Spis treści

Mnie to nie dotyczy!?

T
Miesięcznik Linux+ (12 numerów w roku) ak mógłby stwier- policji) ze względu na reputację poszkodo-
jest wydawany przez
dzić przypadko- wanego. W takim świecie żyjemy.
Software-Wydawnictwo Sp. z o. o.
wy internauta, gdy- Czy możemy coś poradzić na to?
Redaktor naczelny: Krzysztof Krawczyk, bym zapytał go, czy Oczywiście, dlatego ten numer Linux+ jest
krzysiek@lpmagazine.org boi się włamania do skoncentrowany na zagadnieniach bezpie-
Redaktorzy: swojego komputera. czeństwa. Piotrek Machej w swoich arty-
Piotr Truszkowski, Marek Bettman, Michał Niwicki
Zbyt pewny siebie? kułach stara się udzielić kilku dobrych rad.
Kierownik produkcji: Marta Kurpiewska,
marta@software.com.pl Zdecydowanie. Bardzo Zachęcam do zastosowania się do nich.
Opracowanie CD/DVD: Krzysztof Krawczyk, prosto włamać się do Raz wprowadzone w życie mają szansę
Piotr Truszkowski kogoś, kto jest na stałe podłączony do stać się zwyczajem.
Dział reklamy: Łukasz Łukaszewicz, Sieci i nie dba o bezpieczeństwo swojego Na płytach DVD zamieściliśmy dwie
reklama@lpmagazine.org,
systemu. To tak, jakby nie zamykał drzwi najpopularniejsze europejskie dystrybucje
tel.: (22) 860 18 18
Prenumerata: Marzena Dmowska, do własnego mieszkania czy samochodu. Linuksa: Auroksa 10.1 (mocno poprawiony
pren@software.com.pl, Ilość błędów związanych z bezpie- względem poprzedniego wydania: gorąco
tel.: (22) 860 17 67 czeństwem, które są wykrywane każde- polecam, gdyż sam używam w pracy) oraz
Projekt graficzny okładki: go miesiąca, jest zatrważająca. Wystar- Mandrakelinuksa 10.1 (używam w domu).
Agnieszka Marchocka
czy zapoznać się bliżej z jednym z nich, Przy okazji pragnę zawiadomić, że po-
Projekt graficzny pisma: Marcin Ziółkowski,
marcin@software.com.pl poszukać eksploita lub napisać go samo- szukujemy autorów artykułów, więc zain-
Skład: Marcin Ziółkowski, dzielnie, a następnie znaleźć potencjalną teresowane osoby proszę o zgłoszenie się
marcin@software.com.pl ofiarę. Zdziwilibyście się, jak bardzo admi- do mnie pod adresem krzysiek@lpmaga-
nistratorzy serwerów internetowych zanie- zine.org.
Adres korespondencyjny: dbują swoje obowiązki – nie uaktualnia- Zachęcam do lektury tego numeru.
Software-Wydawnictwo Sp. z o. o., ją oprogramowania, nie przeglądają logów
00-190 Warszawa, systemowych i nie analizują własnych sys-
ul. Lewartowskiego 6
e-mail: redakcja@lpmagazine.org,
temów. Wiele z przestępstw internetowych Krzysztof Krawczyk
tel. (22) 860 18 18 nie jest upubliczniane (czytaj: zgłaszane Redaktor Naczelny Linux+

Redakcja dokłada wszelkich starań, aby publiko-

wane w piśmie i na towarzyszących mu nośnikach
informacje i programy były poprawne, W bieżącym numerze :
jednakże nie bierze odpowiedzialności za efekty
ich wykorzystania.
Redakcja nie udziela pomocy technicznej
dotyczącej zamieszczanego oprogramowania. 8 Opis
Płyty uszkodzone podczas wysyłki wymienia dział
zawartości
mandrakelinux

prenumeraty.
płyt CD/DVD
Wszystkie znaki firmowe zawarte w piśmie Piotr Truszkowski, Michał Niwicki
są własnością odpowiednich firm i zostały
użyte wyłącznie w celach informacyjnych. Aktualności:
Druk: Stella Maris 16 Newsy
Witold Kieraś
Redakcja używa systemu
automatycznego składu
18 Jądro Linux
debian

Płyty dołączone do magazynu przetestowano Tomasz Torcz

programem AntiVirenKit firmy G DATA Software
Sp. z o.o. 20 Debian
Bartosz Feński, Tomasz Napierała
Redakcja zabezpiecza swoje dane korzystając
ze sprzętu firmy Tandberg Data udostępnionego 22 Mandrakelinux
przez Veracomp SA. Daniel Koć
23 Aurox
Sprzedaż aktualnych lub archiwalnych numerów Karol Kozimor
newsy

pisma po innej cenie niż wydrukowana na okład-

ce – bez zgody wydawcy – jest działaniem na jego 24 Gentoo
szkodę i skutkuje odpowiedzialnością sądową. Witold Kieraś

4 styczeń 2005

Temat miesiąca: Bezpieczeństwo
Bezpieczeństwo
26 Bezpieczne łączenie się
z Internetem
Piotr Machej
Internet nie jest miejscem bezpiecznym.
Aby móc spać spokojnie, należy zastoso-
wać się do kilku podstawowych zasad.
W artykule przedstawiamy najważniej-
sze zagadnienia, na które należy zwró-
cić uwagę przy podłączaniu komputera
z Linuksem do Sieci.
32 Odzyskiwanie danych
– sposoby
i przegląd narzędzi
Michał Niwicki
Na pewno każdy z nas stanął lub stanie
przed problemem odzyskiwania utraco-
nych danych – przez nieuwagę, awarię
bądź atak. W takiej sytuacji nieocenio-
ne mogą stać się takie programy, jak:
dd_rescue, dd_rhelp, mondorescue, unrm
oraz gpart.
Wywiad
38 Wywiad
z Przemysławem Tołpą,
Sales Managerem w firmie
Adaptec
Krzysztof Krawczyk
Tym razem postanowiliśmy porozmawiać
z przedstawicielem firmy Adaptec, dobrze
znanej z produkcji kontrolerów pamięci
masowych (SCSI, SATA, RAID) oraz kart
sieciowych (NAC). W naszej rozmowie
skupiliśmy się na wsparciu wymienionych
produktów w systemach linuksowych.
Spis treści
Oprogramowanie Dla początkujących
40 Dvd::rip
– ripper płyt DVD
52 Nessus
– skaner bezpieczeństwa
Witold Kieraś Piotr Machej
Często potrzebujemy przekonwertować
filmy z płyt DVD do formatów dających
się odtworzyć przez osoby nie posiadające
odpowiedniego napędu. Pokażemy, jak tego
dokonać przy użyciu programu Dvd::rip.
42 KGpg – menedżer
kluczy szyfrujących
Witold Kieraś
Projekt Gnu Privacy Guard (GPG) powstał,
aby udostępnić silną i nowoczesną krypto- Podłączając nasz komputer do Internetu
grafię zwykłemu użytkownikowi kompu- lub sieci lokalnej, musimy odpowiednio
tera domowego. Prawdopodobnie najlep- zadbać o zabezpieczenia na wypadek wła-
szą nakładką graficzną na tę aplikację jest mania. Nessus jest skanerem, który pozwo-
KGpg, który omówimy w artykule. li wykryć w naszym systemie te miejsca,
które są podatne na atak z sieci.
44 Gubed – debugger
skryptów w PHP
Piotr Machej
58 Sztuczki i kruczki
Grzegorz Niewęgłowski
Pracując nad większymi projektami w PHP Podczas pracy z Linuksem mogą przydać się
na pewno przyda się nam dobry debugger różnego rodzaju sztuczki i kruczki. Ich zna-
tego języka. Gubed pozwala prześledzić jomość również świadczy o tym, czy użytko-
działanie skryptu linijka po linijce, dzięki
czemu łatwo znajdziemy błąd w kodzie.
wnik jest początkujący, czy zaawansowany.
Sprzęt
46 Cssed – edytor arkuszy
stylów CSS
Piotr Machej
60 Programowy RAID
oraz LVM
CSS, czyli kaskadowe arkusze stylów, stały Piotr Wolny
się już niemal standardem przy tworzeniu Linux wspiera dwa zaawansowane mecha-
stron WWW. Cssed pomoże nam stworzyć nizmy gromadzenia danych: Software RAID
odpowiednie definicje nawet do bardzo oraz Logical Volume Manager. Przy ich
rozbudowanych projektów. pomocy możemy zwiększyć wydajność
pamięci masowej, a także poprawić bezpie-
48 Vuurmuur – konfigurator
zapór sieciowych
czeństwo przechowywanych informacji.
Piotr Machej Dla programistów
Konfiguracja zapory sieciowej (firewall)
może nastręczyć nie lada problemów.
Dużym ułatwieniem w takim przypad-
70 Pyro i OpenSSL – bezpieczny
komunikator internetowy
ku może być Vuurmuur – program wspo- Marek Sawerwain
magający tworzenie regułek iptables oraz Gdy planujemy przesyłać istotne informacje
ipchains. przez Internet, to wprowadzenie szyfrowa-
nia danych w naszych aplikacjach rozpro-
Simutrans
50 – gra ekonomiczna
szonych jest bardzo ważnym zagadnieniem.
W artykule pokazujemy, jak w prosty spo-
Marek Bettman sób stworzyć własny komunikator w stylu
Jeśli znudził nas już Medal of Honor Gadu-Gadu, obsługujący szyfrowanie.
i Quake, to może spróbujmy pokiero-
wać dużą firmą transportową. Simutrans Testy
to świetna gra ekonomiczna, wzorowa-
na na nieśmiertelnym Transport Tycoon
Deluxe.
78 YOPY YP3700
Michał Niwicki
www.lpmagazine.org 5
aktualności
opis CD/DVD CD A / DVD B

Recovery Is Possible (RIP)

Mozilla Firefox 1.0
Najnowsza wersja popularnej
przeglądarki internetowej. Umożliwia
blokadę wyskakujących okienek
T radycyjne dystrybucje Linuksa koja-
rzą się nam z przyjaznym środowi-
skiem graficznym, szeregiem użytecznych
i w efekcie stanowiąca profesjonalne na-
rzędzie do ratowania systemu. Szanse ma
bardzo duże, gdyż za pomocą RIP-a bez
(ang. popups), panelowe przeglądanie programów do pracy i rozrywki oraz problemów naprawimy uszkodzone par-
stron oraz automatyczną instalację
niezbędnych wtyczek (ang. plugins).
mniej lub bardziej skomplikowaną pro- tycje systemowe, odzyskamy utracone
Posiada interfejs w języku polskim. cedurą instalacyjną. Jakie szanse ma za- dane, czy naprawimy pliki konfiguracyj-
http://www.firefox.pl/ tem system, który komunikuje się z użyt- ne już zainstalowanej, aczkolwiek z róż-
Simutrans kownikiem jedynie za pomocą zwykłego nych powodów niedziałającej dystrybu-
Gra strategiczno-ekonomiczna terminala i w którym nie ma użytecznych cji Linuksa. Ta dystrybucja posiada wspar-
polegająca na rozbudowie aplikacji biurowych? Taki właśnie jest RIP cie dla różnych systemów plików, m.in.
infrastruktury drogowej, kolejowej
– dystrybucja wyposażona w liczne apli- ext2, ext3, iso9660, ntfs, umsdos, reiserfs
i morskiej. Zadaniem gracza jest
budowanie połączeń między kacje służące do odzyskiwania danych oraz vfat.
fabrykami i miastami w celu
zapewnienia jak najlepszego
transportu towarów i ludzi. QEMU
http://www.simutrans.de/
Nessus 2.2.0
Program jest zaawansowanym
Q EMU to darmowa wersja prostego
i szybkiego emulatora procesora.
Potrafi pracować w dwóch trybach: peł-
wersja programu pozwala emulować pro-
cesory: i386, ARM, SPARC i PowerPC, ale
twórcy QEMU zastrzegają, że prace zwią-
skanerem bezpieczeństwa. To
kompleksowe narzędzie służy do nej emulacji systemu (full system emula- zane z ich emulacją są jeszcze w fazie te-
wykrywania ewentualnych luki tion) oraz w trybie użytkownika (user mo- stów.
w systemie bezpieczeństwa sieci de emulation). Godnym uwagi jest fakt, że QEMU
komputerowych. Wykorzystuje
kilka tysięcy znanych reguł ataków Pełna emulacja pozwala na urucho- potrafi emulować różnoraki sprzęt. Dzię-
najczęściej wykorzystywanych mienie różnych systemów operacyjnych ki temu użytkownik nie tylko może uru-
do przejęcia kontroli nad obcym bez konieczności restartowania kompu- chomić system operacyjny wewnątrz in-
systemem. tera – wystarczy, że na wejściu progra- nego systemu, ale także wskazać urządze-
http://www.nessus.org/
mu podamy jako parametr nazwę pliku nia i ich parametry, które mają być rozpo-
Nmap 3.75 zawierającego obraz systemu, który chce- znawane przez ten system (np. karty sie-
Profesjonalny skaner sieciowy.
Umożliwia kontrolowanie i badanie
my uruchomić, oraz wskażemy, dla jakie- ciowe, karty dźwiękowe itp).
wybranych urządzeń sieciowych go urządzenia był ten obraz przeznaczony Na płycie CD znajdziecie obrazy
poprzez protokół IP. Potrafi rozpoznać (dyskietka, cdrom, dysk twardy). dwóch systemów, które można urucho-
prawie 1500 systemów operacyjnych Tryb użytkownika jest przeznaczony mić za pomocą QEMU: FreeDOS oraz
i ponad 2000 tysiące portów.
http://www.nmap.org/
do uruchamiania aplikacji przeznaczo- Mandrakelinux 10.0.
nych dla różnych procesorów. Obecna http://www.qemu.org/
OpenSSH 3.9
Darmowy program realizujący
szyfrowane połączenia między
dwoma komputerami. Zapewnia
bezpieczeństwo przesyłania
danych, autoryzację połączeń oraz
autentykację.
http://www.openssh.org/
John the Ripper 1.6
Narzędzie służące do wykrywania
słabych haseł. Potrafi łamać hasła
dostarczone w wielu formatach (DES,
MD5, Blowfish, NT LM).
Snort 2.2.0
Jest to sieciowy system wykrywania
włamań. Dostarcza wszelkich
niezbędnych informacji
o podejrzanych działaniach w sieci.
Umożliwia łatwiejszą analizę danych
niż w przypadku programu Tcpdump.
http://www.snort.org/
TuxSaver 1.0
Atrakcyjny wygaszacz ekranu 3D.
Przedstawia sceny z życia pingwina na
bezludnej wyspie. Umożliwia również
tworzenie własnych scenariuszy.

Morphix pod QEMU

8 styczeń 2005
aktualności
opis CD/DVD
Mozilla Firefox 1.0
Najpopularniejsza na świecie
przeglądarka internetowa
oparta o silnik renderujący
Gecko.
http://www.mozilla.org/products/
firefox/central.html
VLC 0.8.1
Konkurencyjny do MPlayer-a
i Xine odtwarzacz filmów, wraz ze
wszystkimi niezbędnymi kodekami.
http://www.videolan.org/vlc
Python 2.4c1
Jeden z najpopularniejszych
języków skryptowych na świecie.
http://www.python.org
Linux 2.6.9
Jądro systemowe w najnowszej
wersji. Warto dokonać
aktualizacji, chociażby z uwagi
na mechanizm kexec.
http://www.kernel.org
Ethereal 0.10.7
Popularny sniffer, czyli
program przechwytujący
dane krążące w zamkniętych
sieciach LAN.
http://www.ethereal.com
Firewall Builder 2.0.3
Najnowsza wersja programu,
którego graficzny interfejs i wygoda
użycia pozwolą nam zaprojektować
firewalla marzeń.
http://www.fwbuilder.org
PPRacer 0.2
Pingwin w nietypowym wyścigu
z czasem.
http://www.planetpenguin.de/
bereich-20.html
Nessus 2.2.0
Profesjonalny program do robienia
audytów bezpieczeństwa, zarówno
w małych, jak i dużych sieciach
LAN.
http://www.nessus.org
Freeciv
Darmowa wersja wielkiego
hitu lat 90. Budujemy własną
cywilizację.
http://www.freeciv.org
Snort 2.2.0 i 2.3.0RC1
Popularny program przyjazny
dla administratorów sieci, mniej
przyjazny dla włamywaczy. Innymi
słowy – wykrywacz wszelkiej maści
intruzów.
http://www.snort.org
ATI 3.14.6 i NVIDIA 1.0-6629
Sterowniki do popularnych kart
graficznych.
http://www.ati.com
http://www.nvidia.com
10 styczeń 2005
CD B / DVD B
Trustix Secure Linux 2.2
T rustix to bezpieczna dystrybucja Li-
nuksa, zoptymalizowana pod kątem
pracy na serwerach. Zawiera starannie
dobrane oprogramowanie, umożliwiają-
ce uruchomienie serwera WWW, serwe-
ra poczty, bazy danych i wielu innych. Na
rynku dostępnych jest wiele dystrybucji,
o których producenci mówią: bezpieczne.
Czym wyróżnia się Trustix? Zasadniczo,
dwoma elementami: wielkością i sposo-
bem aktualizacji.
W przypadku systemów serwero-
wych chyba wszyscy są zgodni – rozmiar
jest istotny. Im dystrybucja po instalacji
jest mniejsza, tym lepiej. Takie dbanie
o rozmiar ma swoje uzasadnienie
– mniejsza ilość oprogramowania na-
rażonego na błędy, mniej czasochłon-
na aktualizacja i większy porządek
w systemie, a tym samym prostsza admi-
nistracja. Trustix ma się czym pochwa-
lić. Po domyślnej instalacji, nie zawiera-
jącej różnego rodzaju serwerów, zajmuje
niewiele ponad 100 MB i zawiera tylko
i wyłącznie aplikacje niezbędne do dzia-
łania systemu. Dzięki starannemu dobra-
niu wszelkiego rodzaju zależności po-
między pakietami, nie będziemy mieli
sytuacji, gdy instalując którąś z aplikacji,
zostanie zainstalowana również ogrom-
na ilość innych, z których prawdopo-
dobnie nigdy nie będziemy korzystać.
Drugim ciekawym elementem jest
narzędzie do aktualizacji systemu o na-
zwie Swup (The Secure SoftWare Upda-
ter). Dzięki temu oprogramowaniu prze-
prowadzimy bezpieczną aktualizację sys-
temu (obsługa protokołów http, https, ftp
i file, również z autoryzacją, integracja
z GnuPG), zainstalujemy dodatkowe opro-
gramowanie bądź usuniemy te, z któ-
rego już nie korzystamy. Przejdźmy do te-
go, co uwielbiają zarówno administrato-
rzy sieci, jak i zwykli użytkownicy Linuk-
sa – omówienia oprogramowania zawar-
tego w dystrybucji. Na Trustiksa składa-
ją się m.in:
– jądro 2.4.27 z licznymi dodatkami,
zwiększającymi jego bezpieczeństwo,
– Apache 2.0.52,
– IPTables 1.2.11,
– MySQL 4.1.7,
– OpenSSH 3.9p1,
– OpenSSL 0.9.7e,
– PHP 5.0.2,
– Postfix 2.1.5,
Ekran powitalny instalatora Trustiksa
– PostgreSQL 8.0.0beta4,
– Samba 3.0.7.
Ponieważ Trustix jest dystrybucją typo-
wo serwerową, nie znajdziemy w niej
środowiska X Window. Zaskoczeni bę-
dą również Ci, którzy są przyzwyczajeni
do najpopularniejszego linuksowego me-
nedżera plików, czyli programu Midnight
Commander – po prostu brak go. Jednak
wszyscy Ci, którzy największy nacisk kła-
dą na bezpieczeństwo i zastanawiają się
nad dystrybucją Linuksa przeznaczoną na
serwer produkcyjny, będą zadowoleni.
W tym miejscu dochodzimy do kolej-
nej ważnej rzeczy – Trustix nie jest sys-
temem dla początkujących administrato-
rów. Pomimo łatwej do przeprowadzenia
instalacji (znana z Red Hata/Fedory i Au-
roksa Anaconda działająca w trybie tek-
stowym), sama administracja systemem
wymaga pewnej znajomości Linuksa.
Mam tutaj na myśli znajomość chociażby
podstawowych komend systemowych (ls,
ps, grep, vi, kill ) i aplikacji (vi), jak rów-
nież umiejętność czytania podręczników
systemowych (man) i ręcznej edycji pli-
ków konfiguracyjnych.
Trustix Linux 2.2 to profesjonalna
dystrybucja, dzięki której administrato-
rzy nauczą się więcej niż na innych, bar-
dziej przyjaznych początkującym, dystry-
bucjach, a zaawansowani administratorzy
poczują się bardziej bezpieczni. Wydaje
mi się, że warto zainstalować Trustiksa
z jeszcze jednego powodu. W natłoku naj-
różniejszych dystrybucji przedstawianych
jako serwerowe, które po instalacji wita-
ją nas fajerwerkami graficznymi i spra-
wiają wrażenie powolnych, Trustix nie-
sie ze sobą ducha Linuksa sprzed lat. Ta-
kiego, którego pamiętają tylko Ci najstar-
si, i tego, którego ostatnim dystrybucjom
tak bardzo brakuje. Zapewniam Cię dro-
gi Czytelniku, że warto poczuć ten kli-
mat. Na płycie DVD B dostępny jest ob-
raz ISO systemu.
 opis DVD DVD A
Aurox 10.1 Quicksilver – europejska dystrybucja Linuksa
N
a początku grudnia zakoń-
czono prace związane z wy-
daniem nowej wersji Aurok-
sa o nazwie kodowej
Quicksilver. Jak się okazało, ta dystrybu-
cja, bazująca w dużym stopniu na Fedo-
rze, wyprzedziła ją pod wieloma wzglę-
dami, stając się w coraz większym stop-
niu niezależnym produktem. Usunięto
wiele błędów, wykorzystano nową wersję
instalatora (Anaconda 10) oraz zaktuali-
zowano lub dodano wiele nowych pakie-
tów. Część oprogramowania zastąpiono
w pełni funkcjonalnymi odpowiednika-
mi, bez ograniczeń patentowych narzu-
canych w USA. Jednocześnie programiści
Auroksa dodali wiele skryptów ułatwia-
jących instalację dodatkowych sterow-
ników, których nie można było włączyć
do standardowej procedury instalacyjnej
(NVidia, ATI).
W nowym Auroksie poprawiono
także wszelkie błędy związane z prawi-
dłową detekcją sprzętu. Dzięki zastąpieniu
statycznego deva dynamicznym udevem
oraz dodaniem szeregu aplikacji, które
z nim współpracują (hotplug, hal, gamin
oraz gnome-volume-manager), możliwe
jest automatyczne dodawanie i konfigura-
cja urządzeń, takich jak np. aparaty cyfro-
we czy zewnętrzne karty pamięci.
Dużym atutem Auroksa jest łatwość
instalacji, konfiguracji oraz prostota obsłu-
gi systemu. W efekcie, osobom przyzwy-
czajonym do używania innych syste-
mów operacyjnych, migracja na Linuk-
sa nie powinna sprawić trudności. Co
więcej, programistom udało się z suk-
cesem stworzyć platformę nadającą się
zarówno dla użytkowników stawiających
pierwsze kroki w świecie Linuksa, jak
i dla ludzi, którzy tę fazę mają już za sobą
– Aurox 10.1 to nie tylko programy biuro-
we. ale także szereg aplikacji sieciowych
i narzędziowych.
Aurox do nauki
12 styczeń 2005
Pierwsze wrażenie
Nieczęsto spotykamy się z sytuacją, w której
jakiś produkt zachwyca nas od samego
początku. Tak właśnie jest z nowym Aurok-
sem! Już na wstępie naszym oczom uka-
zuje się instalator komunikujący się z nami
w dowolnym europejskim języku. Prosta
procedura instalacyjna i równie łatwa kon-
figuracja szybko pozwala nam rozpocząć
pracę z nowym systemem.
Standardowo, do dyspozycji mamy
szereg aplikacji przydatnych do pracy
w biurze (OpenOffice.org, Evolution, prze-
glądarka Firefox), liczne programy eduka-
cyjne (KmPilot, Kalzium) i rozrywkowe
(Ziemniaczany facet). Dodatkowo, w Auro-
ksie 10.1 znajdziemy wiele programów mul-
timedialnych, służących do słuchania i kom-
ponowania muzyki (GLAME, Audacity),
oglądania filmów (MPlayer, Xine) oraz
pracy z plikami graficznymi (GIMP). Miłym
zaskoczeniem jest łatwa instalacja dodatko-
wych programów i sterowników.
Instalacja dodatkowych
pakietów
Twórcy Auroksa postarali się o to, aby
użytkownik systemu nie miał najmniej-
szych kłopotów z instalacją sterowników
kart graficznych (Nvidia, ATI), modemów,
obsługi partycji NTFS, czy uruchomieniem
aplikacji Flash i Java. Specjalnie przygo-
towane skrypty pozwolą jednym polece-
niem dodać najbardziej potrzebne biblio-
teki i programy, dzięki czemu nawet osoby
stawiające pierwsze kroki w Linuksie usły-
szą z głośników dźwięk w formacie mp3
i obejrzą filmy avi.
Co jest w środku?
Dystrybucja Aurox Linux 10.1 pracuje pod
kontrolą jądra w wersji 2.6.9-10. W związ-
ku ze zmianami licencyjnymi XFree86,
wiele dystrybucji nie chce dołączać naj-
nowszych wersji tego serwera, a domyśl-
Aurox do zabawy
Wymagania systemowe:
Wymagania minimalne Auroksa 10.1dla
pracy w trybie tekstowym:
• procesor zgodny z Pentium, zaleca-
ny 200 MHz lub lepszy
• pamięć 64 MB
Do pracy w trybie graficznym są potrzebne:
• procesor: zalecany 400 MH
Pentium II lub lepszy
• pamięć: minimum 128 MB,
zalecane 256 MB
Niezbędne wolne miejsce na dysku:
• instalacja minimalna: 1 GB
• serwer: minimum 1.1 GB
• biuro, szkoła i dom: 3 GB
• stacja robocza: 3,5 GB
• wszystkie pakiety: 8 GB
Dodatkowo wymagane jest miejsce
na dane użytkownika.
nie instalowanym środowiskiem graficz-
nym jest X.org. Użytkownik ma także do
wyboru dwa popularne środowiska graficz-
ne: KDE 3.3.1 oraz GNOME 2.8.1. Dodatko-
wo, możliwe jest skorzystanie z lekkich
menedżerów okien typu FluxBox czy Win-
dowMaker. Do dyspozycji mamy również
pakiet biurowy OpenOffice.org 1.1.2 oraz
program do poczty elektronicznej i zarzą-
dzania kalendarzem/kontaktami – Evolu-
tion 2.0.2.
Podsumowanie
Jak cię widzą, tak cię piszą – brzmi popu-
larne powiedzenie. Koledzy z Auroksa
przygotowali naprawdę ładną, łatwą, pro-
fesjonalną i w pełni funkcjonalną dystrybu-
cję Linuksa. Polecamy ją wszystkim Czytel-
nikom Linux+. Na płycie DVD znajduje się
pełna wersja dystrybucji Linuksa, pakiety
dodatkowe oraz źródła.
Aurox do pracy
aktualności
opis DVD
Mandrakelinux 10.1 Official
Najpopularniejsza dystrybucja
Linuksa na świecie, szczególnym
uznaniem ciesząca się wśród
początkujących użytkowników
Linuksa. Aby zainstalować
Mandrakelinux 10.1 Official,
uruchom komputer z płytki
DVD B, wpisz linux i naciśnij [Enter].
Jeśli podczas
instalacji dodatkowego
oprogramowania system poprosi
Cię o pierwszą, drugą bądź
trzecią płytę CD, nie przejmuj
się – wystarczy nasza płytka DVD,
na której zawarte są dane wszystkich
trzech płytek instalacyjnych. Dobrej
zabawy!
http://www.mandrakelinux.com/
DD_Rescue 1.10
Program służący do odzyskiwania
danych.
http://www.garloff.de/kurt/linux/
ddrescue/
G4L 0.14
Ghost For Linux, czyli klon
znanego posiadaczom Windows
programu Norton Ghost.
Dzięki niemu zrobisz
w łatwy sposób kopię swojej partycji.
http://freshmeat.net/projects/g4l/
Freerails 20041011
Klon kultowej gry Railroad.
Budujemy własną kolej.
http://freerails.sourceforge.net/
Aktualizacje
Aktualizacje dla systemu
Mandrakelinux 10.1.
http://www.mandrakelinux.com/
WINE 20041019
Środowisko API Win32
na Linuksie.
http://www.winehq.org/
RIP 11.4
System ratunkowy, uruchamiany
z płyty, zbliżony do System Rescue
CD. Zawiera oprogramowanie
przydatne każdemu posiadaczowi
komputera.
Ballsmacker 1.0.0
Wirtualny bilard w środowisku 3D.
http://ballsmacker.sf.net/
Q DVD-Author 0.0.8
Zamierzasz uwiecznić jakieś
wydarzenie w postaci filmu na płycie
DVD?
Dzięki Q DVD-Author uzyska on
eleganckie menu.
http://qdvdauthor.sourceforge.net/
GIMP 2.2-pre2
Najnowsza wersja najpopularniejszego
programu graficznego w świecie
Open Source.
http://www.gimp.org/
14 styczeń 2005
DVD B
Linux+ Live
L inux+ Live to dystrybucja Linuksa zna-
na Czytelnikom Linux+DVD, urucha-
miana z płyty DVD i nie wymagająca in-
stalacji na dysku twardym. W tym miesiącu
przekazujemy w Wasze ręce garść progra-
mów związanych z bezpieczeństwem sieci:
– Nmap – popularny skaner portów,
dzięki któremu wykryjecie słabe punk-
ty serwerów;
– Ettercap – bardzo rozbudowany sniffer, Linux+ Live po uruchomieniu
czyli podsłuchiwacz danych krążących
w zamkniętych sieciach LAN (posia- nia jest następująca: z każdym wysła-
da dużą liczbę różnych wtyczek, które nym pakietem związany jest pewien
czynią z niego prawdziwie szpiegow- licznik zawierający ,,czas życia''; jest on
ską maszynę); zmniejszany o jeden podczas przejścia
– Ethereal – kolejny sniffer, ale w prze- przez każdy router; gdy osiągnie zero,
ciwieństwie do wymienionego przed pakiet jest zwracany do nadawcy jako
chwilą Ettercapa, działa w trybie gra- ,,przeterminowany'').
ficznym i posiada mniejszą liczbę wty-
czek (idealny dla początkujących); Patrząc od strony technicznej, Linux+ Live
– Airsnort – jeszcze jeden sniffer, ale jest oparty o jądro 2.6.7 i KDE 3.2.3. Dzię-
tym razem zupełnie inny od wymie- ki temu, wymienione wcześniej oprogra-
nionych wcześniej, gdyż działa w za- mowanie wykorzystają również mniej za-
mkniętych sieciach WLAN; awansowani użytkownicy.
– Ping – program wysyłający pakiet in- Pamiętajcie o jednym – jeśli chcecie
formacji i żądający odesłania go do wykorzystać Ettercapa, Ethereala czy Air-
wysyłającego (pozwala zbadać istnie- snorta, spytajcie najpierw o zgodę admini-
nie połączenia między komputerami, stratorów Waszej sieci. Podsłuchiwanie jest
drogę między nimi, czas potrzebny na nielegalne. Redakcja nie odpowiada za ja-
przejście pakietu oraz sprawdzać, czy kiekolwiek szkody wyrządzone przez wy-
dany komputer pracuje w sieci); mienione oprogramowanie. Życzymy do-
– Traceroute – program posiadający brej, a przede wszystkim rozważnej za-
funkcje podobne do tych oferowanych bawy!
przez program Ping (idea jego działa- http://live.lpmagazine.org/
Damn Small Linux 0.8.3
Bootowalna dystrybucja Linuksa, miesz-
cząca się na płytce o wielkości karty kre-
dytowej, zawierająca środowisko graficz-
ne i wiele przydatnych aplikacji? Cze-
mu nie. Z przyjemnością przedstawiam
Damn Small Linux – jedną z najmniej-
szych dystrybucji Linuksa. Aż dziw bie-
rze, jak wiele można zmieścić na prze-
strzeni 50 MB. Znajdziecie tutaj odtwa-
rzacz multimedialny XMMS, klienta pocz-
ty elektronicznej, klienta FTP, przeglądar- Kieszonkowy Linux
kę internetową, arkusz kalkulacyjny, edy-
tor tekstu, komunikator internetowy oraz sposób na to, aby mieć swój ulubiony sys-
menedżera plików. Jeśli dodamy do tego tem zawsze przy sobie. Nagrany na spe-
możliwość instalacji na dysku twardym cjalnie przygotowanej płytce, zmieści się
i urządzeniu PenDrive, wychodzi nam do portfela czy kieszeni. Rewelacja. Sys-
obraz dystrybucji idealnej dla słabszych tem został umieszczony na płycie w for-
komputerów, wyposażonych w proceso- mie obrazu ISO.
ry 486 i wczesne Pentium. To wspaniały http://www.damnsmalllinux.org/
aktualności
aktualności
News
OpenBSD 3.6
Oczekiwana wersja 3.6 systemu
OpenBSD w końcu ujrzała światło
dzienne. Główne nowości w stosunku
do poprzedniej wersji to wsparcie
dla nowej platformy sprzętowej
luna88k, obsługa wielu procesorów na
platformach i386 i amd64, zwiększona
wydajność i funkcjonalność NFS oraz
zwiększona funkcjonalność Border
Gateway Protocol Daemon.
http://www.openbsd.org/36.html
Bristol na Open Source?
Władze miejskie Bristolu planują
wyposażyć 5000 komputerów
w oprogramowanie Open Source.
Ostateczne decyzje zostaną pojęte
dopiero po debacie na posiedzeniu rady
miasta. Zmiany miałyby objąć 5000
komputerów, na których pojawiłby się
zintegrowany pakiet StarOffice 7 firmy
Sun Microsystems, zamiast dotychczas
używanych programów Corel Word
Perfect, Lotus 1-2-3 oraz Microsoft Office.
Zgodnie z wyliczeniami urzędników,
przejście na oprogramowanie Open
Source pozwoliłoby zaoszczędzić ponad
milion funtów w ciągu najbliższych
pięciu lat.
http://www.computerweekly.com/
articles/article.asp?liArticleID=134508&
liArticleTypeID=1&liCategoryID=6&liC
hannelID=1&liFlavourID=1&sSearch=
&nPage=1
Koders.com
Pod adresem Koders.com można znaleźć
nowy projekt będący wyszukiwarką
źródeł oprogramowania Open Source.
Ma ona ułatwić pracę programistom,
którzy będą mogli porównać, jak dany
problem, który napotkali w swojej
pracy, rozwiązali inni. Oprócz słów
kluczowych, kryterium wyszukiwania
może być język programowania
i licencja, na której kod jest dostępny.
Serwis Newsforge przeprowadził
wywiad z twórcą tego projektu,
Darrenem Rushem
http://www.newsforge.com/
article.pl?sid=04/11/01/1927212
Novell Linux Desktop
Novell ogłosił niedawno, że jego nowy
produkt, oparty na SUSE 9 Novell
Linux Desktop 9, jest już dostępny. Jest
to system przeznaczony dla klienta
korporacyjnego i dostępny jest wraz
ze wsparciem technicznym, a także
szkoleniami dla pracowników. Dostępny
ma być w sieci sprzedaży partnerów
Novella. Jego sugerowana cena to $50
wraz z rocznymi uaktualnieniami
i poprawkami. Za darmo dostępna jest
trzydziestodniowa wersja próbna
(trzy obrazy ISO).
http://www.novell.com/products/desktop/
eval.html
16 styczeń 2005
news
3 x Novell
O statnio często, w różnych kontekstach,
wspomina się o firmie Novell, któ-
ra w stosunkowo niedługim czasie, dzięki
swojej zdecydowanej strategii na rynku IT,
stała się linuksowym potentatem.
Nic dziwnego, że to właśnie Novell po-
czuł się w obowiązku odeprzeć zarzuty
wystosowane przez Microsoft przeciwko Li-
nuksowi w kampanii Get the Facts (Poznaj
fakty – przechrzczonej szybko przez śro-
dowisko Open Source na Get the FUD, od
Fear, Uncertainty, Doubt, czyli Strach, Nie-
pewność i Zwątpienie). Specjalnie stworzo-
na w tym celu strona już w pierwszych sło-
wach nie pozostawia wątpliwości co do te-
go, że Novell nie ma zamiaru łatwo odda-
wać pola: W ostatnim czasie opublikowano
opinie podważające przydatność systemu
Linux do zastosowań w przedsiębiorstwach.
Informacje zebrane w tym miejscu pomogą
lepiej zrozumieć motywację, jaka stoi za ty-
mi opiniami, i właściwie ocenić rzeczywi-
stą wartość Linuksa dla sieci korporacyjnej.
Zaraz po tym autorzy przechodzą do rze-
czy – w pięciu kolejnych rozdziałach, za-
tytułowanych kolejno: Dlaczego lepiej wy-
brać Linuksa, a nie Windows, O czym Mi-
crosoft nie mówi, Nadeszła pora na Linuk-
sa, Chodzi o swobodę wyboru oraz Dlacze-
go jeśli Linux, to Novell?, punkt po punk-
cie podważają argumentację firmy z Red-
mond, zawartą w jej (nie)sławnej kampanii
informacyjnej. Novell przekonuje, że Linux,
to nie tylko niskie koszty, ale również bez-
pieczeństwo i przyszłość. Firma nie omiesz-
kała przy tym wspomnieć o swoim progra-
mie zabezpieczenia klientów przed roszcze-
niami patentowymi. Oczywiście, linuksową
alternatywą dla platformy Microsoftu jest
w tym dokumencie niemal zawsze komer-
cyjna dystrybucja SUSE, przejęta niedawno
przez Novella. Trudno się temu dziwić – za-
równo kampania Microsoftu, jak i kontratak
Novella, są skierowane przede wszystkim
do klienta korporacyjnego, który potrzebu-
je rozwiązań sprawdzonych w warunkach
produkcyjnych oraz wsparcia techniczne-
go ze strony producenta. Pod tym wzglę-
Między innymi dzięki przejęciu firmy
SUSE, Novell stał się linuksowym
potentatem
Novell na swojej stronie internetowej
prostuje “fakty”
dem SUSE wydaje się być całkiem dobrą al-
ternatywą.
Kilka dni po premierze strony interneto-
wej odpierającej zarzuty Microsoftu, w ser-
wisach linuksowych znów pojawiła się na-
zwa firmy Novell. Niejakim zaskoczeniem
dla wielu była informacja o odejściu jedne-
go z jej głównych menedżerów, Chrisa Sto-
ne'a, który, jak mówi, postanowił poświęcić
się teraz innym wyzwaniom zawodowym.
Chris był głównym autorem strategii linuk-
sowej Novella – to głównie dzięki jego sta-
raniom i pracy Novell przejął najpierw fir-
mę Ximian, producenta oprogramowania
Open Source, a następnie SUSE, producen-
ta znanej komercyjnej dystrybucji Linuksa.
To właśnie za kadencji Stone'a Novell stał
się potentatem na rynku oprogramowania
Open Source, wykorzystując pewne nie-
zdecydowanie ze strony konkurencji, głów-
nie Sun Microsystems. Dzięki swojej platfor-
mie opartej na SUSE i Ximianie, Novell rzu-
cił rękawicę Microsoftowi na rynku korpo-
racyjnym. Nie wydaje się, aby odejście Sto-
ne'a miało wpłynąć na zmianę strategii fir-
my – Novell w każdym razie zdecydowanie
zapowiada kontynuację.
Trzecia informacja dotyczącą Novella
jest chyba najbardziej interesująca dla samej
firmy. Na drugiej dorocznej imprezie Tech
Innovators czasopismo VARBusiness przy-
znało Novellowi nagrodę "Największy in-
nowator w dziedzinie sytemu Linux w ro-
ku 2004" (2004 Top Innovator Award for Li-
nux) za jej system SUSE LINUX Enterpri-
se Server 9. Pakiet SUSE LINUX Enterprise
Server 9 znalazł się wśród 460 produktów
zgłoszonych do konkursu przez 50 dostaw-
ców produktów informatycznych dla przed-
siębiorstw.
Oby więc Novell nie zwalniał tempa
– dla dobra Linuksa...
http://www.novell.com/linux/truth/
http://7thguard.net/news.php?id=4198

Diabełek powraca – FreeBSD 5.3
D ługo oczekiwane nowe wydanie naj-
popularniejszego systemu z rodziny
BSD, FreeBSD 5.3, jest już dostępne. Jak
podkreślają deweloperzy, jest to pierw-
sze stabilne wydanie z gałęzi 5.x – stabilne
w sensie produkcyjnym, tzn. nie testu-
je się w nim nowych rozwiązań technolo-
gicznych, ale dostarcza system gotowy do
wdrażania. Do tej pory twórcy zalecali, ja-
ko stabilniejszą, gałąź 4.x systemu.
Od dość dawna FreeBSD pozostaje
w cieniu Linuksa, jako ten drugi system ty-
pu Open Source. Dzieje się tak głównie za
sprawą tego, że FreeBSD skupiło wokół sie-
bie mniejszą społeczność – zarówno dewe-
loperów, jak i użytkowników. Wśród sys-
temów z rodziny BSD to właśnie FreeBSD
uchodzi za najlepiej rozwinięty i najbardziej
wszechstronny – jest niezwykle ceniony na
serwerach, ale ma też swoich zwolenników
w zastosowaniach biurkowych. Niezwykle
liberalna licencja BSD pozwala na wyko-
rzystywanie jego kodu także w projektach
typu closed source, przez co FreeBSD ma
swój wkład w rozwój komercyjnych syste-
mów, takich jak MacOS X czy Solaris.
Co nowego we FreeBSD 5.3? Znajdzie-
my w nim między innymi serwer X.org
w wersji 6.7, a także środowiska graficz-
ne GNOME 2.6.2 i KDE 3.3.0. Środowi-
Adobe a sprawa linuksowa
A dobe Systems, znany producent opro-
gramowania, nie może pochwalić
się bogatą kolekcją programów działają-
cych na platformie linuksowej. W zasa-
dzie jedynym rodzynkiem jest Adobe Re-
ader, ale i tutaj nie jest najlepiej – wersja
dla Linuksa jest mocno spóźniona w sto-
sunku do wersji dla Windows i Mac OS X.
Być może w niedługiej przyszłości to się
zmieni. Firma Adobe Systems przystąpi-
ła do konsorcjum przemysłowego Open
Source Development Labs, które zatrud-
nia m.in. Linusa Torvaldsa. Adobe, zgod-
nie z informacjami, jakie zdobyli dzien-
nikarze serwisu CNET News.com, działa
w konsorcjum w grupie roboczej zajmują-
cej się Linuksem w zastosowaniach biur-
kowych.
Firma zaprzecza jakoby chciała stwo-
rzyć linuksowe wersje swoich flagowych
produktów, takich jak Photoshop czy Illu-
strator, a jedynie zapowiada uaktualnienie
Adobe Readera do wersji 6.0, czyli takiej
jak dla Windows i Mac OS X. Pam Deziel,
news@lpmagazine.org
Demon Beastie to maskotka systemu
FreeBSD
sko programistyczne zostało uaktualnione
do GCC 3.4.2, Binutils 2.15 i GDB 6.1. Do
ciekawych nowości należy też z pewnością
możliwość korzystania z niektórych kart
sieciowych przy wykorzystaniu sterowni-
ków dla MS Windows. Udało się również
podnieść wydajność systemu na maszy-
nach wieloprocesorowych.
FreeBSD to bardzo ciekawa alterna-
tywa dla Linuksa. Zainteresuje z pewno-
ścią również tych, którzy chcieliby się na-
uczyć czegoś więcej na temat systemów
z rodziny Unix. Mimo zdecydowanie mniej-
szej popularności, FreeBSD ma też niemały
wpływ na Linuksa – wystarczy wspomnieć
choćby dystrybucję Gentoo, której podsta-
wowy mechanizm Portage wzorowany był
właśnie na rozwiązaniach podpatrzonych
w tym systemie.
http://www.freebsd.org/releases/5.3R/
announce.html
dyrektor do spraw promocji produktów
w Adobe Systems, uważa, że linuksowe
wersje produktów jej firmy nie znalazły-
by zbyt wielu kupców. Jej zdaniem Linux
to bardzo ciekawy rynek, ale na razie je-
dynie dla branży programistycznej. Klien-
tów zainteresowanych tworzeniem grafiki
pod Linuksem jest zbyt mało, aby firmie
opłacało się tworzyć wersję dużych apli-
kacji na tę platformę. Dodatkowo, konku-
rencja ze strony produktów darmowych,
jak choćby GIMP, również, zdaniem Dez-
iel, zniechęca do takich posunięć.
Firma Adobe Systems jest bardzo ta-
jemnicza, gdyż oficjalnie potwierdzi-
ła jedynie przystąpienie do konsorcjum
OSDL. Nie ulega jednak wątpliwości, że
zaczęła się interesować Linuksem i chce
stworzyć dla siebie strategię postępowa-
nia na tym rynku. Z pewnością najbliż-
sze tygodnie przyniosą nam ciekawe in-
formacje na ten temat.
http://www.linux.pl/?id=news&show=1715
dział prowadzi: Witold Kieraś
News
Nawigacja GPS na Linuksie
TomTom GO to system nawigacji
samochodowej GPS, działający
w oparciu o Linuksa. Można dzięki
niemu korzystać z dwuwymiarowego
oraz trójwymiarowego widoku
drogi, a także z systemu
informowania kierowcy (zarówno
przy pomocy tekstu, jak i głosu)
o kierunku jazdy. Urządzenie można
zamontować na tablicy rozdzielczej
lub przedniej szybie samochodu,
a producent twierdzi, że jest to
najmniejsze tego typu urządzenie
dostępne obecnie na rynku.
http://www.linuxdevices.com/articles/
AT6929528271.html
Za duży wybór?
W serwisie Newsforge ukazał się
artykuł Vinoda Vijayarajana pt.
Too many cooks in Linux? Autor
twierdzi w nim, że głównym
problemem dla osób migrujących
z monolitycznego systemu Windows
na Linuksa jest zbyt duża liczba
decyzji, jakie muszą podjąć jeszcze
zanim zaczną pracować w nowym
środowisku. Najpoważniejszą jest
oczywiście wybór dystrybucji.
Postuluje stworzenie zbioru
standardów dotyczących przede
wszystkim instalacji i procesu
konfiguracji systemu, aby nowy
użytkownik nie czuł się przytłoczony
brakiem zgodności dystrybucji
Linuksa na płaszczyźnie interfejsu.
Artykuł spotkał się ze zdecydowaną
krytyką czytelników – główną zaletą
Linuksa jest właśnie możliwość
wyboru, a rezygnowanie z niej
w imię upodabniania się do
produktów MS wydaje się być tym,
czego obecni użytkownicy Linuksa
bardzo by sobie nie życzyli.
Przeciwko patentom w Unii
Georg Greve, prezydent Free
Software Foundation Europe,
wystosował list otwarty do
desygnowanego niedawno nowego
przewodniczącego Komisji
Europejskiej José Manuel'a Barroso.
Powołuje się on na badania
przeprowadzone przez poważne
firmy, jak PricewaterhouseCoopers
oraz Deutsche Bank, dotyczące
szkodliwego wpływu na gospodarkę
jakie niesie za sobą przegłosowanie
dyrektywy o możliwości
patentowania oprogramowania,
oraz zachęca do sprzeciwu wobec
wprowadzenia patentów na
"wynalazki realizowane za pomocą
komputera".
http://fsfeurope.org/projects/swpat/
letter-20041101.en.html
http://7thguard.net/
news.php?id=4194
www.lpmagazine.org 17
 aktualności
aktualności
News
Emulacja PS/2 dla myszy USB
problematyczna
Na LKML pojawił się problem
z obsługą myszy. Specjaliści od
USB i podsystemu wejścia, Greg
Kroah-Hartman i Vojtech Pavlik,
błyskawicznie zdiagnozowali go
jako wynik włączenia w BIOS-
ie emulacji PS/2 dla urządzeń
wskazujących podłączanych
przez USB. Jest ona konieczna
o obsługi klawiatury i myszy
w programie uruchomieniowym,
przed załadowaniem Linuksa,
ale później stanowi problem.
Sterownik PS/2 przejmuje tak
emulowane urządzenie i nie oddaje
go podsystemowi USB, co owocuje
problemami z zapanowaniem nad
kursorem myszy. Okazało się, że
stosowne łatki od pewnego czasu
znajdują się w drzewie -mm, ale nie są
włączane automatycznie – wymagają
specjalnego parametru w linii
poleceń jądra. Deweloperzy zgodnie
stwierdzili, że muszą jak najszybciej
trafić do głównego drzewa i być
aktywowane automatycznie.
http://lkml.org/lkml/2004/10/1/11
Odchudzenie sysfs
Inną ciekawostką, która w końcu
trafiła do drzewa Linusa, jest łatka
nazwana sysfs backing store. Pozwala
ono zaoszczędzić pamięć marnowaną
przez system plików sysfs. Znikanie
pamięci nie jest błędem tego systemu,
a jedynie konsekwencją używania
przez niego ogólnych wywołań VFS
do stworzenia hierarchii katalogów
i plików. Takie podejście powoduje
traktowanie przez VFS drzewa
/sys jak każdego innego punktu
montowania, wraz z wynikającymi
z tego zagadnieniami cache'owania.
Obowiązująca dla sysfs filozofia
,,jeden plik - jedna wartość'' owocuje
olbrzymią ilością plików, katalogów
i łączy symbolicznych, co potrafi
zmarnować spore ilości pamięci, która
znajduje się w fizycznej RAM i nie
może zostać przesłana na partycję
wymiany.
Łatka włączona do jądra tworzy
katalogi i pliki w /sys dopiero w
momencie dostępu do nich. Usuwa
także te, którymi w ostatnim czasie
nikt się nie interesował. Autor na
swojej maszynie testowej odzyskał 145
megabajtów (sic!) pamięci, ale należy
zaznaczyć, że dysponuje naprawdę
ogromnym systemem z mnóstwem
urządzeń.
Z tej zmiany zadowoleni powinni
być zarówno właściciele większych,
bogato wyposażonych komputerów,
jak i ci, którzy używają Linuksa
w zastosowaniach wbudowanych,
gdzie liczy się każdy bajt pamięci.
http://lwn.net/Articles/69523/
18 styczeń 2005
jądro linux
Asynchroniczny podsystem kryptograficzny
P odsystem dostarczający operacji kry-
ptograficznych jest dostępny w Linu-
ksie już od jakiegoś czasu. I chociaż
spełnia swoje zadania dobrze, to nie jest
idealny. Największym problemem jest je-
go synchroniczność – po wywołaniu
funkcji kryptograficznej, kod musi ocze-
kiwać na jej wykonanie. Mogłoby się to
wydawać oczywiste, ale należy brać pod
uwagę sytuacje, w których szyfrowanie
czy liczenie funkcji skrótu jest wykony-
wane przez dodatkową kartę, tzw. akce-
lerator kryptograficzny. Czas, gdy akce-
lerator dokonuje przekształceń, procesor
marnuje na bezproduktywne czekanie.
Jest to tym większa strata, im szybszą jed-
nostką CPU dysponujemy.
Rozwiązaniem jest wprowadzenie
asynchroniczności. Przekazawszy zada-
nie do wykonanie karcie rozszerzeń, pro-
cesor może dalej wykonywać kod. Akce-
lerator zakończywszy działanie informuje
jądro o tym fakcie. Sprzęt i oprogramowa-
nie mogą działać równocześnie, uzysku-
jąc pełną prędkość.
Rozszerzenia standardowej warstwy
kryptograficznej o działalność asynchro-
niczną podjął się Evgeniy Polyakov, wzo-
rując się na rozwiązaniu obecnym w sys-
temie OpenBSD. Łatka, którą zaprezento-
wał, umożliwia stworzenie kilku kolejek
(dla każdego urządzenia kryptograficzne-
go i obliczeń na procesorze), przypisywa-
nie poszczególnych szyfrowanych sesji do
konkretnych kolejek, migrację między ko-
lejkami, a nawet przekazywanie sesji mię-
dzy urządzeniami – przydatne np. gdy
jedno z nich dokonuje szyfrowania, a in-
ne cyfrowego podpisania.
Wszystkie sesje kryptograficzne są za-
rządzane przez proces szeregujący, dba-
jący o optymalne wykorzystanie do-
stępnych zasobów. W najprostszej im-
plementacji przydziela on nowe zadania
w pierwszej kolejności tym urządzeniom,
które mają najkrótszą kolejkę oczekujących
sesji. Asynchroniczne API poprzez system
wtyczek daje dużą elastyczność dołączania
bardziej skomplikowanych algorytmów
przydziału zadań. Długość kolejek może
być uzależniona od szybkości dokonywa-
nia przekształceń przez dane urządzenie, a
ta z kolei może być mierzona przez jądro
przy załadowaniu modułu. Na wybór urzą-
dzenia mogą wpływać również inne czyn-
niki, np. długość pakietu przeznaczonego
do zaszyfrowania. Okazuje się bowiem, że
Akcelerator kryptograficzny Sun Crypto
Accelerator 1000 PCI Card
zestawienie transferu po szynie (np. PCI)
do urządzenia może zająć więcej czasu niż
sama operacja szyfrowania. W skrajnych
przypadkach, krótkie pakiety szybciej zo-
staną przetworzone przez CPU niż przesła-
ne do karty. Podobne dylematy rozwiązy-
wano już w przeszłości. Przykładem mo-
że być kopiowanie odebranych pakietów
z buforów karty sieciowej do pamięci RAM.
W przypadku większych porcji, jądro wy-
korzystuje DMA, a małe pakiety są kopio-
wane przez procesor – większy narzut cza-
sowy rekompensuje zapamiętanie krótkich
pakietów w pamięci podręcznej proceso-
ra, co znacznie przyspiesza kolejne opera-
cje na odebranych danych.
Wprowadzone rozszerzenie spotkało
się z ciepłym przyjęciem, bo jest krokiem
w kierunku zwiększenia możliwości kryp-
tograficznych Linuksa. Pojawiły się prośby
o stworzenie API dla przestrzeni użytkow-
nika, zgodnego z tym obecnym w rodzi-
nie systemów *BSD. Jest to oczywiście uza-
sadnione – nie ma sensu utrudniać prze-
noszenia oprogramowania między platfor-
mami. Dodatkowym plusem, przemawia-
jącym za wspólnym interfejsem, jest umie-
jętność korzystania z niego przez biblio-
tekę OpenSSL. Gdyby interfejs powstał,
wszystkie napisane programy, używające
OpenSSL, niemal automatycznie uzyskały-
by obsługę sprzętowych akceleratorów.
Pełne wykorzystanie asynchronicznego
API w jądrze pociąga za sobą konieczność
przepisania fragmentów kodu. Pojawiły się
obawy, że to ogromna ilość pracy, biorąc
pod uwagę stos IPSec. Jamal Hadi Salim
stwierdził jednak, że wymagane przerób-
ki nie są aż tak duże. Spora jest natomiast
szansa szybkiego włączenia asynchronicz-
nego, kryptograficznego API do jądra.
http://lists.logix.cz/pipermail/cryptoapi/
2004/000165.html

