Bezpečnosť

OmarOS berie bezpečnosť mimoriadne vážne. Má to byť operačný systém, ktorý môžete používať na skutočnú prácu v skutočnom svete. Kde strata notebooku nemôže viesť k bezpečnostnej núdzi. Takže tu je, čo robíme:

1. Šifrovanie celého disku je povinné: Toto je najdôležitejší krok na zabezpečenie fyzickej ochrany vašich údajov. Ak sa váš počítač stratí alebo vám ho ukradnú, údaje sú plne zašifrované pomocou štandardného LUKS (Linux Unified Key Setup).
2. Firewall je predvolene povolený: Všetka prichádzajúca prevádzka je predvolene blokovaná, okrem portu 53317 pre LocalSend. Dokonca aj ssh je vypnuté, kým ho nezapnete cez Nastavenie > Security > SSHD, čo v rámci nastavenia otvorí port 22 (s obmedzením rýchlosti proti útokom hrubou silou). Dokonca uzamykáme prístup Dockeru pomocou nastavenia ufw-docker, aby sme zabránili tomu, aby sa vaše kontajnery náhodne vystavili svetu.
3. Arch má vždy najnovšie aktualizácie: Arch, základná distribúcia, na ktorej je OmarOS postavený, je priebežne aktualizovaná distribúcia. To znamená, že každá bezpečnostná zraniteľnosť, ktorá sa objaví a opraví v akomkoľvek balíku, je rýchlo dostupná na inštaláciu pomocou omaros-update. Týmto spôsobom vždy používate najnovšie a najbezpečnejšie verzie všetkého.
4. OmarOS udržiava vlastné balíky a zrkadlo: OmarOS sa predvolene spolieha len na balíky z vlastných repozitárov Archu core/extra/multilib a z vlastného repozitára balíkov OmarOS. Softvér môžete inštalovať priamo z AUR, ale základná inštalácia to nerobí — len niekoľko voliteľných inštalácií, ako prehliadače tretích strán, čerpá z AUR.
5. Cloudflare nás chráni pred DDoS: Celá distribučná infraštruktúra OmarOS — ISO, balíky OmarOS, zrkadlo Archu — je chránená za mohutným štítom Cloudflare proti DDoS a hosťovaná na ich CDN. To poskytuje vynikajúcu dostupnosť.

Zmena hesiel

Na zašifrovanej inštalácii máte dve heslá: jedno, ktoré odomyká disk pri zavádzaní, a jedno, ktorým sa prihlasujete a používate sudo. Nastavenie ich robí rovnakými. Obe môžete zmeniť v časti Aktualizovať > Password v ponuke OmarOS — Drive Encryption pre prvé, User pre druhé. Zmena hesla disku si najskôr vyžiada aktuálne heslo, takže ho majte poruke. Ak sa zmena preruší, spustite Drive Encryption znova: vyžiada si heslo, ktoré disk odomyká teraz, a zmenu dokončí.

Odovzdanie stroja, ktorý ste už používali

Ak svoj stroj odovzdávate niekomu inému, nemusíte ho preinštalovať. Spustite Nastavenie > Reset Computer v ponuke OmarOS, na potvrdenie napíšte reset a reštartujte. Tým sa vymaže každý používateľský účet a všetko v /home, zahodia sa všetky balíky a systémové zmeny, ktoré ste od inštalácie urobili, a vymaže sa identita stroja — sieťové pripojenia, kľúče hostiteľa a všetko. Čo sa vráti, je sprievodca nastavením z prvého zavedenia, pripravený na to, aby nový vlastník zadal svoje vlastné meno, heslo a šifrovacie heslo.

Funguje to tak, že sa obnoví základná snímka, ktorú inštalačný program vytvorí, takže je to dostupné len na strojoch nainštalovaných z ISO OmarOS. A na disku bez šifrovania je reset vymazanie, nie bezpečné vymazanie, takže ak boli údaje citlivé, urobte namiesto toho čerstvú inštaláciu.

Sudo bez hesla

Niekedy chcete, aby vás sudo prestalo otravovať, najčastejšie vtedy, keď za vás agent s umelou inteligenciou robí dlhý úsek systémovej práce. Nastavenie > Security > Passwordless Sudo sa pýta, ako dlho povoliť prístup: 15 minutes, 1 Hour, 1 Day alebo Permanently. Kým je prístup aktívny, vedľa ostatných ukazovateľov lišty ponuky sa zobrazí červená výstražná ikona. Kliknite na ňu alebo znova spustite príkaz, ak chcete prístup vypnúť. Môžete tiež odovzdať vlastný počet minút (od 1 do 1440) príkazom omaros-sudo-passwordless 30 alebo použiť omaros-sudo-passwordless permanent.

Načasovaný prístup vyprší automaticky, a to aj okamžite po obnovení z uspania, ktoré prekročilo termín. Reštart počítača ho predčasne ukončí. Trvalý prístup prežije reštarty a zostáva povolený, kým ho nevypnete.

Aktualizácia alebo odstránenie balíka nastavení OmarOS ukončí každé dočasné udelenie ešte predtým, než sa zmení jeho podpora vypršania. Ak príkaz nahlási chybu autorizácie alebo čistenia, vyriešte ju skôr, než sa pokúsite povoliť ďalšie udelenie; chyba neznamená, že prístup bez hesla je neaktívny.

Pri tomto majte otvorené oči: kým je to zapnuté, čokoľvek, čo beží ako váš používateľ, môže robiť čokoľvek ako root bez opýtania. To je celý zmysel a je to aj celé riziko.

Podpisové kľúče

ISO obrazy vydaní OmarOS sú podpísané podpisovým kľúčom OmarOS. Jeho odtlačok a verejný kľúč nájdete na omaros.org/download. Balíky, ktoré stále pochádzajú z repozitára Omarchy, pacman overuje podľa kľúčov v balíku omarchy-keyring, ktorý zároveň zavádza aj všetky aktualizácie kľúčov.

Podpis pre každé vydanie ISO nájdete pridaním .sig k adrese URL. Napríklad https://iso.omaros.org/omaros-x.x.x.iso.sig.