez żadnych kłopotów możemy zmo-
dyfikować naszego komunikatora.

Zobaczmy, jak wygląda serwer. Isto-

tne dla nas fragmenty zawiera Listing 4.
Klasa

printCertValidator

pozostała nie

zmieniona w stosunku do poprzed-
nich przykładów, podobnie jak klasa

TalkSrv

. Poszczególne metody klasy ser-

wera również nie podlegają żadnym
zmianom. Jak widać z Listingu 4, pro-
gram serwera nie różni się niczym
specjalnym od programu z Listingu 2.
Włączenie obsługi SSL następuje
w momencie utworzenia obiektu

daemon

. Wszystkie detale związane

dla programistów

styczeń 2005

W Internecie:

• Strona domowa pakietu Pyro:

http://pyro.sourceforge.net/

• Strona domowa pakietu M2Crypto:

http://sandbox.rulemaker.net/
ngps/m2/

• Strona domowa pakietu OpenSSL:

http://www.openssl.org/

• Strona domowa języka Python:

http://www.python.org/

Listing 5.

Najważniejsze fragmenty programu klienta

#! /usr/bin/python

import

sys

import

Pyro

util

import

Pyro

core

from

Pyro

EventService

Clients

import

Subscriber

from

threading

import

Thread

import

gobject

import

gtk

import

gtk

glade

your_nick

talks

{}

# identycznie, jak w poprzedniej wersji

def UpdateActiveList():
def

OnEndBTN

args

def

OnTalkBTN

args

def

OnCreateTalker

args

def

OnEndNickBTN

args

class

TalkSrvEvent

(

Subscriber

class

EventListener

(

Thread

class

Talker

main_win_xml

gtk

glade

XML

(

'MainWin.glade'

)

nick_win_xml

gtk

glade

XML

(

'NickWin.glade'

)

mainwin

main_win_xml

get_widget

(

"MainWin"

)

# pozostałe polecenie odczytujące referencje do widgetów

mySigID

gobject

signal_new

(

"create_talker"

gtk

Window

gobject

SIGNAL_RUN_LAST

gobject

TYPE_BOOLEAN

(

gtk

Window

gobject

TYPE_STRING

gobject

TYPE_STRING

))

# signal connect
#
# podłączanie obsługi sygnałów

EndNickBTN

connect

(

'clicked'

OnEndNickBTN

)

person_list_data

gtk

ListStore

(

gobject

TYPE_STRING

)

person_list

set_model

(

person_list_data

)

nick_column

gtk

TreeViewColumn

(

'Nick\'s',

gtk.CellRendererText(), text=0

)

person_list.append_column

(

nick_column

)

mainwin.hide

()

Pyro.core.initClient

()

Pyro.config.PYRO_TRACELEVEL=

Pyro.config.PYRO_NS_HOSTNAME=

'localhost'

Pyro.config.PYRO_LOGFILE=

'client_log'

TalkSrv

Pyro

core

getProxyForURI

(

"PYRONAME://TalkSrv"

)

UpdateActiveList

()

nickwin

show

()

while

gtk

main_iteration_do

(

False

pass

OpenSSL zostało wyposażone w odpo-
wiednie funkcje, które znacząco uprosz-
czają ten problem, np. określenie certyfi-
katu to zadanie dla jednej funkcji:

SSL_use_certificate(con,”server.cert”)

W rezultacie wygląda to tak:

/* utworzenie uchwytu SSL */
con=(SSL *)SSL_new();
/* otwieramy zwykłe gniazdko
do komunikacji sieciowej */
/* kojarzymy uchwyt gniazda
z połączeniem SSL */
SSL_set_fd(con,s);
/* stosujemy klucz prywatny */
SSL_use_RSAPrivateKey(con,”server.rsa”);
/* określamy certyfikat */
SSL_use_certificate(con,”server.cert”);
/* nawiązujemy połączenie */
SSL_accept(con);
/*
stosując SSL_read() oraz SSL_write()
wymieniamy informacje pomiędzy
serwerem a klientem
*/

Podsumowanie

Dołączenie obsługi SSL w naszej apli-
kacji do sieciowych rozmów okaza-
ło się zadaniem łatwym. Mam nadzie-
ję, że każdy na podstawie zaprezento-
wanych przykładów będzie w stanie
samodzielnie dołączyć obsługę SSL do
własnej aplikacji napisanej z zastoso-
waniem Pyro. Jak widać, sprowadza
się to tylko do wygenerowania cer-
tyfikatów oraz kilku zmian, głównie
w kodzie serwera.