Stos Linuksowych Modułów Bezpieczeństwa (LSM)
M echanizm Linux Security Module
jest bardzo zaawansowany i daje
wiele możliwości zabezpieczania syste-
mu przez odpowiednio napisane modu-
ły. Niektóre z powstałych rozszerzeń po-
zwalają nawet zwiększyć funkcjonalność
Linuksa zaledwie ocierając się o bezpie-
czeństwo. Przykładem może być wspo-
mniany w zeszłym miesiącu moduł dają-
cy dostęp do szeregowania czasu rzeczy-
wistego zwykłym użytkownikom. Wy-
korzystując LSM, można także w pew-
nym stopniu profilować działanie syste-
mu. Daje on dostęp do wnętrza systemu
i jest w miarę elastyczny, chociaż posia-
da bolączkę, poważnie ograniczającą je-
go zastosowania. Jego konstruktorzy do-
łączyli do wielu struktur danych, używa-
nych w jądrze, pole typu void * , które-
go zadaniem jest przechowywanie da-
nych związanych z zabezpieczeniem da-
nego obiektu. Dodajmy, że danych spe-
cyficznych dla bieżącego modułu LSM.
I tu właśnie wpadamy na ograniczenie
postawione przez autorów – nie można
w prosty sposób załadować dwóch LSM,
gdyż ich wspólne, nienadzorowane od-
wołania do pola informacyjnego w naj-
lepszym razie nie dadzą pożądanych re-
zultatów. W najgorszym mogą doprowa-
dzić do obniżenia bezpieczeństwa chro-
nionych zasobów, a nawet niestabilno-
ści systemu.
Celowo uniemożliwiono proste zała-
dowanie dwóch modułów. Chcąc skorzy-
stać z różnych LSM naraz, należy zaim-
plementować w nich obsługę nakładania.
Wiąże się to z kolei z koniecznością napi-
sania kodu obsługującego wszystkie miej-
sca, w których następuje konsultacja jądra
z modułami bezpieczeństwa. Jest ich bar-
dzo dużo, więc zazwyczaj autorzy zajmu-
ją się tylko swoim modułem, całkowicie
ignorując pozostałe.
Nawet jeśli twórca pomyślał o wszyst-
kich potrzebnych zaczepach (hooks) i ob-
słudze nakładania innych modułów na
swój, powraca kwestia pojedynczego
pola informacyjnego. Współdzielenie go
przez nałożone na siebie moduły wyma-
ga sporego wysiłku.
Spróbował temu zaradzić Serge Hal-
lyn. Wykorzystał opcjonalne funkcje po-
mocnicze nakładania do możliwie naj-
większej separacji modułów od siebie.
Pojedynczy wskaźnik void * zamienił na
tablicę wskaźników, domyślnie czteroele-
kernel@lpmagazine.org
mentową. Daje to możliwość współpracy
czterech LSM, kosztem zwiększenia zaję-
tości pamięci i spowolnienia niektórych
operacji.
Standardowo, działanie Linux Secu-
rity Modules polega na odwołaniu się
do konkretnego modułu w ostatniej fa-
zie przyznawania dostępu do zasobu.
W przypadku plików najpierw są spraw-
dzane uprawnienia pliku oraz ewentu-
alna możliwość jego otwarcia w trybie
odczyt/zapis (zależy to również od opcji
montowania), a jeśli po tych standardo-
wych testach użytkownik ma przyzna-
ny dostęp, konsultowany jest LSM. Mo-
duł, kierując się sobie tylko znaną wie-
dzą, ma jeszcze szansę zabronić dostępu.
W przypadku kilku załadowanych modu-
łów, wystarczy brak zgody tylko jednego,
aby dostęp nie powiódł się.
Czy to dobry rozwiązanie? Inni de-
weloperzy nie są do niego przekonani.
Moduły nie wiedzące o sobie nawza-
jem mogą zachowywać się w nieprzewi-
dziany sposób. A nieprzewidywalność
jest ortogonalna do możliwości zapew-
nienia bezpieczeństwa. Z właściwym
rozwiązaniem wystąpił James Morris.
Według niego nie należy dopuszczać
do konieczności jednoczesnego stosowa-
nia kilku modułów bezpieczeństwa.
Jedynym załadowanym powinien być
moduł SELinux. Był to pierwszy użyt-
kownik szkieletu bezpieczeństwa LSM.
W jego projekcie brano pod uwagę
maksymalną elastyczność konfiguracji.
SELinux działa na zasadzie narzucenia
zasad określonych w polityce bezpie-
czeństwa załadowanej do jądra z pli-
ku. Ustalanie jej jest dosyć elastyczne,
ale nie przewidziano wszystkich możli-
wości nadzorowania systemu, stąd po-
wstanie innych niż SELinux modułów
bezpieczeństwa. Morris starał się skiero-
wać deweloperów raczej na dopisywa-
nie brakującej funkcjonalności do SELi-
nux niż tworzenie własnych, ograniczo-
nych do jednej lub kilku funkcji modu-
łów LSM.
Rozwiązanie to, chociaż wymusza
uznanie SELinux za podstawowy moduł
bezpieczeństwa, jest zdecydowanie lep-
sze niż złożenie razem kilku słabo ze so-
bą współpracujących fragmentów nieza-
leżnego kodu.
http://lwn.net/Articles/110432/
dział prowadzi: Tomasz Torcz
News
Pakietowe nagrywanie płyt
Po długim okresie utrzymywania poza
jądrem, w końcu zostały włączone
zmiany umożliwiające pakietowe
nagrywanie płyt, tj. nagrywanie na
nośnikach optycznych, tak jak na
dyskietkach. Po skojarzeniu napędu
z pseudourządzeniem, można je
podmontować i po prostu skopiować
pliki przeznaczone do nagrania.
Zalecany jest do tego system plików
UDF, ale można użyć dowolnego
obsługiwanego przez Linuksa.
Niedogodnością może być brak
obsługi błędów w bieżącej wersji
sterownika, co wymusza używanie
w pełni sprawnych płyt CD.
Pełna losowość w /dev
Pliki reprezentujące urządzenia
w katalogu /dev są powiązane
ze sterownikami w jądrze przez
dwa numerki, tzw. major i minor.
Od dawna obowiązuje sztywne
przypisanie.
Z punktu widzenia deweloperów jądra
przypisane na sztywno numery nie
mają większego sensu. Jest to zbiór
magicznych wartości, na które trzeba
uważać i łatwo przy nich popełnić
błędy. Niektórzy za błąd uważają
przydzielenie dyskom SCSI tylko 4
bitów na numerowanie partycji, co
ogranicza maksymalną ich liczbę
do 16 (dyski IDE mogą mieć nawet 64
partycje).
Pomysł odrzucenia przypisanych na
stałe numerków co jakiś czas pojawia
się na liście dyskusyjnej twórców
Linuksa. Ostatnio przypomniał go
Carl-Daniel Hailfinger i obiecał nawet
stworzenie łatki, która przeniesie
numerki urządzeń w dziedzinę
losowości. Pomoże to zlokalizować
sterowniki, które stworzono opierając
się na błędnych założeniach
dotyczących numerów urządzeń.
Jest tylko jedno ale: aby działanie
systemu nadal było możliwe,
wewnętrzne zdanie jądra co do
numeracji musi pokrywać się
z zawartością katalogu /dev. Istnieją
co najmniej dwa mechanizmy,
które to umożliwiają, zajmujące się
dynamicznym wypełnianiem tego
katalogu: pseudo system plików devfs
(obecnie na wymarciu)
i zdobywający coraz większość
popularność udev. Obydwa
dbają o stworzenie plików-
urządzeń na podstawie informacji
o numerach otrzymanej z jądra,
więc aktualnej. Wymuszenie ich
używania może nie pasować
użytkownikom przyzwyczajonym
do statycznego /dev, których
systemy po wprowadzeniu
losowości po prostu przestaną się
uruchamiać.
www.lpmagazine.org 19
aktualności
aktualności
News
Debian Stable zaktualizowany
Joey Schulze ogłosił kolejną, trzecią już
aktualizację gałęzi stabilnej Debiana.
Od wydania ostatniej aktualizacji
w listopadzie 2003 roku zebrało się
sporo poprawek bezpieczeństwa.
Obecna aktualizacja, o nazwie 3.0r3,
poprawia 212 błędów bezpieczeństwa
w pakietach. Nowe obrazy
instalacyjnych płyt Debiana zawierają
już wszystkie poprawki.
http://lists.debian.org/debian-
announce/debian-announce-2004/
msg00000.html
http://www.debian.org/News/2004/
20041026
Problematyczna wersja
shareware XChat
Giacomo Catenazzi zauważył, że
na stronie WWW aplikacji XChat
dostępna jest binarna wersja
shareware programu dla systemu
Windows. Aby odblokować wersję
shareware, należy uiścić odpowiednią
opłatę, ale kod źródłowy, wydany
na licencji GPL, nie zawiera
kodu odblokowującego. Istnieje
prawdopodobieństwo, że może to być
źródłem kłopotów dla Debiana.
http://lists.debian.org/debian-legal/
2004/10/msg00357.html
http://lists.debian.org/debian-legal/
2004/10/msg00373.html
Spowolnienie list
dyskusyjnych Debiana
Pascal Hakim ogłosił, że listy
dyskusyjne Debiana cierpią
z powodu wielu serwerów poczty,
które nie przetwarzają wiadomości
wystarczająco szybko. Sytuację
pogarszają dodatkowo wiadomości
wysyłane na listę ogłoszeniową
(debian-announce), która posiada
ponad 28 tysięcy subskrybentów.
Pascal ogłosił również, że grupa
administratorów list wzbogaciła się
o osobę Corda Beermanna.
http://www.redellipse.net/stuff/
Debian/Lists/debian-announce_and_
thundering_herds.story
http://lists.debian.org/debian-
announce/debian-announce-2004/
msg00000.html
Aktualizacja Sarge
Frank Lichtenheld ogłosił
rezultaty swojej pierwszej aktualizacji
z Woodiego do Sarge na platformie
i386, a Andreas Barth podsumował
problemy dla wszystkich platform.
Niezgodność pomiędzy glibc
i jądrem może sprawiać problemy
również na architekturach hppa,
arm, sparc i mips(el). W przypadku
części z nich wystarczy najpierw
zaktualizować jądro.
http://lists.debian.org/debian-kernel/
2004/10/msg00430.html
20 styczeń 2005
debian
SkoleLinux
W zamieszaniu związanym z po-
jawieniem się rewolucyjnego
Ubuntu niektórym mogło umknąć,
że jest to jedna z wielu dystrybucji
bazujących na Debianie. Dokładnie,
jedną ze 115 pochodnych Debiana.
Wśród nich znajduje się także Skole-
Linux. Niedawno ukazała się jego no-
wa wersja.
SkoleLinux jest wyspecjalizowa-
ną dystrybucją, powstającą głównie
w Norwegii, przeznaczoną przede
wszystkim do użytku w szkołach.
W chwili obecnej zespół pracujący nad
SkoleLinux ściśle współpracuje z de-
weloperami Debiana skupionymi wo-
kół projektu debian-edu, więc można
praktycznie postawić znak równości
między tymi dwiema odmianami.
SkoleLinux jest mieszaniną pakie-
tów pochodzących z Debiana Woody,
Sarge, wydania niestabilnego, a nawet
z serwisu backports.org (m.in. Sam-
ba). Zastosowanie wielu źródeł pakie-
tów jest częstym zabiegiem w wielu po-
chodnych Debiana, gdyż pozwala na
korzystanie z funkcji, które są nieobec-
ne w wydaniu stabilnym. Dystrybucja
została przystosowana do pracy w śro-
dowisku sieciowym oraz zawiera scen-
tralizowane narzędzia autoryzacji użyt-
kowników, składowania plików i admi-
nistracji. Zarządzanie systemem odby-
wa się z poziomu interfejsu WWW (wy-
korzystano w tym celu zmodyfikowa-
ny pakiet Webmin). Współpraca końcó-
wek sieciowych odbywa się przy po-
mocy narzędzia LTSP, zdobywające-
go coraz większą popularność, co po-
zwala na wykorzystanie starych kom-
puterów, będących często na wyposa-
żeniu szkół.
SkoleLinux posiada cztery profile
możliwe do zainstalowania:
– główny serwer – działają na nim
usługi autentykacji, DHCP, DNS itp.
oraz są składowane pliki użytkow-
ników;
– klient – terminal, korzystający z za-
sobów innego komputera do uru-
chamiania swoich procesów;
– stacja robocza – umożliwia normal-
ną pracę i służy jednocześnie za
serwer aplikacji dla kilku klientów;
– komputer domowy – instaluje sys-
tem przeznaczony do użytku do-
Administracja SkoleLinuksem poprzez
Webmina
mowego, dodając wiele programów
przydatnych uczniom.
Ciekawym i praktycznym rozwiąza-
niem jest zastosowanie pośrednich
serwerów terminali (stacji roboczych),
umożliwiających odciążenie głównego
serwera w przypadku większych sie-
ci. Dla średniej wielkości szkół (dys-
ponujących 3 pracowniami po 15 sta-
cji) oznacza to w praktyce konieczność
posiadania jedynie czterech wydaj-
nych komputerów. Mocniejsze kompu-
tery mogą jednocześnie pełnić rolę sta-
cji dla nauczycieli, przy czym termina-
le korzystające z ich zasobów nadal do
autentykacji i składowania plików wy-
korzystują serwer centralny.
Instalacja, opierająca się na no-
wym instalatorze z Sarge, sprowadza
się do odpowiedzi na kilka nieskom-
plikowanych pytań oraz wyboru pro-
filu. W każdym przypadku, użytkow-
nik po instalacji dysponuje systemem
praktycznie gotowym do użycia. Więk-
szość czynności administracyjnych od-
bywa się z wykorzystaniem specjalnie
dostosowanego Webmina. Aktualizacja
oprogramowania z zastosowaniem me-
chanizmów Debiana (apt) jest również
dziecinnie łatwa.
SkoleLinux ze względu na swoją
elastyczność, niskie koszty wdrożenia
oraz łatwość administracji, nawet dla
początkujących użytkowników, wyda-
je się być idealną alternatywą dla go-
towych rozwiązań opartych o produk-
ty zamknięte i drogie, takich jak in-
tensywnie promowany Small Business
Server Microsoftu.
http://www.skolelinux.org/

Echa Ubuntu...
Z
eszłomiesięczne wydanie dystrybu-
cji Ubuntu, czyli młodszego brata De-
biana, rozwijanego przez firmę Canonical
Inc., doprowadziło do szeregu dyskusji na
temat modelu rozwoju samego Debiana.
Nikt nie ma wątpliwości, że Ubuntu to
spory krok naprzód względem orygina-
łu i naturalnym wydaje się ciekawość de-
weloperów i zadawanie sobie pytania, jak
to możliwe, że kilkudziesięciokrotnie mniej
ludzi (aniżeli wolontariuszy Debiana) było
w stanie poczynić takie postępy w tak krót-
kim czasie.
Z pewnością fakt, iż Canonical Inc. za-
trudnia programistów rozwijających dystry-
bucję (często również deweloperów Debia-
na) na pełny etat, nie pozostał bez znacze-
nia. To oczywiste, że nie każdy poświę-
ca tyle samo czasu na pracę, co na hob-
by. Ale czy to jedyny powód dla którego
Ubuntu tak prężnie się rozwija? Jak zauwa-
żył Jérôme Marant, deweloperzy Debiana
używają głównie dystrybucji niestabilnej,
a z tego powodu często nie wiedzą, jaki
jest stan testowej. Deweloperzy Ubuntu na-
tomiast korzystają z dystrybucji, która przy-
gotowywana jest do wydania, a więc sa-
mi mają okazję przekonać się o jej błędach,
a tym samym szybciej je poprawić.
Z tej dyskusji powstało kilka różnych
koncepcji. Jedną z nich było porzucenie
dystrybucji testing w Debianie i mrożenie
dystrybucji niestabilnej. Część dewelope-
rów sądzi, że to bardziej motywowałoby
ludzi do pracy, ale takie rozwiązanie było
już kiedyś stosowane i niestety, działało na-
wet gorzej niż obecne.
Clemens Schwaighofer zaproponował,
aby oprócz linii testing, która w zamierze-
niu ma stać się wersją stabilną, stosować
migawki (ang. snapshots), które miałyby się
pojawiać raz na pół roku. Z pewnością nie
oferowałyby one takiego bezpieczeństwa
i stabilności, jak choćby w tym momencie
Woody, ale byłyby aktualne. Ponadto, spo-
Ubuntu – młodszy brat Debiana
debian@lpmagazine.org
ro osób uważa, że testowe wydania Debia-
na są i tak bardziej stabilne niż finalne in-
nych dystrybucji. Taki projekt już istnieje
i nazywa się Debian Desktop Distribution.
Jest rozwijany w ramach projektu Debian
i właściwie realizuje wizję Clemensa po-
przez rozluźnienie wymagań dla pakie-
tów przechodzących z dystrybucji niesta-
bilnej oraz przez plany regularnych wy-
dań.
Marco d'Itri dla odmiany zaproponował
usunięcie dystrybucji stabilnej i pozostawie-
nie wydawania jej zewnętrznym firmom lub
innym ludziom, którym nie brakuje entuzja-
zmu i motywacji. Ten pomysł jednak szyb-
ko upadł, bo stabilna linia to coś z czego
Debian jest znany i za co jest ceniony.
Ubuntu wspiera trzy architektury, pod-
czas gdy Debian wspiera ich aż 10, a pro-
wadzi prace nad przynajmniej dwoma ko-
lejnymi. Sporo komentarzy dotyczyło ak-
tywności członków projektu. Debian ma
co prawda ponad 1300 wolontariuszy,
ale część z nich to martwe dusze, a jesz-
cze większa część jest co prawda aktyw-
na, ale w stopniu, który ma raczej niewiel-
ki wpływ na postępy zbliżające wszystkich
do kolejnego wydania stabilnego.
Do jakich wniosków doprowadziła
ta dyskusja? Do takich samych, jak każ-
da tak rozbudowana dysputa od ostat-
nich kilku miesięcy, a mianowicie, aby
skupić się na wydaniu Sarge, a na zmiany
przyjdzie czas później. Reasumując, zmia-
ny zapewne nastąpią, ale jak bardzo ra-
dykalne będą, tego dzisiaj nie wie nikt,
bo i nie czas skupiać się na tym w chwi-
li obecnej. Cieszy natomiast fakt, że De-
bian mimo tego, że jego ostatnie stabil-
ne wydanie ujrzało światło dzienne po-
nad 2 lata temu, nadal może być bazą dla
tak obiecujących projektów, jak Ubun-
tu. Jeszcze bardziej pocieszające jest to,
że już w tym momencie zaczęto część
zmian poczynionych przez Canonical Inc.
przenosić do Debiana, a kilku ich pra-
cowników zostało oddelegowanych, aby
wspierać rozwój Ubuntu poprzez popra-
wianie niedociągnięć w samym Debianie.
Wygląda na to, że powstanie omawia-
nej dystrybucji przyniesie korzyści zarów-
no użytkownikom, którzy mogą już teraz
spróbować “doszlifowanej” wersji Debiana,
jak i macierzystemu projektowi, który prę-
dzej czy później wchłonie te poprawki.
http://www.ubuntulinux.org/
dział prowadzi: T. Napierała, B. Feński
News
Aktualizacje Debiana
przez BitTorrent
Arnaud Kyheng uruchomił dla Apta
serwer proxy do sieci Bittorrent. Ze
względów bezpieczeństwa, wykaz
pakietów oraz pliki .torrent będą
ściągane ze stałego serwera HTTP,
tak jak zazwyczaj dzieje się to
w przypadku pakietu, ale same
pakiety będą pobierane przez protokół
Bittorent i przekazywane do Apta.
http://lists.debian.org/debian-devel/
2004/10/msg01715.html
Jądro 2.6.9 w Sarge?
Andres Solomon ogłosił,
że w repozytorium przygotował
wymagane standardowe debianowe
łatki dla jądra 2.6.9. W odpowiedzi
Christoph Hellwig zasugerował, aby
najpierw zająć się doprowadzeniem
wersji 2.6.8 do lepszego stanu
dla Sarge. Gdy ten etap zostanie
ukończony, to rozpocznie się etap
pracy nad 2.6.9.
http://lists.debian.org/debian-kernel/
2004/10/msg00355.html
Nowy Skolelinux
Petter Reinholdtsen przedstawił nowy
obraz CD Skolelinux. Zawiera on
ostatnio wprowadzone aktualizacje
bezpieczeństwa, nowsze jądro
i trochę nowych tłumaczeń. Baza
rozpoznawanego sprzętu również
została zaktualizowana.
http://www.skolelinux.org/portal/
index_html
Duży klaster Opteronów
działający na Debianie
Thomas Lange poinformował
o nowym klastrze o nazwie Sarek,
zbudowanym na procesorach AMD
Opteron i działającym na uniwersytecie
Umel. Składa się ze 192 węzłów
(384 procesory), a pracuje na nim
64-bitowa wersja Debiana GNU/Linux
na amd64 z jądrem 2.6. Klaster został
w czerwcu 2004 roku sklasyfikowany
na miejscu 165 w rankingu TOP 500.
http://www.hpc2n.umu.se/resources/
sarek.html
GNOME 2.8 w Sarge?
W imieniu zespołu GNOME, Jordi
Mallach zapytał, czy może wgrać
GNOME w wersji 2.8 do unstable
– wersja ta została wydana już we
wrześniu, gdy Sarge miał zostać
zamrożony. Ponieważ od tamtej
pory omawiany zbiór pakietów
był poddawany testom i wielu
użytkowników już go używa, wydaje
się być gotowy do włączenia do
nowej wersji stabilnej Debiana. Grupa
zarządzająca wydaniem zgodziła się na
włączenie GNOME 2.8.1 do unstable,
skąd może zostać przeniesiony
(częściowo lub w całości) do Sarge.
http://lists.debian.org/debian-release/
2004/11/msg00067.html
www.lpmagazine.org 21
aktualności
aktualności
News
Mandrakelinux 10.1 Official
27 października 2004 roku ukazało
się wydanie Mandrakelinux 10.1
Official. Jest ono praktycznie takie
samo, co opublikowane we wrześniu
wydanie Community, ale dodatkowo
zawiera zebrane w tym czasie
poprawki. Official można polecać
przede wszystkim użytkownikom
oczekującym stabilności, np.
administratorom serwerów oraz
boleśnie odczuwającym tzw. “syndrom
wersji .0”, a pozostali mogą liczyć, że
aktualizacja do wersji Official poprawi
błędy dystrybucji czające się dotąd
w cieniu.
http://www.mandrakesoft.com/
products/101
Nowsze KDE i GNOME
Wielu użytkowników Linuksa lubi
mieć zainstalowane najnowsze
wersje programów, zwłaszcza
tych biurkowych, gdyż stają się
one wyraźnie wygodniejsze
i lepsze dosłownie z wersji
na wersję. Kalendarze wydań
aplikacji i dystrybucji nie zawsze
układają się korzystnie, więc
Mandrakelinux 10.1Official wciąż
zawiera środowiska KDE 3.2.x oraz
GNOME 2.6.x, podczas gdy ukazało
się już KDE 3.3.1 oraz GNOME 2.8.1
– twórcy dystrybucji woleli postawić
na jakość zamiast w ostatniej chwili
dopuścić niedotestowane pakiety.
Jak zwykle w takich sytuacjach,
społeczność sama zadbała
o nowe wersje i obie te nowinki
można zainstalować na własne
ryzyko z repozytorium pakietów
przygotowanych przez Thaca.
http://rpm.nyvalls.se/index10.1.html
Wycieczka do Zoo
Najlepszym sposobem na poznanie
Wolnego Oprogramowania jest
osobisty, niezobowiązujący kontakt.
Obok dystrybucji Linuksa startujących
wprost z płyty CD, istnieje jeszcze
inny podobny sposób – emulacja. Free
OS Zoo to serwis zawierający obrazy
takich gotowych do uruchomienia
systemów operacyjnych. Do
eksperymentów zalecane jest
przynajmniej 256 MB pamięci oraz
emulator QEMU, który według
autorów strony zapewnia wydajność
tylko od dwóch do czterech razy
gorszą niż podczas pracy systemu na
rzeczywistym sprzęcie, a więc całkiem
przyzwoitą.
Wśród dostępnych obrazów znajduje
się Mandrakelinux 10.0 na platformę
x86, który wymaga ściągnięcia
z sieci 355 MB – niestety, nie da się go
użyć pod Windows 9x na partycjach
FAT 16/32.
http://www.freeoszoo.org/
22 styczeń 2005
mandrakelinux mandrakelinux@lpmagazine.org dział prowadzi: Daniel Koć
Q DVD-Author 0.8
Q DVD-Author to aplikacja do obróbki
menu samodzielnie przygotowywa-
nych płyt DVD. Jest to graficzna nakład-
ka na tekstowy program Dvdauthor, który
zajmuje się właściwą generacją menu.
Za pomocą Q DVD-Authora można
projektować menu, tworzyć przyciski oraz
skalować i kolorować wszystkie obiekty.
Każde menu można zilustrować ścieżką
dźwiękową, co na pewno ożywi przeglą- Q DVD-Author pomoże tylko w układaniu
dy slajdów, które także da się w tym pro- menu, a o jego estetykę musimy już
zadbać sami...
gramie złożyć z kolekcji zdjęć. Bardziej za-
awansowane funkcje programu obejmu-
ją importowanie warstw i kombinowanie mniej 3.2.0 oraz bibliotek Xine lub MPlay-
ich z obiektami menu za pomocą mecha- era. W dziale podręczników na stronie
nizmu masek, znanego z programów gra- domowej znajdziemy samouczek do pro-
ficznych. Do tej samej kategorii zalicza się gramu, opisujący tworzenie złożonego
również możliwość ręcznej modyfikacji menu DVD dla systemów PAL i NTSC, po
poleceń oraz plików XML, zawierających angielsku, francusku, niemiecku, polsku
opis naszego menu. oraz hiszpańsku.
Obecnie największe wady programu Instalacja Q DVD-Authora z wiersza
to brak możliwości ustawiania filmów jako poleceń administratora następuje przez
przycisków menu oraz jako tła, a także brak wpisanie urpmi qdvdauthor, ale trzeba
obsługi wielu wersji napisów. Na szczęście, mieć dopisane do źródeł pakietów sekcję
te dwie pierwsze funkcje są planowane już Contrib z repozytorium Cooker.
w najbliższych wydaniach aplikacji.
Najnowsza wersja programu wymaga http://qdvdauthor.sourceforge.net/
do działania biblioteki Qt w wersji co naj-
VLC 0.8.0
W gronie kilku najpopularniejszych
odtwarzaczy multimedialnych dla
Linuksa, obok MPlayera i Xine, znajduje
się VLC (dawniej: VideoLAN Client). Po-
dobnie jak jego konkurenci, obsługuje
dużą ilość zarówno kontenerów multime-
dialnych (MPEG, AVI, MOV, Ogg, Matro-
ska, Real, DV, WAV, AC3, DTS, FLAC), ko-
deków obrazu (DivX 1/2/3, Theora, WMV,
MJPEG, Indeo), napisów, jak i źródeł od-
twarzania (FTP, HTTP, RTP, MMS, kame- Konwersja do innych formatów czy
stworzenie w VLC lokalnego serwera
ry, DVB, DVD, VideoCD/SVCD); działa
multimediów jest bardzo prosta dzięki
także na kilku systemach operacyjnych. graficznemu asystentowi
Wyjątkowym czyni go możliwość ob-
róbki i dalszego przekazywania strumie-
ni multimedialnych. Zasadnicze funkcje obsługę wielu źródeł oraz znacznie po-
VideoLAN to przerabianie multimediów prawić przeszukiwanie strumieni, zo-
do plików w innym formacie oraz nada- stał przyspieszony start dzięki buforowa-
wanie w sieci jako serwer multimedialny. niu wtyczek oraz poprawiony kod biblio-
Taka zresztą była jego pierwotna funkcja: teki libvlc i obsługi napisów. Można tak-
program powstał w École Centrale Pa- że uruchamiać VLC w tle, tak jak klasycz-
ris jako projekt studencki do nadawania ny serwer. Program jest dostępny w sek-
strumieni w sieciach lokalnych. cji Contrib repozytorium Cooker, instalu-
W najnowszej wersji VLC został mię- je się go z wiersza poleceń administratora
dzy innymi przepisany od nowa kod od- przez urpmi vlc.
czytywania danych, co ma pozwolić na http://www.videolan.org/vlc/
ktualności
aktualności aurox
Aurox Recommended Hardware
J ednym z najczęściej pojawiających się
pytań zadawanych przez nowych użyt-
kowników Linuksa jest, czy dystrybucja
X zadziała na moim sprzęcie. Choć Li-
nux potrafi już obsłużyć znaczną więk-
szość urządzeń dostępnych na rynku, od-
powiedź na tak postawione pytanie nie za-
wsze jest prosta i wymaga czasem długo-
trwałych testów. Jest to szczególnie ważne
w przypadku komputerów przenośnych,
z którymi Linux ciągle ma problemy. W ce-
lu ułatwienia przyszłym użytkownikom
Auroksa wyboru komputera bezproblemo-
wo współpracującego z tym systemem po-
wstał program Aurox Recommended Har-
AmaroK w Auroksie
Z godnie z życzeniami użytkowników
w dystrybucji pojawi się pakiet od-
twarzaczem dźwięku AmaroK. Łączy on
w sobie przyjazny interfejs aplikacji typu
WinAMP czy XMMS z łatwością manipu-
lowania listami odtwarzania w takich pro-
gramach, jak JuK. AmaroK idzie jednak o
o krok dalej, prowadząc własną bazę da-
nych odtwarzanej muzyki i rejestrując ta-
kie dane, jak ilość czy data ostatniego od-
słuchania. Na podstawie tych informacji
są generowane automatycznie listy od-
twarzania ulubionych utworów, ostatnio
słuchanych czy też niesłuchanych w ogó-
le. Oprócz tego, odtwarzacz potrafi wy-
szukać i ściągnąć nam okładkę albumu w
celu łatwiejszej identyfikacji bogatej ko-
AmaroK w Auroksie
aurox@lpmagazine.org
dware. Ma on polegać na przeprowadze-
niu dokładnych testów na współpracę Au-
roksa z udostępnionym sprzętem, ewentu-
alne dostosowanie systemu do konfiguracji
oraz monitorowanie współdziałania z ko-
lejnymi wydaniami Auroksa. Szczegółowe
raporty z testów oraz spis sprzętu objęte-
go programem będzie dostępny na stronie
http://www.aurox.org/.
Do program Recommended Hardware
można zgłaszać nie tylko gotowe zestawy
komputerowe, ale również taki sprzęt, jak
drukarki, skanery, karty rozszerzeń oraz in-
ne peryferia. Szczegółowe informacje moż-
na otrzymać pisząc na aurox@aurox.org.
lekcji plików, a także nagrać cały album
na CD za pośrednictwem K3b.
Duże możliwości odtwarzacza bio-
rą się w dużym stopniu z jego modular-
nej architektury. W obecnej wersji odtwa-
rzacz posiada wtyczki do obsługi Arts
(serwera dźwięku KDE), MAS (Media Ap-
plication Server) czy GStreamera. Są też
wtyczki do obsługi wizualizacji czy pro-
tokołów sieciowych. Warta wspomnienia
jest zaawansowana obsługa tagów ID3 i
możliwość ich zbiorowej edycji. Dzięki
tym cechom AmaroK nadaje się doskona-
le nie tylko do odtwarzania muzyki, ale
też do zarządzania kolekcją.
http://amarok.kde.org/
dział prowadzi: Karol Kozimor
News
Nowości w Auroksie
W ostatnim czasie nastąpiły
w Auroksie poważne zmiany.
Z Aurox Core Team odszedł
Jarek Górny. W imieniu ACT
chcielibyśmy podziękować mu za
wspaniałą atmosferę i stworzenie
warunków do powstania
zgranego zespołu. Po zamknięciu
Auroksa 10.1 pojawiło się wiele
pytań o kształt dystrybucji i jej
model rozwoju. Zgodnie
z przyjętym planem, cykl
rozwoju dystrybucji wydłuży
się do 4-5 miesięcy, co pozwoli
jeszcze dokładniej przetestować
dystrybucję i znacznie
zminimalizować liczbę błędów.
W dalszym ciągu będą jednak
wychodziły 4 wydania Auroksa
w roku, co oznacza, że przez
pewien okres rozwijane będą
dwie wersje Auroksa jednocześnie.
Aurox w pudełku
Niedługo również pojawi się
w sprzedaży Aurox w wersji
pudełkowej. Będzie dostępny
na DVD razem z 16-stronicową
instrukcją. Płyta DVD będzie
zawierała dodatki dostępne
dotychczas tylko na piątej płycie
wersji dołączanej do polskiego
wydania pisma Linux+ Extra!.
Równolegle pojawi się też Aurox
preinstalowany na gotowych
zestawach komputerowych.
Pytajcie sprzedawców o pudełka
lub komputery z Auroksem! Po
więcej informacji zapraszamy
na http://www.aurox.org/.
Aurox Security Team
Zapoczątkowana pewien czas
temu współpraca z Linux Academy
(http://www.linuxacademy.pl/ )
doprowadziła do powstania
Aurox Security Team (http://
www.auroxsec.org/ ), czyli zespołu,
który będzie na bieżąco śledził
wszelkie krytyczne błędy i dbał
o wypuszczanie poprawionych
wersji pakietów. Wszelkie błędy
związane z bezpieczeństwem
można już teraz zgłaszać na
http://bugs.aurox.org/
w dziale Security.
Ćwiczenia z Auroksem
Nakładem Wydawnictwa
MIKOM ukazał się podręcznik
“Ćwiczenia z... Aurox Linux”.
Podręcznik bazuje na
Auroksie 9.4 i na około 100
stronach ilustrowanych zrzutkami
omawia instalację, konfigurację
i używanie systemu oraz
Internetu.
http://www.mikom.pl/
www.lpmagazine.org 23
aktualności
aktualności
News
Programiści Javy poszukiwani...
Jeśli jesteś doświadczonym
programistą Javy, znasz dobrze J2EE
i jesteś użytkownikiem Gentoo, to
wiedz, że twoja ulubiona dystrybucja
cię potrzebuje. W związku z rosnącym
zainteresowaniem aplikacjami w Javie
(mającą prawdopodobnie związek
z powstaniem środowiska Eclipse)
i liczbą zgłaszanych błędów, Karl
Trygve Kalleberg z Gentoo Java team
zgłosił ogromne zapotrzebowanie
na takich programistów i wezwał
wszystkich chętnych do udzielenia
pomocy grupie.
http://www.gentoo.org/news/en/gwn/
20041101-newsletter.xml
... i Haskella również
W projekcie Gentoo również mile
widziani są programiści dobrze
znający język Haskell – język
funkcyjny oparty na rachunku
Lambda.
http://www.gentoo.org/news/en/gwn/
20041025-newsletter.xml
KDE kawałek po kawałku
Gdy wykonujemy polecenie emerge
kde, to po kilku godzinach oczekiwań
(w zależności od parametrów
naszego komputera), otrzymujemy
gotowe środowisko KDE z całym
dobrodziejstwem inwentarza, tzn.
również z całą masą aplikacji,
które należą do projektu, a których
nigdy nie zamierzalibyśmy użyć.
Dan Armak, znudzony ciągłym
dopytywaniem deweloperów
Gentoo, czy nie dałoby się czegoś
z tym zrobić, postanowił wziąć
sprawy w swoje ręce. Przygotował
zestaw nieoficjalnych ebuildów,
pozwalających na instalację
pojedynczych aplikacji będących
częścią KDE – dzięki nim można
np. wykonać polecenie emerge
konqueror lub emerge kmail
i cieszyć się najnowszą wersją tylko
tych wybranych aplikacji.
Gentoo Linux 2004.3
Zgodnie z kalendarzem
wydawniczym, ukazała się niedawno
nowa wersja dystrybucji Gentoo,
sygnowana numerem 2004.3. To
ostatnie wydanie z 2004 roku nie
przynosi rewolucyjnych zmian.
Deweloperzy Gentoo od dłuższego
czasu skupiają się przede wszystkim
na udoskonalaniu narzędzi
systemowych i płyt instalacyjnych.
Gentoo 2004.3 wydano dla architektur
amd64, hppa, ppc, sparc, x86 oraz,
po raz pierwszy, dla ppc64. Obrazy
płyt instalacyjnych można znaleźć
na oficjalnych serwerach lustrzanych
dystrybucji oraz w sieci BitTorrent.
http://www.gentoo.org/proj/en/releng/
release/2004.3/2004.3.xml
24 styczeń 2005
gentoo
Gentoo na Linux World Expo
K onferencja Linux World Expo, któ-
ra miała miejsce niedawno w nie-
mieckim Frankfurcie, to jedna z najwięk-
szych imprez linuksowych skupiających
się na komercyjnych zastosowaniach sys-
temu spod znaku pingwina. Odwiedzi-
ła ją niebagatelna liczba piętnastu tysięcy
gości. Nie mogło zatem zabraknąć na niej
przedstawicieli Gentoo. Nasza ulubiona
dystrybucja, za sprawą niemieckiej orga-
nizacji non-profit Förderverein Gentoo e.V.
(adres jej strony to: http://www.gentoo-
ev.org/ ), miała swoje stanowisko w pawi-
lonie organizacji niekomercyjnych i pro-
jektów społecznościowych. Zaprezento-
wano m.in. Gentoo na różnych platfor-
mach – od x86 i PPC, aż po Ultra-Sparc
czy Xeon. Najbardziej interesującą sprawą
dla odwiedzających stoisko Gentoo by-
ło ewentualne wydanie czegoś w rodza-
ju edycji serwerowej czy też Enterprise
Gentoo, która wyróżniałaby się stabilniej-
szą wersją drzewa Portage, wygodniejszą
dla zastosowań produkcyjnych. Takie za-
potrzebowanie nie może dziwić, biorąc
pod uwagę profil imprezy.
Portage 2.0.51
N owa wersja Portage, programu naj-
istotniejszego dla działania Gentoo,
przynosi więcej nowości niż należałoby
się tego spodziewać, wnioskując jedynie
z nieznacznej zmiany numeru wersji.
Po pierwsze, wprowadzono możli-
wość automatycznego przekompilowania
wszystkich programów po wprowadze-
niu zmian we flagach USE. Służy do te-
go opcja --newuse – jeśli zmieniliśmy fla-
gi i chcemy, aby program Emerge znalazł
i przekompilował wszystkie programy,
które tego wymagają, to wystarczy wydać
polecenie: emerge --newuse --update --deep
world. Portage obsługuje teraz również
sprawdzanie podpisów GPG zawartych
w plikach Manifest. Dostępne są trzy
poziomy bezpieczeństwa. Każdy moż-
na uaktywnić przy pomocy flagi zmien-
nej FEATURES w pliku /etc/make.conf.
I tak, jeśli chcemy włączyć tę funkcję w
najmniej restrykcyjnej wersji, to wystar-
czy dodać w pliku make.conf linijkę: FE-
ATURES=”gpg” . W tym wariancie Portage
sprawdzi jedynie poprawność podpisu
cyfrowego. Dodanie linijki FEATURES=”gpg
strict” zaostrzy reguły – program zare-
aguje również na wszelkie sytuacje po-
gentoo@lpmagazine.org dział prowadzi: Witold Kieraś
Na konferencji nie zabrakło deweloperów
Gentoo
Z okazji konferencji, deweloperzy
przygotowali specjalne wydanie Gen-
too LiveCD dla architektury x86, nazwa-
ne Fizzlewizzle, a z myślą o uczestnikach
konferencji wzbogacone między innymi
o niemiecką lokalizację KDE. Jest ono do-
stępne również w Internecie, wraz z przy-
gotowaną do wydruku konferencyjną na-
klejką na płytę.
http://download.iansview.com/gentoo/
exhibitions/lwe-frankfurt/2004/livecd/
http://www.gentoo.org/news/en/gwn/
20041101-newsletter.xml
tencjalnie niebezpieczne, np. brak pliku
Manifest. Najbardziej restrykcyjny wariant
to FEATURES=”gpg severe strict” – Porta-
ge zaakceptuje tylko te pliki Manifest, któ-
re zostały podpisane kluczami uznanymi
przez nas za bezpieczne. Wariant drugi
wydaje się być rozsądnym wyborem – nie
powoduje dodatkowych komplikacji (nie
jest uciążliwy dla użytkownika), a jedno-
cześnie chroni przed instalacją pakietów
zmodyfikowanych przez włamywaczy na
serwerze lustrzanym.
W nowych plikach ebuild można te-
raz definiować testy poprawności kompi-
lacji wykonywane przed zainstalowaniem
programu w systemie. Aby uaktywnić tę
funkcję, dodajemy w pliku /etc/make.conf
w zmiennej FEATURES flagę maketest.
Oprócz tego, poprawiła się wyraźnie
efektywność wyszukiwania zależności w
drzewie Portage. Jak twierdzą dewelope-
rzy, w nowej wersji proces ten zabiera za-
ledwie jedną trzecią czasu, który potrzeb-
ny był dotychczas do wykonania tej czyn-
ności. Zachęcamy zatem do aktualizacji!
http://www.gentoo.org/news/20041021-
portage51.xml
 bezpieczeństwo

Bezpieczne
łączenie się
z Internetem
Piotr Machej

J
eśli ktoś jeszcze wierzy, że w dzisiej-
szych czasach jego komputer podłą-
czony do Internetu nie jest zagrożo-
ny, to powinien natychmiast zdjąć
różowe okulary. Korzystając z ogólno-
światowej pajęczyny, nie jesteśmy samot-
ni – wraz z nami jest tam wiele osób
o bardzo różnych charakterach i potrze-
bach. Dlatego warto podjąć środki ostroż-
ności. Pozwoli nam to żeglować po Inter-
Rysunek 1. Na stronach serwisu SANS
necie ze spokojem, że nasze dane nie są
możemy znaleźć obszerne wskazówki
łatwe do wykradzenia lub zniszczenia.
dotyczące wykrywania intruzów

Na płycie CD/DVD
Na płycie CD/DVD znajduje się
oprogramowanie omawiane
w artykule.
Planowanie zabezpieczeń
Absolutnie nie powinniśmy podłączać
do Internetu komputera, który nie został
jeszcze zabezpieczony. Może wydawać
się nam, że jeśli podłączymy się tylko
na chwilkę, to nic się nie stanie. Jest to
jednak bardzo złudne wrażenie. Włamy-
wacze bardzo często automatyzują swoją
pracę, uruchamiając skrypty okresowo
sprawdzające adresy sieciowe kompu-
terów. Poszukują w ten sposób maszyn
wrażliwych na znane im metody ataków
(np. posiadających bardzo proste hasła).
Może zdarzyć się, że nasz system zostanie
spenetrowany już w minutę po zalogowa-
niu do sieci. Z tego powodu jak najwię-
cej czynności zabezpieczających powin-
niśmy dokonać jeszcze przed skorzysta-
niem z Internetu.
Zanim zabierzemy się za umacnia-
nie zabezpieczeń, dobrze jest dokładnie
zastanowić się, co chcemy osiągnąć. Czy
chcemy zrobić z naszego komputera nie-
zdobytą twierdzę? A może tylko chcemy
ochronić nasze zdjęcia z igraszek na łonie
natury? Istotne jest też, czy będziemy
chcieli udostępniać jakieś zasoby innym
użytkownikom Internetu. Jeśli kompu-
ter będzie przeznaczony dla wielu anoni-
mowych użytkowników (np. jako anoni-
mowy serwer FTP), to zastosujemy inne
zabezpieczenia niż wtedy, gdy do kom-
putera będziemy chcieli mieć dostęp
tylko my, razem z wybranymi kolegami.
Dobre określenie naszych celów
i potrzeb pozwoli nam lepiej wykorzy-
stać zawarte w tym artykule informacje.
Mając ciągle na myśli nasz cel, z łatwo-
ścią wybierzemy zabezpieczenia, które
musimy zastosować, i pominiemy te,
z których możemy (lub nawet powinni-
śmy) zrezygnować.
Wykorzystywane usługi
Generalna zasada mówi, aby uruchamiać
tylko niezbędne usługi. Tak naprawdę
powinniśmy posunąć się nieco dalej i w
ogóle nie instalować niepotrzebnego opro-
gramowania. Praktycznie każda z dystry-
bucji podczas instalacji pozwala nam na
wybór pojedynczych pakietów, z których
chcemy korzystać. Warto poświęcić trochę
czasu na lekturę opisów poszczególnych
pakietów i wybranie tylko tych, które na
pewno nam będą potrzebne.
Zysk z takiego postępowania jest
podwójny. Po pierwsze, oszczędzamy
miejsce na dysku. Po drugie, zmniejsza-
my liczbę zainstalowanego oprogramo-
wania. Dzięki temu łatwiej nam będzie
kontrolować zmiany w systemie, a w
dodatku możemy uniknąć instalacji pro-
gramów znanych z problemów z bez-
pieczeństwem. Warto zastanowić się
nad tym, który program wykorzystamy
do realizacji konkretnego celu. Przykła-
dowo, jeśli jest nam potrzebny serwer

26 styczeń 2005

pocztowy, możemy zainstalować Send-
maila (dosyć topornego w konfigura-
cji i mającego w przeszłości sporo pro-
blemów z bezpieczeństwem) lub szyb-
kiego i łatwego w konfiguracji (a przy
tym bezpiecznego) Postfiksa. Również w
przypadku pozostałego oprogramowania
mamy różne alternatywy, nawet jeśli nie-
koniecznie są one dołączone do dystry-
bucji. Im bardziej zależy nam na bezpie-
czeństwie naszego systemu, tym więcej
wysiłku powinniśmy włożyć w zainstalo-
wanie bezpiecznych aplikacji.
Uruchamianie usług
Jak już powiedziałem, powinniśmy uru-
chamiać tylko niezbędne usługi. Ale skoro
zbędnych nawet nie zainstalowaliśmy, to
o co chodzi? Otóż może zdarzyć się, że
nie ze wszystkich usług będziemy korzy-
stać bez przerwy. Opiszę tu znany mi
przykład. Mamy komputer, który kiedyś
był podłączony do Internetu za pośred-
nictwem sieci lokalnej, w której działały
również komputery z systemem Windows.
Do współdzielenia plików była wykorzy-
stywana na tym komputerze Samba. Po
jakimś czasie komputer został odłączony
od sieci lokalnej i przyłączony do Interne-
tu bezpośrednio. Samba pozostała zain-
stalowana, gdyż przydaje się do współ-
dzielenia plików z systemem Windows 98,
uruchamianym pod kontrolą VMWare.
Ponieważ ta funkcjonalność jest wykorzy-
stywana okazjonalnie (raz na tydzień lub
rzadziej), więc nie ma uzasadnienia dla
uruchamiania Samby przy starcie systemu.
Dlatego też tego typu usługi powinny być
wyłączone. Uruchamiamy je tylko wtedy,
gdy są nam potrzebne.
Sposób wybrania usług, które mają
być uruchamiane przy starcie, zależy
od dystrybucji. W przypadku dystrybucji
pochodzących od Red Hat (na przykład
Fedora i Aurox) należy usunąć lub dodać
odpowiednie łącza symboliczne w kata-
logu /etc/rc.d/. W innych dystrybucjach
nazwa katalogu może być inna. Można
również wykorzystać do tego celu narzę-
dzie ntsysv. Z kolei usługi uruchamiane
przez superserwer Xinetd można wyłą-
czyć zmieniając opcję disable w plikach
umieszczonych w katalogu /etc/xinetd.d/.
Wyniki naszych działań można obserwo-
wać wpisując polecenie netstat -nlutp.
Wyświetli ono wszystkie porty TCP i
UDP, na których nasłuchują jakieś pro-
gramy. Oprócz tego, poznamy nazwy
tych programów.
bezpieczny internet
Hasła użytkowników
Oglądaliście film Hakerzy (Hackers)?
Pomimo całej jego naiwności, było w nim
trochę prawdy. Szczególnie w jednym miej-
scu, gdy pada pytanie o najpopularniejsze
hasła wykorzystywane przez użytkowni-
ków komputerów. Odpowiedzią były: love,
secret, sex i god. I taka jest prawda – wiele
osób lekceważy znaczenie haseł i wybie-
ra pierwsze z brzegu. No bo przecież, kto
się domyśli, że wybrałem hasło misiek ? A
przynajmniej łatwo mi je będzie zapamię-
tać. I rzeczywiście. Ale równie łatwo przyj-
dzie je odgadnąć włamywaczowi.
Zakładając proste hasło ułatwiamy mu
życie. Nie musi się męczyć z wyszukiwa-
niem luk w naszym systemie i analizo-
waniu sposobów włamania do niego. Po
prostu uruchamia program sprawdzający
po kolei hasła ze słownika i idzie sobie na
herbatę. A gdy wróci, nasz komputer nie
ma już dla niego tajemnic. Ustawiajmy więc
hasła trudne do odgadnięcia, ale nadal
łatwe do zapamiętania. Warto też samemu
stosować różne programy do łamania haseł
– właśnie w celu sprawdzenia, na ile nasze
hasła są trudne do złamania. Reguły te
dotyczą nie tylko haseł do kont na naszym
komputerze. Każdy z użytkowników powi-
nien w ten sposób traktować również inne
hasła – do skrzynki pocztowej, do portalu
internetowego czy jakiejś gry sieciowej.
Pamiętajmy też o tym, aby nigdzie
(podkreślam – nigdzie!) nie używać takie-
go samego hasła, jakie broni dostępu do
konta użytkownika root. Co do innych
haseł, to często trudno uniknąć ich dublo-
wania – choćby ze względu na ogranicze-
nia naszej pamięci. Należy jednak podcho-
dzić do tego z rozwagą. Jaki bowiem jest
sens zakładania mocnego hasła na nasze
konto, jeśli używamy go również w kilku
serwisach internetowych, gdzie jest ono
przechowywane otwartym tekstem? To
prawdziwe zaproszenie dla włamywacza.
Oczywiście, jeśli nie mamy urucho-
mionego serwera SSH, FTP czy Telnet
(o tym ostatnim lepiej zapomnieć – nie
instalujemy go i nie uruchamiamy), to
intruz próbujący dostać się do nas z Inter-
netu niewiele skorzysta z naszego hasła.
Lepiej być przezornym – może kiedyś
uruchomimy serwer, albo zaprosimy do
siebie znajomego. Warto mieć wtedy
mocne, trudne do złamania hasła.
Bez haseł w SSH
Jeśli mamy uruchomiony serwer SSH, do
którego powinni mieć dostęp tylko wybra-
bezpieczeństwo
Rysunek 2. Część z tych nasłuchujących
usług z pewnością można wyłączyć
ni użytkownicy, warto zabezpieczyć się
dodatkowo. Po pierwsze, powinniśmy
odpowiednio skonfigurować zaporę sie-
ciową, aby można było logować się tylko z
określonych komputerów. Nie zawsze jest
to możliwe (szczególnie, jeśli dużo podró-
żujemy i logujemy się z różnych miejsc).
Po drugie, możemy w ogóle uniemożliwić
włamywaczom atak na hasła. Jest to moż-
liwe dzięki temu, że SSH pozwala na auto-
ryzację za pomocą pary kluczy. Jeśli każdy
z użytkowników mających dostęp do
naszego komputera będzie dobrze pilno-
wał swojego klucza prywatnego, a klucze
publiczne będą umieszczone u nas, to spo-
kojnie możemy wyłączyć obsługę zwy-
kłych haseł. Dokonujemy tego wstawiając
w pliku /etc/ssh/sshd_config linię o treści:
PasswordAuthentication no
Po zrestartowaniu serwera SSH użytkownik
próbujący zalogować się bez odpowiednie-
go klucza powinien zobaczyć komunikat:
Permission denied (publickey,keyboard-
interactive). Należy więc uważać, aby przy-
padkiem nie odciąć sobie dostępu do ser-
wera stojącego na drugim końcu kraju.
W ten sam sposób możemy sami
łączyć się ze zdalnymi serwerami – za-
miast wykorzystywać hasła (choćby prze-
syłane przez SSH), korzystajmy z pary
kluczy. Najpierw musimy je wygenerować.
Zaczynamy od wydania polecenia:
ssh-keygen -t rsa
Zostaniemy zapytani o nazwę pliku,
w którym ma być umieszczony klucz pry-
watny, a następnie o hasło. Tak, o hasło. Z
zaletami i wadami wprowadzenia tu hasła
możemy zapoznać się w ramce Klucze z
hasłem czy bez? – na tej podstawie zdecy-
dujemy, czy wciśniemy tu klawisz [Enter],
czy też jednak wpiszemy hasło. W wyniku
powinniśmy uzyskać dwa pliki. Pierwszy z
nich (domyślnie ~/.ssh/id_rsa) to klucz pry-
www.lpmagazine.org 27
 bezpieczeństwo
Rysunek 3. John the Ripper to tylko
jeden z wielu programów umożliwiających
testowanie siły haseł
watny, którego należy strzec niczym oka
w głowie. Nikt poza nami nie powinien
mieć prawa do jego odczytu, a najlepiej,
jeśli przechowywać go będziemy tylko na
zabezpieczonej dyskietce. Drugi plik (do-
myślnie ~/.ssh/id_rsa.pub) to klucz publicz-
ny, którego nie musimy chronić – każdy
może mieć do niego dostęp.
Teraz czas skopiować klucz publicz-
ny na nasze konto na zdalnym serwerze.
Gdy to zrobimy, logujemy się na to konto.
Musimy upewnić się, że mamy tam katalog
~/.ssh/. Jeśli nie, tworzymy go poleceniami:
mkdir .ssh/
chmod 700 .ssh/
Teraz pozostaje nam dodać klucz publicz-
ny do spisu kluczy, które mogą być
wykorzystywane do łączenia się z tym
kontem:
Zbędne usługi
Jeśli mamy wątpliwości, które usługi
powinny być wyłączone, zapoznajmy się
z poniższym spisem: chargen, chargen-
udp, daytime, daytime-udp, echo, echo-
udp, finger, imap, imaps, innd, ipop2,
ipop3, named, netfs, ntalk, ntpd, pop3s,
swat, talk, time, time-udp.
Zawiera on te usługi, których nie
powinniśmy włączać, jeśli nie są nam
absolutnie potrzebne. Nie jest to spis kom-
pletny – oprócz podanych usług, możemy
mieć zainstalowane inne programy, któ-
rych nie powinniśmy włączać bez potrze-
by, jak choćby różne serwery FTP (wu-ftpd,
vsftpd) czy wszelkie usługi typu rsh, rexec,
rcp, rlogin i inne z grupy usług o nazwach
zaczynających się literą r (możemy je spo-
kojnie zastąpić programem ssh).
Jeśli zaszłaby konieczność włącze-
nia jednej z wymienionych usług, w miarę
możliwości powinniśmy wybierać wersję
bezpieczniejszą. Przykładowo, zamiast
imap powinniśmy wybrać szyfrowaną
wersję imaps, a zamiast ipop3 – pop3s.
28 styczeń 2005
cat id_rsa.pub >> .ssh/authorized_keys
chmod 600 authorized_keys
Należy upewnić się jeszcze, czy na zdal-
nym serwerze jest włączona obsługa
kluczy i że wykorzystywany jest wła-
śnie ten plik ze spisem kluczy. W pliku
/etc/ssh/sshd_config powinny znajdować
się następujące linie:
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
Teraz już możemy opuścić to konto (exit)
i spróbować zalogować się ponownie.
Tym razem powinien powitać nas napis:
Enter passphrase for key z podaną ścież-
ką do klucza prywatnego. Po wpisaniu
hasła, jakiego użyliśmy przy tworzeniu
klucza, zostaniemy zalogowani na nasze
konto. Oczywiście, jeśli zdecydowaliśmy
się nie chronić naszego klucza hasłem, to
zostaniemy zalogowani bez pytania.
Gdy kiedyś zdecydujemy się zmie-
nić hasło do naszego klucza prywatnego,
możemy to zrobić poleceniem ssh-keygen
-c -f .ssh/id_rsa.
Kontrola integralności
systemu
Pomimo wszelkich zabezpieczeń, jakie
mogliśmy stworzyć, szczególnie zdespe-
rowany intruz, prędzej czy później, jest
w stanie dostać się do naszej twierdzy.
Musimy być świadomi, że jedyną w miarę
skuteczną formą ochrony naszego kom-
putera jest odłączenie go od sieci i wsta-
wienie do szafy pancernej. Jeśli jednak
chcemy, aby nasz komputer był podłą-
czony do Internetu, to musimy liczyć się
z ewentualnym włamaniem.
W takim przypadku najważniej-
sze jest, abyśmy się o tym dowiedzieli.
Ponieważ intruz zazwyczaj będzie próbo-
wał ukryć swoją obecność w systemie, a
następnie uzyskać jak najwięcej informa-
cji, prędzej lub później spróbuje podmie-
nić jakiś kluczowy plik systemowy. Może
tego dokonać na przykład w celu wykra-
dzenia hasła. Jednym z najlepszych spo-
sobów na wykrycie podobnych działań
jest kontrolowanie integralności syste-
mu. Polega to na tym, że (zaraz po insta-
lacji systemu) tworzymy bazę zawierającą
informacje o istotnych plikach w systemie.
Bazę tą przechowujemy w miejscu niedo-
stępnym dla włamywacza (np. na płycie
CD). Później pozostaje nam okresowo
kontrolować zgodność plików ze stanem
Testowanie haseł
W większości nowszych dystrybucji pod-
czas wprowadzania hasła jest prze-
prowadzana jego wstępna kontrola
(np. z wykorzystaniem systemu PAM),
ale czasami system ogranicza się tylko do
sugestii, że wprowadzane hasło nie speł-
nia odpowiednich norm (np. jest za krótkie
lub zbyt oczywiste). Tak czy inaczej, jest to
tylko wstępne rozpoznanie. Aby się prze-
konać, czy na pewno w naszym systemie
hasła są trudne do złamania, musimy sko-
rzystać z innych narzędzi – łamaczy haseł.
Jednym z takich programów jest John
the Ripper. Możemy go pobrać ze strony
http://www.openwall.com/john/. Po jego
zainstalowaniu (zgodnie ze wskazówka-
mi umieszczonymi w pliku doc/INSTALL)
wykonujemy kopię pliku /etc/shadow
i umieszczamy ją w jakimś bezpiecznym
katalogu (pamiętajmy, aby przypadkiem
nie udostępnić tego pliku niepowołanym
osobom). Teraz wystarczy uruchomić pole-
cenie john shadow (zakładając, że kopia
pliku /etc/shadow znajduje się w bieżącym
katalogu). Jeśli programowi uda się odgad-
nąć hasło, wyświetli je na ekranie wraz z
nazwą użytkownika. Ponieważ obliczenia
mogą trwać bardzo długo, warto czasem
wcisnąć dowolny klawisz w celu sprawdze-
nia, czy program nadal działa – zostanie
wyświetlony jego status. W dowolnej chwili
możemy przerwać jego pracę kombinacją
[Ctrl]+[c], a następnie wznowić poleceniem
john -restore.
Odgadnięte hasła, oprócz wyświe-
tlenia na ekranie, są zapisywane
w pliku john.pot, umieszczonym w kata-
logu, gdzie znajduje się program john.
Możemy je wyświetlić poleceniem john
-show shadow (gdzie shadow wskazuje na
naszą kopię pliku /etc/shadow).
Jeśli chcemy zwiększyć szanse na
wykrycie słabych haseł, powinniśmy
pobrać z sieci pliki ze słownikami. Przykła-
dowy plik z listą słów w różnych językach
jest do pobrania ze strony domowej John
the Ripper, a jego znacznie rozszerzoną
wersję można zamówić za odpowiednią
opłatą. Inne zestawy haseł można zna-
leźć pod adresem ftp://ftp.ox.ac.uk/pub/
wordlists/. Możemy je później wykorzystać
wydając polecenie john -w = words.lst
shadow, gdzie world.lst jest pobranym pli-
kiem ze słownikiem.
Warto też zapoznać się z plikiem doc/
EXAMPLES, gdzie podane są inne cieka-
we sposoby wywołania programu John
the Ripper.
zapisanym w bazie. Oczywiście, jeśli sami
dokonamy zmian w plikach (na przykład
ze względu na aktualizację oprogramowa-

Klucze z hasłem czy bez?
Podczas tworzenia kluczy musimy zdecy-
dować, czy nasz klucz prywatny będzie
chroniony hasłem, czy nie. Można się
zastanawiać, co się zyskuje, zamienia-
jąc jedno hasło (do systemu) na drugie
(do klucza). Już odpowiadam – bardzo
dużo. Przede wszystkim, ewentualny wła-
mywacz musiałby zdobyć zarówno nasze
hasło, jak i klucz prywatny, co znacznie
utrudnia mu zadanie. Tym bardziej, że
hasło chroniące klucz nie jest przesyłane
przez sieć. W dodatku, możemy wykorzy-
stać ten sam klucz do łączenia się z wielo-
ma serwerami – a więc możemy korzystać
w tym przypadku z jednego hasła.
A jeśli jednak zdecydujemy się na
stworzenie klucza bez hasła? Możemy tak
zrobić, ale wtedy musimy jeszcze bardziej
chronić nasz klucz prywatny. Jeśli komuś
uda się uzyskać do niego dostęp, to będzie
mógł połączyć się bez problemów wszę-
dzie tam, gdzie z tego klucza korzystali-
śmy. Dlatego jeśli tylko do naszego kom-
putera ma dostęp więcej osób, to lepiej
założyć hasło, a w każdym razie zdawać
sobie sprawę z niebezpieczeństwa.
nia), to bazę musimy również uaktualnić.
Jednym z programów pozwalających na
kontrolowanie integralności systemu jest
Afick (Another File Integrity Checker).
Ponieważ nie jest on zazwyczaj dołą-
czany do dystrybucji Linuksa, musimy
go pobrać ze strony domowej (http:
//afick.sourceforge.net/ ) lub z płyty dołą-
czonej do pisma. Jego instalacja nie spra-
wia problemu, a w przypadku instalacji
pakietu RPM od razu zostanie zainicja-
lizowana baza. Na stronie domowej pro-
jektu możemy pobrać interfejs graficzny,
ułatwiający obsługę programu, a także
spełniający to samo zadanie moduł do
Webmina. Z tych dwóch możliwości oso-
biście polecam raczej moduł do Webmi-
na – po instalacji dostępny jest w sekcji
System pod nazwą Another File Integri-
ty Checker.
Konfiguracja Aficka
Główny plik konfiguracyjny programu
Afick to plik /etc/afick.conf. Możemy w
nim określić ścieżki do bazy danych, histo-
rii i archiwum. Oprócz tego, możemy usta-
wić inne opcje konfiguracyjne, jak również
wykluczyć z magazynowania w bazie pliki
o określonych końcówkach (lub przedrost-
kach) nazw. Plik ten zawiera również spis
katalogów, o których informacje są zapisy-
wane w bazie. W większości przypadków
bezpieczny internet
ustawienia domyślne powinny wystarczyć,
lecz w razie potrzeby można je zmodyfi-
kować. Plik konfiguracyjny posiada dosyć
obszerne i czytelne komentarze.
Wykrywanie zmian w plikach
W celu sprawdzenia, czy nie nastąpiły
zmiany w plikach systemowych, urucho-
miamy polecenie /usr/bin/afick.pl -k
(lub /usr/bin/afick.pl --compare). Spo-
woduje to ponowne przeanalizowanie
wszystkich plików i porównanie informa-
cji o nich z zawartymi w bazie. Ewentual-
ne różnice zostaną wyświetlone na ekra-
nie. Oczywiście, możemy tego dokonać
również w interfejsie graficznym (wci-
skając przycisk compare) lub w module
Webmina (w sekcji run Afick, zaznacza-
jąc w polu action wartość compare i wci-
skając przycisk Run Afick).
W przypadku wykrycia zmian w pli-
kach, nie powinniśmy od razu pani-
kować. Najpierw upewnijmy się, czy
sami nie dokonaliśmy zmian (mogli-
śmy zapomnieć uaktualnić bazę). Może
okazać się również, że przechowujemy
w bazie informacje o plikach zmieniają-
cych się dosyć często, a niezbyt istotnych
– w takim przypadku należy poprawić
konfigurację i ponownie zainicjalizować
bazę poleceniem /usr/bin/afick.pl -i
(init w przypadku interfejsu graficznego
i modułu Webmina).
Jeśli zamierzamy wprowadzić zmiany
w systemie plików (np. uaktualnić oprogra-
mowanie), powinniśmy najpierw upewnić
się, że pliki są nienaruszone. Następnie
możemy dokonać niezbędnych zmian,
a później zaktualizować bazę poleceniem
/usr/bin/afick.pl -u (update w przypad-
ku interfejsu graficznego i modułu Web-
mina). Polecenie to wyświetli nam wpro-
wadzone zmiany, a w bazie umieści infor-
mację o nowych plikach.
Jeśli chcemy dokładnie wiedzieć, jakie
zmiany zaszły podczas instalacji oprogramo-
wania, to należy uruchomić polecenie
update zarówno przed, jak i po instalacji.
Kilka uwag
Sprawdzanie integralności systemu nie
ma większego sensu, jeśli włamywacz
ma dostęp do konfiguracji i bazy danych.
Warto plik konfiguracyjny i bazę prze-
chowywać np. na płycie CD, uaktualnia-
jąc ją w razie potrzeby.
Optymalnym rozwiązaniem jest uru-
chamianie programu Afick z osobne-
go, bezpiecznego systemu operacyjnego,
bezpieczeństwo
np. specjalnie przygotowanej dystrybu-
cji uruchamianej z płyty CD. Dzięki temu
możemy mieć pewność, że włamywacz
nie mógł zmodyfikować naszego progra-
mu, ani żadnej części systemu, od której
on zależy.
Musimy zdawać sobie sprawę z tego,
że Afick i jemu podobne programy nie
uchronią nas przed włamaniem do sys-
temu. Ich zadaniem jest jedynie dać nam
znać, że włamanie miało miejsce. Nie
należy w tej mierze polegać tylko na inte-
gralności systemu – należy również kon-
trolować dzienniki systemowe (logi), jak
i uruchomione usługi. Warto też okreso-
wo wykonywać kopię ważnych dla nas
danych. Dzięki temu nie utracimy ich, ani
z powodu jakiegoś wandala, ani też ze
względu na przypadkową awarię sprzętu.
Zapora sieciowa
Jednym z najważniejszych zabezpieczeń
naszego komputera jest zapora sieciowa,
zwana też ścianą ogniową (firewall). Jeśli
prawidłowo ją skonfigurujemy, będzie
chroniła porty naszego komputera przed
intruzami, udostępniając je tylko wybra-
nym osobom. Oczywiście, my będzie-
my mogli korzystać z Internetu bez ogra-
niczeń.
W przypadku aktualnych dystrybucji
Linuksa, najczęściej do filtrowania pakie-
tów jest wykorzystywany program IPTales.
Z reguły najlepszą metodą tworzenia
zapory sieciowej jest przyjęcie zasady, że
blokujemy wszystkie pakiety z wyjątkiem
tych, które rzeczywiście chcemy przepu-
ścić. Zasada jest słuszna, lecz w niektórych
przypadkach może nam sprawić nieco kło-
potu. Wyobraźmy sobie przykładowo, że
chcemy udostępniać użytkownikom Inter-
netu serwer SSH, WWW, FTP, a w dodat-
ku pragniemy dzielić się plikami z użyciem
BitTorrenta. W takiej sytuacji może okazać
się, że mniej wysiłku będzie nas koszto-
wać stworzenie zapory, która będzie bro-
niła dostępu tylko do wybranych portów
Rysunek 4. Konfigurację Aficka możemy
zmienić także z użyciem Webmina
www.lpmagazine.org 29
 bezpieczeństwo
(np. poczty czy Samby). Należy pamię-
tać, że tak zbudowana zapora nie będzie
w stanie zablokować możliwości łączenia
się z naszym serwerem, jeśli zostanie na
nim zainstalowana jakaś tylna furtka (back-
door). Wybór metody tworzenia zapory
zależy więc tylko od naszych chęci i umie-
jętności.
Podczas projektowania zapory pamię-
tajmy o tym, aby zablokować możli-
wość łączenia się z naszym kompute-
rem z maszyn o adresach sieci lokalnej za
pośrednictwem interfejsu łączącego nas
z Internetem. Zapobiegnie to przynajm-
niej części prób ataków przez podszywa-
nie (spoofing).
Jeśli nie odpowiada nam ręczne wpi-
sywanie regułek, możemy skorzystać
z któregoś z interfejsów graficznych.
Jednym z ciekawszych jest Firewall Buil-
der, którego wersja 2.0.2 była niedawno
opisywana w Linux+. Program ten można
pobrać ze strony domowej projektu (http://
www.fwbuilder.org/ ) lub z płyty dołączo-
nej do gazety.
Testowanie zapory
Po zbudowaniu zapory sieciowej najważ-
niejsze jest jej dokładne przetestowanie.
Niestety, IPTables nie obsługuje opcje -C,
znanej z IPChains, pozwalającej na łatwe
testowanie reguł. Musimy więc radzić
sobie łącząc się z zaporą z różnych maszyn
umieszczonych w Internecie i sieci lokal-
nej lub korzystając z innego oprogramo-
wania. Przykładowe programy, które mogą
okazać się bardzo pomocne przy testowa-
niu zapory, to HPing i Firewall Tester. O
programie HPing można było niedawno
przeczytać w Linux+, więc zapoznajmy się
z drugim z programów.
Firewall Tester to zestaw skryptów
napisanych w Perlu, które można wyko-
rzystywać nie tylko do testowania jako-
ści zapory sieciowej, ale również syste-
mów wykrywania włamań. Do działania
Firewall Tester potrzebuje trzech modu-
Rysunek 5. Afick wydaje się być godnym
następcą sławnego Tripwire
30 styczeń 2005
łów dostępnych z CPAN: Net::RawIP, Net:
:PcapUtils i NetPacket. Możemy je zainsta-
lować poleceniem perl -MCPAN -e 'in-
stall Net::RawIP' (odpowiednio zmie-
niając nazwę modułu). Na komputerze,
gdzie mamy zainstalowaną zaporę siecio-
wą, należy uruchomić polecenie ./ftestd
-i eth0 (gdzie eth0 to nazwa interfejsu
łączącego nas z siecią). Spowoduje to uru-
chomienie sniffera nasłuchującego pakie-
tów wysyłanych przez klienta. Klienta naj-
lepiej uruchomić na komputerze znajdu-
jącym się bezpośrednio za zaporą siecio-
wą – służy do tego polecenie ./ftest -f
ftest.conf. Najpierw jednak należy przy-
gotować odpowiedni plik konfiguracyjny,
w którym wskażemy, jakie testy mają być
wykonywane. Przykładowy plik ftest.conf
jest dosyć dobrze opisany, więc nie powin-
niśmy mieć problemów z dostosowa-
niem go do własnych potrzeb. Zwróćmy
uwagę, że możemy korzystać zarówno
z pojedynczych pakietów, np. 192.168.0.5:
1025:192.168.0.1:21:A:TCP:0, jak i z symu-
lowania połączeń: connect=192.168.0.5:
1025:192.168.0.1:22:AP:TCP:0. Każdy test
powinniśmy kończyć sygnałem zatrzy-
mania: stop_signal=192.168.0.5:80:
192.168.0.1:1025:S:TCP:0. Ważne, aby ten
ostatni pakiet na pewno przeszedł przez
zaporę. W innym przypadku, jeśli na czas
testów zmienialiśmy ustawienia TTL, to w
przypadku przerwania działania skryptu
przed otrzymaniem sygnału stop, będzie-
my musieli przywracać ustawienia ręcz-
nie. Po zakończeniu testu należy skopio-
wać pliki ftest.log z klienta i ftestd.log z ser-
wera w jedno miejsce, a następnie wyko-
nać polecenie ./freport ftest.log fte-
std.log. W jego wyniku otrzymamy zesta-
wienie pakietów, które przeszły lub zostały
zablokowane przez zaporę sieciową.
Podczas testowania zapory powinni-
śmy pamiętać, aby sprawdzić ją bardzo
dokładnie. Jeśli w jakiejś regułce mamy zde-
finiowany zakres adresów IP, to sprawdza-
my zachowanie zapory zarówno dla adre-
sów granicznych, jak i leżących wewnątrz
i na zewnątrz zakresu. Warto przygoto-
wać sobie własne skrypty do testowania
zapory, dzięki czemu nie będziemy musieli
wciąż powtarzać wpisywania tych samych
komend. Również wprowadzanie popra-
wek jest w takim przypadku łatwiejsze.
Systemy wykrywania
włamań
Zapoznaliśmy się już z programem Afick,
ale posiada on (podobnie jak inne ana-
lizatory integralności systemu) pewną
wielką wadę – dzięki niemu dowiadu-
jemy się o ataku, który już doszedł do
skutku. Cała sztuka polega na tym, aby
wykryć atak jeszcze w czasie jego prze-
prowadzania i odpowiednio go zablo-
kować.
Jednym z najlepszych programów
przeznaczonych do tego celu jest Snort.
Program nasłuchuje na wskazanych inter-
fejsach sieciowych, analizując pojawiające
się tam pakiety. Analizowane są one pod
kątem informacji istotnych dla bezpie-
czeństwa lub sprawnego funkcjonowania
sieci. Dzięki skonfigurowaniu odpowied-
nich preprocesorów, możemy polecić
Snortowi wyszukiwanie informacji o pró-
bach skanowania portów, atakach zwią-
zanych z błędną fragmentacją pakietów
IP, czy próby ukrycia ataków poprzez
zakodowanie adresów HTTP URI.
Następnie pakiety są przekazywane
do modułu, który porównuje je z regu-
łami opisującymi różne znane metody
ataków (tzw. sygnaturami ataków). Do
nas należy wybranie sygnatur, które
będą potrzebne w naszym systemie. Sam
Snort nie potrafi określić, czy w naszej
sieci połączenie na konkretny port jest
legalne, czy też powinien je traktować
jako próbę włamania – o tym my decy-
dujemy podczas konfiguracji. Jeśli zosta-
nie wykryty atak, Snort może zareago-
wać na wiele różnych sposobów. Oprócz
powiadomienia administratora i zapisa-
nia informacji o ataku, może również
podjąć środki zaradcze, np. przerywa-
jąc połączenie z komputerem potencjal-
nego włamywacza, a nawet odpowiednio
zmieniając zaporę sieciową.
Z takim zabezpieczaniem należy
uważać, gdyż może to doprowadzić do
tego, że intruz zdezorganizuje naszą
pracę symulując przeprowadzanie ataków
z sieci, na których nam zależy. Można to
oczywiście obejść odpowiednio modyfi-
kując nasze skrypty. Generalnie Snort nie
jest może zbyt łatwy w konfiguracji, ale
jeśli sobie z tym poradzimy, to uzyska-
my narzędzie porównywalne z produkta-
mi komercyjnymi. Dzięki niemu nie tylko
będziemy mogli wykrywać ataki, ale
również dowiadywać się o innych pro-
blemach w naszej sieci, np. związanych
z błędami w oprogramowaniu.
Instalacja i obsługa Snorta
Program Snort możemy pobrać ze strony
domowej projektu (http://www.snort.org/ ),

Rysunek 6. Snort jest wciąż rozwijany,
a na jego stronie można znaleźć obszerną
dokumentację
gdzie dostępne są nie tylko źródła, ale
i pakiety binarne (RPM). Można też sko-
rzystać z pakietów dostępnych w róż-
nych repozytoriach (np. DAG – http://
dag.wieers.com/packages/snort/ ). Przed
uruchomieniem warto sprawdzić, czy
Snort będzie oczekiwał na połączenia
na właściwym interfejsie. Informacja ta
umieszczona jest w pliku /etc/sysconfig/
snort w linii INTERFACE="eth0". Jeśli do
łączenia z siecią wykorzystujemy inny
interfejs, należy poprawić tą wartość.
Warto też sprawdzić konfigurację zawar-
tą w pliku /etc/snort/snort.conf. Później
już możemy uruchomić Snorta polece-
niem /etc/rc.d/init.d/snortd start.
Jeśli teraz popatrzymy do pliku /var/
log/messages, od razu zobaczymy znacz-
ny przyrost liczby komunikatów. Oprócz
tego, pojawi się katalog /var/log/snort/.
Własnoręczna analiza tylu komunika-
tów nie ma sensu – lepiej skorzystać z
gotowych narzędzi. Dostępne są one na
stronie http://www.snort.org/dl/contrib/
wraz z innymi narzędziami przydatnymi
w zarządzaniu Snortem.
Zasady korzystania
z komputera
Jeśli naprawdę zależy nam na bezpiecz-
nym korzystaniu z sieci, nie powinniśmy
ograniczać się do jednorazowego zadba-
nia o bezpieczeństwo. Każdego dnia
pojawiają się komunikaty o wykryciu
kolejnych błędów w oprogramowaniu.
Część z tych błędów może mieć mniej-
sze lub większe znaczenie dla bezpie-
czeństwa. Jeśli nie zadbamy o uaktual-
nienia oprogramowania, cała nasza praca
może pójść na marne. Czasem przez
naszą pomyłkę, zaniedbanie lub nieświa-
domość możemy otworzyć włamywa-
czowi drogę do naszego systemu. Z tego
powodu podczas codziennego korzysta-
nia z komputera powinniśmy stosować
się do szeregu zaleceń:
bezpieczny internet
• Z konta superużytkownika (root)
korzystamy tylko w bardzo wyjątko-
wych okolicznościach. Nawet w przy-
padku instalacji oprogramowania ze
źródeł, uprawnienia administratora
uzyskujemy tylko na czas potrzeb-
ny do uruchomienia polecenia make
install.
• Regularnie uaktualniamy system, inst-
alując poprawione wersje oprogra-
mowania (w tym również jądra).
Łączy się to ze śledzeniem serwi-
sów dotyczących bezpieczeństwa,
jak również stron domowych pro-
gramów zainstalowanych na naszym
dysku. Jeśli dla naszej dystrybu-
cji dostępne są serwery z aktuali-
zacjami, to powinniśmy z nich sko-
rzystać.
• Nigdy nie instalujemy oprogramo-
wania pochodzącego z nieznane-
go źródła. Mam tu na myśli przy-
godnych znajomych spotkanych na
IRC, czy serwery z oprogramowa-
niem, o którym niewiele lub nic nie
wiemy. Nie znaczy to, że pobierając
pliki z bardzo popularnych serwisów
jesteśmy całkiem bezpieczni – zda-
rzały się już przypadki podrzucenia
na takie serwery oprogramowania z
koniami trojańskimi.
• Przy instalowaniu programów powin-
niśmy w miarę możliwości sprawdzać
podpisy PGP oraz sumy MD5 pobra-
nych plików. Pozwoli to upewnić się,
że oprogramowanie otrzymaliśmy w
takiej postaci, w jakiej zamierzyli to
autorzy.
• Zawsze stosujemy hasła trudne do
złamania. Staramy się unikać prze-
syłania haseł kanałami niekodowa-
nymi (np. w przypadku korzystania
z poczty należy używać szyfrowania
SSL). Jeśli nie mamy możliwości prze-
syłania hasła w postaci zakodowanej,
to należy zadbać, aby było ono uni-
kalne (nie powinniśmy go wykorzy-
stywać nigdzie indziej). Dzięki temu
w razie jego przechwycenia przez
włamywacza, narażona będzie tylko
jedna usługa (np. zdalna poczta), a
nie cały system.
• Regularnie przeglądamy logi systemo-
we – samodzielnie lub z pomocą ana-
lizatorów logów, wysyłających powia-
domienia pocztą elektroniczną.
• Wykonujemy kopie zapasowe istot-
nych danych. Najlepiej wykonywać
je na płytach CD, lecz w razie braku
bezpieczeństwo
nagrywarki powinniśmy kopie umie-
ścić na innej partycji, dysku lub kom-
puterze.
• Nie udostępniamy komputera
osobom, których nie znamy lub do
których nie mamy zaufania. Dotyczy
to nie tylko umożliwiania dostępu
przez SSH czy FTP, ale także dostępu
fizycznego. Nie wykonujemy też żad-
nych poleceń podanych nam przez
takie osoby, jeśli nie jesteśmy absolut-
nie pewni, co dane polecenie robi.
Zakończenie
Większość prób włamań do naszych
komputerów jest wynikiem działania tzw.
script kiddies, czyli osób – z reguły dość
młodych – używających gotowych roz-
wiązań. Korzystają oni zazwyczaj z tych
samych źródeł informacji co my, zatem
będąc na bieżąco mamy całkiem sporą
szansę, że nie uda im się spenetrować
naszego systemu. Dbajmy o nasz system,
a wówczas będziemy mogli z czystym
sumieniem wędrować po naszej global-
nej sieci.
W Internecie:
• Afick:
http://afick.sourceforge.net/
• Firewall Builder:
http://www.fwbuilder.org/
• HPing:
http://wiki.hping.org/
• Firewall Tester:
http://ftester.sourceforge.net/
• Snort:
http://www.snort.org/
• Lista dwudziestu najpoważniejszych
zagrożeń dla bezpieczeństwa:
http://www.sans.org/top20/
• SANS:
http://www.sans.org/
• Secunia:
http://secunia.com/
• SecurityFocus:
http://www.securityfocus.com/
• CERT Coordination Center:
http://www.cert.org/
• LinuxToday:
http://linuxtoday.com/
• Artykuł o uwierzytelnianiu z wykorzy-
staniem kluczy w OpenSSH:
http://www.securityfocus.com/
infocus/1810 /
• Serwis IPSec.pl:
http://ipsec.pl/
• Serwis Hacking.pl:
http://hacking.pl/
www.lpmagazine.org 31
 bezpieczeństwo

Odzyskiwanie danych
– sposoby i przegląd
narzędzi
Michał Niwicki

Na płycie CD/DVD
Na płycie CD/DVD znajduje się
oprogramowanie omawiane
w artykule.
N
a pewno każdy z Was sta-
nął lub stanie przed proble-
mem odzyskania danych.
Zazwyczaj w momencie,
w którym uświadamiamy sobie, że stra-
ciliśmy istotne pliki, nie widzimy szansy
na ich odratowanie i nie podejmuje-
my żadnych działań. Spotykamy się
z dwiema sytuacjami. Pierwsza wiąże
się z fizycznym uszkodzeniem nośni-
ka danych (twardego dysku, dyskiet-
ki, płyty CD/DVD), co uniemożliwia
nam prawidłowe odczytanie zawarto-
ści całego pliku. Druga to taka, w której
umyślnie lub nieumyślnie skasowaliśmy
z dysku potrzebny nam plik i chcemy go
odzyskać. W obu przypadkach istnieją
sposoby i narzędzia pozwalające na cał-
kowite lub częściowe odzyskanie utra-
conych danych.
W niniejszym artykule dokonamy
przeglądu kilku popularnych aplika-
cji służących do odzyskiwania danych
– uszkodzonych bądź usuniętych
z naszego komputera.
Fizyczne uszkodzenie
nośnika
Zanim przejdziemy do omówienia spo-
sobu odzyskania utraconych danych
z uszkodzonego nośnika, wytłumaczy-
my najpierw, jak dochodzi do uszkodze-
nia nośnika i jaki ma to wpływ znajdu-
jące się na nim dane.
Tradycyjnie, wszystkie magnetycz-
ne nośniki danych – dyskietki, twarde
dyski, taśmy – mogą ulec częściowe-
mu rozmagnesowaniu na skutek kon-
taktu z różnymi urządzeniami wytwa-
rzającymi duże pole elektromagnetycz-
ne (magnesy, bramki kontrolne na lot-
nisku, telefony komórkowe). W przy-
padku płyt CD/DVD najczęściej spo-
tykamy się z fizycznym uszkodzeniem
jednej z optycznych warstw na skutek
zarysowania.
W obu sytuacjach, gdy dochodzi do
utraty części (kilku lub kilkudziesię-
ciu bajtów) pliku lub systemu plików,
system komunikuje nam, że odczyt
z urządzenia jest niemożliwy i zaprze-
staje dalszych prób dostępu do danych.
Spróbujmy zilustrować przykładem
zaistniały problem. Posiadamy płytę,
na której znajduje się dwugodzinny film
w pliku o łącznej objętości 690 mega-
bajtów. Na skutek fizycznego uszkodze-
nia (przypadkowe zarysowanie płyty)
nie jest możliwy odczyt kilku ostatnich
bajtów pliku, w efekcie czego program
odtwarzający przerywa działanie przed
najciekawszym fragmentem filmu.
Wiemy lub domyślamy się, że uszko-
dzeniu uległo jedynie kilka sekund cen-
nego nagrania, natomiast kilkanaście
pozostałych minut nadal znajduje się na
płycie. Stajemy przed problemem, jak
zmusić program do odtworzenia tego,
co znajduje się za uszkodzonym obsza-
rem. Innymi słowy, chcemy, aby pro-
gram nie przerywał działania w przypad-
ku, w którym nie może odczytać zapisa-
nych danych.
DD_rescue
Gdy próba przekopiowania uszkodzone-
go pliku standardową metodą nie skutku-
je (tak dzieje się, gdy używamy standar-
dowej komendy cp), z pomocą przycho-
dzi nam program DD_rescue.
Jego zasada działania jest prosta
– próbuje odzyskać uszkodzone bajty
pliku, a w przypadku, gdy nie może ich
odczytać, nie przerywa swego działania,
nie ucina uszkodzonego pliku i kontynu-
uje proces kopiowania.