Bezpieczeństwo komunikacji zależy

również od certyfikatów. Jeśli stosujemy
SSL, pamiętajmy o tym, aby zmieniać
certyfikaty, gdyż w ten sposób polep-
szamy poziom bezpieczeństwa naszego
programu.

/* otwieramy zwykłe gniazdko do
komunikacji sieciowej */
/* kojarzymy uchwyt gniazda
z połączeniem SSL */
SSL_set_fd(con,s);
/* nawiązujemy połączenie */
SSL_connect(con); /*
stosując SSL_read() oraz SSL_write()

wymieniamy informacje pomiędzy
klientem a serwerem
*/

W przypadku serwera schemat korzysta-
nia z protokołu SSL jest równie prosty.

Problemem może wydawać się dołą-

czenie certyfikatów, ale API biblioteki

aktualności

piotrt@lpmagazine.org

księgozbiór

www.lpmagazine.org

dział prowadzi: Piotr Truszkowski

Kryptografia dla praktyków. Protokoły, algorytmy i programy źródłowe z języku C

To już drugie wydanie klasycznego podręczni-
ka do kryptografii autorstwa Bruce’a Schneiera,
znanego specjalisty od zabezpieczeń informa-
tycznych. Schneier to nie tylko twórca szyfrów
(jest on autorem m.in. popularnego szyfru Bow-
fish, który dodatkowo udostępnił do wykorzysta-
nia bez żadnych opłat i licencji), ale i biznesmen
– założyciel Counterpane Internet Security.

To co jest najbardziej cenne w tym pod-

ręczniku to przystępność wykładu. Autor nie
wdaje się w rozważania czysto matematyczne,
nie przytacza skomplikowanych dowodów i, co

za tym idzie, każe sobie wierzyć na słowo, ale
z punktu widzenia większości użytkowników
jest to zdecydowana zaleta. Specjaliści będą
oczywiście rozczarowani, ale to nie dla nich
powstała ta książka. Kryptografia dla praktyków
to przede wszystkim podręcznik dla osób, które
z kryptografią nie miały do tej pory wiele do czy-
nienia, a które chciałyby się czegoś na jej temat
dowiedzieć z kompetentnego źródła. Schneiero-
wi udało się uniknąć, częstego w takich przypad-
kach, zbytniego uproszczenia problemów.

Jak na praktyka przystało, nie stroni od

problemów politycznych i społecznych zwią-
zanych z kryptografią – poświęca tym zagad-
nieniom cały rozdział pt. Rzeczywistość. Nic
w tym dziwnego, bo podręcznik Schneiera stał
się swego czasu przedmiotem batalii zwolenni-
ków pełnego dostępu do silnej kryptografii prze-
ciwko restrykcyjnemu amerykańskiemu prawu
dotyczącemu jej eksportu. Kuriozalne przepisy
pozwalają bowiem na legalny eksport Krypto-
grafii dla praktyków w formie drukowanej, ale
już nie na eksport zawartych w niej kodów źró-
dłowych algorytmów w formie elektronicznej
(np. na dyskietce). Zainteresowani mogą o całej

Fedora Core 2 dla każdego

Jeśli zastanawiamy się, jak zacząć przygodę
z Linuksem i jaką dystrybucję wybrać, to po-
mocna może okazać się książka Fedora Core 2

dla każdego, która ukazała się nakładem
wydawnictwa Helion w 2004 roku.

Pozycja ta, jak sam autor tłumaczy, jest

przeznaczona dla osób, które nie miały wcze-
śniej styczności z systemami spod znaku pin-
gwina. Została napisana jako zbiór godzin-
nych lekcji, z których dowiemy się, jak zain-
stalować Fedorę i odpowiednio ją skonfiguro-
wać. Poznamy też najpopularniejsze progra-
my, z których możemy skorzystać w Linuk-
sie. Publikacja jest świetnym, kompletnym,
a przede wszystkim przystępnym i ciekawym
wprowadzeniem w świat Linuksa, ze szczegól-
nym uwzględnieniem dystrybucji Fedora Core.
Dużym atutem książki są strony oznaczone
jako Warsztat, występujące na końcu każde-

sprawie przeczytać na stronie internetowej http://
people.qualcomm.com/karn/export/.