32 styczeń 2005

W efekcie otrzymujemy lekko uszko-
dzony, ale już możliwy do odczytania
plik, który nie różni się rozmiarem od
oryginału, ale zawiera błędy w miejscu,
w którym doszło do uszkodzenia nośni-
ka, z którego kopiowaliśmy.
Praca z dd_rescue
Kopiowanie za pomocą dd_rescue jest
proste. Wywołanie programu przybiera
postać: dd_rescue [opcje] <plik_źró-
dłowy> <plik_docelowy>.
Jeśli w wyniku działania komen-
dy dd_rescue plik_a plik_b program
skopiuje pliki bez napotkania na błędy,
powinien wyświetlić się komunikat
podobny do poniższego:
dd_rescue: (info): plik_a (0.8k): EOF
Summary for plik_a -> plik_b:
dd_rescue: (info): ipos: 0.8k,S
opos: 0.8k, xferd: 0.8k
errs:0, errxfer: 0.0k, succxfer: 0.8k
+curr.rate: 15kB/s, avg.rate: 15kB/s,S
avg.load: 0.0%
Jeśli podczas procesu kopiowania przytra-
fią się błędy odczytu, pojawi się dodatko-
wa informacja dotycząca ilości uszkodzo-
nych bajtów i miejsca ich występowania.
Dodatkowe przydatne opcje progra-
mu to kopiowanie piku od określonej
pozycji (w bajtach), kopiowanie zbioru
danych od końca do początku, wyświe-
tlanie pełnej informacji o procesie
odczytywania i zapisywania przetwa-
rzanych danych oraz określenie górnej
granicy ilości błędów, po osiągnięciu
której praca programu jest przerywana.
Pewnym ułatwieniem w korzystaniu
z programu DD_rescue jest skrypt napi-
sany z BASH-u – DD_rhelp. Jego działa-
nie opiera się na programie DD_rescue,
R E
narzędzia data recovery
ale od użytkownika nie jest wymaga-
ne podawanie żadnych dodatkowych
opcji – wystarczy, że w linii poleceń
wpiszemy: dd_rhelp <plik_źródłowy>
<plik_docelowy>, a skrypt domyślnie
odzyska (jeśli tylko mu się uda) wszel-
kie utracone dane.
Skasowane pliki – jak
sobie z nimi radzić
Zdarza się, że na skutek pomyłki lub
celowego działania osób trzecich w
wyniku operacji kasowania (plików lub
partycji) straciliśmy część lub wszystkie
nasze dane. Mogłoby się wydawać, że
wszystko stracone, ale i na takie przy-
padki jest rada. W najlepszym razie
może okazać się, że dane są w 100%
odzyskiwalne, ale najczęściej spotkamy
się z sytuacją, w której odzyskamy jedy-
nie mniejszy lub większy procent ska-
sowanych zbiorów. Paradoksalnie, to co
wygląda bardzo groźnie, może okazać
się łatwe w naprawie. Najczęstszym
omawianym wyżej przypadkiem jest
zamazanie tablicy partycji dysku twar-
dego (tracimy wszystko) lub skasowa-
nie pliku/plików komendą rm. Narzę-
dzia, jakich można użyć w obu przy-
padkach, przedstawię poniżej.
Namierzanie partycji programem
Gpart
Jeśli z pewnych powodów zamazaliśmy
tablicę partycji dysku twardego (dzieje
się tak przykładowo podczas nieuważ-
nego dzielenia dysku na partycje), mimo
że dysk wygląda tak, jakby nic na nim się
nie znajdowało, nasze dane wciąż na nim
są. Proces przywracania struktury dysku
do pierwotnej postaci wymaga od użyt-
kownika wiedzy na temat tego, jakiej
wielkości i jakiego typu partycje znajdo-
K L A M
bezpieczeństwo
Wybrane parametry
DD_rescue:
• -w – przerywa kopiowanie jeśli
napotka na błędy
• -r – kopiowanie wsteczne
(od końca pliku do początku)
• -v – wyświetla pełną informację
o procesie kopiowania
• -q – nie wyświetla żadnych
komunikatów
• -e x – przerywa działanie po
osiągnięciu x błędów
• -s s – rozpoczyna kopiowanie pliku
od s bajta
• -m m – kopiuje jedynie m bajtów
• -d – wykorzystuje bezpośredni
dostęp do urządzenia blokowego
(z pominięciem pamięci cache)
wały się na nim przed zamazaniem tabli-
cy partycji. Problem w tym, że takimi
informacjami większość użytkowników
nie dysponuje. Tu z pomocą przycho-
dzi Gpart – narzędzie, którego działanie
wydaje się być proste: program analizu-
je dane zapisane na dysku (jeszcze nie
skasowane) i na ich podstawie próbuje
odbudować tablicę partycji dysku.
Praca z narzędziem Gpart
Ponieważ po skasowaniu partycji nie
mamy dostępu do żadnych danych, które
się na dysku znajdują, nie możemy rów-
nież uruchomić Gparta. W takiej sytu-
acji powinniśmy skorzystać z ratunko-
wej dystrybucji Linuksa – RIP. Po wło-
żeniu do napędu CD/DVD bootowalnej
płyty i ponownym uruchomieniu kom-
putera, naszym oczom ukaże się ascetycz-
nie wyglądające okno terminala. Po zalo-
gowaniu się na konto administratora sys-
temu (root) mamy do dyspozycji kilkadzie-
siąt programów służących do odzyskiwa-
A
www.lpmagazine.org 33
 bezpieczeństwo
Listing 1: Wynik działania programu Gpart:
Primary partition(1)
type: 131(0x83)(Linux ext2 filesystem)
size: 101mb #s(208776) s(63-208838)
chs: (0/1/1)-(207/2/57)d (0/1/1)-(207/2/57)r
Primary partition(2)
type: 130(0x82)(Linux swap or Solaris/x86)
size: 1019mb #s(2088448) s(208845-2297292)
chs: (207/3/1)-(1023/15/63)d (207/3/1)-(2279/0/61)r
nia i ratowania różnych systemów opera-
cyjnych. Nas interesuje Gpart.
Wydajemy polecenie gpart [opcje]
urządzenie i czekamy na to, aż program
przeanalizuje nasz nośnik danych pod
względem struktury zapisanych na nim
danych. Przykładowo:
# gpart /dev/hda
spowoduje, że narzędzie będzie analizo-
wało dysk /dev/hda.
Po pewnym czasie (może trwać to
nawet kilkanaście minut – w zależności
od tego jakiej wielkości posiadamy dysk)
naszym oczom powinna ukazać się infor-
macja podobna do tej z Listingu 1.
Wynika z niej, że pierwsza party-
cja jest typu ext2 i ma rozmiary 101 MB,
podczas gdy druga partycja jest najpraw-
dopodobniej partycją wymiany (swap) o
rozmiarach sięgających ponad 1 GB.
Jeśli przedstawione informacje uwa-
żamy za prawdziwe, możemy zapisać
na dysku nową tablicę partycji wydając
polecenie:
# gpart -W /dev/hda /dev/hda
Parametr /dev/hda podajemy dwa razy,
gdyż pierwszy mówi nam, jaka jest struk-
tura badanego dysku, a drugi zapisuje na
wskazanym dysku tablicę partycji.
Po ponownym uruchomieniu kompu-
tera możemy od nowa cieszyć się zawar-
tością naszego dysku.
Więcej o Gpart
Jak zobaczyliśmy, w niektórych sytu-
acjach potrafi naprawić strukturę dysku,
na którym po zamazaniu tablicy party-
cji utworzono nowe partycje (jeszcze nie-
formatowane). Dzieje się tak dlatego, że
narzędzie to nie próbuje odzyskać zamaza-
nej tablicy partycji, lecz na podstawie roz-
kładu danych na dysku (analizuje sektor
po sektorze) stara się stworzyć tablicę par-
tycji na nowo. W efekcie, wydawać by się
34 styczeń 2005
mogło, tragiczna w skutkach próba zmiany
typu partycji z ext3 na swap zostanie pra-
widłowo zdiagnozowana przez Gparta
i naprawiona.
Mimo swojej niepozorności, Gpart
jest potężnym narzędziem, które potra-
fi o wiele więcej niż opisaliśmy powy-
żej. Obsługuje większość znanych typów
partycji – począwszy od ext2, ext3, xfs,
fat, poprzez stosowane w systemie Win-
dows ntf s i vfat, a skończywszy na party-
cjach LVM czy hpfs.
Gpart jest wyposażony również
w szereg dodatkowych użytecznych
opcji, służących przykładowo do spo-
rządzania kopii zapasowych sektora roz-
ruchowego, a także do odzyskiwania
danych z formatowanych partycji (tylko
w niektórych okolicznościach)
Praca z programem unrm
Radziliśmy, jak uporać sobie z uszko-
dzonymi fizycznie nośnikami danych,
z zamazanymi systemami plików, a teraz
przyszła kolej na odzyskiwanie skasowa-
nych plików.
Pomocną aplikacją w takich sytu-
acjach jest unrm, przypominający nieco
swoim działaniem program undelete, pra-
cujący w systemie DOS.
Jest to skrypt powłoki BASH, który na
podstawie analizy i-węzłów potrafi przy-
wrócić skasowane pliki.
Jego działanie jest proste – wystarczy
w wierszu poleceń wpisać z uprawnienia-
mi administratora systemu komendę unrm
/dev/hda, aby na ekranie pojawiła się lista
plików możliwych do odzyskania.
Aplikacją posiada wiele dodatkowych
parametrów ułatwiających wyszukiwanie
utraconych zbiorów. Możliwe jest odzy-
skiwanie danych należących do jakiegoś
użytkownika (opcja -u), a także plików
zawierających określony tekst (opcja -s).
Podstawowym problemem, który
pojawia się w przypadku skuteczne-
go odzyskania pliku, jest jego zapis.
Program unrm nie przywraca plików
w miejsce, z którego zostały usunięte
(nie mylmy go zatem z katalogiem Śmiet-
nik w niektórych popularnych menedże-
rach okien), lecz tworzy plik o nazwie
unrm.recovered/unrm.inode#, w którym
przy odrobinie szczęścia znajdziemy
nasze skasowane dane.
Profilaktyka
Większości problemów opisanych w arty-
kule można uniknąć. Dobrym nawy-
kiem jest sporządzenie kopii zapasowej
MBR (512 bajtów – mieści się na każdej
dyskietce). Wystarczy w linii poleceń
z uprawnieniami administratora systemu
wydać komendę:
# dd if=/dev/hda of=mbr bs=512 count=1
W efekcie otrzymamy plik o nazwie mbr
zawierający kopię naszego sektora rozru-
chowego.
Powinniśmy także przyzwyczaić się
do systematycznego okresowego sporzą-
dzania kopii zapasowej najważniejszych
plików systemowych (tar -cjvf archi-
wum.tar.bz2 /etc) i katalogu użytkowni-
ków systemu (tar -cjvf archiwum.tar.bz2
/home).
Wskazane jest również używanie sys-
temu plików z księgowaniem (zastąpmy
tradycyjny ext2 nowocześniejszym roz-
wiązaniem – ext3), aby w przypadku
nagłego spadku napięcia nie trzeba było
odzyskiwać bajta po bajcie.
Podsumowanie
Utrata danych jest sytuacją, która może
przytrafić się każdemu. Istnieje szereg
narzędzi, za pomocą których możliwe
jest odzyskanie skasowanych zbiorów.
Należy również pamiętać, że i te narzę-
dzia mogą zawieść i wtedy niezbędna
stanie się kosztowna wizyta w specjali-
stycznym laboratorium.
Najlepszym rozwiązaniem wydaje się
zachowanie szczególnej ostrożności pod-
czas kasowania plików i pracami związa-
nymi ze zmianami w tablicy partycji.
W Internecie:
● Strona domowa DD_rescue:
http://freshmeat.net/projects/
dd_rescue/
● Strona projektu programu Gpart:
http://www.stud.uni-hannover.de/
user/76201/gpart/
 ZAMÓWIENIE PRENUMERATY
Prosimy wypełnić czytelnie i przesłać faksem na numer: (22) 860 17 71
lub listownie na adres: Software-Wydawnictwo Sp. z o.o.,
Lewartowskiego 6, 00-190 Warszawa,
e-mail: pren@software.com.pl
Przyjmujemy też zamówienia telefoniczne: (22) 860 17 67

Dane osoby / firmy zamawiającej

Imię i nazwisko Stanowisko

ID kontrahenta*
* jeżeli jesteś już klientem firmy Software-Wydawnictwo Sp. z o.o. – wystarczy, że podasz swój numer ID kontrahenta; jeżeli nie posiadasz takiego numeru, podaj swe dane teleadresowe

Upoważniam firmę Software-Wydawnictwo Sp. z o.o. do wystawienia faktury VAT bez podpisu odbiorcy

Pieczęć firmy i podpis

Nazwa firmy

Dokładny adres

Telefon (wraz z numerem kierunkowym) Faks (wraz z numerem kierunkowym)

Adres e-mail Numer NIP firmy

Ilość numerów Ilość zamawianych Od numeru pisma Opłata w zł

Tytuł
w roku prenumerat lub miesiąca z VAT
Software 2.0 (1 płyta CD) 12 250/ 180*
Miesięcznik profesjonalnych programistów

Software 2.0 Extra! (od 1 do 4 płyt CD lub DVD) 6 150 / 135**

Numery tematyczne dla programistów

Linux+ (2 płyty CD) 12 250/180*

Miesięcznik o systemie Linux

Linux+DVD (2 płyty DVD) 12 270/198*

Miesięcznik o systemie Linux

Linux w szkole (1 płyta CD) 4 99

Zastosowanie Linuksa w edukacji

Linux+Extra! (od 1 do 7 płyt CD lub DVD) 8 232/198**

Numery specjalne z najpopularniejszymi dystrybucjami Linuksa

PHP Solutions (1 płyta CD) 6 150

Dwumiesięcznik o zastosowaniach języka PHP

PHP Solutions (1 płyta CD) - Prenumerata .PRO*** 6 445

Dwumiesięcznik o zastosowaniach języka PHP

Hakin9 (1 płyta CD) 6 135

Dwumiesięcznik o bezpieczeństwie i hakingu

Programy dla Twojej firmy (1 płyta CD) 6 135

Oprogramowanie dla małych i średnich przedsiębiorstw

.psd (1 płyta CD + film instruktażowy na DVD) 6 140

Dwumiesięcznik użytkowników programu Adobe Photoshop

Aurox Linux (7 płyt CD) 4 119

Magazyn z najpopularniejszym polskim Linuksem

W sumie
(liczba prenumerat x cena)

* Cena prenumeraty rocznej dla osób prywatnych

** Cena prenumeraty rocznej dla osób prenumerujących już Software 2.0 lub Linux+
*** Wykupienie prenumeraty PHP Solutions w wersji .PRO za 445 złotych, upoważnia do zamieszczania na
ostatnich stronach PHP Solutions ogłoszenia o wymiarach 5,4 na 2,7 cm (300 znaków) we wszystkich ko- Jeżeli chcesz zapłacić katrą kredytową, wejdź na stronę
lejnych numerach obejmujących prenumeratę (standardowo: 6 numerów). naszego sklepu internetowego:

www.stock.com.pl
UWAGA: Nadesłanie zamówienia jest jednocześnie zobowiązaniem do zapłaty.
 Linux+ 05/2004 Linux+ 06/2004 Linux+ 07/2004
(DVD, CD, bez CD) (DVD, CD, bez CD) (DVD, CD, bez CD)

Linux+ 09/2004 Linux+ 08/2004

(DVD, CD, bez CD) (DVD, CD, bez CD)
Linux+ 10/2004
(DVD, CD, bez CD)

Numery archiwalne
Prosimy o przesłanie kuponu pocztą lub faksem.
Prosimy w odpowiednim polu zakreślić numery, które Państwo chcą zamówić.

żółte pola – 24 zł za Linux+

białe pola – 15 zł za Linux+

niebieskie pola – 27.90 zł za Linux+ DVD

zielone pola – 16.50 zł za Linux+ DVD

czerwone pola – 9,90 zł za Linux+ bez CD

1 2 3 4 5 6 7 8 9 10 11 12
Linux+ 11/2004
(DVD, CD, bez CD) 2000
2001
2002
2003
2004
2004
2004

– rocznik 2001 (12 numerów) – 120 zł

– rocznik 2002 (12 numerów) – 150 zł
– rocznik 2003 (12 numerów) – 150 zł
– rocznik 2004 (12 numerów) – 150 zł

Imię i nazwisko, nazwa firmy ..............................................................................

Dokładny adres: ....................................................................................................
.................................................................................................................................

Wypełnia płatnik VAT. Oświadczam(y), że jestem(śmy) płatnikiem VAT

L+ 1/2005

i upoważniam(y) Software-Wydawnictwo Sp. z o.o. do wystawienia faktury VAT

bez podpisu odbiorcy.

Linux+ 12/2004
(DVD, CD, bez CD) pieczątka i podpis

Software-Wydawnictwo Sp. z o.o.

ul. Lewartowskiego 6, 00-190 Warszawa, Tel.: (22) 860 17 67
 wywiad
Wywiad
z Przemysławem Tołpą,
menedżerem sprzedaży
firmy Adaptec
Krzysztof Krawczyk: Na począt-
ku prosiłbym, abyś krótko przedstawił się
naszym Czytelnikom.
Przemysław Tołpa: Jestem mene-
dżerem sprzedaży w firmie Adaptec
i jestem odpowiedzialny za rejon Europy
Wschodniej i Bliskiego Wschodu, czyli
także Polski i Czech.
KK: Jaki jest wasz stosunek do syste-
mu Linux oraz w ogólności do oprogra-
mowania Open Source?
PT: Dla firmy Adaptec system Linux
jest bardzo ważny – większość produk-
tów sieciowych i rozwiązań pamięci
masowej firmy Adaptec jest wspierana
na Linuksie. W wielu przypadkach ste-
rowniki dla naszych produktów są już
zawarte w jądrze systemu Linux. Zdaje-
my sobie sprawę z potrzeby funkcjono-
wania i dalszego rozwoju oprogramowa-
nia Linux jako systemu operacyjnego dla
przedsiębiorstw.
KK: Jakie wsparcie dla systemów
linuksowych posiadają wasze produkty?
PT: Praktycznie wszystkie produk-
ty firmy Adaptec, zarówno sieciowe, jak
i przeznaczone do pamięci masowych,
włączając produkty ATA, Serial ATA,
RAID, SCSI, iSCSI oraz TOE/NAC, posia-
dają wsparcie dla systemu Linux i w wielu
przypadkach sterowniki do nich są zawar-
te w jądrze systemu Linux. Jedynie część
produktów firmy Adaptec, tych przezna-
czonych na podstawowy rynek konsu-
mencki, oferujemy jedynie ze wsparciem
dla systemu Windows oraz Mac.
KK: Chciałbym jeszcze trochę skupić
się na tym zagadnieniu. Jakiś czas temu
kupiłem kontroler FireWire do swojego
notebooka. Otrzymałem wraz z nim płytę
CD z oprogramowaniem, ale nie znala-
złem tam pakietów na Linuksa.
PT: Użytkownicy Linuksa mają
dostęp do sterownika OHCI. Jak można
38 styczeń 2005
zobaczyć na stronach projektu Linux1394
pod adresem http://www.linux1394.org/
hcl.php?class_id=2, jest wiele produktów
serii Adaptec FireWire, które współpracu-
ją z tym sterownikiem.
KK: Zgadza się, ale użytkownik
Linuksa mimo wszystko musi sam poszu-
kać rozwiązania. A kto zajmuje się two-
rzeniem nowych wersji sterowników? Czy
macie jakąś wydzieloną komórkę linuk-
sową w ramach firmy?
PT: Nasze wsparcie jest wymagane
zarówno przez naszych klientów OEM-
owych, jak również nasze kanały dys-
trybucyjne. Mamy różne zespoły inży-
nierskie w różnych miejscach na świecie,
skoncentrowanych wyłącznie lub częścio-
wo na tworzeniu linuksowych sterowni-
ków dla kontrolerów Adapteca. Wiemy,
że istnieje duże zapotrzebowanie na nie
Przemysław Tołpa
dla systemów SUSE i Red Hat.
KK: Wróćmy do rozwiązań serwero-
wych. Jak wygląda wsparcie dla kontrole- pamięci masowej. Dla przykładu podam
rów Serial ATA dla Linuksa? urządzenie pamięci masowej iSA 1500
PT: Wszystkie kontrolery naszej firmy iSCSI-to-SATA, w której została ona
posiadają wsparcie dla systemu Linux. wykorzystana.
Pełna lista sterowników jest zamieszczo- KK: Z jakimi producentami systemów
na na naszej stronie internetowej: http:// linuksowych współpracujecie?
www.adaptec.com/support/ lub http:// PT: Współpracujemy ze wszystkimi
www.adaptec.pl/. Przykładowo, kontrole- najważniejszymi dystrybutorami rozwi-
ry Adaptec SATA dwu- i cztero-portowe, jającymi system Linux na świecie, włą-
modele 1210SA oraz 2410SA, wspierają czając Red Hat, SUSE, TurboLinux i wielu
odpowiednio SUSE oraz Red Hat Linux. innych.
Również najnowsze kontrolery 8- i 16- KK: Jak oceniacie rynek klastrów
portowe współpracują z tymi systemami. linuksowych na świecie? Czy mogą one
Nowe sterowniki oraz najnowsze wersje konkurować z dużymi superkomputera-
jądra będą nadal zamieszczane na stro- mi i w jaki sposób?
nach internetowych w momencie, gdy PT: Jesteśmy przekonani, że kla-
będą ogólnie dostępne. stry oparte na oprogramowaniu Linux
KK: Czy jakieś wasze produkty wyko- mają przed sobą znakomitą przy-
rzystują Linuksa, tak jak przykładowo szłość, a rynek klastrów linuksowych
serwer NAS firmy Raidtec? ma zdecydowanie duży potencjał. Nawet
PT: Używamy dostosowanej wersji obecnie klastry linuksowe konkurują
systemu Linux w wielu urządzeniach z superkomputerami – więcej na ten

temat można znaleźć na stronach CERN
pod adresem http://ajt.iki.fi/writings/
cern/index_eng.html oraz http://www.
interex.org/pubcontent/enterprise/mar00/
11ntrad.html.
KK: Pod koniec zeszłego roku opra-
cowaliście technologię NAC, która wydała
mi się dość interesująca. Jak jest zasada
jej działania?
PT: Ethernet Networking ewolu-
ował od 10 Mb/na sekundę (Ethernet),
przez 100 Mb/na sekundę (Fast Ether-
net), do 1,000 Mb/na sekundę (Giga-
bit Ethernet) oraz TCP/IP Offload Engi-
nes (rozwiązanie TOE) – są to kolejne
generacje technologii sieciowej Ethernet.
Firma Adaptec wprowadziła na rynek
produkty technologii TOE pod nazwą
NAC (Network Accelerator Card – sie-
ciowa karta przyspieszająca), np. GigE
NAC 7711C (oparty na rozwiązaniu mie-
dzianym) oraz GigE NAC 7711F (oparty
na światłowodzie). Oba produkty zosta-
ły zaprojektowane, aby maksymalizo-
wać wydajność sieci oraz obniżyć zuży-
cie samego procesora. Poprzez obsłu-
R E
wywiad z Przemysławem Tołpą
gę stosu TCP/IP na poziomie sprzętu,
na karcie, rozwiązanie TOE NAC firmy
Adaptec umożliwia eliminację wąskie-
go gardła podczas przetwarzania TCP
oraz pozwala procesorowi kompute-
ra poświęcić więcej cykli na przetwa-
rzanie procesów aplikacji oraz umożli-
wia zwiększenie szybkości obsługi sieci
i wydajności systemu. Aplikacje, do któ-
rych jest przeznaczone rozwiązanie NAC,
to m.in. aplikacje serwera danych, wyso-
kowydajne komputery przeznaczone do
zadań technicznych, intensywnie wyko-
rzystywane bazy danych, kopie zapaso-
we oparte o LAN, pamięć masowa NAS
oraz rozwiązania wideo.
KK: Jak może zostać zastosowana
technologia NAC?
PT: Technologia NAC jest idealna dla
wysokowydajnego środowiska informa-
tycznego, włączając klastry oraz udo-
stępnianie plików na rynkach werty-
kalnych, takich jak np. bio-informaty-
ka, informatyka działająca na potrze-
by nauki, wydobycie ropy i gazu oraz
sektor obronności. Produkt firmy Ada-
K L A M
wywiad
ptec TOE NAC 7711 jest rozwiązaniem
przyspieszającym działanie sieci, obni-
żającym poziom zaistniałych opóźnień
oraz redukującym stopień zużywania
procesora. Technologia NAC zawiera
specjalizowany układ scalony ASIC kie-
rujący TCP/IP oraz rozładowujący prze-
twarzanie TCP/IP z hosta i jest najszyb-
ciej pracującym i najbardziej wytrzy-
małym rozwiązaniem dostępnym na
rynku. Technologia NAC redukuje
w znaczącym stopniu obciążenie w sieci
LAN, przedłużając czas działania serwe-
rów oraz maksymalizując ich wydaj-
ność.
KK: Dziękuję za rozmowę.
W Internecie:
– Strona domowa firmy Adaptec:
http://www.adaptec.com/
– Strona firmy Adaptec poświęcona
zagadnieniom Linuksa:
http://linux.adaptec.com/
– Polski oddział firmy Adaptec:
http://www.adaptec.pl/
A
www.lpmagazine.org 39
aktualności
oprogramowanie
Dvd::rip
– ripper płyt DVD
Witold Kieraś
D vd::rip to napisana w Perlu, z uży-
ciem biblioteki GTK, nakładka gra-
ficzna na program Transcode, pozwalają-
ca zgrać filmy z płyt DVD do pliku .avi
lub .mpeg.
Instalacja i konfiguracja
Na stronie projektu są dostępne pakiety
dla wielu dystrybucji Linuksa, a nawet dla
FreeBSD i OpenBSD. Warto z nich skorzy-
stać, pamiętając jednak o zależnościach.
Do uruchomienia Dvd::rip potrzebny bę-
dzie pakiet transcode, bez którego aplikja-
cja jest bezużyteczna. Należy również za-
instalować ImageMagick. Potrzebny bę-
dzie także interpreter Perla, w wersji co
najmniej 5.6.0, oraz moduł Perl GTK. War-
to również zainstalować takie pakiety, jak
xvid4conf, ogmtools, subtitleripper, dzię-
ki którym będziemy dysponować więk-
szą liczbą funkcji przy rippowaniu. Ponad-
to, w systemie powinien być zainstalowa-
ny jeden z dwóch najpopularniejszych od-
twarzaczy multimediów (a najlepiej oby-
dwa), czyli MPlayer lub Xine.
Jeśli chcemy instalować program ze
źródeł, to, po zainstalowaniu wyżej wy-
mienionych aplikacji, musimy rozpako-
wać skompresowane źródła poleceniem:
tar xfz Video-DVDRip-<wersja>.tar.gz,
przejść do utworzonego katalogu (cd
Video-DVDRip-<wersja>) i wykonać w nim
kolejno polecenia: perl Makefile.PL, make
i make test. Jeśli test przebiegnie pomyśl-
Rysunek 1. Konfiguracja programu jest
bardzo prosta
40 grudzień 2004
gnome
nie, możemy wówczas zainstalować pro-
gram w systemie, wydając, jako root, pole-
cenie make install. Program uruchamiamy
poleceniem dvdrip.
Przy pierwszym uruchomieniu pro-
gramu ukaże się nam okno konfiguracji.
Nie trzeba wszystkich pól uzupełniać od
razu, gdyż można do konfiguracji wró-
cić później, wybierając z menu progra-
mu pozycję Edit–>Edit Preferences... Pro-
gram przechowuje wszystkie ustawienia
w ukrytym pliku .dvdriprc, znajdującym
się w katalogu domowym użytkownika,
więc najłatwiejszym sposobem na przy-
wrócenie ustawień domyślnych jest wy-
kasowanie tego właśnie pliku.
Okno konfiguracji jest podzielone na
kilka zakładek. W każdej zakładce na do-
le znajduje się okno, w którym na zielo-
no są wypisane opcje skonfigurowane po-
prawnie, a na czerwono te, których jesz-
cze nie ustawiono. Niektórych z nich nie
trzeba ustawiać w ogóle, jeśli zdecyduje-
my, że nie chcemy korzystać z dostarcza-
nych przez nich funkcji. W każdej zakład-
ce mamy dostęp do przycisków Check all
settings oraz Check settings on this page, po
których wciśnięciu zostanie sprawdzona
poprawność ustawień odpowiednio całe-
go programu i opcji konfigurowanych tyl-
ko w danej zakładce.
W pierwszej zakładce (Filesystem)
wskazujemy kolejno ścieżkę do napędu
DVD (zwykle /dev/dvd lub /dev/cdrom),
punkt montowania napędu DVD (praw-
dopodobnie /mnt/dvd/ lub /mnt/cdrom/ ),
domyślny katalog dla danych programu
(ustawiony wedle uznania – należy pa-
miętać, aby użytkownik miał prawa zapisu
i odczytu do tego katalogu), domyślny ka-
talog dla plików rip, w których są zapisy-
wane projekty, oraz rozszerzenie dla pli-
ków w formacie OGG.
W drugiej zakładce (Commands), je-
śli tylko mamy zainstalowane odtwarza-
cze Xine i MPlayer, prawdopodobnie nie
musimy nic poprawiać. Wyjątkiem może
być ostatnia rubryka dotycząca ścieżki do
programu rar – program domyślnie szu-
ka pliku wykonywalnego rar w katalogu
/usr/local/bin/.
W trzeciej zakładce (CD Burning) mo-
żemy zdefiniować opcje wypalania płyt.
W większości przypadków będą one już
ustawione poprawnie – wskazujemy ścież-
kę do urządzenia nagrywającego, numer
urządzenia nagrywającego w formacie wy-
maganym przez program cdrecord (X,X,X,
gdzie każdy X jest jest jakąś liczbą całkowi-
tą – wartości te można uzyskać wydając ja-
ko root polecenie cdrecord -scanbus), oraz
ścieżki do programów cdrecord, cdrdao,
mkisofs i vcdimager (jeśli te programy są
zainstalowane w systemie, a ich pliki wy-
konywalne są w standardowych ścieżkach
dostępu, to wystarczy wpisać ich nazwę).
W omawianej zakładce możemy jeszcze
zdefiniować szybkość zapisu (Writing spe-
ed) oraz metodę kasowania zawartości
nośników CD-RW (fast lub all). W kolej-
nej zakładce możemy jeszcze zdefiniować
opcje programu nagrywającego cdrdao
– wybrać sterownik (można sprawdzić, ja-
ki sterownik obsługuje naszą nagrywarkę
na stronie programu, pod adresem: http://
cdrdao.sourceforge.net/drives.html#dt), ze-
zwolić lub nie na tzw. overburning, czy-
li nagrywanie na obszarze nośnika wy-
kraczającym poza jego nominalną pojem-
ność, oraz zadecydować, czy po zakoń-
czeniu nagrywania tacka nagrywarki ma
się wysuwać automatycznie. Należy jed-
nak pamiętać, że program Dvd::rip oferu-
je tylko podstawowe funkcje nagrywania,
zatem użytkownik nie powinien zrażać się
ewentualnym niepowodzeniem w konfi-
guracji tych opcji, ponieważ do nagrywa-
nia można wykorzystać zewnętrzne, bar-
dziej przyjazne, programy, np. K3b.
Przedostatnią zakładkę, Cluster
options, pomijamy – dotyczy ona wyko-
rzystywania klastrów do rippowania płyt
DVD. W ostatniej zakładce, Miscellane-
ous options, możemy zdefiniować domyśl-
ny kodek, wykorzystywany przy konwer-
sji filmów DVD, oraz domyślny format pli-
ków wynikowych konwersji. Ustawienie
opcji Preferred language spowoduje, że

program domyślnie będzie wybierał przy
rippowaniu ścieżkę dźwiękową w zdefi-
niowanym przez nas języku, o ile oczy-
wiście na płycie DVD zapisane jest więcej
niż jedna ścieżka dźwiękowa i dostępna
jest preferowana przez nas wersja języko-
wa. Całość ustawień zatwierdzamy przyci-
skiem OK.
Rippowanie
Po pomyślnym skonfigurowaniu progra-
mu możemy zabrać się od razu do przete-
stowania jego działania. Z menu programu
wybieramy File –>New Project. Konfigura-
cja projektu przebiega w podobny spo-
sób, jak konfiguracja programu – przecho-
dzimy kolejno od jednej zakładki do dru-
giej. W pierwszej z nich (Storage) wybiera-
my nazwę dla projektu. Po wpisaniu na-
zwy, kolejne pola, w których musimy po-
dać miejsce przechowywania plików VOB
(film DVD) i plików AVI (przekonwertowa-
ny film), zostaną odpowiednio wypełnio-
ne (możemy je oczywiście zmienić). Mu-
simy jeszcze wybrać sposób rippowania
– przegranie na dysk i potem konwersja
(Rip data from DVD to harddisk before en-
coding), konwersja w locie wprost z płyty
DVD (Encode DVD on the fly) lub konwer-
sja z wykorzystaniem obrazu płyty DVD
przechowywanym na dysku we wskaza-
nym katalogu (Use existing DVD image lo-
cated in this directory:).
W drugiej zakładce (RIP Title) może-
my już przeglądać zawartość płyt DVD
– jeśli włożyliśmy płytę do napędu, to
należy wcisnąć przycisk Read DVD table
of contents, a w ramce poniżej ukażą się
wszystkie ścieżki zapisane na płycie. Inte-
resuje nas ta najdłuższa (pierwsza pozycji
w każdym wierszu to czas trwania ścież-
ki), ewentualne pozostałe (jeśli w ogó-
le są), które stanowią dodatki i filmy re-
klamowe. W rozwijanym menu po pra-
wej stronie, możemy też wybrać domyśl-
ną dla rippowania, ścieżkę dźwiękową dla
filmu. Należy pamiętać, że w kolejnych za-
kładkach przetwarzane będą ścieżki, które
zostały wskazane w tym oknie. Wciśnię-
cie przycisku RIP selected title(s)/chapter(s)
spowoduje przegranie wskazanych ścieżek
z płyty DVD na twardy dysk.
W trzeciej zakładce, Clip & Zoom,
decydujemy o parametrach przycięcia
i zmiany wielkości obrazu. Standardowo
proces ten przebiega w trzech krokach:
pierwsze cięcie (1st clipping), powiększe-
nie (Zoom) i drugie cięcie (2nd clipping).
Parametry każdego z tych kroków mo-
żemy dobrać samodzielnie w dolnej czę-
ści okna. Każdemu z kroków odpowiada
podgląd dostępny w trzech oddzielnych
okienkach.
Czwarta zakładka, Subtitles, dotyczy
napisów w filmie – możemy w niej wy-
brać jedną z wersji napisów, jeśli jest do-
stępnych kilka na płycie. Możemy też zmo-
dyfikować sposób ich wyświetlania (ram-
ka Render subtitle on movie).
Kolejna zakładka, Transcode, to konfi-
guracja opcji programu kodującego. Więk-
szość z nich zdefiniowaliśmy już wcze-
śniej, ale możemy je tutaj zmienić. Prze-
ciętnego użytkownika zainteresuje naj-
bardziej ramka Video bitrate calculation,
w której definiujemy, na ilu nośnikach i ja-
kiej wielkości ma zmieścić się przekonwer-
towany film. Domyślne wartości to dwie
płyty po 700 MB każda. Możemy je do-
brać według własnych preferencji. Na do-
le okna dostępnych jest kilka przycisków:
Transcode + Split przekonwertuje wybra-
ne ścieżki i stworzy tyle plików wyjścio-
wych, ile wybraliśmy nośników dla fil-
mu. Przycisk View AVI służy do podglą-
du pliku wyjściowego. Proces konwersji
trwa kilkanaście do kilkudziesięciu mi-
nut – w zależności od wielkości filmu
i parametrów komputera.
Przedostatnia zakładka, Burning, doty-
czy wypalania efektów rippowania na pły-
cie – definiujemy m.in. rodzaj płyty (zwy-
kły obraz ISO 9660, (X)SVCD/CVD lub
(X)VCD). Zależy on od wybranego przez
nas wcześniej kodeka – w przypadku stan-
dardowego formatu DivX będzie to opcja
pierwsza. Możemy też nadać płycie etykie-
tę i zdefiniować szybkość zapisu.
Podsumowanie
To tylko pobieżny przegląd podstawo-
wych i najczęściej wykorzystywanych
możliwości programu Dvd::rip. Zaawan-
sowanych użytkowników zainteresuje
z pewnością tryb klastrowy – możliwość
rozłożenia zasobożernego procesu rippo-
wania płyt na kilka maszyn połączonych
w sieć. Pewnym mankamentem programu
jest z pewnością język interfejsu – Dvd::
rip przemówi do nas wyłącznie po angiel-
sku. Zrekompensować to może, przynajm-
niej częściowo, intuicyjny układ sterowa-
nia programem. Dużą zaletą programu jest
również bardzo dobra dokumentacja, do-
stępna na stronie internetowej projektu
– niestety również tylko po angielsku.
http://www.exit1.org/dvdrip/
GNOME News
GIMP 2.2 coraz bliżej
Twórcy GIMP-a, najpopularniejszego
linuksowego programu do obróbki
grafiki, nie zwalniają tempa. Po
udanej wersji 2.0 przygotowują już
wersję 2.2 – jej kolejne wersje testowe
są dostępne w Internecie. Wśród wielu
zapowiadanych zmian uwagę zwracają
liczne udogodnienia w pracy, takie
jak poprawienie interfejsu, znaczne
ulepszenie obsługi techniki drag-and-
drop pomiędzy GIMP-em a innymi
programami, oraz usprawnienie
kopiowania i wklejania obiektów
pomiędzy GIMP-em a programami
zewnętrznymi, w tym OpenOffice.org
i Abiwordem.
http://gnomedesktop.org/node/2051
http://www.gimp.org/
GNOME-owy Firefox
Na fali popularności przeglądarki
Firefox powstały tematy graficzne dla
niej, upodabniające ją do natywnych
programów GNOME.
http://gnomefx.mozdev.org/
GNOME 2.9.1
Od niedawna możemy cieszyć się
wersją 2.8 środowiska GNOME, ale
jego programiści nie marnują czasu
i ostro zabierają się za tworzenie
wersji 2.10. Na razie ukazała się
pierwsza wersji środowiska w gałęzi
rozwojowej, oznaczona numerem 2.9.1.
Zakończenie prac nad wersją 2.10
planowane jest na marzec 2005 roku.
Deweloperzy zachęcają do testowania!
http://gnomedesktop.org/node/2021
GNOME Personal Web
Publishing
Powstał niedawno projekt GNOME
Personal Web Publishing. mający na
celu stworzenie narzędzia podobnego
do znanego z MacOS X programu
Personal Web Sharing. Ma on ułatwiać
użytkownikowi publikowanie stron
internetowych oraz wymianę plików
zarówno w Internecie, jak i w sieciach
lokalnych. Na razie program jest
w wersji 0.0.2. Napisany jest w C#
i, co za tym idzie, wymaga Mono.
http://gpws.sourceforge.net/
Grisbi 0.5.2
Grisbi to ciekawy program do
zarządzania osobistymi finansami,
napisany przy użyciu GTK
i przeznaczony oczywiście dla
GNOME. Dzięki programowi możemy
zaplanować nasz domowy budżet na
najbliższy miesiąc. Grisbi posiada
też wersję dla platformy Win32.
Program został napisany przez
deweloperów z Francji i pierwotnie
był przystosowany dla francuskiego
użytkownika. Jego popularność
wzrosła jednak z chwilą stworzenia
angielskiej wersji programu.
Deweloperzy wciąż jednak poszukują
chętnych do przetłumaczenia
Grisbi na inne języki. Program
rozpowszechniany jest na licencji GPL.
www.lpmagazine.org 41
aktualności
oprogramowanie kde
KGpg
– menedżer kluczy
szyfrujących
Witold Kieraś
T ym, którzy nie spotkali się z szyfro-
waniem asymetrycznym i podpisem
cyfrowym, należy się kilka słów wyja-
śnienia. Nie wnikając w szczegóły tech-
niczne, potrzebujemy zawsze dwóch po-
łączonych w parę kluczy – prywatnego
(tajnego) i publicznego. Klucza tajne-
go strzeżemy jak oka w głowie, nato-
miast klucz publiczny rozdajemy wszyst-
kim chętnym – możemy go umieścić na
swojej stronie internetowej lub na spe-
cjalnym serwerze. Wszystko, co zosta-
ło zaszyfrowane naszym kluczem pu-
blicznym, może zostać odszyfrowane
wyłącznie przy pomocy naszego klu-
cza tajnego (takiej wiadomości nie moż-
na odszyfrować nawet kluczem publicz-
nym, którego użyto do jej zaszyfrowania
– na tym zresztą polega siła kryptogra-
fii asymetrycznej). Zatem, jeśli ktoś bę-
dzie chciał przesłać nam poufną wiado-
mość, zaszyfruje ją naszym kluczem pu-
blicznym i prześle e-mailem, nie mar-
twiąc się, że list może zostać przechwy-
cony. W gruncie rzeczy może on taką
wiadomość umieścić nawet na publicz-
nie dostępnym serwerze lub (jeśli bę-
dzie miał taki kaprys) jako ogłoszenie
w gazecie codziennej. Nie ma to znacze-
nia, ponieważ i tak odszyfrować ją bę-
dzie mógł tylko adresat, czyli posiadacz
klucza tajnego.
Wraz z szyfrowaniem asymetrycznym
dostępny jest również podpis cyfrowy.
Podpisać możemy nim zarówno doku-
ment tekstowy, jak i plik binarny. Podpisu
dokonujemy przy pomocy klucza prywat-
nego. Zweryfikować go możemy przy po-
mocy klucza publicznego – zatem auten-
tyczność podpisu może potwierdzić nie-
mal każdy. Nie można jednak zmienić za-
wartości dokumentu lub pliku bez złama-
nia poprawności podpisu. Jeśli podmieni-
my chociaż jeden bit, wówczas weryfika-
cja da wynik negatywny. Ponadto, podpi-
sanie kluczem publicznym da inny efekt
niż podpisanie kluczem tajnym – zatem
42 styczeń 2005
klucz publiczny nie może posłużyć do
sfałszowania podpisu.
Generujemy klucze
Jeśli posiadamy zainstalowane środowi-
sko KDE przynajmniej w wersji 3.2, to
prawdopodobnie KGpg jest już zainstalo-
wane w systemie.
Jeśli posiadaliśmy już wcześniej klu-
cze GnuPG w standardowej ścieżce (ka-
talog .gnupg/ w katalogu domowym), to
KGpg wykryje je i będziemy mogli z nich
normalnie korzystać. Jeśli jednak nie po-
siadamy kluczy, to będziemy je musieli te-
raz wygenerować. Aby wygenerować no-
wą parę kluczy, wybieramy z menu Klu-
cze–>Wygeneruj parę kluczy... lub wci-
skamy kombinację klawiszy [Ctrl]+[N ].
Musimy teraz wypełnić kilka pól w no-
wootwartym oknie. Nazwa to miejsce na
nasze imię i nazwisko lub pseudonim.
W polu E-mail wpisujemy adres poczty
elektronicznej, z którego będziemy korzy-
stać np. przy wysyłaniu zaszyfrowanych
listów. W polu Komentarz możemy (choć
nie musimy) zamieścić własne uwagi na
temat klucza. Następnie określamy datę
ważności klucza, czyli czas, po którym
klucz zostanie unieważniony (uznany za
nieważny). W przypadku gdy generujemy
klucze jakiegoś projektu programistycz-
nego, warto określić rozsądny termin ich
wygaśnięcia, bo może mieć to krytycz-
ne znaczenie dla bezpieczeństwa nie tyl-
ko naszego, ale i innych użytkowników
projektu. Jeśli natomiast ma to być klucz
wykorzystywany wyłącznie do korespon-
dencji prywatnej, to zwykle wybierzemy
tutaj opcję Nigdy – wówczas wygeneruje-
my klucze bezterminowe. Rozmiar klucza
to kolejny parametr decydujący o bezpie-
czeństwie – im większy klucz, tym lepszy.
Autorzy GnuPG twierdzą, że klucz 1024-
bitowy w zupełności wystarcza. Zwykle
to prawda, ale z drugiej strony jedyną nie-
dogodnością większych kluczy jest wy-
dłużony czas szyfrowania – jeśli nie pra-
cujemy na archaicznych maszynach, to
raczej nie zauważymy różnicy. Propo-
nuję wybrać co najmniej klucz 2048-bi-
towy. W polu Algorytm najlepiej pozo-
stawić opcję domyślną, czyli DSA & El-
Gamal. Niektórych użytkowników być
może skusi przycisk Tryb eksperta. Jest
to opcja otwierająca wirtualny terminal
i rozpoczynająca w nim proces genero-
wania kluczy bezpośrednio w GnuPG.
Mamy wówczas do dyspozycji wszyst-
kie opcje tego programu, ale w większo-
ści przypadków nie są nam one potrzeb-
ne. Po wciśnięciu przycisku OK zostanie-
my poproszeni o dwukrotne podanie ha-
sła dla pary kluczy. Ważne jest, aby ha-
sło było ono odpowiednio długie (najle-
piej kilkunastoznakowe) i z pozoru bez-
sensowne (zawierające znaki niealfanu-
meryczne), aby w przypadku wykrad-
nięcia przez kogoś klucza tajnego, unie-
możliwić tzn. atak słownikowy. Po za-
twierdzeniu hasła rozpoczyna się właści-
wy proces generowania kluczy. Im więk-
sze klucze generujemy, tym dłużej będzie
on trwał - w przypadku kluczy 4096-bi-
towych na średniej klasy maszynie nawet
kilkadziesiąt sekund. Dzieje się tak dla-
tego, że generator liczb pseudolosowych
potrzebuje zapełnić swój bufor losowymi
danymi, a im większy klucz generujemy,
tym więcej czasu to zajmuje. Można mu
w tym pomóc poruszając w trakcie gene-
rowania kluczy myszką i/lub wciskając
Rysunek 1. W KGpg możemy wygodnie
zarządzać kluczami szyfrującymi

Rysunek 2. KGpg ma również wbudowany
edytor
losowo na klawiaturze klawisze, które nie
powodują drukowana znaków, tzn. [Tab],
[Caps Lock], [Shift], [Ctrl] i [Alt]. Po wyge-
nerowaniu kluczy dobrze jeszcze zapisać
do pliku tzw. certyfikat unieważnienia.
W przypadku zapomnienia hasła, zagu-
bienia lub złamania klucza publicznego
certyfikat ten może zostać rozpowszech-
niony w celu poinformowania innych,
że ten klucz nie powinien być już więcej
używany. Unieważniony klucz publiczny
nadaje się nadal do potwierdzania pod-
pisów wykonanych w przeszłości, ale nie
będzie nim można podpisać dokumen-
tów w imieniu jego właściciela. Nadal bę-
dzie można odszyfrowywać stare wiado-
mości przy pomocy odpowiadającego mu
klucza prywatnego.
I co dalej?
Klucz możemy modyfikować po jego
wygenerowaniu. Wystarczy w głównym
oknie KGpg kliknąć na wybrany klucz
prawym przyciskiem myszy i odnaleźć
opcję Modyfikuj klucz. Możemy modyfi-
kować datę ważności klucza, hasło oraz
stopień zaufania. Możemy również do-
dać do klucza nasze zdjęcie –wybieramy
opcję Dodaj fotografię, a następnie wska-
zujemy plik ze zdjęciem. W menu kontek-
stowym dostępne są również takie opcje,
jak eksport klucza tajnego do pliku (tak,
abyśmy mogli zrobić jego kopię zapaso-
wą) czy podpisanie cudzego klucza pu-
blicznego (świadczy to o naszym przeko-
naniu, że klucz jest poprawny i należy do
zaufanej osoby).
Teraz możemy w łatwy sposób zarzą-
dzać kluczami, a także szyfrować i pod-
pisywać wiadomości oraz pliki. Najwy-
godniej użyć do tego schowka systemo-
wego. Wystarczy zaznaczyć zaszyfrowany
tekst (wraz z nagłówkami), wcisnąć kom-
binację klawiszy [Ctrl]+[C ] (kopiowanie
do schowka), a następnie prawym przy-
ciskiem myszy kliknąć na ikonce KGpg
(kłódka) w tacce systemowej i z menu
wybrać Odszyfruj zawartość schowka.
Otworzy się edytor KGpg i poprosi nas
o podanie hasła. Jeśli hasło będzie prawi-
dłowe, to wyświetli rozszyfrowaną wia-
domość. Podobnie w przypadku szyfro-
wania – zaznaczamy niezaszyfrowany
tekst, kopiujemy go do schowka i w me-
nu ikonki wybieramy Zaszyfruj zawar-
tość schowka. Wówczas program zapy-
ta nas, którego klucza ma użyć do zaszy-
frowania wiadomości, a następnie wyko-
na zadanie w wewnętrznym edytorze. Za-
miast kopiowania do schowka, możemy
użyć samego zaznaczania tekstu (bez ko-
nieczności wciskania klawiszy [Ctrl]+[C ]).
W tym celu w menu głównego okna pro-
gramu wybieramy: Ustawienia–>Konfi-
guracja: KGpg..., a następnie w zakładce
Różne zaznaczamy opcję Używanie za-
znaczenia myszy zamiast schowka. Po
zrestartowaniu programu będziemy mo-
gli już korzystać z tej funkcji.
KGpg, jako część KDE, jest w pełni
zintegrowany z tym środowiskiem. Klika-
jąc na dowolny plik prawym przyciskiem
myszy, otrzymamy w menu konteksto-
wym opcję: Działania–>Zaszyfruj plik,
wywołującą ten program.
Opcje dostępne w menu konfigu-
racji są raczej intuicyjne i nie powin-
ny sprawić użytkownikowi problemów.
Jedną z ciekawszych funkcji dostępnych
w KGpg jest Niszczarka. W menu progra-
mu wybieramy: Ustawienia–>Konfigura-
cja: KGpg...–>Różne, a następnie klika-
my przycisk Zainstaluj Niszczarkę. Na na-
szym pulpicie pojawi się ikona Niszczar-
ka. Służy ona do skutecznego zamazy-
wania dokumentów, których chcemy się
pozbyć tak, aby nie można ich było od-
tworzyć na podstawie zapisów na dysku.
O przydatności takiej funkcji boleśnie
przekonał się w ostatnich miesiącach nie-
jeden polityk w naszym kraju.
Podsumowanie
KGpg to program, który za pomocą kil-
ku kliknięć myszą udostępnia użytkow-
nikowi silne narzędzie kryptograficzne.
Z pewnością przyda się ono nawet tym,
którzy twierdzą, że nie mają nic do ukry-
cia, tym bardziej, że w świecie Wolnego
Oprogramowania podpisywanie pakie-
tów kluczami PGP to podstawa bezpie-
czeństwa.
http://developer.kde.org/~kgpg/
KDE News
Książka dostępna w sieci
Książka pod tytułem C++
GUI Programming with Qt 3,
autorstwa Jasmina Blanchette'a,
jednego z inżynierów firmy
Trolltech, oraz menedżera
dokumentacji, Marka Summerfielda,
jest obecnie dostępna do ściągnięcia
w postaci pliku PDF na stronie
wydawcy.
http://phptr.com/title/0131240722#
KOffice 1.3.4
Wydano kolejną wersję
poprawkową pakietu biurowego
KOffice z gałęzi 1.3.x. Poprawiono
w niej między innymi błąd filtra
importu dokumentów PDF w
KWordzie oraz przywrócono
możliwość kompilacji w KDE 3.1.5
i Qt 3.1.2.
http://www.koffice.org/
announcements/changelog-1.3.4.php
Wprowadzenie do Hydrogen
Linux Jurnal opublikował
artykuł pod tytułem An Introduction
to Hydrogen. Hydrogen jest
zaawansowanym programem
perkusyjnym napisanym przy
użyciu biblioteki Qt, bardzo
wysoko ocenianym przez
użytkowników.
http://www.linuxjournal.com/
article.php?sid=7846
http://hydrogen.sourceforge.net/
Nuvola 1.0
Znany artysta grafik, David
Vignoni, udostępnił niedawno
wersję 1.0 popularnego zestawu
ikon dla KDE swojego autorstwa
o nazwie Nouva. Przyznać
trzeba, że ikony robią wrażenie
i ucieszą z pewnością każdego
fana biurkowych “upiększaczy”.
W skład zestawu wchodzi ponad
sześciuset (!) ikon Davida.
http://www.kde-look.org/content/
show.php?content=5358
QGO 0.2.2
Powstały niedawno projekt QGO,
klient starożytnej dalekowschodniej
gry Go, napisany w Qt, rozwija
się całkiem prężnie. Ostatnio
udostępniono wersję 0.2.2 tego
programu. QGO pozwala na grę
z żywym przeciwnikiem w Sieci
lub z programem, np. popularnym
silnikiem do gry w Go o nazwie
Gnugo.
http://qgo.sourceforge.net/
Tropical TuxSaver 1.0
Jesteście spragnieni trójwymiarowych
wygaszaczy ekranu? Oto ukazała
się właśnie wersja 1.0 wygaszacza
o nazwie Tropical TuxSaver.
Możemy teraz obserwować na
naszych ekranach życie pingwina
na tropikalnej wyspie lub na górze
lodowej...
http://kde-apps.org/content/
show.php?content=4773
www.lpmagazine.org 43
aktualności
oprogramowanie linuxfresh

Gubed
– debugger skryptów w PHP
Piotr Machej

M ówi się, że język PHP jest bardzo

prosty. Owszem, łatwo nauczyć
się podstaw, a wiele rzeczy można
Instalacja może sprawić nieco pro-
blemu. Tym bardziej, że ze względów
bezpieczeństwa lepiej nie dawać do-
to nasz klient, z którego będziemy ko-
rzystać.
Teraz pora na umieszczenie kil-
w nim zrobić na wiele sposobów. Pod- stępu do Gubed nieupoważnionym ku plików w głównym katalogu na-
czas programowania może przytrafić osobom. Jeśli do naszego kompute- szego serwera WWW. W tym celu po-
się nam błąd. Szczególnie, gdy pracu- ra mają dostęp inni użytkownicy (za- trzebujemy uprawnień administratora.
jemy nad jakimś większym projektem. równo zdalny, jak i lokalny), koniecz- Znajdując się w katalogu Gubed0.1.2/,
W takim przypadku z pomocą przy- nie powinniśmy przeczytać sekcję wydajemy polecenie cp -r Gubed/
chodzą debuggery. Jednym z nich, Security zawartą w pliku serverse- /var/www/html/ (zależnie od konfigura-
przeznaczonym do analizowania pro- tup.txt. Jeśli jednak nie boimy się za- cji naszego serwera WWW, katalog do-
gramów napisanych w PHP, jest Gu- grożeń lub potrafimy sobie z nimi po- celowy może być inny).
bed. radzić, to możemy zabrać się za in- Możemy już uruchomić nasze-
Do czego może przydać się debug- stalację. Ze strony domowej pobiera- go klienta poleceniem ./gbdwxGubed.
ger? Na pewno nie do szukania braku- my plik Gubed0.1.2.tar.gz, a następ- Oprócz tego, należy uruchomić prze-
jącego nawiasu – do tego w zupełno- nie rozpakowujemy go. W utworzo- glądarkę internetową i wejść do
ści powinien wystarczyć dobry edy- nym katalogu najpierw zainteresu- katalogu, w którym umieściliśmy skry-
tor z kolorowaniem składni. Jeśli nasz je nas podkatalog Clients/wxGubed/. pty Gubed (np. http://localhost/Gubed/ ).
program działa nie do końca tak, Wchodzimy do niego i wydajemy pole- W ten właśnie sposób będziemy pra-
jak powinien, zapętlając się w nieskoń- cenia: ./autogen.sh, ./configure, make. cować – z pomocą przeglądarki bę-
czoność lub, przeciwnie, nie wyko- Jeśli wszystko przebiegnie bez pro- dziemy podawać, jakie skrypty mają
nując jakiejś pętli ani razu, to wtedy blemów (w przypadku Auroksa wy- być testowane (i będziemy obserwować
właśnie pora na debuggera. Z jego magany jest pakiet wxGTK-devel ), to wyniki działania), a z pomocą klien-
pomocą możemy prześledzić program w podkatalogu src/ powinniśmy zna- ta będziemy śledzić działanie progra-
krok po kroku, obserwując zmienia- leźć plik o nazwie gbdwxGubed. Jest mu.
jące się wartości zmiennych, i może
w końcu dostrzeżemy, że znów zamiast
= = w warunku wstawiliśmy =. Oczy-
wiście, błąd może być zupełnie inny,
i niekoniecznie tak trywialny. Zawsze
jednak mamy większe szanse na zna-
lezienie go obserwując kod podczas
działania.
W przypadku debuggera Gubed
z pewnością ucieszy nas wiadomość,
że nie są wymagane żadne przerób-
ki w oprogramowaniu serwera, ani
tym bardziej w sprawdzanym ko-
dzie. Co więcej, możemy uruchamiać
Gubed na innym komputerze niż te-
stowany skrypt. Przykładowo, skrypt
może być uruchamiany na serwe-
rze linuksowym, a sam Gubed może
działać na naszym domowym kompu-
terze z Windows (Gubed działa zarów-
no w środowisku Linuksa, jak i Win-
Rysunek 1. Gubed pozwala zapoznać się dokładnie z działaniem skryptu
dows).