Książka podzielona jest na pięć części:

Protokoły kryptograficzne, Techniki krypto-
graficzne, Algorytmy kryptograficzne, wspomnia-
ny już rozdział Rzeczywistość oraz wydzielone
Programy źródłowe – pięćdziesiąt stron kodu
w C, który przyda się każdemu praktykowi.
Pierwsze trzy to oczywiście prowadzony niemal
od podstaw, bardzo przystępny wykład krypto-
grafii. Pozostałe dwie, choć tak od siebie różne,
ucieszą przede wszystkim tych, dla którym kryp-
tografia nie jest tylko zabawką i czystym hobby.

Co zatem nowego w drugim wydaniu tej

klasycznej już książki? Siedem nowych rozdzia-
łów, ponad 1600 nowych odnośników bibliogra-
ficznych oraz wiele dodatkowych algorytmów,
w tym GOST, Blowfish, RC4 i A5. Tym samym
podręcznik zyskał około 50% objętości... Zachę-
cam do lektury.

Moja ocena:

5/5

Recenzent:

Witold Kieraś (witekk@lpmagazine.org)

1. Optymalizacja systemu Windows – J. Ballew, J. Duntemann, Wyd. Helion, 2004

2. Thinking in Java. Wydanie 3. Edycja polska – B. Eckel, Wyd. Helion, 2004

3. ABC fotografii cyfrowej – Ł. Oberlan, Wyd. Helion, 2004

4. Photoshop CS. Ćwiczenia z ... , Wyd. Mikom, 2004

5. Krótki kurs architektury i organizacji komputerów – W. Komorowski, Wyd. Mikom, 2004

6. Programowanie Asembler IBM PC – P. Abel , Wyd. Read Me, 2004

7. Microsoft Exchange Server 2003 - Vademecum Administratora - W. R. Stanek, Wyd. APN Promise, 2004

8. Grafika 3D. Modelowanie i rendering od podstaw, Wyd. Axel Springer, 2004

9. Systemy operacyjne. Szkoła programowania – W. Stallings, Wyd. Robomatic, 2004

10. Mój pierwszy komputer, Wyd. Help, 2004

Bestsellery Merlina

Lista najlepiej sprzedających się książek informatycznych

w sklepie internetowym www.merlin.pl, w miesiącu listopadzie:

go rozdziału. Znajdziemy tam Quiz z odpo-
wiedziami, oraz ćwiczenia do samodzielne-
go wykonania.

Duża pochwała należy się także redak-

cji polskiego wydania za szybkie tłumacze-
nie książki (w Polsce została wydana w kilka
miesięcy po premierze oryginału) oraz za frag-
menty umilające czytanie, jak choćby treść nie-
których zrzutów ekranu w rozdziale 12 i 13.

Fedor Core 2 dla każdego to naprawdę

książka godna polecenia – aktualna, przystęp-
na i ciekawa – gorąco polecam.

Moja ocena:

4+/5

Recenzent:

Marek Bettman (marekb@lpmagazine.org)

testy

styczeń 2005

testy

yopy

www.lpmagazine.org

YOPY YP3700

Michał Niwicki

dy do redakcji przyniesio-
no nowego palmtopa YOPY,
a naczelny wskazał palcem
na mnie i powiedział “ten

sprzęt testujesz ty”, mojej radości nie było
końca. Rzuciłem szybko okiem na specy-
fikację techniczną i wiedziałem, że mam
do czynienia ze sprzętem z górnej półki.
Imponowały nie tylko wysokie parame-
try urządzenia, ale przede wszystkim to,
że palmtop pracował pod kontrolą sys-
temu operacyjnego Linux. Radość nie
trwała jednak długo; mój entuzjazm malał
na każdym kroku – począwszy od wyję-
cia urządzenia z pudełka, a skończywszy
na podłączeniu go do komputera.

Co w środku?

Pod obudową urządzenia znajduje się 32-
bitowy procesor Strong ARM RISC, pra-
cujący z częstotliwością 206 MHz. Palm-
top posiada 128 MB pamięci RAM oraz 32
MB ROM. Ponad 40 MB jest używane

YOPY – palmtop ogromnych możliwości

do komputera stacjonarnego. Niewygod-
na była natomiast sama praca na YOPY-
m umieszczonym w stacji – każdorazowe
dotknięcie rysikiem ekranu powodowa-
ło znaczne odchylanie się do tyłu klapki
z wyświetlaczem. Szkoda także, że urzą-
dzenia nie można było podłączyć do
komputera z pominięciem stacji dokują-
cej. Niewątpliwie, radość sprawiał system
operacyjny Linux, pod kontrolą którego
pracował YOPY, oraz widok uruchamia-
jących się X-ów.

Ale o co chodzi?

Bezpośrednio po włączeniu, YOPY prze-
mówił do mnie w języku angielskim.
Szkoda, bo na rynku polskim od jakiegoś
czasu standardem są palmtopy posiadają-
ce polską lokalizację. Intuicyjnie sięgną-
łem po instrukcję obsługi, aby sprawdzić,
jak zmusić urządzenie do prawidłowego
wyświetlania polskich znaków. Tu spo-
tkała mnie kolejna przykra niespodzian-

Dane palmtopa:

– Procesor: 206 MHz Strong ARM

32-bit RISC Procesor

– Pamięć: RAM 128MB, ROM 32MB
– System: ARM LinupyTM Linux

Distribution, X Window System

– Wyświetlacz: 3.5" 240x320 True

Color (65K) TFT LCD

– Wymiary:10,3 x 6,9 x 2,5

(centymetry)

– Waga: 200 g
– Bateria: 2300mAh Li-ion

Polimerowe, ładowalne

Interfejs:

– klawiatura (qwerty), przyciski

nawigacyjne

– złącze RS-232C / USB
– port IrDA (115Kbps)
– gniazdo Compact Flash II
– złącze Multimedia Card
– przycisk przewijania
– mikrofon
– złącze słuchawkowe

(3.5 mm, stereo)

przez system, natomiast reszta pamięci
jest przeznaczona na dane użytkownika.
Do komunikacji ze światem jest wykorzy-
stywany port podczerwieni albo stacja
dokująca, podłączana do komputera sta-
cjonarnego za pomocą portu USB. YOPY
posiada również złącze Multimedia Card
oraz gniazdo Compact Flash II. Wszyst-
ko to kryje się w mieszczącej się w dłoni
obudowie ważącej około 200g.

Pierwsze wrażenie

Pierwszą rzeczą po wyjęciu YOPY-ego
z pudełka, która rzuciła mi się w oczy,
były jego gabaryty. Palmtop, mimo że
mieścił się w dłoni, był gruby i posia-
dał topornie otwieraną klapkę, na której
znajdował się kolorowy 3,5'' dotykowy
wyświetlacz oraz tajemnicze diody mru-
gające za każdym razem, gdy zamykałem
urządzenie. Zaletą testowanego sprzętu
była niewielkich rozmiarów stacja dokują-
ca, umożliwiająca podłączenie palmtopa

testy

styczeń 2005

testy

yopy

www.lpmagazine.org

ego z użytkownikiem nie jest ani trochę
intuicyjna, osoby, które po raz pierwszy
mają do czynienia z palmtopem, mogą
czuć się lekko zagubione.

Zwykła praca

YOPY posiada wszystkie programy, które
powinny znaleźć się na każdym przy-
zwoitym palmtopie. Mamy typowe apli-
kacje PIM – kalendarz, zadania, listy
dnia, kontakty oraz całą gamę dodat-
kowych aplikacji multimedialnych oraz
biurowych. Potęgę urządzenia podkre-
śla kompilator, znajdujący się na płycie
CD, umożliwiający pisanie na kompute-
rze stacjonarnym własnych programów
działających na YOPY-m.