44 styczeń 2005

Rysunek 2. Gubed może zostać zintegrowany z programem Quanta
Przy pierwszym korzystaniu z Gubed
warto uruchomić testy. Pozwoli to na za-
poznanie się z możliwościami progra-
mu. W tym celu na wyświetlonej stronie
należy wybrać odnośnik znajdujący się
w sekcji Gubed tests. Jeśli później zdecy-
dujemy się testować własne skrypty, to
skorzystamy z odnośnika specify script to
debug (albo od razu wejdziemy na stronę
http://localhost/Gubed/StartSession.php).
Mamy do dyspozycji cztery grupy
testów. O każdym z nich możemy
najpierw poczytać. Drugi odnośnik
pozwala na uruchomienie skryptu bez
udziału debuggera – dzięki temu mo-
żemy zaobserwować jego działanie
i wynik. Trzeci odnośnik to wykonanie
skryptu pod kontrolą Gubed. Po jego wy-
wołaniu należy przełączyć się na klienta.
Musimy bowiem zdecydować, czy chce-
my obserwować wykonanie krok po kro-
ku (przyciski Step), czy też wolimy po-
zwolić skryptowi się wykonywać – przy-
cisk Run. W tym drugim przypadku za-
wsze możemy wcisnąć przycisk Pause.
Warto przeczytać wszystkie wprowadze-
nia do testów. Pouczają one między in-
nymi o ustawieniach dotyczących reago-
wania na pojawiające się błędy. Wykonu-
jąc po kolei testy, nauczymy się korzystać
z punktów kontrolnych (breakpoint), ob-
serwować wywołania funkcji (tu przy-
dadzą się przyciski Step Over, Step Into
i Step Out), konfigurować Gubed tak, aby
zwracał uwagę na konkretne błędy oraz
będziemy mieli okazję śledzić wartości
zmiennych i ustawiać warunkowe punk-
ty kontrolne.
Analizowanie własnego skryptu
przebiega bardzo podobnie do tego,
co robiliśmy w czasie testów. Skrypt
należy umieścić gdzieś pod głównym
drzewem katalogu serwera WWW
(a więc w naszym przykładzie w pod-
katalogu katalogu /var/www/html/ ).
Następnie ścieżkę do niego podaje-
my na stronie http://localhost/Gubed/
StartSession.php, po czym wciskamy
przycisk Debug i przechodzimy do
okna klienta Gubed. Tutaj możemy do
woli analizować go krok po kroku, lub
też ustawić punkty kontrolne w wątpli-
wych miejscach i pozwolić mu się wy-
konywać.
W najnowszej wersji wprowadzono
funkcje Step over (wykonuje funkcję,
lecz nie śledzi jej wykonania), Step out
(śledzi wykonanie funkcji krok po kro-
ku) oraz Backtrace. Oprócz tego, po-
prawiono otwieranie skryptów z klien-
ta oraz dodano listę historii do Start-
Session.
http://freshmeat.net/projects/gubed
Rysunek 3. Gubed analizujący skrypt PHP
FRESH News
PostgreSQL AutoDoc 1.24
Program ten pozwala na zapisywanie
do pliku XML informacji o bazie
PostgreSQL, które później mogą
być wykorzystane do stworzenia
diagramu UML. Diagram taki (wraz
z relacjami pomiędzy tabelami
i informacjami opisowymi) można
utworzyć wczytując plik XML do
programu Dia. Oprócz plików XML,
możemy zapisywać informacje
o bazie w formatach HTML,
GraphViz .dot, a także SGML
(Docbook 4.1). Program
współpracuje z każdą bazą opartą
na PostgreSQL 7.x. W najnowszej
wersji wprowadzono poprawki kilku
błędów.
http://freshmeat.net/projects/
postgresql_autodoc/
MPFC 1.3.3
MPFC to działający w trybie
tekstowym (w oparciu o bibliotekę
Curses) odtwarzacz muzyki. Dzięki
wykorzystaniu listy odtwarzania
jest wygodniejszy w użyciu od
programów typu mpg321. Program
obsługuje wiele różnych formatów
plików (wykorzystuje w tym celu
wtyczki). W nowej wersji znacznie
poprawiono system konfiguracji
i wprowadzono dowiązania klawiszy.
http://freshmeat.net/projects/mpfc/
Exobius 0 0.3
Grając w rozbudowane gry
z trójwymiarową grafiką,
czasem zapominamy o prostych
strzelaninach, od których wszystko
się zaczęło. Próbą stworzenia takiej
dwuwymiarowej gry jest właśnie
Exobius 0. Gra zawiera obecnie 13
poziomów, wypełnionych broniami
i przeciwnikami. Pomimo wczesnej
fazy rozwoju, gra jest już w pełni
funkcjonalna – można przechodzić
ją od początku do końca.
Największym mankamentem jest
niedokończona grafika, która jednak
ma zostać poprawiona w następnych
wydaniach. Warto zainteresować się
tym tytułem, a może nawet wesprzeć
autora w jego wysiłkach.
http://freshmeat.net/projects/
exobius0/
Thunder&Lightning 041013
Thunder&Lightning to futurystyczny
symulator lotu. Pozwala nam zasiąść
za sterami myśliwca i toczyć walki
zarówno z innymi samolotami, jak
i z czołgami. Ładna, trójwymiarowa
grafika z pewnością ułatwi wczucie
się w grę. Program jest wciąż w fazie
rozbudowy – dopiero niedawno
został udostępniony publiczności.
Najnowsza wersja działa również
pod Windows. Obecnie można
latać jednym z dwóch dostępnych
samolotów (tytułowe Thunder
i Lightning), lecz w przyszłości
autor zamierza udostępnić więcej
typów maszyn.
http://freshmeat.net/projects/tnl/
www.lpmagazine.org 45
aktualności
oprogramowanie linuxfresh

Cssed
– edytor arkuszy stylów CSS
Piotr Machej

C oraz więcej twórców stron WWW

wykorzystuje w swej pracy kaskado-
we arkusze stylów (CSS – Cascading Sty-
le Sheets). Jest to godne pochwały, gdyż
dzięki temu nie tylko oszczędzają sobie
mnóstwo pracy, ale równocześnie idą
z duchem czasu. A jeśli tylko wykażą
trochę wysiłku, to mogą stworzyć stro-
nę, którą nie tylko da się wygodnie oglą-
dać w dowolnej przeglądarce, ale również
będzie dostępna dla niepełnosprawnych
(czy to korzystających z linijek brajlow-
skich czy z syntezatorów mowy).
Cssed to program ułatwiający tworze-
nie arkuszy stylów. Co prawda, obecnie
potrafi podświetlać również składnie in-
nych plików, ale nadal pozostaje edyto-
rem plików CSS. Wśród jego zalet war-
to wymienić podświetlanie i autouzupeł-
nianie. Program wyposażony jest również
w wiele kreatorów pomagających przy
tworzeniu najczęściej wykorzystywanych Rysunek 1. Nic dziwnego, że arkusz stylów użyty na stronie domowej Cssed nie zawiera
błędów
stylów (np. układu marginesów czy ro-
dzaju fontów). Oczywiście, Cssed jest
w stanie sprawdzić poprawność wpisane- my korzystać z autouzupełniania, mu- nie tylko we wprowadzaniu nazw atrybu-
go kodu. Nie można mu również odmó- simy zaznaczyć opcję Document–>Ena- tów, ale również ich wartości. Sugeruje
wić wygody użytkowania – interfejs jest ble autocompletion (ma to tylko sens bowiem zarówno możliwe wartości, jak
przejrzysty i łatwy w obsłudze. w przypadku CSS). Przydatna może i pozwala skorzystać z kreatora (np. z pa-
Program możemy zainstalować za- się też okazać opcja Document–>Ena- lety barw w przypadku kolorów czcionek
równo z pakietów (dostępne są pakiety ble folding – szczególnie, gdy pracuje- lub obramowań). Kreator możemy rów-
RPM i DEB), jak również ze źródeł. Naj- my z dłuższym plikiem. Pozwala ona nież uruchomić ręcznie, wybierając od-
wygodniejsza oczywiście jest ta pierwsza bowiem zwijać zawartość poszczegól- powiednią ikonę z paska znajdującego
możliwość. Po zainstalowaniu możemy nych klas tak, że widoczny jest tylko na- się tuż nad dokumentem lub z menu CSS.
uruchomić program poleceniem cssed. główek. Warto przy tym zauważyć, że Ostatnia możliwość wstawienia do doku-
Po uruchomieniu, gdy zaczyna- opcje ustawiane w menu Document są mentu atrybutu wraz z wartością to sko-
my pracę z nowym dokumentem, war- charakterystyczne dla każdego doku- rzystanie z drzewka atrybutów znajdują-
to od razu ustawić odpowiednią czcion- mentu z osobna – możemy w każdym cego się po prawej stronie dokumentu,
kę. Dokonujemy tego wybierając z me- z nich korzystać z innej czcionki i edyto- w zakładce CSS.
nu Document pozycję Change font. War- wać inny typ pliku. Podczas edycji może przydać się nam
to też wybrać typ pliku, z jakim będzie- Wartości do naszego pliku stylów mo- pewna wygodna funkcja. Wystarczy za-
my pracować. W tym celu wskazujemy żemy wprowadzać na kilka sposobów. znaczyć grupę atrybutów, które chcemy
Document–>Highlighting –>CSS. Oczy- Najbardziej podstawowy to wpisywa- modyfikować, a następnie wybrać opcję
wiście, jeśli mamy zamiar tworzyć in- nie wszystkich wartości ręcznie. Do te- Tools–>Scan selector. Wybrane atrybu-
ny dokument (np. stronę WWW ), to za- go jednak nie potrzebowalibyśmy Cssed. ty znajdą się w prawym górnym oknie,
miast CSS wybieramy HTML/PHP lub Jak już wiemy, możemy sobie pomóc au- gdzie w wygodny sposób będziemy mo-
inną odpowiednią wartość. Jeśli chce- touzupełnianiem. Co ważne, pomaga ono gli zmodyfikować ich wartości.

46 styczeń 2005

Inną przydatną funkcją są znaczniki.
Podczas edycji dużych plików są one po
prostu nieocenione. Jeśli podczas edycji
często skaczemy pomiędzy konkretny-
mi liniami poprawiając wartości, to wy-
starczy kliknąć na marginesie po lewej
stronie każdej z tych linii. Powinny po-
jawić się tam białe znaczniki. Teraz mo-
żemy poruszać się pomiędzy nimi ko-
rzystając ze strzałek Previous Bookmark
i Next Bookmark, widocznych na pasku
narzędzi.
W dolnej części ekranu mamy dwie
zakładki – Program output i Scratch Pad
/ Static Pad. Pierwsza z nich zawiera wy-
niki zwracane przez program, np. komu-
nikaty o błędach. Szczególnie przydatna
jest podczas testowania poprawności ko-
du, czego dokonujemy wybierając z menu
pozycję Tools–> Validate only. Warto przy
tym mieć włączone numerowanie linii
(Document–>View line numbers), gdyż
dzięki temu łatwiej zlokalizować błąd
w większym pliku. Druga zakładka za-
wiera dwa okna, które możemy wyko-
rzystać na notatki. Mogą się one również
przydać jako schowek – zaznaczony tekst
można tu przeciągnąć z dokumentu, a na-
stępnie wkleić go do innego dokumentu
(przeciągając go ponownie).
Jeśli Cssed spodoba się nam, warto
zmienić jego domyślne ustawienia. Każ-
dorazowe ustawianie opcji w menu Do-
cument może być męczące. Zamiast te-
go wybieramy Edit–>Preferences. Tutaj,
w zakładce Document settings, możemy
Rysunek 2. Oprócz Cssed, autor oferuje również kilka innych narzędzi pomocnych przy
edycji arkuszy stylów
ustawić domyślne wartości dla każdego
dokumentu. Warto zaznaczyć opcje View
line numbers i Enable autocompletion.
W zakładce Font ustawiamy odpowiada-
jącą nam czcionkę i zatwierdzamy ją przy-
ciskiem Apply. Pozostaje jeszcze zakładka
Highlighting. Tutaj możemy dokładnie
określić, jakie kolory powinny być uży-
te do podświetlania w konkretnych przy-
padkach.
Trzeba przyznać, że Cssed zapowia-
da się interesująco. Już w tej chwili jest
przyjemnym edytorem CSS, a autor sta-
ra się jeszcze bardziej rozbudować je-
go możliwości. Wśród najbardziej intere-
sujących planów można wymienić moż-
liwość przeglądania strony WWW z na-
łożonym stylem w zewnętrznej przeglą-
darce oraz (uwaga!) możliwość tworze-
nia arkusza stylu na podstawie dokumen-
tu HTML. Chodzi tu o przetworzenie sta-
rych znaczników HTML (np. <font>) na
ich odpowiedniki w kaskadowych arku-
szach stylów.
W najnowszej wersji programu znacz-
nie ulepszono wsparcie dla różnych ko-
dowań znaków. Dodano też schematy
podświetleń dla innych języków, takich
jak HTML, PHP, skrypty powłoki, Python
i inne. Stworzono interfejs rozbudowywa-
ny wtyczkami i od razu udostępniono kil-
ka wtyczek: panel przeglądania plików,
okno terminala VTE, a także panel wy-
szukiwania tekstu w plikach.
http://freshmeat.net/projects/cssed/
FRESH News
CbrPager 0.9.4
CbrPager to jeden z programów
pozwalających przeglądać archiwa CBR,
w których coraz częściej rozprowadzane
są w sieci komiksy i mangi. Co prawda
nie jest to program na miarę CDisplay,
znanego z Windows, ale autor wciąż
dodaje nowe funkcje. Program pozwala
przeglądać pliki JPG, GIF i PNG. Oprócz
podstawowych funkcji powiększania
i zmniejszania widoku, posiada kilka
ciekawych opcji konfiguracyjnych
(np. możemy określić, czy przy przejściu
do kolejnej strony ma być wyświetlona
jej górna lub dolna część, czy też raczej
ta, którą właśnie wyświetlaliśmy).
Najnowsza wersja programu pozwala
także określić, czy panel nawigacyjny
ma być wyświetlany poziomo czy
pionowo.
http://freshmeat.net/projects/cbrpager/
Player vs. Player Gaming
Network 1.6.6
PvPGN to darmowe oprogramowanie
emulujące serwer Battle.net. Dzięki
niemu można w sieci lokalnej
uruchomić serwer i pograć w takie
gry, jak Diablo II czy Starcraft.
Dostępne są statystyki gier, możliwość
organizowania turniejów, jak również
drabinki punktowe. W najnowszej
wersji poprawiono szereg wykrytych
błędów oraz dodano kilka nowych
opcji, np. opcję pozwalającą ograniczyć
dostęp do wybranych klientów.
http://freshmeat.net/projects/pvpgn/
HTML Forms generation and
validation 2004.10.13
Twórcy stron WWW piszący
w PHP wcześniej lub później stają
przed problemem stworzenia
formularzy wraz z ich obsługą.
Opisywana klasa PHP pozwala na
generowanie takich formularzy wraz
z odpowiednią obsługą z klawiatury
oraz sprawdzaniem poprawności
danych (zarówno po stronie serwera,
jak i klienta). Jej funkcjonalność
może być rozszerzana poprzez
dodawanie klas-wtyczek. Wygląd
wynikowych formularzy może być
definiowany szablonami z użyciem
PHP, zagnieżdżonego w HTML-u lub
też silnika Smarty. Najnowsza wersja
niesie ze sobą kilka poprawek, m.in.
poprawiono działanie klasy przy
wyłączonej opcji register_globals.
http://freshmeat.net/projects/htmlformsg
enerationandvalidation/
Getmail 4.2.2
Pojawiła się nowa wersja programu
Getmail, który w zamierzeniu autora
ma być prostą i bezpieczną alternatywą
dla popularnego programu Fetchmail.
Zmiany dotyczą poprawionej obsługi
uszkodzonych plików oldmail,
jak również zmiany prawdziwego
i efektywnego identyfikatora
użytkownika i grupy potomnego
procesu odpowiedzialnego za
dostarczanie poczty.
http://freshmeat.net/projects/getmail/
www.lpmagazine.org 47
aktualności
oprogramowanie linuxfresh
Vuurmuur
– konfigurator zapór
sieciowych
Piotr Machej
K ażdy, kto kiedyś tworzył zapo-
rę ogniową z wykorzystaniem
iptables lub ipchains, z pewnością zdaje
sobie sprawę, że w pewnym momencie
liczba regułek zaczyna przytłaczać. Z te-
go powodu wielu użytkowników wciąż
szuka metod łatwiejszego tworzenia re-
guł i zarządzania zaporą sieciową. Jed-
nym z ciekawszych pomysłów jest pro-
gram Vuurmuur. W założeniu program
ten ma przetwarzać regułki zrozumia-
łe dla człowieka (np. Zablokuj połącze-
nia FTP z komputera Janka do serwera
w Internecie) na reguły zrozumiałe dla
komputera. I trzeba przyznać, że radzi
sobie z tym całkiem dobrze. Co więcej,
pozwala również na przeglądanie logów
w bardziej zrozumiałej formie. Począt-
kowa konfiguracja wymaga trochę wy-
siłku, ale i tak jest znacznie prostsza niż
przekopywanie się przez dokumentację
IPtables. Z pewnością warto się z nim
bliżej zapoznać.
Rysunek 1. Z pomocą Vuurmuur możemy również przeglądać aktywne połączenia
48 styczeń 2005
Po pobraniu archiwum ze strony
domowej programu powinniśmy je roz-
pakować. Należy uważać, gdyż nie jest
tworzony dodatkowy katalog – pliki
znajdą się w bieżącym katalogu. Na-
stępnie uzyskujemy uprawnienia admi-
nistratora (poleceniem su - lub logując
się na konto użytkownika root) i prze-
chodzimy do katalogu, w którym roz-
pakowaliśmy archiwum. Nie wystarczy
tu polecenie su (bez myślnika), gdyż
w takim przypadku najczęściej nie ma-
my dostępu do polecenia iptables bez
podawania pełnej ścieżki – a taki do-
stęp jest nam potrzebny podczas insta-
lacji. W najnowszej wersji mamy do dys-
pozycji skrypt instalacyjny, który wyko-
na za nas większość czynności. Uru-
chamiamy go poleceniem ./install.sh,
a następnie odpowiadamy na kilka py-
tań o nazwy katalogów. W większości
przypadków możemy zatwierdzić do-
myślne ustawienia (wystarczy wcisnąć
klawisz [Enter ]). Teraz musimy chwilę
poczekać, aż program skompiluje się
i zainstaluje.
W celu dokończenia konfiguracji
należy uruchomić program vuurmuur
_conf. Najlepiej zacząć od ustawień
ogólnych: Vuurmuur Config –>Gene-
ral. Możemy tu się upewnić, że ścieżki
do programów ifconfig i iptables są pra-
widłowe, a także sprawdzić pozostałe
ścieżki. Do wcześniejszego menu wy-
chodzimy wciskając klawisz [F10 ]. Po-
dobnie warto sprawdzić i ewentualnie
poprawić wartości w pozostałych sek-
cjach konfiguracyjnych (z naciskiem na
Logging).
Teraz pora dodać interfejsy. Wycho-
dzimy do głównego menu i wybieramy
Interfaces. Klawiszem [Insert ] możemy
dodać nową pozycję. Wpisujemy na-
zwę naszego interfejsu. Jest to nazwa,
jaka będzie wykorzystywana tylko
w programie Vuurmuur – najlepiej, je-
śli będzie czytelna i krótka (np. inet dla
interfejsu łączącego nas z Internetem
lub dom dla sieci domowej). W kolej-
nym oknie możemy wpisać jego adres
IP (jeśli zaznaczymy pole Dynamic, to
program spróbuje odczytać adres z sys-
temu) oraz nazwę urządzenia (Device).
Możemy też dopisać komentarz.
W analogiczny sposób możemy do-
dać strefy (Zones). Domyślnie mamy
zdefiniowane cztery – dmz (strefa zde-
militaryzowana), ext (zewnętrzna – In-
ternet), lan (sieci lokalne) i vpn (wir-
tualne sieci lokalne). Wejdźmy na po-
czątek do strefy ext. Zobaczymy spis
sieci (Networks), składających się na
tą strefę. Domyślnie jest tu tylko sieć
internet, ale możemy dodawać inne.
Wskażmy sieć internet i wciśnijmy
klawisz [E ]. Okazuje się, że nie ma
przypisanego interfejsu. Jeśli dodaliśmy
już wcześniej interfejs łączący nas
z Internetem, to teraz możemy go

Rysunek 2. Na domowej stronie projektu można przeczytać dokładny opis systemu stref,
sieci, grup i usług
tu przypisać. W tym celu wciskamy
klawisz [F6 ], następnie [Insert ] i wska-
zujemy nasz interfejs. W miarę potrzeb
możemy też ustawić inne opcje doty-
czące sieci, po czym ustawiamy war-
tość opcji Active na Yes.
Gdy dodamy inne sieci do pozosta-
łych stref (np. naszą sieć osiedlową),
należy do nich dodać konkretne adresy
komputerów (Hosts). Komputery może-
my także łączyć w grupy (Groups), np.
w celu określenia wspólnych reguł dla
wszystkich serwerów pocztowych lub
dla nielubianych kolegów. Wszystkie te
czynności mają na celu dokładne opi-
sanie naszej sieci, dzięki czemu później
będziemy mogli łatwo tworzyć odpo-
wiednie regułki. Ta wstępna konfigu-
racja jest dokładniej opisana na stro-
nie domowej programu, w sekcji User
Manual.
Następnie możemy przejść do do-
dawania regułek (Rules w głównym
menu). I tutaj właśnie mamy najprzy-
jemniejszą część zadania. Po wciśnię-
ciu [Insert ], w większości pól możemy
użyć klawisza spacji w celu wyświetle-
nia możliwych wartości. Tak więc, je-
śli chcemy zablokować koledze połą-
czenie HTTP z naszym serwerem, to
ustawiamy kolejno: (w polu Action) Re-
ject (Service) http (From) komputerkole-
gi (To) firewall. W nawiasach są umiesz-
czone nazwy pól, w których należy
umieszczać następujące po nich war-
tości. Jeszcze w polu Reject type usta-
wiamy odpowiedni typ odmowy (np.
icmp-port-unreachable) i już możemy
wyjść do spisu reguł klawiszem [F10 ].
Przy okazji warto zauważyć, że użyli-
śmy tu oznaczenia komputera firewall.
Jest to specyficzne oznaczenie, gdyż
określa komputer, na którym zainsta-
lowana jest zapora. Wszystkie regułki
z jego udziałem dotyczą połączeń przy-
chodzących i wychodzących, podczas
gdy pozostałe dotyczą połączeń prze-
syłanych (forwarded ).
Gdy już wszystko mamy skonfigu-
rowane, możemy uruchomić właści-
wy program na kilka różnych sposo-
bów. Do wyboru mamy uczynienie
z niego demona (jest to zalecana opcja),
jednorazowe uruchomienie w celu za-
ładowania reguł oraz wygenerowa-
nie skryptu powłoki tworzącego reguł-
ki. Odpowiednie opcje można znaleźć
po uruchomieniu polecenia /usr/bin/
vuurmuur -h. W katalogu /usr/share/
vuurmuur/scripts/ można znaleźć przy-
kładowe skrypty startowe oraz odpo-
wiadające za rotację logów.
W najnowszej wersji dodano wy-
godny skrypt instalacyjny, funkcję po-
mocy w interfejsie graficznym, wspar-
cie dla wirtualnych interfejsów, komen-
tarze dla regułek oraz różne ulepsze-
nia interfejsu GUI. Oprócz tego, reguł-
ki z włączonym logowaniem mogą mieć
ustawione ograniczenia, co powinno
utrudnić część ataków typu odmowa
usługi (DoS – Denial of Service).
http://freshmeat.net/projects/vuurmuur/
FRESH News
FreeRails 0.2.5
Miłośnicy klasycznej już gry Railroad
Tycoon z pewnością ucieszą się,
że pojawiła się kolejna wersja gry
FreeRails. Ta darmowa gra została
zainspirowana dziełem niezrównanego
Sida Meiera. Chociaż gra jest w fazie
Alpha, z każdą wersją pojawia się
w niej więcej funkcji. Tym razem
m.in. dodano opcję automatycznego
rozkładu jazdy, który może wybrać
odpowiednie wagony zależnie od
rodzaju ładunku oczekującego na stacji
początkowej i zapotrzebowania na
stacji docelowej.
http://freshmeat.net/projects/freerails/
GTorrentViewer 0.2a
Ten program pozwala na sprawdzenie
i zmodyfikowanie plików .torrent
bez konieczności rozpoczynania
pobierania. Możliwe jest sprawdzenie
plików (ile zostało do pobrania,
na ile części są podzielone), jak
również pobranie informacji
z trackera. Można też sprawdzić
liczbę osób udostępniających pliki
i je pobierających. W ostatnich
wersjach wprowadzono obsługę
drag&drop, jak również usunięto
zależności od bibliotek libglade i libssl.
Poprawiono także szereg błędów.
http://freshmeat.net/projects/
gtorrentviewer/
Childsplay 0.72
Childsplay to zestaw gier dla dzieci,
zgodny z dewizą: bawiąc – uczy,
ucząc – bawi. Program posiada
wbudowane dwie gry (Memory
i wprowadzanie liter) – pozostałe gry
dostępne są w osobnym pakiecie.
Dostępne gry są przeznaczone dla
młodszych dzieci, które mogą tu
poćwiczyć rozpoznawanie liter,
podstawowe działania arytmetyczne,
a także rozpoznawanie obrazków
i dźwięków. W najnowszej wersji
poprawiono szereg błędów i dodano
nową grę do zestawu. Niektóre gry
wykorzystują obecnie zlokalizowane
pliki dźwiękowe.
http://freshmeat.net/projects/childsplay/
Aviascene 2
Czy przed wybraniem się w dalszą
wyprawę nie chcielibyśmy mieć
możliwości zapoznania się z rzeźbą
terenu? Program Aviascene nam
to umożliwia, ale na razie tylko
dla niektórych rejonów Stanów
Zjednoczonych. Dane o topografii
terenu są wykorzystywane do
zrenderowania obrazu. Następnie
możemy udać się w wycieczkę
pojazdem kołowym lub nawet
samolotem. Możemy nawet
wykorzystać współrzędne GPS do
ustalania punktów kontrolnych. Jeśli
nie zamierzamy wybierać się na
wyprawę, zawsze możemy polatać
sobie samolotem nad rzeczywistymi
terenami.
http://freshmeat.net/projects/aviascene/
www.lpmagazine.org 49
aktualności
oprogramowanie gry
Simutrans
– gra ekonomiczna
Marek Bettman
W 1994 roku wydano Transport Tyco-
on Deluxe – świetną strategię eko-
nomiczną, o niebywałej grywalności. Po-
mimo dziesięciu lat istnienia wciąż ma licz-
ne grono zwolenników i są przygotowy-
wane kolejne wersje poprawek (Drexler
Patch). TTD ma swoje minusy – tylko jed-
na wielkość mapy oraz ograniczenia co do
liczby pojazdów w grze. Niektórzy narze-
kają również na zbyt małą liczbę przedsię-
biorstw dostępnych w grze. Grą, która nie-
wątpliwie zaspokoi nawet dość wygóro-
wane wymagania najzagorzalszych fanów
TTD, jest z pewnością Simutrans. W po-
równaniu do pierwowzoru, posiada wie-
le rozszerzeń, które w znaczący sposób
uatrakcyjniają rozgrywkę. Dostępne są
wersje dla Linuksa, Windows oraz BeOS.
W tym miejscu muszę zaznaczyć, że
najnowszą wersją gry jest 0.84.16.2. Jak
sam autor przyznaje, jest to jeszcze wer-
sja beta, więc nie należy dziwić się poten-
cjalnym błędom oraz niezgodnością dzia-
łania aplikacji z dokumentacją.
Simutrans to gra ekonomiczna, a jej
celem jest zbudowanie jak najwydajniej-
szej infrastruktury transportowej dla to-
warów i ludzi. Do dyspozycji mamy środ-
ki transportu lądowego (pociągi i samo-
chody) oraz wodnego (promy, tankowce,
barki), ale niestety nie została jeszcze do-
dana możliwość korzystania z transpor-
tu powietrznego (autorzy przewidują ją w
przyszłych wersjach).
Instalacja i uruchamianie
Aby zainstalować Simutrans, musimy ścią-
gnąć ze strony www.simutrans.de dwa
pakiety: simubase-0_84_16_2.zip ( ok 1,6
MB) oraz simulinux-0_84_16_2.tar.gz
(ok 460 KB). Następnie rozpakowujemy
pierwszy pakiet poleceniem unzip simu-
base-0_84_16_2.zip. W następnej kolejno-
ści rozpakowujemy drugie archiwum: tar
-zxvf simulinux-0_84_16_2.tar.gz. Jeżeli
obie czynności wykonaliśmy w tym sa-
mym katalogu, to otrzymaliśmy katalog
simutrans, zawierający wszystkie pliki
50 styczeń 2005
potrzebne do uruchomienia gry. Gdy roz-
pakowywaliśmy pakiety w różnych kata-
logach, musimy przenieść plik simutrans,
który znajduje się w katalogu o tej sa-
mej nazwie, powstałym po rozpakowa-
niu drugiego pakietu, do katalogu simu-
trans z plikami gry. Po takich przygoto-
waniach możemy uruchomić grę polece-
niem ~/simutrans/simutrans, ale warto
wiedzieć o paru przełącznikach:
• -screensize 1024x768 – podajemy roz-
dzielczość, w której zostanie urucho-
miona gra;
• -freeplay – bez tego parametru, jeśli
stan naszej gotówki zejdzie poniżej
zera, otrzymamy trzy miesiące (czasu
gry) na zlikwidowanie debetu, a po
tym czasie, jeżeli nam się nie uda, na-
stąpi koniec gry;
• -refresh x – zmniejsza ilość po-
kazywanych klatek animacji,
przez co gra lepiej działa (np. -re-
fresh 2 będzie pokazywał co drugą
klatkę, co powinno przyspieszyć grę
o ok. 20%);
• -log – wszystkie komunikaty z dzia-
łania gry będą zapisywane w logu
– opcja przydatna, jeśli chcemy po-
móc deweloperom i w razie błędu
móc przesłać pełny raport.
Kompletną listę przełączników oraz kilka
dodatkowych informacji możemy znaleźć
w pliku readme.txt, w katalogu z grą.
Interfejs
Po uruchomieniu gry pojawią się dwa
okna: wybór języka oraz menu nowej
gry. Trzeba zaznaczyć, że gra ma możli-
wość wyświetlania (prawie wszystkich)
elementów tekstowych po polsku, oprócz
mini-mapy, na której, zamiast polskich li-
terek, w większości przypadków widzimy
krzaczki. Ponadto, nawet po ustawieniu
języka na Polski, niektóre napisy są po
angielsku, ale nie przeszkadza to w więk-
szym stopniu w grze.
W menu nowej gry możemy ustalić
wielkość mapy, ilość miast, gęstość obiek-
tów przemysłowych (im większa, tym
więcej znajdzie się ich na mapie), natęże-
nie ruchu drogowego, topografię terenu
oraz podstawowe opcje graficzne, takie
jak widoczność pieszych i używanie/
nieużywanie trybu dzień-noc. Należy pa-
miętać, że ustawienie wysokich wartości
zmiennych może zwolnić działanie gry na
słabych maszynach. Jeżeli jesteśmy zado-
woleni z ustawień, możemy kliknąć przy-
cisk Nowa gra i rozpocząć budowę nasze-
go własnego imperium transportowego.
Okno gry jest podzielone na trzy części:
• pasek narzędzi – znajduje się na gó-
rze ekranu i zawiera ikony grup dzia-
łań dostępnych w grze, np. kliknięcie
ikony Buduj kolej daje nam dostęp do
menu budowania różnych rodzajów
torów, stacji, lokomotywowni oraz sy-
gnalizacji;
• główne okno gry – tutaj faktycznie to-
czy się gra;
• pasek statusu – zawiera aktualną datę
i czas (w grze), pokazuje aktualne
współrzędne kursora na mapie, ilość
posiadanych przez nas pieniędzy oraz
szybkość gry (T=1.0 oznacza, że toczy
się ona standardowym rytmem, ale mo-
żemy zwiększać i zmniejszać szybkość
gry klawiszami [,] i [.]); czasami nad
tym paskiem pojawiają się komunikaty
z gry, np. o tym, że pociąg, który skiero-
waliśmy do zajezdni, już tam czeka.
Simutrans w pełnej okazałości

Przydatne skróty
klawiaturowe:
• [Shift]+[“] – włącza/wyłącza
przezroczystość obiektów;
• [Shift]+[3 ] – włącza/wyłącza siatkę
na mapie;
• [,] i [.] – zmiana szybkości gry;
• [Shift]+[g] – okno z wartościami
premii za szybki przewóz danego
towaru;
• [PgUp], [PgDown] – przybliżanie
i oddalanie widoku;
• aby wyświetlić okno ze wszystkim
skrótami klawiaturowymi, należy
nacisnąć [Control] lub [Shift]
+ dowolna – jeszcze nie
przypisana – litera, np. [Control]+[q].
Gra
Naszym celem jest zarabianie na transpor-
cie towarów i ludzi. Obowiązuje tu prosta
zasada: im szybciej towar zostanie przewie-
ziony, tym więcej na tym zarobimy, ale pre-
mie za szybką dostawę bywają różne i cza-
sami spokojnie można zakupić tańszą i wol-
niejszą lokomotywę do obsługi danej linii,
nie martwiąc się o straty (wysokości premii
za szybkość dostawy są dostępne po na-
ciśnięciu [Shift]+[g]). Dobrze jest pamiętać
o tym, że towar ma swoje miejsce przezna-
czenia i jeśli będziemy próbowali go prze-
wieźć do fabryki, która go nie przyjmuje,
nic nie zarobimy, a będziemy stratni o kosz-
ty działania danego środka transportu. Te-
go, gdzie należy dowieźć dany towar, mo-
żemy dowiedzieć się klikając na obiekcie
produkcyjnym (kopalnia, fabryka ...) narzę-
dziem informacji [a]. W otrzymanym oknie
znajdziemy opis, dokąd można transporto-
wać towary, oraz jakich towarów – i skąd
– dany obiekt wymaga (informacje te są
również dostępne na mini-mapie: po naje-
chaniu na dany obiekt pokażą się linie po-
kazujące, gdzie towary mogą być transpor-
towane). Musimy pamiętać, że aby fabryka
zaczęła wytwarzać półprodukty, należy do-
starczyć wszystkich wymaganych surow-
ców (np. aby móc transportować stal, naj-
pierw należy dostarczyć do huty rudę że-
laza i węgiel).
Jak zacząć?
Aby uruchomić nasze pierwsze połącze-
nie, wybieramy np. kopalnię węgla i elek-
trownię. Ponieważ będziemy transporto-
wać duże ilości surowca, stworzymy po-
łączenie kolejowe. Otwieramy okno bu-
dowy kolei i wybieramy rodzaj torów, jaki
chcemy położyć, oraz zaznaczamy punkt
początkowy i końcowy trasy. Gra automa-
tycznie zbuduje tory łączące oba punkty.
Tworzymy też małą odnogę, gdzie stanie
zajezdnia (depot). Gdy tory zostaną zbu-
dowane, z naszego konta zostanie odjęty
koszt tej inwestycji. Teraz należy postawić
stację – tu ważna uwaga: stację i zajezdnię
dla pociągów można wybudować , tylko
na istniejących torach. Gdy już mamy sta-
cję i zajezdnię, wciskamy [a] i klikamy na
zajezdni. Aby kupić nową lokomotywę,
klikamy na obrazek wybranej maszyny,
przechodzimy do zakładki wagony i do-
bieramy odpowiednie wagony do trans-
portu węgla (jeżeli wybierzemy lokomo-
tywę na węgiel, pierwszym wagonem, ja-
ki dobierzemy, musi być węglarka). Teraz
klikamy na przycisk Rozkład jazdy i usta-
lamy stacje, na których ma się zatrzymy-
wać pociąg. Mamy tu możliwość określe-
nia procentowego załadowania składu, na
jaki będzie pociąg oczekiwał, nim ruszy
w dalszą drogę. Gdy jesteśmy zadowoleni
z ustawień, klikamy Start i nasz pierwszy
pociąg wyjedzie na trasę.
Analogicznie postępujemy z samo-
chodami: budujemy drogę, przystanki,
zajezdnię, kupujemy maszyny, wyznacza-
my trasę i uruchamiamy linię.
Z komunikacją wodną jest jeszcze ła-
twiej – musimy tylko zadbać, aby stacja
początkowa i końcowa znajdowały się
w tym samym akwenie razem ze stocznią,
czyli depotem dla statków.
Podsumowanie
Simutrans to świetna gra, nawet pomi-
mo błędów i wczesnej wersji. Jest to jed-
na z najciekawszych gier, z jakimi mia-
łem do czynienia – biorąc pod uwagę
zarówno gry dla Windows, jak i Linuksa
– i wprost nie mogę się już doczekać jej fi-
nalnej wersji.
Na zakończenie małe ostrzeżenie:
w obecnej wersji gry większość użytkow-
ników nie może korzystać z funkcji sta-
wiania znaków z opisem (etykieta), po-
nieważ powoduje to zamknięcie gry.
Drugą rzeczą, o której należy wspomnieć,
jest to, że czasami, po zakończeniu gry,
X Window nie wraca do poprzedniej roz-
dzielczości. Możemy sobie z tym poradzić
restartując serwer X, bądź uruchomić grę,
na moment, w domyślnej rozdzielczości
naszego systemu.
http://simutrans.de/
GAMES News
Freeciv 2.0.0 beta 4
Freeciv to jedna z najbardziej
znanych gier linuksowych, klon
popularnej Civilization Sida Meiera.
Obecne wydanie – 2.0.0 beta 4
– jest jednym z ostatnich,
przed opublikowaniem finalnej
wersji 2.0. Lista zmian i ulepszeń
jest bardzo długa (http://www.
freeciv.org/index.php/NEWS-beta).
Najważniejsze to usprawnienie gry
sieciowej, lepsza AI przeciwników,
nowe jednostki, nowy poziom
trudności oraz wiele innych.
http://www.freeciv.org/
ZengaiaSpace 0.1.2
Wystartował nowy projekt:
ZengaiaSpace – w zamierzeniu
ma być rozbudowaną strategią,
rozgrywaną on-line, na centralnym
serwerze internetowym. W grze
naszym zadaniem jest budowanie
statków kosmicznych, zdobywanie
planet, budowa nowych portów,
walka z wrogami, podbój nowych
planet i systemów słonecznych.
Gra jest napisana w Javie, więc
wymaga zainstalowanego w systemie
środowiska dla aplikacji napisanych
w tym języku.
http://www.mpc-donkey.de/index.php?
doc=zengaia.htm
The Black Legacy Darkness 0.7.4
The Black Legacy Darkness to
nowy projekt z gatunku MMORPG
(Massive Multiplayer Online Role
Playing Game). Jest to gra w realiach
średniowiecznych, o świetnej
grafice 3D. Używa bibliotek
OpenGL oraz SDL. Obecnie
jest jeszcze w fazie testów, ale
udostępniono już duże miasto
(w świecie gry) do zwiedzania.
Co ciekawsze, można stworzyć
swoje własne mapy w Blenderze,
a następnie eksportować je do gry
za pomocą skryptu eksportującego,
napisanego w Pythonie.
http://www.black-legacy.com/
Unreal Tournament 2004 3339
Firma Epic Games wypuściła
ostatnio kolejną – piątą już – łatę
do gry Unreal Tournament 2004.
Obecny pakiet jest kompatybilny
z poprzednimi łatami i zawiera
wszystkie poprawki z poprzednich
wydań. Powinien być instalowany
po Editors Choice Bonus Pack,
ponieważ aktualizuje część
kodu dodanego do gry po jego
instalacji. Lista zmian jest dość
długa, a poprawiono m.in. błędne
efekty dźwiękowe i graficzne
towarzyszące niektórym zdarzeniom
w grze, a także błąd w przeglądarce
serwerów, powodujący niepoprawne
wyświetlanie typu gry.
http://www.unrealtournament.com/
news/view.php?id=2318
www.lpmagazine.org 51
 dla początkujących

Nessus – skaner
bezpieczeństwa
Piotr Machej

Na płycie CD/DVD
Na płycie CD/DVD zamieścili-
śmy oprogramowanie omawiane
w artykule.
G
dy podłączamy nasz kom-
puter do Internetu, uzysku-
jemy dostęp do nieprzebra-
nych zasobów. Równocze-
śnie nasz komputer staje się dostępny dla
innych użytkowników. Nie wszyscy z nich
są nastawieni pokojowo. Trudno zresztą na
to liczyć, biorąc pod uwagę wciąż rosną-
cą liczbę mieszkańców globalnej wioski.
Z tego powodu bardzo ważne jest, aby
zdawać sobie sprawę z zagrożeń, które
mogą na nas czekać. Jeszcze ważniejsze
jest, aby potrafić się przed nimi ochronić.
W łataniu powszechnie znanych luk
bezpieczeństwa znacznie mogą nam
pomóc wszelkiego typu skanery bezpie-
czeństwa. Programy takie mają za zada-
nie przetestowanie, czy system jest podat-
ny na określoną metodę ataku. Powinni-
śmy skorzystać ze skanera (lub kilku ska-
nerów) bezpieczeństwa zaraz po zain-
stalowaniu systemu. Później powinni-
śmy powtarzać tę czynność co jakiś
czas (np. co miesiąc). Pozwoli to wykryć
znane już luki, więc będziemy mieli moż-
liwość załatać je zanim wykorzysta je wła-
mywacz. Pamiętajmy bowiem, że rów-
nież "czarne charaktery" mogą korzystać
z takiego oprogramowania.
Jednym z bardziej uniwersalnych
(a przy tym otwartym i bezpłatnym) ska-
nerem jest Nessus. Jego wielką zaletą
jest aktualność oraz łatwość rozbudowy.
Opiera się na wtyczkach, dzięki czemu
możemy dodać do niego własne testy.
Oprócz tego, możemy automatycznie uak-
tualniać listę wtyczek, dzięki czemu zosta-
ną one dołączone od razu po udostępnie-
niu. Niniejszy artykuł ma na celu popro-
wadzenie Czytelników przez instalację
i konfigurację Nessusa, a także zwróce-
nie uwagi na różne aspekty bezpieczeń-
stwa systemu.
Przykład użycia
Około rok temu, rozmawiając ze znajo-
mymi na IRC, dowiedziałem się, że kom-
puter jednego z nich padł ofiarą ataku.
Jak się okazało, zainstalował on Linuk-
sa i będąc święcie przekonany, że to
bezpieczny system, nie podjął żadnych
dodatkowych kroków w celu jego zabez-
pieczenia. Oczywiście, gdy w wyniku
ataku script-kiddies stracił dane na dysku,
był pełen pretensji do naszego ulubione-
go systemu. Wytłumaczyliśmy mu, że
system dopiero wtedy jest bezpieczny,
gdy się o to samemu zadba. I że nie ma
tu większego znaczenia, czy jest to Linux,
czy Windows. Przy okazji postanowili-
śmy sprawdzić, który z naszych kompute-
rów jest lepiej zabezpieczony. Do testów
wykorzystaliśmy Nessusa i okazało się, że
mój system zajął dopiero trzecie miejsce
(na pięć możliwych). Jak to mówią, leni-
stwo nie popłaca. Oczywiście, od razu
załatałem najgroźniejsze ze znalezionych
luk bezpieczeństwa i obiecałem sobie,
że będę częściej kontrolował system.
Analiza zabezpieczeń
Przede wszystkim musimy odpowie-
dzieć sobie na pytanie, czy nasz system
jest dobrze zabezpieczony. Odpowiedź
nie jest taka prosta. Włamywacz ma do
dyspozycji szereg różnych technik, z któ-
rych warto wymienić wykorzystanie sła-
bych haseł, dziur w oprogramowaniu lub
błędów w konfiguracji. Nie należy rów-
nież zapominać o tym, że zwykle najsłab-
szym ogniwem jest człowiek – to my sami
Rysunek 1. Nowe wersje Nessusa
pozwalają przeprowadzać również testy
lokalne i przyrostowe