Mimo, że na palmtopie zainstalowa-

ny jest system operacyjny Linux, standar-
dowo, urządzenie współpracuje jedynie
z Windowsami. W instrukcji obsługi ani

Główną zaletą tego przyjemnego urządze-
nia mobilnego jest jego serce, czyli system
Linux. Nie ukrywam, że już na samym
początku Yopy zrobił na mnie dobre wra-
żenie. Może dlatego, że uwielbiam Linuk-
sa, a wszystko, co z nim związane, witam
z otwartymi rękami, a może dlatego, że
Yopy to po prostu bardzo dobry palmtop.
Bardzo dobry, ale nie doskonały. Może
najpierw o wadach, ponieważ nic tak nie
motywuje producentów sprzętu do stwo-
rzenia lepszego produktu, niż wyliczenie
wad na łamach poczytnego czasopisma.
Yopy jest słabo wykonany. Klapka lata na
wszystkie strony, jakby zaraz miała odle-
cieć, materiały są niskiej jakości, a pod-
czas wybierania opcji za pomocą rysika,
cały ekran odchyla sie tak mocno do tyłu,
jakby miał się za chwilę złamać. Do tego
dochodzi instrukcja w języku angielskim,
brak polskiego interfejsu, braki w obsłudze
urządzenia pod Linuksem (co jest istnym
paradoksem – Yopiego wyposażonego
w system Linux łatwiej zmusić do pracy
w środowisku Windows!), a jeśli już czepiać
się wszystkiego, to brakuje również głośni-
ków stereo. Skoro Yopy posiada obsłu-
gę plików MP3, dlaczego musimy słuchać
mono? Dobrze. Koniec narzekań. Yopy to
bardzo fajny palmtop. Jeśli jesteście użyt-
kownikami Linuksa, poczujecie się jak ryba
w wodzie. Pod maską szybki (206 MHz) pro-
cesor, dużo pamięci (128 RAM/32 ROM),
dobrej jakości wyświetlacz LCD, potrafią-
cy cieszyć nasze oczy paletą 65 tysięcy
kolorów, bardzo dobra bateria, która potrafi
wytrzymać do 8 godzin ciągłej pracy, oraz
klawiatura w standardzie QWERTY. Dzięki
goszczącej w środku dystrybucji Lupy,
możemy skorzystać z ogromnego repo-
zytorium pakietów dla Linuksa. Na płytce
zawarto oprogramowanie, dzięki które-
mu na naszym domowym pececie skom-
pilujemy sobie program i zainstalujemy go
w Yopim. Prawda, że miłe? Z naszym palm-
topem możemy komunikować się poprzez
podczerwień, gniazdo MMC i USB. Reasu-
mując, polecam Yopiego wszystkim użyt-
kownikom Linuksa i tym, którzy chcą mieć
dobrego palmtopa, z solidnym systemem,
który na wszelkiego rodzaju wirusy reagu-
je wyciągnięciem ostrzegawczego znaku
“Stop – tutaj nie macie czego szukać”.
Ładny, stabilny, o dobrym stosunku jakości
do ceny. Warto go chociaż zobaczyć.

Ocena: 4/5

Alternatywne spojrzenie

Piotra Truszkowskiego

ka – dostarczona instrukcja obsługi była
napisana również po angielsku. Biorąc
pod uwagę fakt, że współpraca YOPY-

słowem nie wspomniano o możliwości
podłączenia palmtopa do naszego ulu-
bionego Linuxa. W efekcie, skorzystanie
z rozszerzeni znajdujących się na płycie
CD może sprawiać problemy początkują-
cym użytkownikom urządzenia.

Podsumowanie

YOPY 3700 jest niewątpliwie palmtopem
o ogromnych możliwościach. Nieste-
ty, zlekceważenie przez producenta pol-
skiego klienta (chociażby brak instruk-
cji obsługi w języku polskim), dyskwa-
lifikuje urządzenie na rodzimym rynku.
Zaskakuje również brak wsparcia dla
systemu operacyjnego Linux. Ostatecz-
nie, biorąc pod uwagę wysoką cenę
YOPY-ego (ponad 2500 zł), nie zdziwił-
bym się, gdyby konsument wybrał urzą-
dzenia firm konkurencyjnych.

Ocena: 3/5