52 styczeń 2005

możemy nieumyślnie podać intruzowi
hasło lub wykonać przysłany przez niego
kod, otwierając mu drogę do systemu.
Hasła powinny być łatwe do zapamię-
tania i trudne do odgadnięcia. Nie zawsze
trudność odgadnięcia hasła będzie warun-
kiem wystarczającym, gdyż jeśli jest ono
przesyłane przez sieć (np. w celu zalogo-
wania się na zdalną maszynę lub autory-
zowania się w serwisie WWW), to może
zostać podsłuchane. Z tego powodu lepiej
jest używać oprogramowania korzystającego
z szyfrowanej transmisji, a w dodatku nigdy
nie używać hasła systemowego do autoryza-
cji w innych serwisach.
Z błędami w oprogramowaniu trzeba
zawsze się liczyć. Praktycznie każdy pro-
gram, bardziej skomplikowany niż popu-
larny Hello World, może zawierać błąd – jest
to sprawa naturalna. Odpowiednie wyko-
rzystanie niektórych błędów może pro-
wadzić do uzyskania przez intruza więk-
szych uprawnień w systemie niż miałby
normalnie. Może też pozwolić na uzyska-
nie dostępu do systemu, do którego intruz
w zwykłych okolicznościach nie powinien
mieć wcale dostępu. Takie błędy są wcześniej
lub później ujawniane, a jeśli autorzy progra-
mu opiekują się swoim projektem, to publi-
kują odpowiednie poprawki. W przypad-
ku programów Open Source mogą to zrobić
również inni programiści, a nawet my sami
(o ile posiadamy odpowiednie umiejętności).
Warto więc dbać o to, aby w systemie były
zainstalowane jak najnowsze wersje oprogra-
mowania – szczególnie chodzi tu o progra-
my najbardziej narażone na atak, takie jak
serwery WWW czy programy pocztowe.
Bardzo często zdarza się, że użytkow-
nik przez własną nieuwagę lub niewiedzę
staje się ofiarą włamania lub zwykłej utraty
danych. Swego czasu wiele osób korzystają-
cych z IRC miało zwyczaj doradzać nowym
użytkownikom Linuksa zalogowanie się na
konto root i wydanie polecenia rm -rf /. Jeśli
delikwent był łatwowierny, a na dodatek nie
znał jeszcze podstawowych poleceń linukso-
wych, mogło skończyć się to dla niego nie-
zbyt przyjemnie (wspomniane polecenie
bez pytania kasuje wszystkie pliki na dysku).
Jak widać, należy mieć mocno ograniczo-
ne zaufanie do tego, co mówią inni – czy
to na IRC, w listach elektronicznych, czy za
pośrednictwem komunikatora. Nie należy
też bez namysłu uruchamiać zasłyszanych
poleceń czy programów nadesłanych przez
nie do końca zaufane osoby. To samo zresztą
dotyczy podawania haseł czy udostępniania
naszego komputera innym – jeśli to robimy,
to musimy być święcie przekonani, że tej
konkretnej osobie możemy zaufać.
Wspomniałem o błędach konfigu-
racji. Tu w zasadzie również wchodzi
w grę czynnik ludzki, gdyż błąd w kon-
figuracji jest zwykle wynikiem nasze-
go przeoczenia, pomyłki w planowaniu
lub po prostu nieznajomości niektórych
dostępnych opcji. Wyobraźmy sobie sytu-
ację, gdy wydaje nam się, że zabezpieczy-
liśmy dobrze nasz komputer. Założyliśmy
dobre hasła, uruchomiliśmy zaporę sieciową
i udostępniliśmy na zewnątrz tylko wybrane
usługi. I wszystko byłoby w porządku, ale...
w zaporze sieciowej pomyliliśmy kolejność
dwóch regułek. I to wystarczy, aby działa-
ła nie do końca zgodnie z naszymi oczeki-
waniami – może przykładowo dawać dostęp
do portu, który miał być zablokowany.
A włamywacz tylko czeka na takie okazje.
Instalacja Nessusa
Przed zainstalowaniem Nessusa warto
zadbać o to, aby w systemie były zain-
stalowane biblioteki i pliki nagłówkowe
OpenSSL. W przypadku Auroksa jest to
pakiet openssl-devel.
Zaczynamy od wejścia na stronę do-
mową programu (http://www.nessus.org/ ).
Wybieramy sekcję Download, a następ-
nie odnośnik Nessus 2.2 (w chwili pisa-
nia artykułu była to wersja najnowsza).
Z wyświetlonej strony możemy dowie-
dzieć się o trzech metodach instalacji Nessu-
sa. My zdecydujemy się na drugą – prostą,
a równocześnie bezpieczniejszą od najła-
twiejszej metody. W sekcji The easy and
less dangerous way znajdziemy spis adre-
sów, pod którymi możemy znaleźć insta-
lator. Wybieramy jeden z nich (np. http://
ftp.gwdg.de /pub /linux /misc/nessus /
nessus-2.2.0/nessus-installer/ ) i pobieramy
z niego plik nessus-installer.sh. Teraz
już wystarczy wejść do katalogu,
w którym zapisaliśmy plik i uruchomić
go poleceniem sh nessus-installer.sh. Tę
operację wykonujemy z poziomu zwykłe-
go użytkownika (nie wchodzimy na konto
root).
Po przeczytaniu informacji powital-
nej możemy wcisnąć klawisz [Enter]. Pro-
gram zostaje rozpakowany, a następnie
jesteśmy powiadomieni, że zostanie utwo-
rzona tymczasowa powłoka z ustawio-
nym bitem SUID. Pozwoli to instalatorowi
w razie potrzeby na automatyczne korzysta-
nie z uprawnień użytkownika uprzywile-
jowanego. Przyjmujemy to do wiadomości
wciskając klawisz [Enter], a następnie poda-
nessus dla początkujących
Rysunek 2. Nessus potrafi
przeprowadzać równoczesne testy na
różnych komputerach
jemy hasło użytkownika root (przy pyta-
niu o Root Password). Instalator pyta nas
o katalog, w którym chcemy zainstalo-
wać Nessusa. Klawiszem [Enter] zatwier-
dzamy domyślny wybór (chyba, że
z jakiegoś powodu chcemy go zmie-
nić – wówczas wpisujemy naszą ścieżkę).
Po kolejnym wciśnięciu klawisza [Enter]
następuje kompilacja i instalacja programu
(w razie konieczności poprzedzona usu-
nięciem starszej wersji). Na koniec zostają
wyświetlone ostatnie wskazówki i możemy
opuścić instalator ponownym wciśnięciem
klawisza [Enter]. Jak widać, dzięki instalato-
rowi mogliśmy ograniczyć się do wciskania
tylko jednego klawisza, chociaż pozostało
przed nami jeszcze kilka czynności.
Najpierw musimy wygenerować cer-
tyfikat, który będzie wykorzystywa-
ny do szyfrowania komunikacji pomię-
dzy serwerem i klientem Nessusa. W tym
celu wydajemy polecenie /usr/local/
sbin/nessus-mkcert (do tego już potrze-
bujemy uprawnień superużytkowni-
ka, więc najpierw korzystamy z polecenia
su - i podajemy hasło użytkownika root).
Oczywiście, jeśli zainstalowaliśmy Nessusa w
innym katalogu niż domyślny, to ścieżka do
programu nessus-mkcert będzie odpowied-
nio inna. Kolejno będziemy musieli podać
następujące informacje:
• termin ważności certyfikatu CA
(w dniach),
• termin ważności certyfikatu serwera
(w dniach),
• kod naszego państwa (np. dla Polski
– PL),
• nazwa naszego województwa lub
powiatu,
• nazwa miasta,
• nazwa naszej organizacji.
Jeśli mamy wątpliwości, co powinniśmy
wpisać, możemy skorzystać z wartości
www.lpmagazine.org 53
 dla początkujących
Rysunek 3. Te systemy wymagają
wprowadzenia jeszcze kilku zabezpieczeń
domyślnych. Po przeczytaniu informa-
cji o nazwach plików, w których zosta-
ły zapisane poszczególne certyfikaty,
możemy wcisnąć [Enter].
Teraz musimy dodać użytkownika,
który będzie mógł korzystać z Nessusa.
Nie opuszczając konta użytkownika root,
wydajemy polecenie /usr/local/sbin/
nessus-adduser. Podajemy nazwę użyt-
kownika, a następnie wybieramy sposób
uwierzytelniania. Prostsze jest korzysta-
nie z hasła niż z certyfikatu, więc wybie-
ramy tę pierwszą metodę (pass). Oczywi-
ście, należy też podać nasze hasło. Pamię-
tajmy jednak, aby nie było to takie samo
hasło, jak do któregoś z naszych kont. Jeśli
wybraliśmy metodę uwierzytelniania za
pomocą certyfikatu, to będziemy musieli
odpowiedzieć na te same pytania, co przy
tworzeniu certyfikatu Nessusa (a oprócz
tego, na dwa dodatkowe – o nazwisko
i imię oraz o adres e-mail).
Tworząc użytkownika możemy od
razu nałożyć na niego ograniczenia. Doty-
czą one adresów komputerów, które
może testować dany użytkownik. Jeśli
nie chcemy ustalać żadnych ograniczeń,
to po prostu możemy wcisnąć kombi-
nację klawiszy [Ctrl]+[d]. W innym przy-
padku możemy wpisać szereg reguł
(po jednej w każdej linii), np.:
accept 192.168.100.0/24
accept 192.168.5.1
default deny
Powyższe linie pozwalają użytkow-
nikowi na testowanie komputerów
w sieci 192.168.100.0/24 oraz kompute-
ra 192.168.5.1. Żadnego innego kompu-
tera nie będzie mógł przetestować, gdyż
domyślna reguła odmawia mu dostępu
(default deny). Oczywiście, reguły można
zbudować inaczej – zabronić dostępu do
określonych komputerów i pozwolić do
wszystkich pozostałych. Ciekawostką jest
możliwość użycia słowa client_ip zamiast
54 styczeń 2005
adresu komputera. W jego miejsce pod-
stawiany jest adres komputera, z którego
łączy się użytkownik korzystający z Nes-
susa. Dzięki temu łatwo można pozwolić
użytkownikowi tylko na testowanie jego
własnego komputera. Odpowiednie reguł-
ki wyglądają następująco:
accept client_ip
default deny
Wpisywanie regułek kończymy znaną już
kombinacją [Ctrl]+[d]. Wprowadzone dane
potwierdzamy wpisując y.
Przed uruchomieniem serwera warto
sprawdzić, czy nie pojawiły się nowe
wtyczki. Wydajemy polecenie /usr/local/
sbin/nessus-update-plugins – jeśli zosta-
ną znalezione nowe wtyczki, program je
zainstaluje. Oczywiście, do wykonania
tego polecenia potrzebujemy połączenia
z Internetem.
Teraz możemy już uruchomić serwer
Nessusa poleceniem /usr/local/sbin/
nessusd -D. Pojawi się informacja o łado-
waniu wtyczek (ang. plugins). Jeśli nie
zadbaliśmy o skompilowanie Nessusa
z obsługą OpenSSL, to może pojawić się
kilka ostrzeżeń. Jeśli zainstalowaliśmy
wcześniej wspomniany pakiet openssl-
devel, to powinniśmy zobaczyć napis All
plugins loaded. Klienta Nessusa urucha-
miamy już z konta zwykłego użytkownika
poleceniem /usr/local/bin/nessus.
Konfiguracja Nessusa
Po uruchomieniu pokazuje się nam okno
programu z kilkoma zakładkami. Na
razie interesuje nas tylko pierwsza, gdyż
musimy połączyć się z serwerem Nessu-
sa. W polu Nessusd Host wpisujemy nazwę
komputera, na którym jest uruchomiony
serwer. Jeśli jest uruchomiony na kompu-
terze, z którego korzystamy, możemy po
prostu wpisać localhost. Pole Port pozo-
stawiamy bez zmian – Nessus standardo-
wo nasłuchuje na porcie 1241. W polach
Login i Password wpisujemy nazwę i hasło
użytkownika Nessusa (te, które wpisywa-
liśmy po wydaniu polecenia nessus-addu-
ser). Teraz wystarczy wcisnąć przycisk Log
in. Przy pierwszym uruchomieniu pojawi
się informacja o certyfikacie. Sprawdzamy,
czy jest on poprawny, tzn. wyświetlone
wartości zgadzają się z tym, co podawali-
śmy podczas jego tworzenia, a następnie
zatwierdzamy go wciskając Yes.
Po zalogowaniu się zostaniemy prze-
niesieni do drugiej zakładki (Plugins),
gdzie możemy zapoznać się ze wszyst-
kimi dostępnymi wtyczkami. Biorąc pod
uwagę, że jest ich obecnie sporo ponad 5
tysięcy, mamy lekturę na dłuższy czas. Na
szczęście, jeśli chcemy przeprowadzić
kompletny test, nie musimy czytać opisu
wszystkich wtyczek (opisy są dostęp-
ne po wskazaniu konkretnej wtyczki).
W górnej części znajduje się spis grup,
natomiast w dolnej spis wtyczek nale-
żących do danej grupy. Możemy zazna-
czyć wszystkie wtyczki wciskając przy-
cisk Enable all. Należy zwrócić uwagę, że
niektóre testy mają na celu destabilizację
testowanego systemu (tzw. ataki odmowy
usługi). Jeśli wolimy nie przeprowadzać
aż tak niebezpiecznych testów, możemy
je wyłączyć przyciskiem Enable all but
dangerous plugins. Dodatkowo możemy
wyłączyć całą grupę testów związanych
z odmową usługi (Denial of Service).
Oczywiście, nic nie stoi na przeszko-
dzie, aby przeprowadzić tylko pojedyn-
cze, wybrane testy. W tym celu wystar-
czy najpierw wcisnąć przycisk Disable
all, a następnie ze spisu wybrać potrzeb-
ne nam wtyczki. Warto przy tym zazna-
czyć opcję Enable dependencies at runti-
me, dzięki czemu w razie potrzeby zosta-
ną zaznaczone inne potrzebne wtyczki
(jeśli są potrzebne do działania wybra-
nych przez nas testów). Dostępny przycisk
Filter pozwala nam na wyświetlenie tylko
wtyczek spełniających określone kryteria
(np. w nazwie lub opisie zawierających
słowo ssh).
Następne dwie zakładki (Prefs.
i Scan options) służą do ustawie-
nia dokładniejszych opcji. Możemy tu
zdecydować, jaka technika skanowa-
nia portów ma być zastosowana, jakie
Ostrzeżenie
Skaner systemowy możemy stosować
tylko względem systemów komputero-
wych i sieci, które należą do nas lub co
do których uzyskaliśmy stosowną zgodę.
Niezastosowanie się do tej zasady może
grozić niezbyt przyjemnymi konsekwen-
cjami, z odpowiedzialnością karną włącz-
nie. O ile bowiem trudno podstawowe
skanowanie jednoznacznie uznać za
próbę ataku, o tyle niektórzy administra-
torzy są na tym punkcie mocno przewraż-
liwieni. Ponadto, niektóre testy mogą
doprowadzić do zawieszenia niektórych
usług, a to w przypadku systemów pro-
dukcyjnych nie może już być traktowane
w kategorii żartu.

nazwy użytkowników i hasła mają być
użyte przy logowaniu się do poszcze-
gólnych usług oraz możemy określić
liczbę testów wykonywanych w tym
samym czasie. Jest tu też dostępna
opcja Safe checks (domyślnie włączona).
Powoduje ona, że potencjalnie groźne
wtyczki wykonują "łagodniejsze" testy,
np. opierając się na rozpoznaniu wersji
oprogramowania, zamiast na własnych
testach. Należy pamiętać, że nie wszyst-
kie wtyczki uwzględniają tę opcję. Jej
użycie może też prowadzić do pojawie-
nia się większej liczby fałszywych alar-
mów (więcej informacji w ramce Fałszy-
we alarmy). Jeśli nie wiemy, do czego
służy dana opcja, lepiej pozostawić ją
w domyślnym ustawieniu.
W zakładce Target selection może-
my wreszcie określić, który kompu-
ter chcemy skanować. Jego adres wpi-
sujemy w polu Target(s). Oczywiście,
zamiast pojedynczego adresu (np.
127.0.0.1) możemy od razu wpisać cały
zakres (np. 192.168.0.1-192.168.2.50
lub 192.168.10.1/24). Możemy też
wymienić kilka pojedynczych kompu-
R E
terów i kilka zakresów oddzielając je
przecinkami.
Te opcje powinny nam wystarczyć.
Teraz już możemy wcisnąć widoczny na
dole okna przycisk Start the scan. Otwo-
rzy się kolejne okno, w którym będziemy
mogli obserwować przebieg skanowania
poszczególnych komputerów. Gdy ska-
nowanie zakończy się, otwarte zostanie
okno z raportem.
Analiza wyników
Pora sprawdzić, co znalazł Nessus na
naszym systemie. Okno raportu podzie-
lone jest na pięć części. Po lewej stro-
nie widzimy adresy testowanych podsieci
(Subnet). Przy ich adresach można zauwa-
żyć znaczek określający, czy Nessus wykrył
jakieś problemy. Ikona żarówki oznacza
informację, znak ostrzeżenia z wykrzyk-
nikiem oznacza ostrzeżenie dotyczące
bezpieczeństwa, a znak zakazu wjazdu
oznacza potencjalną lukę w bezpieczeń-
stwie. Po wybraniu konkretnej podsieci
w okienku poniżej (Host) pojawi się spis
przetestowanych komputerów należących
do tej podsieci. Również tutaj możemy na
K L A M
nessus dla początkujących
Rysunek 4. Z pomocą obszernego
podręcznika możemy napisać własne
wtyczki do Nessusa
pierwszy rzut oka ocenić, który kompu-
ter jest najbardziej zagrożony. Po zazna-
czeniu adresu komputera w umiesz-
czonym na górze oknie Port, pojawi się
spis znalezionych portów (ponownie
z informacją o zagrożeniach). Wybranie
jednego z nich sprawia, że w umieszczo-
nym obok okienku Severity zobaczymy
listę zagrożeń uporządkowaną względem
powagi. Dopiero, gdy wskażemy jedno
z nich, w głównej części okna zobaczy-
my szczegółowy opis luki. Metody sorto-
wania w poszczególnych oknach możemy
A
www.lpmagazine.org 55
 dla początkujących
dowolnie zmieniać, dzięki czemu znaj-
dywać luki w inny sposób. Przykłado-
wo, warto zamienić miejscami pola Port
i Severity, ale również inne kombina-
cje mogą dać ciekawe efekty – wszystko
zależy od tego, jakie informacje bardziej
nas interesują.
Istotne jest, abyśmy zapoznali się
ze wszystkimi informacjami zawartymi
w głównym oknie. W przypadku ostrzeżeń
i powiadomień o lukach w bezpieczeń-
stwie otrzymujemy opis zagrożenia. Przy-
kładowo, w sytuacji wykrycia przez Nes-
susa serwera WWW Apache w wersji star-
szej niż 2.0.51, jesteśmy powiadamiani o
jego wrażliwości na zdalny atak odmowy
usługi (DoS – Denial of Service). Wersje
te są również podatne na atak z wyko-
rzystaniem przepełnienia bufora. Oprócz
takiego opisu, możemy też zobaczyć
kilka dodatkowych rubryk. Adres podany
w See also pozwala nam zapoznać się
z szerszym opisem błędu. Najważniej-
sza dla nas jest zawartość rubryki Solu-
tion, gdyż opisuje ona możliwe rozwiąza-
nie problemu. W przypadku wspomnia-
nego błędu rozwiązaniem jest uaktualnie-
nie serwera Apache do wersji 2.0.51 lub
Fałszywe alarmy
Należy pamiętać, że Nessus przepro-
wadza analizę na podstawie dostępnych
informacji. Może się okazać, że będą
one niewystarczające lub doprowadzą do
błędnych wniosków. Z tego powodu część
ostrzeżeń, a nawet powiadomień o lukach
w zabezpieczeniach, może okazać się fał-
szywa.
Może się tak przykładowo zdarzyć
w sytuacji, gdy Nessus jest w stanie roz-
poznać oprogramowanie nasłuchujące
na określonym porcie, ale nie umie usta-
lić jego wersji. W tym przypadku może
ostrzec o błędach, które dotyczą wcze-
śniejszych wersji tego programu niż zain-
stalowana w naszym systemie.
Inna sytuacja, gdy ostrzeżenie może
być fałszywe, to przypadek, gdy błąd
sam w sobie jest groźny, ale ze wzglę-
du na podjęte przez nas inne czynności
(np. odpowiedni podział dysku na party-
cje), w naszym systemie okazuje się być
nieszkodliwy.
Nie da się wyliczyć wszystkich sytu-
acji, gdy Nessus może zwrócić fałszy-
we alarmy. Dobrze jest uważnie czytać
opisy zgłoszeń i starannie je analizować.
Nessus zwraca stosunkowo mało fałszy-
wych alarmów, ale nie należy mu ufać
bezgranicznie.
56 styczeń 2005
nowszej. Dalej możemy dowiedzieć się,
jak duże ryzyko (Risk factor) jest związane
z danym błędem. W tym przypadku
ryzyko jest wysokie (High). Najlepiej jak
najszybciej uaktualnić oprogramowanie.
W przypadku innych ostrzeżeń, ryzyko
może być średnie (Medium) lub niskie
(Low), a w przypadku informacji o bez-
pieczeństwie – nawet zerowe (None). Nie-
mniej, powinniśmy zapoznać się ze wszy-
stkimi informacjami, gdyż każda z nich
może być istotna. Przykładowo, może
okazać się, że jedna z usług, pomimo
naszych starań, nadal jest dostępna z Inter-
netu, a nie tylko z sieci lokalnej. Nie należy
od razu podejmować czynności opisanych
w Solution bez zapoznania się z całym
opisem problemu. Może bowiem okazać
się, że w ten sposób zablokujemy sobie
usługę, na której nam zależało, a co do
której tylko dostaliśmy pewne pouczenie
(jak ma to miejsce w przypadku zainstalo-
wanego oidentd, potrzebnego do łączenia
z niektórymi serwerami IRC).
Jeśli chcemy uzyskać jeszcze więcej
informacji na temat błędu, możemy sko-
rzystać z wartości podanych w rubrykach
CVE i BID. Pierwsza z nich podaje sym-
bole, według których możemy wyszuki-
wać informacje na stronie Common Vul-
nerabilities and Exposures (pod adre-
sem http://www.cve.mitre.org/cve/index
.html wpisujemy symbol w polu CVE
Name). Druga podaje identyfikator błędu
na liście BugTraq (możemy go wpisać
w polu Bugtraq ID na stronie http://
www.securityfocus.com/bid/bugtraqid/ ).
Raport ze skanu możemy zapisać na
dysku korzystając z przycisku Save report.
Do wyboru mamy kilka różnych forma-
tów zapisu danych. Jeśli zdecydujemy się
zapisać raport w formacie NBE, to później
będziemy mogli go ponownie otworzyć
w kliencie Nessusa. Jeśli natomiast chcemy
później obejrzeć raport wraz z różnymi
wykresami i zestawieniami w przeglądar-
ce internetowej, to powinniśmy wybrać
format HTML with Pies and Graphs.
Wyniki skanowania zależą od tego,
jakie opcje dobierzemy. Warto zapoznać
się z obszerną dokumentacją dostępną
na stronie domowej Nessusa, aby lepiej
poznać jego możliwości i zastosowa-
nie poszczególnych opcji konfiguracyj-
nych. Z pewnością sprawi to, że będzie-
my mogli lepiej dobierać ustawienia do
naszych potrzeb, co w rezultacie pozwo-
li skuteczniej zwiększyć bezpieczeństwo
systemu i sieci.
Rysunek 5. W serwisie SecurityFocus
możemy wyszukiwać informacje o lukach
na podstawie różnych kryteriów
Dodatkowe
oprogramowanie
Nessus, oprócz własnych wewnętrz-
nych testów, może wykorzystywać kilka
innych programów. Przykładowo, pro-
gram Nmap może być użyty do skano-
wania portów i wielu bardziej zaawan-
sowanych operacji, takich jak rozpozna-
wanie systemu operacyjnego. Jeśli zależy
nam na przeprowadzeniu testów odpor-
ności haseł na złamanie, możemy zain-
stalować program Hydra. Pozwoli on na
wykonanie prób brutalnego złamania
haseł (bruteforce attack) w takich usłu-
gach, jak Telnet, WWW, POP3, IMAP
i inne. Oprócz tego, można wykorzy-
stać program Nikto – zapewnia on obsłu-
gę specyficznych ataków i testów doty-
czących serwerów WWW i usług skryp-
tów CGI.
O ile program Nmap możemy zna-
leźć w większości dystrybucji Linuksa,
o tyle pozostałe programy raczej
musimy zainstalować osobno. Nie są
one niezbędne do działania Nessusa,
ale zwiększają jego funkcjonalność.
Adresy ich stron domowych znajdują się
w ramce W Internecie.
Przykładowe testy
W rozdziale Analiza wyników mogliśmy
zapoznać się ze sposobem odczytywania
wyników testów. Spróbujmy teraz zoba-
czyć kilka wyników z prawdziwego ska-
nowania i zastanowić się, jak je trakto-
wać. Analizie został poddany kompu-
ter z dosyć dawno instalowanym sys-
temem, tylko w razie potrzeby uzupeł-
nianym nowymi pakietami, więc zgło-
szeń błędów było dosyć dużo (7 luk, 18
ostrzeżeń i 39 informacji). Raport został
zapisany w formacie HTML with Pies and
Graphs.
Na pierwszej stronie raportu został
przedstawiony w formie graficznej pro-

centowy udział poszczególnych pozio-
mów ryzyka. Ponieważ poziomy High
i Medium uzyskały odpowiednio po
11% i 28%, to odpowiednie kroki
powinno podjąć się jak najszybciej. Naj-
bardziej zagrożonymi usługami oka-
zały się CVSpserver i usługa działają-
ca na porcie 5432 (zidentyfikowana
później jako PostgreSQL). co przedsta-
wił kolejny wykres. W celu uzyskania
dokładniejszych informacji powinniśmy
przejść do części drugiej raportu, wska-
zując nazwę testowanego komputera.
Tu możemy zobaczyć listę otwar-
tych portów. Okazuje się, że jest ich
aż 34, z czego na pięciu Nessus zna-
lazł luki bezpieczeństwa (CVSpserver,
MySQL, HTTPS, Microsoft-ds i port
5432, wykorzystywany przez Postgre-
SQL), a dla sześciu wyświetlił ostrzeże-
nia. Poza tym jedenaście portów zosta-
ło opatrzonych informacjami, a pozo-
stałe zostały tylko zakomunikowane
jako nasłuchujące. Zapoznajmy się naj-
pierw z dwoma lukami dotyczącymi
serwera CVS.
Pierwsza z nich została wykryta
przez wtyczkę opisaną na stronie
http://cgi.nessus.org/plugins/dump.php3?id
=11970. Do opisów wtyczek prowadzą
odnośniki umieszczone w polu Nessus
ID. Jest to ostrzeżenie przed błędem ist-
niejącym w CVS do wersji 1.11.10, mogą-
cym pozwolić intruzowi na wykonywa-
nie w systemie poleceń z uprawnienia-
mi użytkownika root. Ponieważ Nessus
nie był w stanie określić numeru wyko-
rzystywanej wersji CVS, pojawiło się
ostrzeżenie, że może to być fałszywy
alarm. Niestety, sprawdzenie w testowa-
nym systemie (rpm -q cvs) wykazało, że
jednak jest on narażony na atak – zain-
stalowana wersja CVS to 1.11.2-10. Zale-
canym przez Nessusa (i w zasadzie naj-
lepszym) rozwiązaniem jest aktualiza-
cja oprogramowania do wersji co naj-
mniej 1.11.11.
Zanim to zrobimy, zapoznajmy się
z opisem drugiej luki. Ta została wykry-
ta przez wtyczkę opisaną na stro-
nie http://cgi.nessus.org/plugins/dump.
php3?id=12265. Również ta luka nie
jest mała – ze względu na brak termi-
natora NULL w źle sformatowanych cią-
gach tekstowych, intruz może wykony-
wać pewne polecenia w naszym sys-
temie. Zalecana jest aktualizacja aż do
wersji 1.11.17, a więc wyższej niż przy
poprzedniej luce.
Obie te luki umożliwiają atak
z zewnątrz, więc należą do najbardziej
niebezpiecznej grupy. O ile w przypad-
ku pierwszej z nich nie potwierdzono
istnienia działających eksploitów, o tyle
w przypadku drugiej taki kod istnieje.
Oprócz nich, Nessus zgłosił dwa
ostrzeżenia dotyczące serwera CVS.
Pierwszy z nich (http://cgi.nessus.org/
plugins/dump.php3?id=11947) dotyczy
błędu sprawdzania wprowadzanych
danych, mogącego pozwolić intruzo-
wi na tworzenie katalogów i plików
w głównym katalogu systemu plików
przechowującego drzewo CVS. Drugi
z kolei (http://cgi.nessus.org/plugins/
dump.php3?id=12212) może pozwalać
na pobieranie plików RCS nawet spoza
głównego katalogu CVS. Do poprawie-
nia tych błędów powinno wystarczyć
uaktualnienie CVS do wersji 1.11.15 lub
wyższej.
Korzystając z informacji zawartych
we wszystkich czterech zgłoszeniach,
ostatecznie powinniśmy się zdecydo-
wać na wersję 1.11.17 lub wyższą.
Warto zwracać uwagę na komuni-
katy informacyjne. Właśnie odnośnie
serwera CVS został wyświetlony jeden
taki komunikat (http://cgi.nessus.org/
plugins/dump.php3?id=10051). Sugeruje
on, aby zablokować dostęp z zewnątrz
dla portu CVS. Jest to mądre, i o ile
tylko nie musimy udostępniać serwera
CVS osobom z sieci, powinniśmy dopi-
sać odpowiednią regułkę w zaporze sie-
ciowej. Jeśli koniecznie musimy udo-
stępnić serwer, to powinniśmy przy-
najmniej ograniczyć liczbę komputerów,
które mogą się z nim łączyć. Warto też
zauważyć, że powinno to automatycz-
nie zniwelować możliwość wykorzysta-
nia przez włamywacza wymienionych
wcześniej luk.
Innym przykładem portu, który
powinien być odfiltrowany na zapo-
rze sieciowej, jest port 901, należą-
cy do programu SWAT. O ile bowiem
błąd przedstawiony w ostrzeżeniu
(http://cgi.nessus.org /plugins /dump.
php3?id=10273) dotyczy dosyć starej
wersji 2.0.7 (więcej informacji na stro-
nie http://www.securityfocus.com/bid/
1872). o tyle rzeczywiście możliwe jest
wykonanie brutalnego ataku na tę
usługę. Może to być szczególnie nie-
bezpieczne, jeśli hasła Samby są zsyn-
chronizowane z hasłami systemowymi.
Oczywiście, zamiast filtrować port na
nessus dla początkujących
zaporze sieciowej możemy po prostu
wyłączyć SWAT (o ile go nie potrze-
bujemy).
Jak widać, w celu wyrobienia sobie
obrazu tego, co musimy zrobić, powin-
niśmy zapoznać się ze wszystkimi opi-
sami błędów, ostrzeżeniami, a nawet
zwykłymi informacjami. W przypad-
ku, gdy chodzi o bezpieczeństwo, nie
powinniśmy pozwalać sobie na nie-
dbałość. Poza tym, szkoda naszej pracy
– gdybyśmy działali od razu po przeczy-
taniu każdej informacji, to serwer CVS
uaktualnialibyśmy w najgorszym przy-
padku cztery razy.
Zakończenie
Zabezpieczanie komputerów i sieci to
wyścig bez końca. Należy pamiętać, że
istnieje pewna granica, której podczas
zabezpieczania nie możemy lub nie
powinniśmy przekroczyć. Jest to grani-
ca wygody naszej lub naszych klientów
w korzystaniu z systemu lub sieci.
Nie ulega bowiem wątpliwości, że nie
ma sensu zabezpieczać komputera do
tego stopnia, że nikt nie będzie chciał
z niego korzystać. Jakie dane będzie-
my wtedy chronić? Znalezienie kom-
promisu pomiędzy wygodą i bezpie-
czeństwem to właśnie nasze zada-
nie. Należy do niego nie tylko zabez-
pieczenie sprzętu i oprogramowania,
ale również odpowiednie wychowa-
nie użytkowników. Pamiętajmy zawsze
o tym, że łańcuch zabezpieczeń jest
tak silny, jak jego najsłabsze ogniwo.
A najsłabszym ogniwem bardzo często
okazuje się człowiek.
W Internecie:
• Strona domowa programu Nessus:
http://www.nessus.org/
• Strona domowa programu Nmap:
http://www.insecure.org/nmap/
index.html
• Strona domowa programu Hydra:
http://www.thc.org/releases.php
• Strona domowa programu Nikto:
http://www.cirt.net/code/nikto.shtml
• Wprowadzenie do Nessusa (artykuł
autorstwa Harry'ego Andersona):
http://www.securityfocus.com/
infocus/1741
• Lista BugTraq:
http://www.securityfocus.com/
archive/1
www.lpmagazine.org 57
dla początkujących
Sztuczki i kruczki
Grzegorz Niewęgłowski
Synchronizowanie czasu i daty
z serwerami w Internecie
Wygodnym sposobem ustawiania
daty systemowej jest synchronizowa-
nie jej ze specjalnymi serwerami czasu.
Dzięki temu mamy poprawnie działa-
jący, co do sekundy, zegar systemo-
wy i na dodatek nie musimy przepro-
wadzać tej operacji ręcznie – wystar-
czy tylko znaleźć adres odpowiednie-
go serwera. Najpopularniejsze są pole-
cenia rdate i ntpdate (odpowiednio
z pakietów rdate i ntp). Do normal-
nych zastosowań wystarcza rdate, ale
dla osób potrzebujących precyzji idącej
w milisekundy, ntpdate będzie lep-
szym wyborem.
Dobrym źródłem aktualnego czasu
jest ntp.task.gda.pl. Najpierw warto
sprawdzić, czy możemy połączyć się
z serwerem i czy jego czas jest popraw-
ny. Zdalny czas odczytujemy tymi pole-
ceniami:
# rdate ntp.task.gda.pl
# ntpdate -q ntp.task.gda.pl
Jeśli podawany czas jest popraw-
ny, możemy zsynchronizować według
niego własny komputer. Ten krok
wymaga już uprawnień superużytkow-
nika, bo przestawieniu ulegnie zegar
systemowy Linuksa:
# rdate -s ntp.task.gda.pl
# ntpdate ntp.task.gda.pl
Taka korekta zniknie jednak zapew-
ne po restarcie komputera. Jest to spo-
wodowane istnieniem dwóch osob-
nych zegarów – jeden z nich to zegar
utrzymywany przez Linuksa w trak-
cie jego pracy, a drugi jest wbudowany
w płytę główną i podtrzymywany
bateryjką po wyłączeniu maszyny.
Przy uruchamianiu, Linux odczytuje
jego ustawienia i bazując na nich
zaczyna prowadzić swój własny ze-
58 styczeń 2005
gar. Synchronizacja zmienia tylko
zegar Linuksa, ale nadal działa nie-
skorygowany zegar płyty głównej.
Dlatego, aby zmiana była stała, należy
po synchronizacji zegara zapisać jego
ustawienia w zegarze płyty głów-
nej. Wykonamy to programem /sbin/
hwclock, który wchodzi w skład Util-
linux :
# /sbin/hwclock –systohc
Wiele dystrybucji Linuksa (choć nie
wszystkie) wykonują taką czynność
automatycznie przy wyłączaniu kompu-
tera, ale jeśli nie mamy co do tego pew-
ności, to lepiej samodzielnie zapisać
ustawienia zegara po synchronizacji. ■
X-Server i dostęp do fontów
Wiele razy spotykam się z pytaniem:
„A po co jest ten cały xfs ?”, w odniesie-
niu do tajemniczego programu potrzeb-
nego X-om do pracy. Xfs jest serwe-
rem fontów. To oznacza, że w opar-
ciu o swój plik konfiguracyjny, defi-
niujący, gdzie położone są fonty, udo-
stępnia je X-om. Ma naturę sieciową
i może obsługiwać wielu klientów,
więc możliwe jest uruchomienie poje-
dynczego serwera Xfs w sieci lokalnej
i takie skonfigurowanie X-ów na
innych maszynach, aby wszystkie
pobierały od niego fonty. Pozwa-
la to zaoszczędzić miejsce na dysku
(wielu klientów ma wspólne repozy-
torium fontów) i często ominąć pewne
restrykcje licencyjne samych fontów
(korzysta się z pojedynczej kopii
fontów).
Ale czy ma to sens w przypad-
ku typowej stacji roboczej, gdy fonty
leżą na lokalnym dysku? Kiedyś
owszem, gdyż miało to swoje uzasad-
nienie – tylko zewnętrzne serwery
fontów umiały udostępniać fonty True-
Type. Obecnie sam X-Server (nieważne,
czy wersja XFree86, czy X.org) dos-
Listing 1. Przykładowa sekcja “Files”
Section "Files"
FontPath "/usr/lib/X11/fonts/misc"
FontPath "/usr/lib/X11/fonts/S
100dpi”
FontPath "/usr/lib/X11/fonts/75dpi"
FontPath "/usr/lib/X11/fonts/Type1"
FontPath "/usr/share/fonts/S
FantasyTTF"
EndSection
konale radzi sobie z obsługą fontów
bitmapowych i skalowalnych (w tym
TrueType). Można więc zrezygnować
z osobnego serwera fontów, wyłą-
czając jego proces i zdając się na
mechanizmy wbudowane w same X-y.
Oszczędzi to trochę zasobów, a uru-
chamianie X-ów stanie się prostsze
(nie trzeba będzie najpierw urucha-
miać xfs).
Zmian dokonujemy w pliku kon-
figuracyjnym X-ów, czyli /etc/X11/
XF86Config (lub xorg.conf ). Najpierw
musimy poprawić sekcję Files, usu-
wając z niej wiersz FontPath "unix/:
7100" (lub podobny). Zamiast niego
wpisujemy bezpośrednio ścieżki dostę-
pu do katalogów z fontami – można
posiłkować się zawartością konfigu-
racji Xfs, zwykle w /etc/X11/fs/config.
Powinniśmy wpisać te katalogi do
sekcji Files tak, aby wyglądała po-
dobnie do tej z Listingu 1 (oczy-
wiście, katalogi z fontami mogą być
inne).
Oprócz tego, konieczne może być
skorygowanie sekcji Module. W zależ-
ności od używanych fontów, musimy
włączyć odpowiednie moduły:
Load "freetype"
Load "type1"
Load "bitmap"

Moduł freetype odpowiada za fonty
TrueType (*.ttf ). Moduł type1 obsługuje
fonty Adobe Type1 (*.afm, *.pfm, *.pfb),
a niezbędny moduł bitmap fonty bit-
mapowe (zwykle w plikach *.bdf ). Jeśli
nie mamy zamiaru używać np. fontów
Type1, to możemy pominąć ładowanie
odpowiedniego modułu. ■
Dlaczego mój Aterm/Eterm
nie jest przezroczysty?
Nowi użytkownicy terminali obsługu-
jących przezroczystość (np. Aterm lub
Eterm) często ze zdziwieniem zauwa-
żają, że tło, zamiast oczekiwanej prze-
zroczystości, jest całkiem czarne.
Wyjaśnienie jest proste – aby prze-
zroczystość mogła zadziałać, potrzeb-
na jest jakaś tapeta na pulpicie. Nie
jest to jedyny warunek, gdyż oprócz
tego, tapeta musi być ustawiana
specjalnym programem, przystoso-
wanym do wykonywania w pamię-
ci operacyjnej specjalnej kopii tapety
na użytek przezroczystości. Takimi
programami są przykładowo Esetroot
(zwykle rozprowadzany razem z Eter-
mem) oraz Habak (używany w silnie
zorientowanym na efekty przezroczy-
stości projekcie Fvwm Crystal ). Uży-
wając odpowiedniego narzędzia do
ładowania tapety, bez problemu osią-
gniemy np. takiego Aterma jak na
Rysunku 1. ■
Co znaczą symbole typu
char-major-10-135 w logach?
Czasem w logach jądra, zwłaszcza po
pierwszych w życiu próbach samodziel-
nej kompilacji, pojawiają się komunika-
ty dotyczące niemożności załadowania
modułu np. dla char-major-10-135. Co
oznacza ten zapis?
Jest to sposób oznaczenia pliku
urządzenia w /dev, czyli zapewne
Rysunek 1. Aterm – uruchomiony
przez wywołanie polecenia:
# aterm -tr -rv -fn 9x15bold -sh 70
w jądrze zabrakło obsługi jakiegoś
specyficznego urządzenia. W tym
przypadku chodzi o urządzenie typu
char (urządzenie znakowe), o głów-
nym (major) numerze równym 10
oraz pobocznym (minor) równym 135.
Na szczęście, ten kod da się prze-
łożyć na język zrozumiały dla zwy-
kłego użytkownika – odpowiedzi mo-
żna znaleźć w pliku /usr/src/linux/
Documentation/devices.txt (jest on
częścią dokumentacji jądra). Znajdu-
ją się w nim szczegółowe tabele opi-
sujące kombinacje numerków i typów.
Najpierw musimy znaleźć rozpiskę
dla głównego numeru 10 urządzeń
znakowych. Szukanie ciągu 10 char
od razu zaprowadzi nas tam, gdzie
trzeba. Teraz wystarczy odszukać
pozycję z numerem pobocznym 135.
Oto jak wygląda ten fragment doku-
mentacji:
(...)
134 = /dev/apm_bios Advanced PowerS
Management BIOS
135 = /dev/rtc Real Time Clock
139 = /dev/openprom SPARC OpenBootS
PROM
Jak widać, numer 135 przypisany
jest urządzeniu /dev/rtc, czyli Real
Time Clock. Z tymi informacjami
już wiadomo, której funkcjonalności
jądra brakuje i co musimy dokompi-
lować. ■
ROX-Filer i katalog ~/Choices
Nietypowe położenie katalogu ~/Choices
może być irytujące. Tradycyjnie, apli-
kacje linuksowe przechowują swoje
prywatne dane (zapisaną konfigura-
cję) w katalogach ukrytych, o nazwach
zaczynających się od kropki. ROX-Filer
wyłamuje się z tej konwencji, a obec-
ność tego katalogu bezpośrednio
w $HOME może przeszkadzać. Z tego
względu autorzy ROX-Filera wprowa-
dzili możliwość przesunięcia tego kata-
logu. Opcja ta nie jest dostępna w kon-
figuratorze, gdyż jest sterowana przez
zmienną środowiskową CHOICESPATH.
Jeśli dodamy do swojego ~/.bashrc
wiersz:
export CHOICESPATH=$HOME/.Choices
i zmienimy nazwę katalogu Choices na
.Choices, to ROX-Filer zacznie zacho-
sztuczki i kruczki dla początkujących
wywać się jak typowa linuksowa apli-
kacja. Oczywiście, możemy użyć
dowolnej innej ścieżki, ale ~/.Choices
wydaje się być naturalnym wybo-
rem. ■
Położenie katalogu ze źródłami
jądra
Umieszczasz swoje źródła jądra w /usr/
src/linux ? A ktoś mówi, że to zły
nawyk? Pora to wyjaśnić, bo dooko-
ła miejsca, w którym trzyma się źródła
jądra, narosło już dość nieporozu-
mień.
Tak naprawdę chodzi nie o jądro,
lecz bibliotekę glibc. Zawsze integruje
się ona z nagłówkami jądra, na którym
jest kompilowane, również z częścią
nagłówków Linuksa. I to o te nagłów-
ki chodzi. Po instalacji glibc powinny
się one znajdować w /usr/include/
linux i /usr/include/asm (oraz /usr/
include/asm-generic na nowszych sys-
temach). Do tych katalogów odwołują
się nagłówki glibc i w katalogach tych
powinny zawsze znajdować się kawał-
ki tego jądra, na którym glibc skom-
pilowano.
Aby zaoszczędzić miejsce na dysku,
wiele dystrybucji, zamiast kopiować
pliki do /usr/include/linux, po prostu
robiło tam dowiązania symbolicz-
ne od źródeł jądra w /usr/src/linux.
Dzięki temu nie dublowało się plików,
ale dochodziło do potencjalnie nie-
bezpiecznej sytuacji – w momen-
cie aktualizacji źródeł jądra, poprzez
dowiązania symboliczne dochodzi-
ło też do aktualizacji części nagłów-
ków glibc – tyle, że samo glibc nic
o tym nie wiedziało. W efekcie mogło
dojść przez to do konfliktów nagłów-
ków i trudnych do przewidzenia
awarii w nowo kompilowanych pro-
gramach.
Jeśli jesteśmy ciekawi, to sprawdź-
my, jak wyglądają nasze pliki /usr/
include/linux itp. – jeśli to prawdzi-
we katalogi, to spokojnie możemy
trzymać źródła najnowszego jądra
w /usr/src/linux, bo nie powodu-
je to podmieniania nagłówków. Jeśli
jednak /usr/include/linux to nie kata-
log, a dowiązanie symboliczne prowa-
dzi gdzieś do /usr/src/linux, to lepiej
nie zmieniajmy tam nic i źródła naj-
nowszego jądra ściągniętego z http://
www.kernel.org rozpakowujmy w ja-
kimś innym miejscu. ■
www.lpmagazine.org 59
 sprzęt
Programowy
RAID oraz LVM
Piotr Wolny
DVD
Po uruchomieniu Linux+ Live
DVD można przetestować oma-
wiane zagadnienia.
Na płycie CD/DVD
Na płycie CD/DVD znajduje się
oprogramowanie omawiane
w artykule.
O autorze
Autor hobbistycznie i zawodo-
wo zajmuje się Linuksem mniej
więcej od czasów jądra 2.0.20.
Obecnie pracuje w organiza-
cji społecznej. Poza Linuksem
fascynuje go rock progresywny.
Kontakt z autorem:
autorzy@lpmagazine.org
60 styczeń 2005
C
oraz więcej spośród naszych larnych rodzajów RAID można przeczytać
komputerów jest wyposażo- w ramce Poziomy RAID. Generalnie, RAID
nych w więcej niż jeden dysk umożliwia:
twardy. Tradycyjnie, zakłada-
my na tych dyskach kilka partycji, gdyż • zwiększenie bezpieczeństwa danych,
Linux umożliwia nam montowanie róż- jeśli stosujemy nadmiarowe dyski
nych części systemu plików (np. /usr czy (bez nadmiarowych dysków nasz
/home) z niezależnych urządzeń. Na tym RAID jest bardziej podatny na awarię
nie kończą się możliwości wykorzystania niż pojedyncze dyski);
dysków twardych w Linuksie. Od dawna • szybkość odczytu i zapisu danych
nasz system wspiera dwa bardziej zaawan- zwiększa się, jeśli tylko zastosujemy
sowane mechanizmy gromadzenia danych: rozdzielanie (ang. striping) danych
Software RAID oraz Logical Volume Mana- na dwa lub więcej niezależnych urzą-
ger. Przy ich pomocy możemy zwięk- dzeń fizycznych;
szyć wydajność pamięci masowej, a także • połączenie kilku niezależnych urzą-
poprawić bezpieczeństwo przechowy- dzeń w jeden system plików może
wanych danych. Choć zarówno Softwa- zwiększyć wygodę administracji sys-
re RAID, jak i Logical Volume Manager temem w pewnych konfiguracjach.
(LVM), kojarzą się często z wielkimi serwe-
rami, wyposażonymi w dziesiątki dysków, Pamiętajmy jednak, że RAID ma pewne
to z powodzeniem możemy je wykorzysty- ograniczenia:
wać również na domowych komputerach,
wyposażonych w dwa, trzy dyski twarde. • jedno utworzone urządzenie RAID nie
Ponadto, LVM jest również użyteczny może być dzielone na partycje, co cza-
z jednym dyskiem. sami powoduje konieczność konfigu-
rowania kilku RAID równocześnie;
RAID a LVM
Historycznie, starszym rozwiązaniem jest
programowy RAID. Idea Redundant Arrays
of Inexpensive Disks nie jest taka stara, gdyż
pochodzi z 1987 roku. Opracowano wtedy
koncepcję łączenia wielu tanich dysków
w jedno duże i szybkie urządzenie. Aby
awaria jednego z połączonych dysków nie
powodowała utraty danych na całej macie-
rzy, w koncepcji ujęto dyski nadmiarowe
(ang. redundant), niezbędne do odtwo-
rzenia danych, w przypadku awarii. Tra-
dycyjne RAID wykonuje się sprzętowo,
najczęściej łącząc dyski SCSI, które, po
podłączeniu do komputera, są widocz-
ne jako jedno urządzenie. Linux umożli-
wia nam budowę RAID poprzez progra-
Rysunek 1. W Linuksie dyski różnego
mowe połączenie dysków w macierze
typu możemy łączyć w jedno urządzenie
i mogą to być zarówno urządzenia SCSI,
RAID lub LVM
IDE, jak również SATA. Na temat popu-

Rysunek 2. Sterowniki do RAID i LVM
znajdziemy w jądrze Linuksa
• raz utworzony RAID nie może zostać
rozszerzony na więcej dysków.
Dzięki RAID, to co komputer widzi jako
jedno urządzenie blokowe, może być
w istocie kombinacją kilku partycji na róż-
nych dyskach twardych. Logical Volume
Manager idzie znacznie dalej. Udostęp-
niane przez niego urządzenia blokowe
nie tylko mogą fizycznie znajdować się
na dowolnej ilości dysków czy partycji, ale
również możliwe jest ich łatwe powięk-
szanie, zmniejszanie oraz przenoszenie.
To tak, jakby jedna tablica partycji obej-
mowała nie tylko kilka dysków, ale rów-
nież umożliwiała dodawanie/usuwanie,
zwiększanie/zmniejszanie partycji bez
żadnej przerwy w pracy systemu – czasem
nawet bez odmontowania partycji. Możli-
we jest przy tym równie łatwe dokładanie
kolejnych dysków. Reasumując, dzięki LVM
otrzymujemy:
• całkowitą dowolność w przydzielaniu
poszczególnych fizycznych dysków czy
partycji jako urządzeń blokowych w sys-
temie (np. urządzenie zamontowane
jako /home może składać się z jedne-
go dysku IDE i połowy dysku SCSI);
• możliwość łatwego zwiększania i zmnie-
jszania (jeśli system plików umożliwia
to drugie) poszczególnych urządzeń
widzianych przez system operacyjny
oraz przenoszenia ich między dyskami
(obejmuje to również łatwe dodawanie
i odejmowanie dysków z systemu);
• rozdzielanie (ang. striping) danych na
dwa lub więcej niezależnych urządzeń
fizycznych, aby zwiększyć wydajność;
• funkcję ułatwiającą wykonywanie
kopii bezpieczeństwa (snapshot).
Wadą linuksowego LVM-a jest brak możli-
wości stosowania nadmiarowych dysków,
ale możemy połączyć go z programowym
RAID-1, aby zapewnić sobie dodatkowe
zabezpieczenie.
software raid oraz logical volume manager
Tworzymy programowy
RAID
Programowy RAID możemy założyć na
co najmniej dwóch dowolnych partycjach.
Aby miał on jakikolwiek sens, partycje te
powinny znajdować się na osobnych dys-
kach. Zakładanie RAID na dwóch party-
cjach jednego dysku nie zwiększy bezpie-
czeństwa danych, ani nie przyspieszy ope-
racji dyskowych. Możemy łączyć w jeden
RAID partycje z całkiem różnych dysków,
np. IDE, SCSI czy SATA, ale z reguły taka
hybryda będzie pracowała z prędko-
ścią najwolniejszego spośród nich. Jeśli
chcemy łączyć dwa dyski IDE, powinny
one znajdować się na osobnych kanałach
IDE – gdy będą połączone jedną taśmą,
zauważymy wyraźny spadek wydajności.
Programowy RAID jest realizowany na
poziomie jądra systemu. Musimy posiadać
w jądrze wsparcie dla RAID. Przy konfi-
guracji jądra, w dziale Multi-device sup-
port (RAID and LVM), powinniśmy zazna-
czyć RAID support oraz potrzebne tryby
RAID (możemy wszystkie). Najwygodniej
jest wkompilować obsługę RAID na stałe
do jądra. Możemy również nie kompilo-
wać jądra samodzielnie i polegać na dys-
trybucyjnym – we wszystkich nowych
dystrybucjach znajdziemy moduły linear,
raid0, raid5 itd., potrzebne do działa-
nia naszej macierzy. Wystarczy polecenie
cat /proc/mdstat, aby dowiedzieć się, czy
nasze jądro posiada wsparcie dla Software
RAID. Jeśli zobaczymy komunikat o braku
pliku, musimy skonfigurować i skompilo-
wać nowe jądro własnoręcznie.
Programowy RAID jest dostępny w ją-
drze Linuksa od bardzo dawna – jest stan
dardowo obecny w jądrach z serii 2.4.x
i 2.6.x, ale istnieją łatki pozwalające używać
go z jądrami 2.2.x, a nawet 2.0.x. Wszystkie
opisane tutaj czynności wykonywałem na
jądrze 2.6.9 – powinny one wyglądać iden-
tycznie w starszych wersjach jądra, włą-
cznie z serią 2.4.x.
Poza wsparciem w jądrze systemu,
będziemy potrzebować jeszcze dwóch
pakietów z oprogramowaniem: mdadm
oraz raidtools (w Debianie – raidtools2).
Ten pierwszy zawiera narzędzie do akty-
wowania i zatrzymywania urządzeń
RAID, a drugi dostarcza podstawowych
narzędzi do tworzenia macierzy. Znajdzie-
my te pakiety we wszystkich popularnych
dystrybucjach Linuksa.
Załóżmy, że nasz system operacyj-
ny jest zainstalowany na dysku sda, a na
RAID chcemy przeznaczyć dyski IDE: hda
sprzęt
RAID i LVM podczas
instalacji dystrybucji
Instalatory większości nowoczesnych dys-
trybucji umożliwiają utworzenie urządzeń
RAID i LVM już podczas instalacji Linuksa.
Przykładowo, w Aurox Linuksie wystarczy,
że wybierzemy Partycjonowanie ręczne
Disk Druidem i będziemy mogli utworzyć
RAID-a, LVM-a, a nawet LVM-a na RAID-
ie. W nowych wersjach Mandrakelinuksa
również musimy wybrać ręczny podział
na partycje, a później dodatkowo przełą-
czyć się na tryb zaawansowany. Instala-
tor tej dystrybucji ma podobne możliwości,
ale zdaje się, że nie pozwala na tworzenie
LVM-a na RAID-ie.
Jeśli wiemy, jak działają urządze-
nia RAID oraz LVM, utworzenie ich przy
pomocy któregoś z tych instalatorów
nie powinno stwarzać żadnych proble-
mów. Przykładowo, aby stworzyć RAID
w Aurox Linuksie, klikamy na RAID, wybie-
ramy pierwszy z dysków i zaznaczamy
utworzyć partycję programowego RAID.
Następnie to samo powtarzamy dla kolej-
nych dysków. Na zakończenie, jeszcze raz
klikamy na RAID i wybieramy utworzyć
urządzenie programowego RAID. Wtedy
będziemy mogli podać jego typ, punkt
zamontowania oraz system plików, który
zostanie na nim utworzony. LVM tworzy-
my podobnie – najpierw tworzymy jedną
lub kilka partycji typu physical volume
LVM, a później klikamy na LVM i tworzymy
poszczególne woluminy logiczne.
Moje doświadczenia z tworzeniem
RAID-a oraz LVM-a przez instalatory
dystrybucji nie są zachęcające. Polecam
instalację na tradycyjnych urządzeniach,
a dopiero później stworzenie RAID-a czy
LVM-a i przeniesienie na nie odpowiednich
katalogów.
i hdd. Na obydwu tych dyskach utwo-
rzyliśmy partycje, przy czym na RAID
mają być przeznaczone hda2 oraz hdd2.
Zanim rozpoczniemy właściwą pracę,
możemy przetestować szybkość działa-
nia tych dysków, przed zbudowaniem
z nich macierzy. Jak na poważnie podejść
do testowania wydajności dysków, korzy-
stając z programu Bonnie++, opisuję
w ramce Jak testować dyski?. Przy pro-
jektowaniu systemu, w którym ważną
rolę odgrywa wydajność pamięci maso-
wej, należy zawsze kierować się wskaza-
niami programu Bonnie++ lub podobne-
go. W tym artykule, aby szybko i obrazo-
wo pokazać różnice pomiędzy konfigura-
cjami RAID, posłużę się programem dd.
Przykładowo, po utworzeniu na partycji
www.lpmagazine.org 61
 sprzęt
hda2 systemu plików ext2, zamontowa- cia tej macierzy podczas uruchamiania
niu jej w /mnt/test/, wykonałem komendy: się jądra systemu; chunk-size określa w
cd /mnt/test; dd if=/dev/zero of=ska- kilobajtach, na jakie najmniejsze jednost-
suj_mnie count=2000000.W efekcie otrzy- ki będą dzielone dane podczas zapisu na
małem następującą prędkość zapisu linio- macierz (nie można jednoznacznie powie-
wego jednego dużego pliku: dzieć, jaka wartość spowoduje najlepszą
wydajność, ale wstępnie możemy przyjąć,
1024000000 bytes transferred że będzie ona równa block size naszego
in 28,490542 seconds systemu plików). Dalej wyliczamy i nume-
(35941752 bytes/sec) rujemy wszystkie użyte partycje.
Kolejnym krokiem jest zmiana przy
Przy zastosowaniu systemu plików ext3 pomocy programu fdisk identyfikato-
czas potrzebny dla wykonania tej opera- rów partycji, na których będzie działa-
cji urósł do 32,8 sekundy. ła macierz. Powinny one otrzymać typ
fd, czyli Linux raid auto. Bez tej czynno-
RAID-0 ści macierz będzie działać, ale nie zosta-
Najpierw wypróbujemy RAID-0. Aby nie automatycznie wykryta przez jądro
go utworzyć, musimy napisać plik /etc/ systemu.
raidtab. Na początek umieściłem tam Gdy wszystko jest gotowe, wykonu-
następujące wpisy: jemy polecenie mkraid /dev/md0. Oczy-
wiście, w jego wyniku utracimy wszyst-
raiddev /dev/md0 kie dane, które mieliśmy na partycjach
raid-level 0 wymienionych w /etc/raidtab. W rezulta-
nr-raid-disks 2 cie powinniśmy otrzymać coś takiego:
persistent-superblock 1
chunk-size 4 handling MD device /dev/md0
device /dev/hda2 analyzing super-block
raid-disk 0 disk 0: /dev/hda2, 14659312kB,
device /dev/hdd2 raid superblock at 14659200kB
raid-disk 1 disk 1: /dev/hdd2, 18922680kB,
raid superblock at 18922560kB
Jak widzimy, ten plik nie jest skompli-
kowany. Pierwsza linia określa, które- Jak widzimy, mimo, że partycje te różnią
go urządzenia dotyczy ta konfigura- się wielkością, macierz została utworzona.
cja. Poza md0 możemy mieć dowol- Teraz możemy sprawdzić ją komendą cat
nie dużą ilość innych urządzeń (oczy- /proc/mdstat. Powinniśmy zobaczyć np.
wiście, powinny się one znajdować na coś takiego:
innych partycjach). Opcją raid-level
ustalamy rodzaj macierzy – w tym Personalities : [linear] [raid0]
przypadku RAID-0, czyli stripe. Jako nr- [raid1] [raid5] [raid6] [raid10]
raid-diskpodajemy,ilepartycjimapracować md0 : active raid0 hdd2[1] hda2[0]
w tym urządzeniu; persistent-superblock 33581760 blocks 4k chunks
spowoduje, że w superbloku podanych unused devices: <none>
dalej partycji zostaną zapisane informa-
cje potrzebne do automatycznego wykry- Od teraz urządzenie /dev/md0 traktujemy
jak partycję dysku twardego. Możemy np.
wykonać polecenia:
# mkfs.ext3 /dev/md0
# mount /dev/md0 /mnt/test/
# cd /mnt/test/
# dd if=/dev/zero of=
skasuj_mnie count=2000000
Na moim systemie ten szybki test pokazał:
Rysunek 3. Wszystkie potrzebne
informacje do zbudowania RAID
1024000000 bytes transferred
i LVM możemy znaleźć po angielsku
in 18,410448 seconds
w odpowiednich HOWTO
(55620591 bytes/sec)
62 styczeń 2005
Widzimy prawie dwukrotny wzrost pręd-
kości zapisu tego pliku (z 32,8 do 18,4
sekundy). Podobna macierz, utworzo-
na w moim komputerze na dyskach
SATA, poradziła sobie z tym zapisem
w 14 sekund.
W ten sposób otrzymaliśmy urzą-
dzenie, które powinno działać znacz-
nie szybciej od pojedynczego dysku,
zarówno przy operacjach odczytu, jak
i zapisu. Możemy zamontować je
w dowolnym miejscu systemu plików,
w którym występuje intensywne użycie
dysku, np. w /var/www. Wystarczy tylko
odpowiedni wpis w /etc/fstab i prze-
niesienie starych danych na nowe urzą-
dzenie. Jeśli chcemy używać macierzy
w kilku różnych miejscach systemu
plików, musimy dołożyć więcej dysków
lub posiadane dyski podzielić na więcej
partycji, następnie zdefiniować w /etc/
raidtab kolejne urządzenia /dev/md1, md2
itd., wszystkie je zainicjować (mkraid), sfor-
matować oraz zamontować.
Jeśli prawidłowo zainstalowaliśmy
pakiety mdadmin oraz raidtools, skryp-
ty odpowiedzialne za zamykanie syste-
mu powinny zatrzymać macierz (wyko-
nać komendę raidstop z odpowiednim
parametrem), zanim nasze dyski zostaną
odłączone od zasilania. W wielu dystry-
bucjach będzie również działało powia-
damianie pocztą administratora systemu
o awarii któregoś z dysków. Wspomnia-
ne pakiety mają jeszcze sporo więcej moż-
liwości – warto przejrzeć ich pliki konfi-
guracyjne w katalogach /etc/default/ oraz
/etc/mdadm/.
RAID-1
Załóżmy, że postanowiliśmy zmienić swoją
konfigurację, tworząc RAID-1 w miejsce
RAID-0 – tak naprawdę dopiero RAID-1
jest prawdziwym RAID, gdyż w RAID-0
nie ma nadmiarowych dysków. Zanim
rozpoczniemy tworzenie nowego urzą-
dzenia, musimy koniecznie dezakty-
wować poprzednie. Pierwszym kro-
kiem jest odmontowanie systemu plików
zamontowanego na macierzy (np. umount
/var/www). Następnie wykonujemy ko-
mendę raidstop /dev/md0. Dopiero
wtedy możemy zmieniać układ partycji
na dyskach i tworzyć nowe macierze.
Jeśli pominiemy te kroki, ani konfigura-
cja nowej macierzy, ani zmiany w ukła-
dzie partycji nie będą skuteczne – co naj-
wyżej mogą doprowadzić do bezpowrot-
nej utraty danych.

Plik konfiguracyjny /etc/raidtab dla
RAID-1 jest prawie identyczny, jak dla
RAID-0:
raiddev /dev/md0
raid-level 1 raid superblock at 14659200kB
nr-raid-disks 2 disk 1: /dev/hdd2, 18922680kB,
persistent-superblock 1
chunk-size 4 rozdzielania dostępu na wiele fizycznych
device /dev/hda2
raid-disk 0 gotowe do użycia. Ma ono pojemność 14
device /dev/hdd2
raid-disk 1 tych partycji. Tworzymy na nim system
Następnie wydajemy polecenie mkraid
/dev/md0 i dostajemy w efekcie komu-
nikat:
handling MD device /dev/md0
analyzing super-block
disk 0: /dev/hda2, 14659312kB,
raid superblock at 14659200kB
/dev/hda2 appears to be already
part of a raid array -- use -f to
force the destruction of the
old superblock
mkraid: aborted.
Jak widać, system odmówił stworzenia
nowej macierzy na urządzeniach, na któ-
rych poprzednio utworzyliśmy RAID-0.
Jesteśmy jednak pewni, że chcemy całko-
wicie zniszczyć poprzednią macierz, więc
wydajemy polecenie: mkraid -R /dev/md0
i otrzymujemy np.:
Rysunek 4. Przykładowa konstrukcja LVM
software raid oraz logical volume manager sprzęt
DESTROYING the contents of /dev/md0
in 5 seconds, Ctrl-C if unsure!
Integracja RAID/LVM
handling MD device /dev/md0 w systemie
analyzing super-block To, gdzie zamontujemy nowo powsta-
łe urządzenia, zależy od celu, jaki przy-
disk 0: /dev/hda2, 14659312kB,
świecał nam przy konfiguracji LVM-a czy
RAID-a, jak również od specyfiki nasze-
go systemu. Mogą one zarówno przyspie-
raid superblock at 18922560kB
szyć dostęp do danych (jeśli korzystamy z
Od teraz urządzenie /dev/md0 jest urządzeń), jak i usprawnić administrowa-
nie miejscem na dysku i zwiększyć bez-
GB, czyli tyle samo, ile mniejsza z uży- pieczeństwo danych. Stosujmy więc go
w tych miejscach, gdzie wymagana jest
plików i sprawdzamy, jak działa. Komen- któraś z tych właściwości. Pierwszymi
da dd, użyta identycznie jak w poprzed- lokalizacjami, które przychodzą na myśl
są /home oraz /var – z reguły tam naj-
nich przykładach, tym razem potrzebo-
częściej przewidzieliśmy za dużo lub za
wała aż ponad 35 sekund na wykonanie
mało miejsca na dysku, a także tam na
swojego zadania. Widzimy, że RAID-1
ogół mamy najważniejsze dane. W przy-
przy operacji zapisu działa nieznacznie padku, gdy nasze nowe urządzenie działa
wolniej niż pojedynczy dysk twardy. szybciej niż zwykłe dyski (dzięki wykorzy-
Kosztem zmniejszenia wydajności staniu strip), możemy zdecydować się na
otrzymujemy większe bezpieczeństwo przeniesienie na niego katalogu /tmp – ist-
danych. Gdy jeden z dysków ulegnie nieją aplikacje, które intensywnie go wyko-
awarii, macierz będzie pracowała dalej, rzystują, czy nawet /usr, co może minimal-
a w logach systemowych pojawi się infor- nie przyśpieszyć uruchamianie się progra-
macja o konieczności jego wymiany. mów na komputerze biurkowym.
Aby przenieść dane z podstawowego
urządzenia na nowe, możemy najprościej
RAID-5 zamontować go w tymczasowej lokali-
Stworzenie RAID-5 nie jest wcale trud-
zacji (np. /mnt/tmp) i użyć komendy, np.
niejsze niż RAID-0 i RAID-1. Przykła- cp -ax /var/* /mnt/tmp/, następnie
dowy /etc/raidtab, który stworzyłem na opróżnić przykładowy katalog /var i uak-
swoim komputerze, może wyglądać tak: tualnić /etc/fstab, aby właściwe urządze-
nie było montowane w tym miejscu.
raiddev /dev/md0
raid-level 5 nr-raid-disks 4
persistent-superblock 1
chunk-size 4
device /dev/hda2
raid-disk 0
device /dev/hdd2
raid-disk 1
device /dev/sda3
raid-disk 2
device /dev/sdb9
raid-disk 3
Wydane polecenie mkraid -R /dev/md0
pokazało:
DESTROYING the contents of /dev/md0
in 5 seconds, Ctrl-C if unsure!
handling MD device /dev/md0
analyzing super-block
disk 0: /dev/hda2, 14659312kB,
raid superblock at 14659200kB
disk 1: /dev/hdd2, 18922680kB,
raid superblock at 18922560kB
disk 2: /dev/sda3, 39070080kB,
raid superblock at 39070016kB
www.lpmagazine.org 63
 sprzęt
Rysunek 5. Konfiguracja naszych
urządzeń wymaga użycia poleceń,
działających z linii komend
disk 3: /dev/sdb9, 9775521kB,
raid superblock at 9775424kB
Tak utworzone urządzenie ma rozmiar
ok. 27 GB. Dlaczego? Musimy pomnożyć
rozmiar najmniejszej z użytych partycji
(9775521kB ~= 9GB) razy ilość dysków
i odjąć rozmiar jednej partycji, potrzeb-
nej na dane o parzystości, więc 9*4-
9=27.
Szybki test, przy pomocy komendy
dd i urządzenia /dev/zero, zajął na moim
systemie 20 sekund, więc RAID-5 działa
szybciej niż pojedynczy dysk, ale oczy-
wiście wolniej niż RAID-0.
Zapasowe dyski
Dla zwiększenia bezpieczeństwa macierzy
typu RAID-1 i RAID-5 (a także nieopisy-
wanych tutaj RAID-6 i RAID-10) możemy
wykorzystać dyski zapasowe (spare disk).
Taki dysk nie jest normalnie używany –
żadne dane nie są zapisywane ani odczy-
tywane z niego. W momencie, gdy jeden
z dysków zostanie uszkodzony, macierz
automatycznie odtworzy jego zawartość
na pierwszym, dostępnym spare disk.
Dzięki temu wyłączenie systemu w celu
wymiany uszkodzonych dysków może
zostać zaplanowane na znacznie później-
szy termin – możemy czekać nawet do
kolejnej awarii któregoś dysku i nie straci-
my żadnych danych.
Aby dodać do macierzy dysk zapaso-
wy, wystarczy do /etc/raidtab dopisać np.
takie linie:
device /dev/sdd1
spare-disk 0
Tworzymy LVM-a
Logical Volume Manager sam w sobie nie
jest trudny do skonfigurowania. To co
odstrasza od niego wielu użytkowników,
to stosowana w nim terminologia. Zanim
64 styczeń 2005
przystąpimy do pracy, musimy koniecznie Multiple devices driver support. Z dostęp-
przyswoić sobie kilka podstawowych ter- nych tam dodatkowych opcji powinniśmy
minów, stosowanych w LVM-ie – bez tego zaznaczyć przynajmniej Snapshot target
dosyć szybko się pogubimy. oraz Mirror target – mimo, że są one ozna-
LVM tworzy dodatkową warstwę abs- czone jako eksperymentalne, to są już
trakcji pomiędzy urządzeniami pamięci w powszechnym użyciu (najpierw musimy
masowej a systemem plików w systemie. wybrać Prompt for development and/or
W efekcie, pomiędzy partycją na dysku incomplete code/drivers w dziale Code
a systemem plików w komputerze poja- maturity level options).
wiają się dodatkowe terminy: Najwygodniej jest wkompilować
LVM-a na stałe do jądra, ale w niektórych
• physical volume (PV) – wolumin dystrybucjach znajdziemy go w posta-
fizyczny to po prostu dysk twardy lub ci modułu o nazwie dm-mod. Jeśli pole-
częściej partycja na dysku twardym, gamy na jądrze dystrybucyjnym, musimy
ale może to być również urządzenie tylko załadować ten moduł. Powinniśmy
programowego RAID-a; używać jąder z serii 2.6.x, gdyż w star-
• volume group (VG) – grupa wolumi- szych, z serii 2.4.x, znajduje się poprzed-
nów to jeden lub kilka woluminów nia generacja LVM-a, która posiada nieco
fizycznych (mamy z nią do czynienia mniejsze możliwości.
zawsze, nawet gdy posiadamy tylko Poza wsparciem w jądrze, potrzebu-
jeden PV); jemy również zestawu programów do
• logical volume (LV) – wolumin logicz- tworzenia i administracji LVM. Są one
ny (system widzi LV jako urządzenie z reguły w pakiecie o nazwie lvm2,
blokowe, więc jeśli stosujemy LVM-a, a nie w pakiecie lvm lub lvm01, który jest
system plików (np. ext3) zakładamy przeznaczony do współpracy ze starszy-
nie na partycji, ale na LV; podobnie, w mi wersjami jądra. Używanie złej wersji
systemie montujemy LV, a nie partycję; programów narzędziowych może ścią-
na jednej grupie woluminów tworzy- gnąć na nas nieoczekiwane problemy,
my jeden lub więcej LV); więc zwróćmy uwagę, czy mamy zainsta-
• physical extent (PE) i logical extent lowany właściwy i tylko właściwy pakiet.
(LE) – ekstenty fizyczny i logicz- Ponadto, musimy zainstalować wszyst-
ny (dane na woluminach fizycznych kie biblioteki, od których jest on zależny
i logicznych dzielone są na mniejsze (zwłaszcza libdevmapper).
jednostki, np. po 4 MB; wielkość PE
i LE są takie same). Wybór urządzeń
Przy projektowaniu macierzy dyskowej
Do działania LVM-a potrzebujemy w ją- musieliśmy wybrać, na których party-
drze wsparcia dla Device mapper. Przy cjach jakich dysków zostanie ona utworzo-
konfiguracji jądra znajdziemy go w dziale na. LVM może korzystać z poszczególnych
Listing 1. Przykładowy raport, generowany przez vgdisplay
--- Volume group ---
VG Name dyski_IDE
System ID
Format lvm2
Metadata Areas 1
Metadata Sequence No 1
VG Access read/write
VG Status resizable
MAX LV 0
Cur LV 0
Open LV 0
Max PV 0
Cur PV 1
Act PV 1
VG Size 37,27 GB
PE Size 4,00 MB
Total PE 9540
Alloc PE / Size 0 / 0
Free PE / Size 9540 / 37,27 GB
VG UUID OEEclx-9gIP-Oqyl-R1cH-9tkK-Mlm7-rWW4xi

partycji, identycznie jak RAID, ale możemy
go również instalować bezpośrednio na
niepodzielonym na partycje dysku (jeśli
chcemy go w całości przeznaczyć do tego
celu). Ponadto, możemy również skonfi-
gurować LVM-a na urządzeniu /dev/md0,
czyli na dowolnym typie programowe-
go RAID-a. Jak wcześniej wspomniałem,
LVM, mimo swoich sporych możliwości,
nie obsługuje nadmiarowych dysków, więc
jeśli skonfigurujemy LVM-a na RAID-1, to
otrzymamy urządzenie, które łączy w sobie
zalety jednego i drugiego – podwyższone
bezpieczeństwo danych i lepszą elastycz-
ność w konfiguracji systemu.
W dalszej części artykułu podam,
jak łatwo stworzyć LVM-a na macierzy
RAID-1. Jeśli chcemy utworzyć LVM-a na
pojedynczym dysku czy partycji, wszyst-
kie czynności wykonujemy identycz-
nie, podając tylko inne nazwy urządzeń.
Zakładam, że utworzyliśmy już macierz
RAID-1, tak jak opisywałem wcześniej.
Kolejne kroki
Pierwszą czynnością jest oznaczenie
wszystkich urządzeń, które mają stać się
częścią jakiejś grupy woluminów (VG).
W naszym przypadku wydajemy pole-
cenie: pvcreate /dev/md0. Jeśli chcemy
zainstalować LVM-a na pojedynczej par-
tycji, np. /dev/hdb3, napiszemy pvcre-
ate /dev/hdb3, a gdy przeznaczamy na
LVM-a cały dysk hdb – pvcreate /dev/hdb.
W tym ostatnim przypadku powinniśmy
najpierw wymazać z tego dysku tablicę
partycji, np. poleceniem dd if=/dev/zero
of=/dev/hdb bs=1k count=1. Po wydaniu
polecenia pvcreate powinniśmy zoba-
czyć np. Physical volume "/dev/md0" suc-
cessfully created. Polecenie to powtarza-
my dla wszystkich urządzeń, które mają
być użyte w którejś z VG. Spowodu-
je ono zapisanie na początkowych sek-
torach urządzenia specyficznych danych,
identyfikujących dane urządzenie, dzięki
czemu, jeśli np. zamienimy dyski sda
i sdb, LVM będzie działało nadal bez prze-
Rysunek 6. LVM pomaga nam lepiej zorganizować miejsce na dyskach
software raid oraz logical volume manager
Poziomy RAID:
• Liniowy (linear mode). W tym trybie dwie
lub więcej partycji dodawanych jest do
siebie liniowo, aby utworzyć jedno duże
urządzenie RAID. Podczas zapisu na to
urządzenie, dane najpierw zapełnią całą
pierwszą partycję (pierwszy dysk), póź-
niej drugą itd. Pojemność uzyskanego
urządzenia równa jest sumie pojemno-
ści wszystkich użytych partycji. Partycje
nie muszą mieć tego samego rozmiaru.
Nie uzyskujemy zwiększenia prędkości,
a awaria jednego dysku powoduje utratę
danych z całej macierzy.
• RAID-0 (stripe). Pojemność dwóch lub
więcej urządzeń dodawana jest do sie-
bie, ale dane są zapisywane równocze-
śnie na wielu urządzeniach i podobnie
odczytywane. Jeśli mamy w ten spo-
sób połączone trzy dyski i ustaliliśmy
rozmiar paska danych (ang. stripe size)
na 16 kB, to przy nagrywaniu pliku o wiel-
kości 48 kB uruchomione zostaną wszy-
stkie dyski równocześnie i na każdym
z nich nagrane zostanie tylko 16 kB. Jak
łatwo się domyśleć, taka konfiguracja
zwiększa nawet wielokrotnie prędkość
transferu danych. Suma pojemności
dysków jest dodawana, ale powinny one
być takiej samej wielkości. Jeśli są różne,
na wszystkich dyskach używana jest
tylko pojemność najmniejszego z nich.
Awaria jednego dysku powoduje utratę
danych z całej macierzy.
• RAID-1 (mirror). Identyczne dane
zapisywane są równocześnie na
dwóch lub więcej dyskach. Odczyt
następuje z któregokolwiek z nich.
Pojemność takiej macierzy jest
równa pojemności najmniejszej
z użytych partycji. Prędkość zapisu jest
nieco mniejsza niż na pojedynczym
dysku. W przypadku awarii jednego
dysku, system może pracować dalej, nie
następuje żadna utrata danych.
szkód (nie dotyczy to mojego systemu,
w którym LVM powstaje na RAID-1).
Drugą czynnością jest utworzenie
grupy woluminów. Każda grupa ma swoją
sprzęt
• RAID-5. Wymaga trzech lub więcej
partycji. Wielkość powstałego urzą-
dzenia równa się sumie rozmiarów
wszystkich użytych partycji minus roz-
miar jednej. Jeśli mamy cztery par-
tycje po 15 GB, uzyskujemy 45 GB
miejsca. Gdy rozmiary partycji nie są
równe, w obliczeniach stosujemy wiel-
kość najmniejszej z nich. To odejmo-
wane miejsce wykorzystywane jest do
przechowywania kontroli parzystości
z urządzeń, dzięki czemu w przypad-
ku awarii jednego z dysków możliwe
jest odtworzenie wszystkich danych.
W przypadku równoczesnej awarii
dwóch dysków, dane zostaną bezpow-
rotnie utracone. Prędkość działania jest
zbliżona do RAID-0, ale przy zapisie
jest minimalnie mniejsza, gdyż oblicza-
na jest „parzystość” danych (a dokład-
niej wykonywana jest operacja logiczna
Exclusive OR na poszczególnych bitach
ze wszystkich dysków).
Ponadto rzadko stosowane są:
• RAID-4 – podobny do RAID-5, ale infor-
macja o parzystości jest zapisywana
wyłącznie na jednym urządzeniu, przez
co staje się ono wąskim gardłem. Powin-
no być dużo szybsze niż pozostałe.
• RAID-6 – podobny do RAID-5, z jesz-
cze jednym dyskiem na dane o parzy-
stości, dzięki czemu może przetrwać
równoczesną awarię dwóch dysków.
• RAID-2, RAID-3 są podobne do RAID-
4, ale nie przyjęły się i nie było sensu
zapewniać dla nich wsparcia w Linuksie.
• RAID-10 – Jest to RAID-0, ale poszcze-
gólnymi jego elementami nie są partycje
fizycznych dysków, a macierze RAID-1.
Wymaga więc czterech lub większej
liczby dysków.
nazwę, którą możemy dobrać według
własnego uznania. W moim przykładzie
utworzyłem VG poleceniem vgcreate
dyski_IDE /dev/md0, które odpowiedziało
komunikatem Volume group "dyski_IDE"
successfully created. Nadałem swojej
grupie nazwę „dyski_IDE”. Jeśli nasz wolu-
min ma się rozciągać na więcej urządzeń,
w tym poleceniu wymieniamy je wszyst-
kie, np. vgcreate dyski_IDE /dev/hda3
/dev/hdc4 /dev/sda5. Możemy utworzyć
więcej VG w jednym systemie (maksymal-
nie 99), ale oczywiście żadne urządzenie
fizyczne nie może być w dwóch grupach.
Przy okazji tworzenia VG możemy ustawić
www.lpmagazine.org 65
 sprzęt
Rysunek 7. Wynik działania programu
Bonnie++ po konwersji do html
rozmiar PE – według HOWTO domyślną
wartością jest 32 MB, ale na moim syste-
mie vgcreate użył wartości 4 MB. Własną
wartość możemy podać przy pomocy
opcji -s, np. vgcreate -s 32 /dev/md0.
Podana liczba (domyślnie w megabajtach)
musi być potęgą dwójki.
Następny krok to aktywacja woluminu.
Przeprowadzamy ją poleceniem vgchan-
ge --available y dyski_IDE. Powinno
ono odpowiedzieć: 0 logical volume(s) in
Jak testować dyski?
Zapewne wielu użytkowników Linuksa
zna narzędzie hdparm. Przy jego pomocy
możemy m.in. sprawdzić szybkość liniowego
transferu danych z dysku. To bardzo prosty
test, umożliwiający porównywanie różnych
dysków – w istocie bardzo niewiele mówi
nam o tym, jak wydajna będzie nasza pamięć
masowa, a już zupełnie nie nadaje się do
testowania RAID-a czy LVM-a.
Nie ma jednego, uniwersalnego mierni-
ka prędkości dysku, ponieważ każdy system
komputerowy jest inny – jedne ciągle odczytu-
ją pliki wielkości kilku gigabajtów, a inne dzie-
siątki tysięcy plików o wielkości kilku kilobaj-
tów. Na jednych równie ważna jak prędkość
odczytu jest prędkość zapisu, a na innych nie
ma ona znaczenia. Niektóre programy czytają
dane liniowo, a inne wciąż przeszukują dysk.
Z tego powodu mierząc wydajność pamięci
masowej, zawsze musimy brać pod uwagę
konkretny system.
Najpopularniejszym programem, który
da nam więcej informacji na temat dzia-
łania dysku jest Bonnie++ (http://www.
coker.com.au/bonnie++/). Jeśli nie znajduje-
my go w swojej dystrybucji, możemy ściągnąć
źródła z jego strony domowej, aby skompilo-
wać i zainstalować je tradycyjnymi komenda-
mi: ./configure; make; make install. Pro-
gram ten testuje szybkość działania nie tyle
samego twardego dysku, a systemu plików.
Na testowanym dysku musimy założyć jakąś
partycję, utworzyć na niej system plików
i zamontować w systemie. Następnie prze-
chodzimy do katalogu, gdzie zamontowany
jest testowany dysk (np. cd /mnt/test) i uru-
66 styczeń 2005
volume group "dyski_IDE" now active. Co
ważne, od tego momentu skrypty, odpo-
wiadające za start i zamykanie systemu,
które zainstalowaliśmy razem z pakietem
lvm2, będą opiekowały się naszym wolu-
minem, czyli aktywowały go przy starcie
i dezaktywowały przy zamykaniu syste-
mu.
Po aktywacji VG możemy uzyskać cie-
kawe informacje na jego temat, wydając
komendę vgdisplay dyski_IDE. Wynik jej
działania na moim systemie zamieściłem
na Listingu 1. Widzimy, że nasz rozmiar
PE wynosi 4 MB (PE Size), a do dyspozycji
mamy 9540 PE. Zwróćmy uwagę, że w tym
przykładzie LVM widzi tylko jedno urzą-
dzenie fizyczne (jest nim /dev/md0), mimo
że faktycznie mamy dwa dyski.
Zbliżamy się do końca. Teraz utwo-
rzymy woluminy logiczne. Jak wspomnia-
łem wcześniej, na jednym VG możemy
utworzyć wiele woluminów logicznych
(w systemie może ich być maksymal-
chamiamy program: bonnie++ -s 1000k
-n 128 -b. Przy pomocy opcji -s 1000k
ustaliliśmy wielkość pliku, który utwo-
rzy Bonnie++, aby sprawdzić prędkości
zapisu i odczytu liniowego. Opcja -n 128
określa, jak wiele tysięcy małych plików
(o rozmiarze zerowym) ma zostać utwo-
rzonych, aby zmierzyć czas ich tworzenia,
odczytu oraz kasowania. Ostatnia opcja -b
wyłącza buforowanie zapisów, synchronizu-
jąc dysk po każdym z nich (fsync()), przez
co program zachowuje się jak popularne
bazy SQL czy serwery SMTP, które czynią
podobnie.
Po kilku lub kilkunastu minutach testów,
program wydrukuje kilka linii – na początku
będą dwie mało czytelne tabele z wynika-
mi, natomiast ostatnia linia zawiera wszyst-
kie wyniki, rozdzielone przecinkami. Aby
uzyskać ładną i czytelną tabelę z wynika-
mi w formacie html, możemy użyć progra-
mu bon_csv2html. Wczytuje on przez stan-
dardowe wejście ostatnią linię z wydru-
ku Bonnie++ i drukuje plik html na stan-
dardowym wejściu. Możemy użyć go więc
tak: echo <ostatnia lini z bonie++> |
bon_csv2html >/tmp/dysk1.html. Oczywi-
ście, interesującą nas długą linię z wynika-
mi działania Bonnie++ najwygodniej będzie
zaznaczyć i wkleić do tej komendy przy
pomocy myszki.
Wartości, podawane przez Bonnie++,
będą uzależnione nie tylko od dysku twar-
dego, ale również od zastosowanego syste-
mu plików (ext2/ext3), prędkości procesora,
obciążenia systemu itd.
nie 256). Woluminy logiczne (LV), podob-
nie jak grupy woluminów (VG), mogą
mieć dowolne nazwy, wymyślone przez
nas.
Przeanalizujmy przykładowe polece-
nie, tworzące LV: lvcreate -l3000 -nka-
talogi_domowe dyski_IDE. Ta komenda
utworzyła LV o nazwie „katalogi_domowe”
i rozmiarze 3000 PE, czyli na moim sys-
temie 12000 MB. Nowy wolumin logicz-
ny powstał na bazie grupy woluminów
o nazwie „dyski_IDE”. Domyślnie, dane
zapisywane na tym woluminie będą zaj-
mowały po kolei dostępne miejsce na
poszczególnych urządzeniach fizycznych.
Dostęp do tego woluminu otrzymujemy
przez plik urządzenia /dev/dyski_IDE/
katalogi_domowe. Jeśli budujemy LVM-a
na bazie dwóch lub więcej niezależnych
urządzeń, możemy użyć opcji -i, aby sko-
rzystać z możliwości rozdzielania opera-
cji dyskowych (stripe) na kilka urządzeń.
Polecenie lvcreate -i2 -l3000 -nnazwa_LV
nazwa_VG spowoduje, że dane będą roz-
dzielane na dwa urządzenia. Jeśli mamy
więcej urządzeń, z powodzeniem możemy
zwiększyć ten parametr.
Na ogół, gdy korzystamy z LVM-a, nie
interesuje nas, na które fizyczne urządze-
nie trafią dane z konkretnego woluminu
logicznego – mamy bowiem kilka urzą-
dzeń, połączonych w jednym VG. Mimo
to, do polecenia lvcreate możemy dodać
jeszcze jedną opcję, która określi, z które-
go urządzenia fizycznego system skorzy-
sta, gdy zacznie zapełniać nasz wolumen.
Przykładowo, lvcreate -l3000 -nnazwa_LV
nazwa_VG /dev/sdh1 określi pierwsze użyte
urządzenie jako /dev/sdh1. Oczywiście,
gdy skończy się tam miejsce, LVM zacznie
korzystać z innych urządzeń.
Aby usunąć wolumin logiczny, wyda-
jemy polecenie lvremove /dev/dyski_IDE/
katalogi_domowe. Najpierw musimy odmon-
tować systemy plików, jeśli jakieś zdążyli-
śmy już utworzyć i zamontować, korzysta-
jąc z /dev/dyski_IDE/katalogi_domowe.
Do zmiany nazwy LV możemy użyć
komendy lvrename. Przydatny jest również
program lvscan, który pokaże nam infor-
macje o wszystkich działających wolumi-
nach logicznych.
Ja na swoim systemie utworzyłem
od razu jeszcze jeden wolumin: lvcre-
ate -l3000 -nlogi_systemowe dyski_IDE,
a następnie wydałem polecenie vgdisplay,
które pokazało mi m.in. ilość wolnych PE:
Free PE / Size 3540 / 13,83 GB

Aby zapełnić całkowicie swój VG, two-
rząc ostatni wolumin logiczny, powinie-
nem podać parametr -l3540, gdyż tyle
zostało mi jednostek alokacji. Wiedzia-
łem jednak, że dobrze jest zostawić sobie
trochę miejsca na snapshot'y, o których
napiszę w dalszej części, więc wykonałem
polecenie lvcreate -l3490 -nbazy_danych
dyski_IDE.
W tym momencie jesteśmy gotowi, aby
sformatować wszystkie utworzone urzą-
dzenia. W moim systemie przykładowe
komendy mogą wyglądać tak:
mkfs.ext3 /dev/dyski_IDE/bazy_danych
mkfs.ext3 /dev/dyski_IDE/katalogi_domowe
mkfs.ext3 /dev/dyski_IDE/logi_systemowe
LVM w akcji
W tym momencie zapewne wielu Czytel-
ników zadaje sobie pytanie, po co wymy-
ślono LVM? Jak na razie dosyć długi opis
doprowadził nas do sytuacji, w której
mamy zwyczajny system. Co prawda jest
on zabezpieczony przed awarią jednego
dysku twardego, ale to zasługa wyłącznie
RAID-1, a nie LVM. Dodatkowo, mamy
spowolniony dostęp do dysku (prosty test
z komendą dd na LVM-ie działa u mnie
o trzy sekundy dłużej niż na samym
tylko RAID-1). Oczywiście, LVM nie
został stworzony po to, aby mieć fan-
tazyjne nazwy urządzeń. Zobaczmy,
jak przy jego pomocy administrować
miejscem na dysku i jak wygodnie wyko-
nywać kopie bezpieczeństwa danych.
R E
software raid oraz logical volume manager sprzęt
Dodajemy dysk VG Size 74,52 GB
Załóżmy, że zabrakło miejsca na urzą- PE Size 4,00 MB
dzeniu /dev/dyski_IDE/bazy_danych. Total PE 19078
Do systemu dołożyliśmy nowy dysk Alloc PE / Size 9540 / 37,27 GB
i możemy z niego wykorzystać jedną Free PE / Size 9538 / 37,26 GB
partycję – /dev/sda3. Oczywiście, nie
jest to najlepszy pomysł, bowiem nasze Możemy w tym momencie utworzyć cał-
wcześniejsze urządzenia znajdują się na kiem nowy wolumin logiczny na 9538
RAID-1, więc są zabezpieczone przed wolnych PE, ale nie o to nam przecież
awarią jednego z dysków. Jeśli do całej chodzi, bo aktualnie zabrakło nam miej-
grupy woluminów dodamy jedno urzą- sca na woluminie zamontowanym
dzenie fizyczne bez takiej ochrony, w /bazy. Po wykonaniu komendy df -h
w przypadku jego awarii stracimy aktualnie mamy:
wszystkie dane. W realnym świecie
powinniśmy dodać przynajmniej dwie /dev/mapper/dyski_IDE-bazy_danych S
partycje na różnych urządzeniach, two- 14G 13G 397M 98% /bazy
rząc na nich najpierw RAID-1. Na po-
trzeby demonstracji w tym artykule Aby dodać wszystkie 9538 wolne PE do
posłużymy się jednak prostym przy- tego woluminu, wydajemy komendę:
kładem z jedną partycją.
Zaczynamy do zainicjowania partycji: lvextend -l +9538 /dev/dyski_IDE/S
bazy_danych
# pvcreate /dev/sda3
Physical volume "/dev/sda3" successfullyS W ten sposób powiększyliśmy sam
created wolumin logiczny, co możemy spraw-
dzić poleceniem lvscan. Teraz musimy
Następnie rozszerzamy grupę wolumi- powiększyć system plików, aby obejmo-
nów o nowe urządzenie: wał miejsce na całym LV. Istnieją spe-
cjalne łatki na jądro, które pozwalają na
# vgextend dyski_IDE /dev/sda3 wykonanie tej operacji bez odmontowa-
Volume group "dyski_IDE" successfullyS nia systemu plików, ale my na chwilkę
extended zróbmy umount /bazy/ i wydajmy pole-
cenie resize2fs -p /dev/dyski_IDE/bazy
Przy pomocy komendy vgdisplay spraw- danych. Program może nas popro-
dzamy efekt naszych działań. Fragment jej sić, abyśmy sprawdzili system plików
raportu u mnie wyglądał tak: przed zmianą jego rozmiaru, więc
K L A M A
www.lpmagazine.org 67
 sprzęt
w takim przypadku napiszemy: e2fsck
-f i wyda-
/dev/dyski_IDE/bazy_danych
my komendę resize2fs ponownie. Pozo-
staje nam teraz tylko zamontować
LV ponownie i sprawdzić, co pokaże
df -h. U mnie otrzymałem:
/dev/mapper/dyski_IDE-bazy_S
danych 51G 13G 36G 27% /bazy
Operacja trwała bardzo krótko i zakoń-
czyła się sukcesem. Bez LVM koniecz-
na byłaby zapewne modyfikacja tablicy
partycji na przynajmniej jednym dysku,
a następnie mozolne przenoszenie danych.
Wszystko to spowodowałoby znacznie
dłuższą przerwę w pracy systemu.
Powiększanie systemu plików jest moż-
liwe nie tylko na ext2/ext3. Jeśli korzy-
stamy z reiserfs, w analogiczny sposób
używamy komendy resize_reiserfs -f.
W przypadku xfs mamy program xfs_
growfs, ale istotna różnica polega w tym
przypadku na tym, że powinniśmy pozo-
stawić system plików zamontowany, a jako
parametr tego programu podać punkt
zamontowania (np. xfs_growfs /bazy).
Inne manipulacje dyskami
W przypadku, gdy chcemy usunąć z sys-
temu jeden dysk (np. hdb) i mamy na tyle
dużo wolnego miejsca na pozostałych,
aby zmieścić tam wszystkie dane, wyda-
jemy polecenie: pvmove /dev/hdb. Teraz
wszystkie dane z hdb zostały przenie-
sione na pozostałe dyski, w ramach tej
samej grupy woluminów (VG). Następ-
nie vgreduce nazwa_VG /dev/hdb powo-
duje, że dysk nie jest już członkiem VG
o nazwie nazwa_VG.
Gdy do systemu dodaliśmy nowy dysk
dodany (np. sdf ), na który chcemy prze-
nieść dane ze starego (np. hdb), wydaje-
my polecenia:
# pvcreate /dev/sdf; vgextend dev /dev/sdf
# pvmove /dev/hdb /dev/sdf; vgreduce dev
/dev/hdb
Wcześniej powiększaliśmy wolumin lo-
giczny. Oczywiście, jest możliwe równie
łatwe zmniejszenie go. Problem pojawia
się ze zmniejszeniem systemu plików,
bowiem tylko ext2/ext3 oraz reiserfs
pozwalają na taką operację. Przykładowo:
# umount /home
# resize2fs /dev/dyski_IDE/katalogi_S
domowe 524288
68 styczeń 2005
# lvreduce -L-1G /dev/dyski_IDE/S
katalogi_domowe
# mount /home
W tym przypadku, jako parametr progra-
mu resize2fs, musieliśmy podać nową
wielkość systemu plików.
LVM zawiera również narzędzia do
przenoszenia grupy woluminów (VG)
na inne komputery, gdyż nie wystarczy
zwykłe przełożenie dysków. Powin-
niśmy, po odmontowaniu systemu
plików i dezaktywacji VG (vgchange --
activate n nazwa_VG), wykonać polece-
nie vgexport nazwa_VG, a następnie po
przełożeniu dysku do nowego kompu-
tera – vgimport nazwa_VG.
Snapshot
Wykonywanie kopii bezpieczeństwa
trwa dosyć długo, a nie każdy może
pozwolić sobie na zupełne zatrzymanie
systemu na ten czas. Wtedy utrapieniem
stają się pliki, które zostały zmodyfi-
kowane w czasie wykonywania kopii.
LVM udostępnia nam specjalny mecha-
nizm, który pozwala na obejście tego
problemu.
Możemy utworzyć snapshot aktual-
nego stanu któregoś z naszych wolumi-
nów logicznych. Snapshot jest dla admi-
nistratora systemu kolejnym wolumi-
nem logicznym, zawierającym kopię
któregoś z LV. Kopia ta nie zmienia
się, nawet jeśli na oryginale wyko-
nywane są operacje zapisu. Oczywi-
ście, przy tworzeniu snapshota dane na
nim zawarte nie są fizycznie kopiowa-
ne na nowy wolumin logiczny. Potrze-
bujemy trochę miejsca na danym VG,
aby było gdzie zapisywać informacje
o plikach, które zmieniły się od czasu
utrwalenia stanu woluminu logicznego.
Jeśli mamy katalog /home, w którym
znajduje się 20 GB danych, to wiemy,
że zrobienie jego kopii bezpieczeństwa
zajmie 10 minut. Zakładamy, że w ciągu
tych 10 minut na partycji z /home
użytkownicy utworzą lub zmodyfikują
co najwyżej 200 MB danych. Tyle wła-
śnie miejsca musimy mieć na danej
grupie woluminów. Snapshot tworzymy
poleceniem:
# lvcreate -L200M -s -n tylko_backupS
/dev/dyski_IDE/katalogi_domowe
Jeśli używamy systemu plików xfs, pole-
cenie musi być nieco dłuższe:
# xfs_freeze -f /home; lvcreate -L200MS
-s -n tylko_backup /dev/dyski_IDE/S
katalogi_domowe
W tym momencie możemy zamontować
(tylko do odczytu) wolumin logiczny
o nazwie „tylko_backup”, który zawiera
kopię woluminu „katalogi_domowe”:
# mount /dev/dyski_IDE/tylko_backupS
/mnt/backup/
Po zakończeniu wykonywania kopii
bezpieczeństwa, wydajemy polecenie:
lvremove -f /dev/dyski_IDE/tylko_backup.
Musimy uważać, aby do tego czasu
zmiany na woluminie nie przekroczy-
ły rozmiaru snapshotu – w tym przy-
kładzie 200 MB. Po przepełnieniu staje
się on bowiem bezużyteczny i podob-
nie trzeba traktować dane z niego sko-
piowane.
Zakończenie
Stosowanie RAID-a i LVM-a może bardzo
ułatwić pracę administratora i zwiększyć
bezpieczeństwo oraz wydajność systemu.
Rozwiązania te często powodują jednak,
że czynności niegdyś proste (np. przenie-
sienie dysku do innego komputera) stają
się znacznie bardziej skomplikowane, a w
przypadku, gdy dochodzi już do awarii
któregoś z nich, odzyskanie danych jest
znacznie trudniejsze. Konieczne staje się
zaopatrzenie w odpowiednie narzędzia
do ratowania systemu, które będą potra-
fiły sobie poradzić z systemami plików
na takich urządzeniach, np. mini-dys-
trybucja (R)ecovery (I)s (P)ossible Linux.
Innymi słowy, rozwiązując pewne proble-
my, dokładamy sobie często cały szereg
nowych.
W Internecie:
• LVM HOWTO:
http://www.tldp.org/HOWTO/
LVM-HOWTO/
• Software RAID HOWTO:
http://www.tldp.org/HOWTO/
Software-RAID-HOWTO.html
• Dystrybucja ratunkowa,
m.in. dla RAID i LVM:
http://www.tux.org/pub/people/
kent-robotti/looplinux/rip/
• Strona domowa dystrybucji
(R)ecovery (I)s (P)ossible Linux:
http://www.tux.org/pub/people/
kent-robotti/looplinux/rip/
 dla programistów
Pyro i OpenSSL
– bezpieczny
komunikator internetowy
Marek Sawerwain
Na płycie CD/DVD
Na płycie CD/DVD znajdują się
wykorzystywane biblioteki, kod
źródłowy programu oraz wszyst-
kie listingi z artykułu.
O autorze
Autor zajmuje się tworzeniem
oprogramowania dla WIN32
i Linuksa. Zainteresowania:
teoria języków programowania
oraz dobra literatura.
Kontakt z autorem:
autorzy@lpmagazine.org
70 styczeń 2005
G
dy planujemy przesyłać isto-
tne informacje poprzez Inter-
net, to wprowadzenie szy-
frowania danych w naszym
aplikacjach rozproszonych jest bardzo
ważnym zagadnieniem. Istnieje wiele
bibliotek wspomagających nas w tym
temacie. Jedną z najbardziej znanych jest
OpenSSL. Jest ona dostępna we wszyst-
kich większych dystrybucjach Linuk-
sa. Odpowiada za realizację bezpiecz-
nych kanałów komunikacyjnych w opar-
ciu o protokół SSL i jest wykorzystywana
przez wiele programów, w tym przeglą-
darki WWW.
Zastosowanie biblioteki OpenSSL naj-
lepiej pokazać na przykładzie. W nume-
rze Linux+ 10/2003 prezentowałem prosty
komunikator na wzór bardzo popularne-
go Gadu-Gadu. Jedną z niedoskonało-
ści tamtego programu była komunikacja
bez jakiegokolwiek szyfrowania danych.
W tym artykule postaram się pokazać,
jak małym kosztem zmienić ten stan
rzeczy.
Kilka postanowień
na początek
Najważniejszym zadaniem będzie doda-
nie do komunikatora obsługi szyfrowa-
nego kanału. Uprzedzając dalszą część
artykułu, już teraz mogę zdradzić, iż jest
to zadanie łatwe do wykonania. Głównie
dlatego, iż Pyro znakomicie współpracu-
je z biblioteką OpenSSL.
Aby w naszym komunikatorze znala-
zła się obsługa SSL, wymagana jest jesz-
cze instalacja jednego pakietu o nazwie
M2Crypt. Kilka uwag na ten temat zawiera
ramka Kompilacja i instalacja pakietów.
Pozostałe założenia naszego progra-
mu pozostają niezmienione. Nadal jest
to program napisany w Pythonie. Będzie
korzystał z biblioteki GTK+ oraz z plików
opisu interfejsu pochodzących z progra-
mu Glade.
Do poprawnego działania będzie
wymagał, tak jak poprzednio, dwóch uru-
chomionych usług Pyro: serwera nazw
(usługę uruchamiamy poprzez wydanie
polecenia ns) oraz serwera zdarzeń (usługę
należy uruchomić wydając polecenie es).
Warto przedstawić sposób działa-
nia naszej aplikacji w postaci schema-
tu, który znajduje się na Rysunku 1. Jak
widać, mamy trzy specjalne serwery. Ser-
wery zdarzeń i nazw należą do systemu
Pyro, ale główny serwer, nazwany ser-
werem rozmów, musimy napisać samo-
dzielnie, a raczej poprawić kod, doda-
jąc obsługę SSL, bo przecież serwer już
wcześniej napisaliśmy.
Typowy serwer Pyro
Program komunikatora to wbrew pozo-
rom niewielka aplikacja. Łączny kod źró-
dłowy serwera i klienta to tylko 7 kB
tekstu źródłowego w Pythonie. Zanim
wprowadzimy obsługę SSL do komunika-
tora, chciałbym przedstawić typową apli-
kację Pyro.
Listing 1 zawiera kod klasy o nazwie
test_obj. Poprzez Pyro chcemy udostęp-
nić tę klasę w sieci tak, aby inny użyt-
kownicy Pythona mogli ją wykorzy-
stać we własnych programach. Pierwszą
czynnością jest definicja klasy (Listing 1),
którą zapisujemy w oddzielnym pliku
o nazwie test_obj.py.
Istnieje kilka sposobów na napisanie
serwera. Poniżej zaprezentuję sposób, który
został użyty w komunikatorze. Pierwszym
elementem w implementacji serwera jest
dołączenie odpowiednich pakietów:
import Pyro.core
import Pyro.naming
import test_obj

Kompilacja oraz
instalacja pakietów
Nasza aplikacja to dość mały program.
Wielkość jest wynikiem zastosowania
kilku bibliotek, które pozwalają zaim-
plementować całkiem zgrabną apli-
kację minimalną ilością kodu. Z tego
powodu, aby nasz komunikator zadzia-
łał, potrzebny jest język programowa-
nia Python oraz pakiet OpenSSL. Sam
język, jak również bibliotekę, znajdzie-
my bez problemów w każdej dystrybucji
Linuksa. Autorzy biblioteki Pyro zale-
cają najnowszą wersję Pythona, naj-
lepiej 2.3.3, oraz wersję OpenSSL nie
starszą niż 0.9.7 (jeśli w dystrybucji jest
starsza wersja, to koniecznie trzeba
dokonać aktualizacji tego pakietu).
Biblioteki Pyro raczej nie znajdzie-
my, ale zanim przystąpimy do jej insta-
lacji, należy zainstalować inną biblio-
tekę o nazwie M2Crypt. Będzie ona
obsługiwać połączenia szyfrowane
SSL. Biblioteka M2Crypto ma również
swoje wymagania i do poprawnej kom-
pilacji wymaga pakietu SWIG w wersji
przynajmniej 1.3.21. Pakiet SWIG jest
oferowany przez niektóre dystrybucje,
ale gdy pojawi się konieczność jego
kompilacji, to dzięki skryptowi confi-
gure sprawdza się ona do trzech pole-
ceń:
# ./configure –prefix=/katalog
# make
# make install
Proces kompilacji oraz instalacji pakie-
tu M2Crypto (jak również Pyro) sprowa-
dza się do dwóch poleceń:
# python setup.py build
# python setup.py install
Pamiętajmy, aby wcześniej zainsta-
lować wszystkie pakiety bezpośred-
nio związane z interpreterem Pytho-
na oraz pakiety związane z biblioteką
OpenSSL.
Nasz komunikator wymaga jeszcze
jednej biblioteki do poprawnego działa-
nia, a mianowicie PyGTK+, gdyż wyko-
rzystujemy GTK+ oraz pakiet libgla-
de. Wiele dystrybucji, np. Aurox, Man-
drakelinux czy Fedora Core, zawiera-
ją odpowiednie pakiety – wystarczy je
tylko doinstalować.
Rysunek 1. Schemat działania komunikatora
Dwa pierwsze dotyczą Pyro, ale ostatni
pakiet to nasza klasa, którą mamy zamiar
udostępnić. W tym celu w serwerze
definiujemy specjalną klasę pośrednią
w następujący sposób:
class test_obj_classS
(Pyro.core.ObjBase, test_obj.test_obj):
def __init__(self):
Pyro.core.ObjBase.__init__(self)
Następnie uruchomiamy serwer metodą
initServer:
Pyro.core.initServer()
W przeciwieństwie do wcześniejszego
kodu serwera komunikatora, określa-
my jeszcze kilka dodatkowych informa-
cji. Na początku określamy ilość infor-
macji, które będą zapisywane do pliku
zdefiniowanego za pomocą następnej
linii:
Pyro.config.PYRO_TRACELEVEL=3
Pyro.config.PYRO_LOGFILE='server_log'
Później określamy komputer, na którym
został uruchamiany serwer nazw:
Pyro.config.PYRO_NS_HOSTNAME='localhost'
Ustalenie adresu serwera nazw oraz serwe-
ra zdarzeń (Pyro.config.PYRO_ES_HOSTNAME)
jest szczególnie istotne, gdy będziemy testo-
wać program na komputerze, na którym nie
python/pyro/ssl dla programistów
ma zainstalowanej sieci i jest dostępny tylko
adres lokalny 127.0.0.1.
Następnym krokiem w implementa-
cji serwera jest uzyskanie obiektu ser-
wera nazw:
ns=Pyro.naming.NameServerLocator().getNS()
Ostatnim obiektem do utworzenia jest
daemon:
daemon=Pyro.core.Daemon()
Konieczną operacją jest podanie mu
obiektu serwera nazw i to wykonujemy
w następujący sposób:
daemon.useNameServer(ns)
Ostatnie czynności w serwerze polegają
na podłączeniu naszego obiektu. W pierw-
szym parametrze wykorzystujemy klasę
pomocniczą test_obj_class, a w drugim
ciąg znaków reprezentujący nasz obiekt,
czyli test_obj. Na koniec możemy wywo-
łać metodę requestLoop, co spowoduje
uruchomienie serwera. Kod tych dwóch
czynności przedstawia się następująco:
uri=daemon.connect(test_obj_class(), "test_obj")
daemon.requestLoop()
Klient Pyro
W programie klienta, podobnie jak w ser-
werze, na początek dołączamy potrzeb-
ne pakiety:
www.lpmagazine.org 71
 dla programistów

Listing 1. Postać klasy test_obj
class test_obj:
def m1(s, string):
print "Metoda m1 parametr:", string
return "Długość ciągu znaków: "+str(len(string))
def m2(s, number):
print "Metoda m2 parametr:", number
return "Kwadrat liczby:"+str(number*number)
Listing 2. Pełny kod serwera oparty o protokół SSL
#! /usr/bin/env python
import Pyro.util
import Pyro.core
Następnie inicjujemy klienta:
Pyro.core.initClient()
Później ustalamy parametry pomocnicze,
takie jak adres komputera, na którym
znajduje się serwer nazw.
Gdy to zrobimy, możemy uzyskać
referencję do zdalnego obiektu. Wyko-
rzystujemy metodę getProxyForURI:
test = Pyro.core.getProxyForURIS
("PYRONAME://test_obj")

import sys Po tych czynnościach metody ze zdalne-

import Pyro.core go obiektu wywołujemy tak samo, jak
import Pyro.naming przy lokalnych obiektach:
import Pyro.util
import Pyro.protocol print test.m1("Abcdef")
print test.m2(5)
from Pyro.errors import PyroError,NamingError
from Pyro.protocol import getHostname Dodajemy obsługę SSL
do serwera
import test_obj Jak widać, napisanie nieskompliko-
wanego serwera i klienta przy zasto-
class test_obj_class(Pyro.core.ObjBase, test_obj.test_obj): sowaniu Pyro to dość łatwe zada-
def __init__(self): nie. Kod źródłowy biblioteki zawie-
Pyro.core.ObjBase.__init__(self) ra wiele przykładów, które polecam
przejrzeć czytelnikom, którzy w tym
class printCertValidator(Pyro.protocol.BasicSSLValidator): momencie zainteresowali się tą biblio-
def checkCertificate(self,cert): teką. Naszym głównym zadaniem jest
if cert is None: jednak komunikacja za pomocą proto-
return (0,3) kołu SSL.
print "Cert Subject: %s" % cert.get_subject() Listing 2 zawiera pełny kod serwera
return (1,0) udostępniającego obiekt test_obj przy
zastosowaniu protokołu SSL. Postać ser-
wera jest bardzo podobna do poprzed-
##### main program ##### niego przykładu, w którym komunika-
cja jest jawna.
Pyro.core.initServer() Pierwszą różnicą są pakiety, które
Pyro.config.PYRO_TRACELEVEL=3 dołączamy. Istotny jest Pyro.protocol,
Pyro.config.PYRO_NS_HOSTNAME='localhost' używany w klasie printCertValidator.
Pyro.config.PYRO_LOGFILE='server_log' Kolejna różnica kryje się w tworzeniu
obiektu daemon. W argumencie konstruk-
ns=Pyro.naming.NameServerLocator().getNS() tora podajemy wartość PYROSSL:

daemon=Pyro.core.Daemon(prtcol='PYROSSL')
daemon.setNewConnectionValidator(printCertValidator())
daemon.useNameServer(ns)
uri=daemon.connect( test_obj_class(), "test_obj")
print "Server is ready. Let's go!!!"
daemon.requestLoop()
daemon=Pyro.core.Daemon(prtcol='PYROSSL')
W ten sposób nakazujemy stosowanie
protokołu SSL.
Następnie podłączamy klasę print-
CertValidator, której zadaniem jest
sprawdzenie poprawności certyfikatu:
daemon.setNewConnectionValidatorS
(printCertValidator())

72 styczeń 2005

Kolejne czynności pozostają niezmie-
nione w porównaniu do zwykłego ser-
wera.
Zajmijmy się teraz klasą printCert-
Validator. Zawiera ona jedną metodę
– checkCertificate. Musi ona zwrócić
pewne określone wartości. Jeśli chcemy
zaakceptować certyfikat, to jako war-
tość powrotną zwracamy parę (1,0).
W przypadku odrzucenia certyfikatu,
za pomocą słowa return musimy
przekazać parę (0, kod_błędu). Przez
kod_błędu rozumiemy jedną z poniż-
szych wartości:
• Pyro.constants.DENIED_UNSPECIFIED
– dowolny powód błędu;
• Pyro.constants.DENIED_SERVERTOOBUSY
– serwer jest zbyt zajęty;
• Pyro.constants.DENIED_HOSTBLOCKED
– blokada komputera;
• Pyro.co nst ant s.DENIED _ SECURIT Y
– błąd związany z bezpieczeństwem.
Na Listingu 2, gdy nie ma certyfikatu,
zwracamy parę (0,3), co oznacza błąd
związany z bezpieczeństwem.
Jak widzimy, dodanie obsługi SSL
wymaga dołączenia jednej klasy oraz
kosmetycznych zmian w kodzie. Oprócz
serwera, musimy wygenerować certyfi-
katy dla serwera i klienta. Informacje o
tym, jak tego dokonać, podam w dal-
szej części artykułu. Teraz zajmiemy się
klientem.
Rysunek 2. Nasza aplikacja podczas rozmowy
python/pyro/ssl dla programistów
Listing 3. Postać plików z certyfikatami dla protokołu SSL
Plik z głównym certyfikatem:
-----BEGIN CERTIFICATE-----
MIIDkjCCAvugAwIBAgIBA i tak dalej ....
-----END CERTIFICATE-----
Plik client.pem:
-----BEGIN CERTIFICATE-----
MIIDvzCCAyigAwIBAgIBATANBgkqh i tak dalej ....
-----END CERTIFICATE-----
-----BEGIN RSA PRIVATE KEY-----
MIICXQIBAAKBgQC7ixGOs2Sq i tak dalej ...
-----END RSA PRIVATE KEY-----
Plik server.pem:
-----BEGIN CERTIFICATE-----
MIIDvzCCAyigAwIBAgIBATANBgkqh i tak dalej ....
-----END CERTIFICATE-----
-----BEGIN RSA PRIVATE KEY-----
MIICXQIBAAKBgQC7ixGOs2Sq i tak dalej ...
-----END RSA PRIVATE KEY-----
Program klienta test1 = Pyro.core.getProxyForURIS
W programie serwera najważniej- ("PYRONAME://test_obj")
szą zmianą było dodanie w kon-
struktorze obiektu daemon informacji Jeśli jednak chcemy jawnie określić
o tym, że będziemy korzystać z pro- komputer oraz fakt użycia przez nas pro-
tokołu SSL. W kliencie nie musimy tokołu SSL, to możemy w wywołaniu
wykonywać żadnych zmian! Bibliote- metody getProxyForURI podać pełne
ka Pyro samodzielnie wykryje fakt, że dane w następujący sposób:
serwer korzysta z protokołu SSL i klient
samoczynnie przełączy się na komu- test2 = Pyro.core.getProxyForURI
nikację poprzez SSL. Z tego powodu ("PYROLOCSSL://localhost/test_obj")
uzyskanie referencji do obiektu nadal
możemy wykonywać w ten sposób: Ostatni składnik w adresie to nazwa obie-
ktu, którą podaliśmy w drugim argu-
mencie metody connect podczas rejestro-
wania naszej klasy w serwerze.
Jak widać, siłą Pyro jest automaty-
zacja wielu operacji. Istotne zmiany,
które należy wprowadzić, aby zwięk-
szyć bezpieczeństwo aplikacji Pyro,
wykonujemy tylko po stronie serwe-
ra. Uzbrojeni w tę wiedzę w bardzo
łatwy sposób możemy dokonać zmian
w naszym komunikatorze.
Generowanie certyfikatów
Bezpieczeństwo komunikacji ściśle zależy
od utworzonych certyfikatów. Z tego
powodu, zanim zaczniemy modyfiko-
wać nasz program, wygenerujemy sto-
sowne certyfikaty. Nie jest to trudne,
ale musimy znać obsługę programu
openssl. Możemy ułatwić sobie zada-
nie, jeśli będziemy korzystać ze skryp-
tu pomocniczego, dostępnego w kodzie
źródłowym pakietu OpenSSL. Potrzeb-
ny skrypt można odnaleźć wtedy
www.lpmagazine.org 73
 dla programistów

z pliku newcert.pem do pliku

Rysunek 3. Strona domowa PYRO
w katalogu Apps. Pojawia się on w dwóch
wersjach: dla języka Perl, jako plik
o nazwie CA.pl, oraz jako zwykły skrypt
BASH-a – CA.sh. My będziemy korzystać
z tego drugiego (jego kopia znajduje się
również na płycie CD/DVD).
Pierwszym krokiem jest utworzenie
certyfikatu autoryzacji, czyli pliku CA.
Gdy korzystamy z pomocy skryptu CA.sh,
wystarczy wydać krótkie polecenie:
Otrzymaliśmy wszystkie niezbędne
dane, aby utworzyć certyfikat dla
klienta. Niestety, musimy samodziel-
nie przenieść pewne dane z plików
wygenerowanych przez skrypt CA.sh
i program openssl. Kopiujemy cześć
opisującą certyfikat (Listing 3 przed-
stawia ogólną postać tych plików)
Listing 4. Najważniejsze fragmenty programu serwera
o nazwie client.pem, a następnie dołą-
czamy do niego opis klucza prywatnego
z pliku newkey.pem.
Z certyfikatem przeznaczonym dla
serwera postępujemy w podobny
sposób, ale nie generujemy już cer-
tyfikatu autoryzacji (jest wspólny dla
klienta i serwera), lecz następny cer-
tyfikat żądania. Podczas wypełnia-
nia pól informacyjnych warto zwrócić
uwagę na to, aby pole Common Name
posiadało inną wartość dla klienta
i dla serwera.
Po zakończeniu operacji tworze-
nia plików client.pem oraz server.pem
brakuje nam jeszcze jednego pliku,
a mianowicie głównego certyfikatu. Znaj-
duje się on w katalogu demoCA pod nazwą
cacert. Wystarczy ten plik przekopiować do
katalogu, w którym znajdują się pozostałe
pliki naszej aplikacji. Zmieniamy nazwę pliku
z certyfikatem na ca.pem oraz kasujemy
początkowe informacje o certyfikacie aż do
linii rozpoczynającej certyfikat:
-----BEGIN CERTIFICATE-----
W ten sposób dysponujemy trzema pli-
kami, które są niezbędne do bezpiecz-
nej komunikacji pomiędzy serwerem
a klientem.

# ./CA.sh -newca #! /usr/bin/python

Skrypt utworzy kilka katalogów oraz plik
z certyfikatem (znajdzie się on w katalo-
gu demoCA). Zostaniemy również popro-
szeni o wypełnienie kilku pól.
Następnie generujemy certyfikat żąda-
nia:
import sys
import Pyro.core
import Pyro.naming
from Pyro.EventService.Clients import Publisher
# identyczna postać jak na Listingu 2
class printCertValidator(Pyro.protocol.BasicSSLValidator):
class TalkSrv(Pyro.core.ObjBase, Publisher):

# ./CA.sh -newreq Pyro.core.initServer()

Tutaj ponownie zostaniemy poproszeni
o podanie kilku informacji. Po zakoń-
czeniu procesu powstanie plik o nazwie
newreq.pem. Następnym krokiem jest
podpis certyfikatu żądania:
# ./CA.sh -sign
Pyro.config.PYRO_TRACELEVEL=3
Pyro.config.PYRO_NS_HOSTNAME='localhost'
Pyro.config.PYRO_LOGFILE='server_log'
ns=Pyro.naming.NameServerLocator().getNS()
daemon=Pyro.core.Daemon(prtcol='PYROSSL')
daemon.setNewConnectionValidator(printCertValidator())
daemon.useNameServer(ns)

Powstanie plik o nazwie newcert.pem. uri=daemon.connect(TalkSrv(), "TalkSrv")

Teraz możemy odczytać frazę klucza
print "TalkServer is ready."
i w tym celu wydajemy polecenie:
daemon.requestLoop()

# openssl rsa < newreq.pem > newkey.pem

74 styczeń 2005

Dla tych z czytelników, którzy nie
mieli styczności z takimi plikami, Li-
sting 3 przedstawia schematycznie postać
poszczególnych plików. Przenosimy wyra-
żenia znajdujące się pomiędzy liniami:
-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----
bądź
-----BEGIN RSA PRIVATE KEY-----
-----END RSA PRIVATE KEY-----
w przypadku klucza prywatnego. Mam
nadzieje, że podane informacje pomogą
we własnym tworzeniu certyfikatów.
Certyfikaty z płyty CD/DVD są ważne
do listopada 2005 roku. Okres waż-
ności certyfikatów może być inny.
W pliku CA.sh po początkowych komen-
tarzach natrafiamy na zmienną DAYS:
DAYS="-days 365"
R E
czyli nasze certyfikaty będą ważne
przez 365 dni od momentu utworzenia.
Jeśli chcemy to zmienić, wystarczy podać
inną liczbę dni.
Poprawiamy komunikator
Wiemy, jak wygenerować certyfikat oraz
w jaki sposób należy napisać progra-
my serwera i klienta. Oznacza to, że
bez żadnych kłopotów możemy zmo-
dyfikować naszego komunikatora.
Zobaczmy, jak wygląda serwer. Isto-
tne dla nas fragmenty zawiera Listing 4.
Klasa printCertValidator pozostała nie
zmieniona w stosunku do poprzed-
nich przykładów, podobnie jak klasa
TalkSrv. Poszczególne metody klasy ser-
wera również nie podlegają żadnym
zmianom. Jak widać z Listingu 4, pro-
gram serwera nie różni się niczym
specjalnym od programu z Listingu 2.
Włączenie obsługi SSL następuje
w momencie utworzenia obiektu
daemon. Wszystkie detale związane
K L A M
python/pyro/ssl dla programistów
z SSL zostały już omówione przy okazji
poprzedniego przykładu, więc musimy
tylko zadbać, aby pliki z certyfikata-
mi znalazły się w podkatalogu certs,
widocznym z poziomu programu ser-
wera oraz klienta.
Podobna sytuacja pojawia się w pro-
gramie klienta – nie zmieniamy ele-
mentów związanych z interfejsem
graficznym, a sposób implementa-
cji klienta jest zgodny z przykłada-
mi, które podałem na początku tego
artykułu.
OpenSSL w C/C++
Gdy chcemy pisać program bezpośred-
nio w języku C/C++, to sposób korzysta-
nia z OpenSSL nie jest znacznie bardziej
skomplikowany. Ogólny schemat two-
rzenia programu klienta wygląda wtedy
następująco:
/* utworzenie uchwytu SSL */
con=(SSL *)SSL_new();
A
www.lpmagazine.org 75
 dla programistów

Listing 5. Najważniejsze fragmenty programu klienta OpenSSL zostało wyposażone w odpo-

wiednie funkcje, które znacząco uprosz-
#! /usr/bin/python czają ten problem, np. określenie certyfi-
katu to zadanie dla jednej funkcji:
import sys
import Pyro.util
import Pyro.core SSL_use_certificate(con,”server.cert”)
from Pyro.EventService.Clients import Subscriber
from threading import Thread W rezultacie wygląda to tak:

import gobject
/* utworzenie uchwytu SSL */
import gtk
import gtk.glade con=(SSL *)SSL_new();
/* otwieramy zwykłe gniazdko
your_nick='' do komunikacji sieciowej */
talks={}
/* kojarzymy uchwyt gniazda

# identycznie, jak w poprzedniej wersji z połączeniem SSL */

SSL_set_fd(con,s);
def UpdateActiveList(): /* stosujemy klucz prywatny */
def OnEndBTN(*args): SSL_use_RSAPrivateKey(con,”server.rsa”);
/* określamy certyfikat */
def OnTalkBTN(*args):
def OnCreateTalker(*args): SSL_use_certificate(con,”server.cert”);
def OnEndNickBTN(*args): /* nawiązujemy połączenie */
class TalkSrvEvent(Subscriber): SSL_accept(con);
class EventListener(Thread):
/*
class Talker:
stosując SSL_read() oraz SSL_write()
main_win_xml=gtk.glade.XML('MainWin.glade') wymieniamy informacje pomiędzy
nick_win_xml=gtk.glade.XML('NickWin.glade') serwerem a klientem
*/
mainwin=main_win_xml.get_widget("MainWin")
# pozostałe polecenie odczytujące referencje do widgetów
Podsumowanie
Dołączenie obsługi SSL w naszej apli-
mySigID=gobject.signal_new("create_talker", gtk.Window, gobject.SIGNAL_RUN_LAST,S
gobject.TYPE_BOOLEAN, (gtk.Window, gobject.TYPE_STRING, gobject.TYPE_STRING))
kacji do sieciowych rozmów okaza-
# signal connect ło się zadaniem łatwym. Mam nadzie-
# ję, że każdy na podstawie zaprezento-
# podłączanie obsługi sygnałów wanych przykładów będzie w stanie
EndNickBTN.connect('clicked', OnEndNickBTN)
samodzielnie dołączyć obsługę SSL do
person_list_data=gtk.ListStore(gobject.TYPE_STRING)
własnej aplikacji napisanej z zastoso-
person_list.set_model(person_list_data) waniem Pyro. Jak widać, sprowadza
nick_column=gtk.TreeViewColumn('Nick\'s', gtk.CellRendererText(), text=0) się to tylko do wygenerowania cer-
person_list.append_column(nick_column) tyfikatów oraz kilku zmian, głównie
w kodzie serwera.
mainwin.hide()
Bezpieczeństwo komunikacji zależy
Pyro.core.initClient() również od certyfikatów. Jeśli stosujemy
Pyro.config.PYRO_TRACELEVEL=3 SSL, pamiętajmy o tym, aby zmieniać
Pyro.config.PYRO_NS_HOSTNAME='localhost' certyfikaty, gdyż w ten sposób polep-
Pyro.config.PYRO_LOGFILE='client_log'
szamy poziom bezpieczeństwa naszego
TalkSrv = Pyro.core.getProxyForURI("PYRONAME://TalkSrv")
programu.
UpdateActiveList()
nickwin.show()
while gtk.main_iteration_do(False):
pass
W Internecie:
• Strona domowa pakietu Pyro:
/* otwieramy zwykłe gniazdko do wymieniamy informacje pomiędzy http://pyro.sourceforge.net/
komunikacji sieciowej */ klientem a serwerem • Strona domowa pakietu M2Crypto:
/* kojarzymy uchwyt gniazda */ http://sandbox.rulemaker.net/
z połączeniem SSL */
ngps/m2/
• Strona domowa pakietu OpenSSL:
SSL_set_fd(con,s); W przypadku serwera schemat korzysta-
http://www.openssl.org/
/* nawiązujemy połączenie */ nia z protokołu SSL jest równie prosty.
• Strona domowa języka Python:
SSL_connect(con); /* Problemem może wydawać się dołą- http://www.python.org/
stosując SSL_read() oraz SSL_write() czenie certyfikatów, ale API biblioteki

76 styczeń 2005
aktualności
księgozbiór piotrt@lpmagazine.org dział prowadzi: Piotr Truszkowski

Kryptografia dla praktyków. Protokoły, algorytmy i programy źródłowe z języku C

To już drugie wydanie klasycznego podręczni-
ka do kryptografii autorstwa Bruce’a Schneiera,
znanego specjalisty od zabezpieczeń informa-
tycznych. Schneier to nie tylko twórca szyfrów
(jest on autorem m.in. popularnego szyfru Bow-
fish, który dodatkowo udostępnił do wykorzysta-
nia bez żadnych opłat i licencji), ale i biznesmen
– założyciel Counterpane Internet Security.
To co jest najbardziej cenne w tym pod-
ręczniku to przystępność wykładu. Autor nie
wdaje się w rozważania czysto matematyczne,
nie przytacza skomplikowanych dowodów i, co
za tym idzie, każe sobie wierzyć na słowo, ale
z punktu widzenia większości użytkowników
jest to zdecydowana zaleta. Specjaliści będą
oczywiście rozczarowani, ale to nie dla nich
powstała ta książka. Kryptografia dla praktyków
to przede wszystkim podręcznik dla osób, które
z kryptografią nie miały do tej pory wiele do czy-
nienia, a które chciałyby się czegoś na jej temat
dowiedzieć z kompetentnego źródła. Schneiero-
wi udało się uniknąć, częstego w takich przypad-
kach, zbytniego uproszczenia problemów.
Jak na praktyka przystało, nie stroni od
problemów politycznych i społecznych zwią-
zanych z kryptografią – poświęca tym zagad-
nieniom cały rozdział pt. Rzeczywistość. Nic
w tym dziwnego, bo podręcznik Schneiera stał
się swego czasu przedmiotem batalii zwolenni-
ków pełnego dostępu do silnej kryptografii prze-
ciwko restrykcyjnemu amerykańskiemu prawu
dotyczącemu jej eksportu. Kuriozalne przepisy
pozwalają bowiem na legalny eksport Krypto-
grafii dla praktyków w formie drukowanej, ale
już nie na eksport zawartych w niej kodów źró-
dłowych algorytmów w formie elektronicznej
(np. na dyskietce). Zainteresowani mogą o całej
sprawie przeczytać na stronie internetowej http://
people.qualcomm.com/karn/export/.
Książka podzielona jest na pięć części:
Protokoły kryptograficzne, Techniki krypto-
graficzne, Algorytmy kryptograficzne, wspomnia-
ny już rozdział Rzeczywistość oraz wydzielone
Programy źródłowe – pięćdziesiąt stron kodu
w C, który przyda się każdemu praktykowi.
Pierwsze trzy to oczywiście prowadzony niemal
od podstaw, bardzo przystępny wykład krypto-
grafii. Pozostałe dwie, choć tak od siebie różne,
ucieszą przede wszystkim tych, dla którym kryp-
tografia nie jest tylko zabawką i czystym hobby.
Co zatem nowego w drugim wydaniu tej
klasycznej już książki? Siedem nowych rozdzia-
łów, ponad 1600 nowych odnośników bibliogra-
ficznych oraz wiele dodatkowych algorytmów,
w tym GOST, Blowfish, RC4 i A5. Tym samym
podręcznik zyskał około 50% objętości... Zachę-
cam do lektury.
Moja ocena: 5/5
Recenzent:
Witold Kieraś (witekk@lpmagazine.org)

Fedora Core 2 dla każdego

Jeśli zastanawiamy się, jak zacząć przygodę
z Linuksem i jaką dystrybucję wybrać, to po-
mocna może okazać się książka Fedora Core 2
dla każdego, która ukazała się nakładem
wydawnictwa Helion w 2004 roku.
Pozycja ta, jak sam autor tłumaczy, jest
przeznaczona dla osób, które nie miały wcze-
śniej styczności z systemami spod znaku pin-
gwina. Została napisana jako zbiór godzin-
nych lekcji, z których dowiemy się, jak zain-
stalować Fedorę i odpowiednio ją skonfiguro-
wać. Poznamy też najpopularniejsze progra-
my, z których możemy skorzystać w Linuk-
sie. Publikacja jest świetnym, kompletnym,
a przede wszystkim przystępnym i ciekawym
wprowadzeniem w świat Linuksa, ze szczegól-
nym uwzględnieniem dystrybucji Fedora Core.
Dużym atutem książki są strony oznaczone
jako Warsztat, występujące na końcu każde-
go rozdziału. Znajdziemy tam Quiz z odpo-
wiedziami, oraz ćwiczenia do samodzielne-
go wykonania.
Duża pochwała należy się także redak-
cji polskiego wydania za szybkie tłumacze-
nie książki (w Polsce została wydana w kilka
miesięcy po premierze oryginału) oraz za frag-
menty umilające czytanie, jak choćby treść nie-
których zrzutów ekranu w rozdziale 12 i 13.
Fedor Core 2 dla każdego to naprawdę
książka godna polecenia – aktualna, przystęp-
na i ciekawa – gorąco polecam.
Moja ocena: 4+/5
Recenzent:
Marek Bettman (marekb@lpmagazine.org)

Bestsellery Merlina
Lista najlepiej sprzedających się książek informatycznych
w sklepie internetowym www.merlin.pl, w miesiącu listopadzie:
1. Optymalizacja systemu Windows – J. Ballew, J. Duntemann, Wyd. Helion, 2004
2. Thinking in Java. Wydanie 3. Edycja polska – B. Eckel, Wyd. Helion, 2004
3. ABC fotografii cyfrowej – Ł. Oberlan, Wyd. Helion, 2004
4. Photoshop CS. Ćwiczenia z ... , Wyd. Mikom, 2004
5. Krótki kurs architektury i organizacji komputerów – W. Komorowski, Wyd. Mikom, 2004
6. Programowanie Asembler IBM PC – P. Abel , Wyd. Read Me, 2004
7. Microsoft Exchange Server 2003 - Vademecum Administratora - W. R. Stanek, Wyd. APN Promise, 2004
8. Grafika 3D. Modelowanie i rendering od podstaw, Wyd. Axel Springer, 2004
9. Systemy operacyjne. Szkoła programowania – W. Stallings, Wyd. Robomatic, 2004
10. Mój pierwszy komputer, Wyd. Help, 2004

www.lpmagazine.org 77
 testy

YOPY YP3700
Michał Niwicki

G
dy do redakcji przyniesio-
no nowego palmtopa YOPY,
a naczelny wskazał palcem
na mnie i powiedział “ten
sprzęt testujesz ty”, mojej radości nie było
końca. Rzuciłem szybko okiem na specy-
fikację techniczną i wiedziałem, że mam
do czynienia ze sprzętem z górnej półki.
Imponowały nie tylko wysokie parame-
try urządzenia, ale przede wszystkim to,
że palmtop pracował pod kontrolą sys-
temu operacyjnego Linux. Radość nie
trwała jednak długo; mój entuzjazm malał
na każdym kroku – począwszy od wyję-
cia urządzenia z pudełka, a skończywszy
na podłączeniu go do komputera.

Co w środku?
Pod obudową urządzenia znajduje się 32-
bitowy procesor Strong ARM RISC, pra-
cujący z częstotliwością 206 MHz. Palm-
top posiada 128 MB pamięci RAM oraz 32
MB ROM. Ponad 40 MB jest używane

Dane palmtopa: YOPY – palmtop ogromnych możliwości

– Procesor: 206 MHz Strong ARM

32-bit RISC Procesor
– Pamięć: RAM 128MB, ROM 32MB
– System: ARM LinupyTM Linux
Distribution, X Window System
– Wyświetlacz: 3.5" 240x320 True
Color (65K) TFT LCD
– Wymiary:10,3 x 6,9 x 2,5
(centymetry)
– Waga: 200 g
– Bateria: 2300mAh Li-ion
Polimerowe, ładowalne
Interfejs:
– klawiatura (qwerty), przyciski
nawigacyjne
– złącze RS-232C / USB
– port IrDA (115Kbps)
– gniazdo Compact Flash II
– złącze Multimedia Card
– przycisk przewijania
– mikrofon
– złącze słuchawkowe
(3.5 mm, stereo)
przez system, natomiast reszta pamięci
jest przeznaczona na dane użytkownika.
Do komunikacji ze światem jest wykorzy-
stywany port podczerwieni albo stacja
dokująca, podłączana do komputera sta-
cjonarnego za pomocą portu USB. YOPY
posiada również złącze Multimedia Card
oraz gniazdo Compact Flash II. Wszyst-
ko to kryje się w mieszczącej się w dłoni
obudowie ważącej około 200g.
Pierwsze wrażenie
Pierwszą rzeczą po wyjęciu YOPY-ego
z pudełka, która rzuciła mi się w oczy,
były jego gabaryty. Palmtop, mimo że
mieścił się w dłoni, był gruby i posia-
dał topornie otwieraną klapkę, na której
znajdował się kolorowy 3,5'' dotykowy
wyświetlacz oraz tajemnicze diody mru-
gające za każdym razem, gdy zamykałem
urządzenie. Zaletą testowanego sprzętu
była niewielkich rozmiarów stacja dokują-
ca, umożliwiająca podłączenie palmtopa
do komputera stacjonarnego. Niewygod-
na była natomiast sama praca na YOPY-
m umieszczonym w stacji – każdorazowe
dotknięcie rysikiem ekranu powodowa-
ło znaczne odchylanie się do tyłu klapki
z wyświetlaczem. Szkoda także, że urzą-
dzenia nie można było podłączyć do
komputera z pominięciem stacji dokują-
cej. Niewątpliwie, radość sprawiał system
operacyjny Linux, pod kontrolą którego
pracował YOPY, oraz widok uruchamia-
jących się X-ów.
Ale o co chodzi?
Bezpośrednio po włączeniu, YOPY prze-
mówił do mnie w języku angielskim.
Szkoda, bo na rynku polskim od jakiegoś
czasu standardem są palmtopy posiadają-
ce polską lokalizację. Intuicyjnie sięgną-
łem po instrukcję obsługi, aby sprawdzić,
jak zmusić urządzenie do prawidłowego
wyświetlania polskich znaków. Tu spo-
tkała mnie kolejna przykra niespodzian-

78 styczeń 2005
 yopy testy

ego z użytkownikiem nie jest ani trochę słowem nie wspomniano o możliwości
Alternatywne spojrzenie intuicyjna, osoby, które po raz pierwszy podłączenia palmtopa do naszego ulu-
Piotra Truszkowskiego mają do czynienia z palmtopem, mogą bionego Linuxa. W efekcie, skorzystanie
Główną zaletą tego przyjemnego urządze- czuć się lekko zagubione. z rozszerzeni znajdujących się na płycie
nia mobilnego jest jego serce, czyli system CD może sprawiać problemy początkują-
Linux. Nie ukrywam, że już na samym Zwykła praca cym użytkownikom urządzenia.
początku Yopy zrobił na mnie dobre wra-
YOPY posiada wszystkie programy, które
żenie. Może dlatego, że uwielbiam Linuk-
sa, a wszystko, co z nim związane, witam
powinny znaleźć się na każdym przy- Podsumowanie
z otwartymi rękami, a może dlatego, że
zwoitym palmtopie. Mamy typowe apli- YOPY 3700 jest niewątpliwie palmtopem
Yopy to po prostu bardzo dobry palmtop. kacje PIM – kalendarz, zadania, listy o ogromnych możliwościach. Nieste-
Bardzo dobry, ale nie doskonały. Może dnia, kontakty oraz całą gamę dodat- ty, zlekceważenie przez producenta pol-
najpierw o wadach, ponieważ nic tak nie kowych aplikacji multimedialnych oraz skiego klienta (chociażby brak instruk-
motywuje producentów sprzętu do stwo- biurowych. Potęgę urządzenia podkre- cji obsługi w języku polskim), dyskwa-
rzenia lepszego produktu, niż wyliczenie śla kompilator, znajdujący się na płycie lifikuje urządzenie na rodzimym rynku.
wad na łamach poczytnego czasopisma. CD, umożliwiający pisanie na kompute- Zaskakuje również brak wsparcia dla
Yopy jest słabo wykonany. Klapka lata na rze stacjonarnym własnych programów systemu operacyjnego Linux. Ostatecz-
wszystkie strony, jakby zaraz miała odle- działających na YOPY-m. nie, biorąc pod uwagę wysoką cenę
cieć, materiały są niskiej jakości, a pod-
Mimo, że na palmtopie zainstalowa- YOPY-ego (ponad 2500 zł), nie zdziwił-
czas wybierania opcji za pomocą rysika,
ny jest system operacyjny Linux, standar- bym się, gdyby konsument wybrał urzą-
cały ekran odchyla sie tak mocno do tyłu,
jakby miał się za chwilę złamać. Do tego
dowo, urządzenie współpracuje jedynie dzenia firm konkurencyjnych.
dochodzi instrukcja w języku angielskim, z Windowsami. W instrukcji obsługi ani Ocena: 3/5
brak polskiego interfejsu, braki w obsłudze
urządzenia pod Linuksem (co jest istnym R E K L A M A
paradoksem – Yopiego wyposażonego
w system Linux łatwiej zmusić do pracy
w środowisku Windows!), a jeśli już czepiać
się wszystkiego, to brakuje również głośni-
ków stereo. Skoro Yopy posiada obsłu-
gę plików MP3, dlaczego musimy słuchać
mono? Dobrze. Koniec narzekań. Yopy to
bardzo fajny palmtop. Jeśli jesteście użyt-
kownikami Linuksa, poczujecie się jak ryba
w wodzie. Pod maską szybki (206 MHz) pro-
cesor, dużo pamięci (128 RAM/32 ROM),
dobrej jakości wyświetlacz LCD, potrafią-
cy cieszyć nasze oczy paletą 65 tysięcy
kolorów, bardzo dobra bateria, która potrafi
wytrzymać do 8 godzin ciągłej pracy, oraz
klawiatura w standardzie QWERTY. Dzięki
goszczącej w środku dystrybucji Lupy,
możemy skorzystać z ogromnego repo-
zytorium pakietów dla Linuksa. Na płytce
zawarto oprogramowanie, dzięki które-
mu na naszym domowym pececie skom-
pilujemy sobie program i zainstalujemy go
w Yopim. Prawda, że miłe? Z naszym palm-
topem możemy komunikować się poprzez
podczerwień, gniazdo MMC i USB. Reasu-
mując, polecam Yopiego wszystkim użyt-
kownikom Linuksa i tym, którzy chcą mieć
dobrego palmtopa, z solidnym systemem,
który na wszelkiego rodzaju wirusy reagu-
je wyciągnięciem ostrzegawczego znaku
“Stop – tutaj nie macie czego szukać”.
Ładny, stabilny, o dobrym stosunku jakości
do ceny. Warto go chociaż zobaczyć.
Ocena: 4/5

ka – dostarczona instrukcja obsługi była

napisana również po angielsku. Biorąc
pod uwagę fakt, że współpraca YOPY-

www.lpmagazine.org 79