Grundlegende Security-Diskussion

[g-henna]

Hi!

Ich wollte mal eine kleine, sachliche Security-Diskussion entfachen. Und zwar wissen wir ja alle, dass Linux eigentlich ein eher sicheres Betriebssystem ist (im Vergleich zu den Produkten aus Redmond, (1.) wie sieht es eigentlich mit anderen Unices aus, oder den diversen Betriebssystemen, die sonst noch auf Servern eingesetzt werden?). Das gilt schon daher, weil es ((2.) bisher?) noch keine großartigen Viren für Linux gibt, die Millionen Rechner ganz von selbst lahmlegen. Nun wollte ich aber mal wissen, wie das mit dem Kompromittieren einzelner Server ist. Ich meine, die Geschichten um debian.org, gnome.org und dann halt immer sone Aussagen wie: "Wenn der Eindringling nen User-Account hat, hat er auch bald das root-Passwort" und Schlagwörter wie "Kernel-Exploits" und "Rootkit" ((3.) Wie funktioniert so ein Rootkit denn bitte?), die verunsichern mich irgendwie. Und dann immer die berühmten "Script-Kiddies", die aber, obwohl sie nix drauf haben, trotzdem immer irgendwelche Server in die Knie zwingen können. Bekomm ich das bloß nicht mit, oder gibt es sowas bei Windows-"Servern" nicht so häufig? Ich meine... mal angenommen, ich hätte jetzt also durch meine krassen Kenntnisse ne Win98-"Shell" auf nem Fremdrechner erobert, was soll ich dann damit machen? Unter Linux steht einem dann alles offen, aber unter Windows, was kann man denn da mit ner Kommandozeile schon anfangen? Das alles führt mich irgendwie zu der Frage, wie sicher man einen Linux-Server noch betreiben kann und wo man akut aufpassen muss. Man hört ja auch immer so Sachen: "Nee, lass mal die Finger von portmap, das kann ne ganz gefährliche Sache sein" und... warum fixt man das dann nicht? Ich weiß, da muss man dann wieder unterscheiden zwischen "Linux" und "GNU/Linux", aber das ist dem Eindringling ja dann ziemlich egal, oder?

Bye
g-henna

[startx]

: "Wenn der Eindringling nen User-Account hat, hat er auch bald das root-Passwort"

nein, dem ist nicht so, wenn das so wäre, könnte jeder user eines systems, und bei manchen (z.B. uni sytemen) sind das ja schnell ein paar tausend, zu root werden.

"Kernel-Exploits" und "Rootkit" ((3.) Wie funktioniert so ein Rootkit denn bitte

ein "kernel-exploit" ist ein "fehler" im kernel, der unter bestimmten umständen (buffer-overflow z.B. ) erlaubt, ein programm oder befehl (z.B. eine shell) als root auszuführen. ein "rootkit" ist ein programm, das auf einem fremden rechner installiert wird (möglichst unbeerkt) und das mir den unerlaubten wechsel auf root erlaubt oder heim,lich andere dinge wie password-erspähen erledigt.
siehe auch:
Understanding Rootkits : http://www.linuxdevcenter.com/pub/a/lin ... otkit.html

Win98-"Shell" auf nem Fremdrechner erobert, was soll ich dann damit machen? Unter Linux steht einem dann alles offen, aber unter Windows, was kann man denn da mit ner Kommandozeile schon anfangen?

kein vernünftiger mensch benutzt win98 als server system
mit einer win-nt oder xp kommandozeile kannst du aber auch fast alles steuern, ausserdem kannst du ja von dort auch einen remote zugriff auf die grafische oberfläche starten. schliesslich werden win-nt systeme genauso von aussen administriert wie unix systeme.

Das alles führt mich irgendwie zu der Frage, wie sicher man einen Linux-Server noch betreiben kann und wo man akut aufpassen muss.

wenn du regelmässig über exploits und bugs informiert bist und die sicherheitslücken schnell schliesst, ist es eins der sichersten systeme die es gibt.

"Script-Kiddies", die aber, obwohl sie nix drauf haben, trotzdem immer irgendwelche Server in die Knie zwingen können.

so kann man das nicht sagen, "Script-Kiddies" reproduzieren in der regel halt scripte oder exploits, die sie woanders gefunden haben, ein exploit der irgendwo funktioniert hat,
funktioniert ja auch woanders, indem man die anleitung dazu einfach nachvollzieht.
deshalb brauch man dazu auch nur begrenztes wissen.
die bezeichnung "Script-Kiddies" stammt noch aus der zeit, als man dazu scripte, die irgendwo im netz standen, einfach abgetippt hat ohne sie zu verstehen.

(1.) wie sieht es eigentlich mit anderen Unices aus, oder den diversen Betriebssystemen, die sonst noch auf Servern eingesetzt werden?)

das ist ansichtssache und kaum objektiv zu beurteilen.
NetBSD, OpenBSD, FreeBSD usw ...


habe ich einige deiner fragen beantwortet?

für details lies mal das Securing-Debian-Manual:
http://www.debian.org/doc/manuals/secur ... ian-howto/

[LittleBoy]

Generell ist es erstmal ein riesen Bullshit zu behaupten, Linux sei sicherer als Windows. Die gesamte Sicherheit eines Systems steht und fällt mit den Fähigkeiten und Einsatz des Administrators.
In der Realität sind wohl ebensoviele Linux-Maschinen wie Windows-Maschinen gar nicht oder nur unzureichend administriert. Schaut man sich hier im Forum z.B: die meisten Postings an, dann denken sehr viele Nutzer, man schreibt die security-Updates in die sources.list und schon hat man ein sicheres System.

Würmer & Viren sind unter Linux einfacher zu schreiben als unter Windows - insbesonders Techniken wie Polymorphie sind auf Grund des allgegenwärtigen Compilers wesentlich einfacher zu realisieren. Würmer kommen sogar aus dem *nix Umfeld - die ersten Exemplare haben es geschafft, fast das gesamte damalige Internet lahmzulegen. Wenn sich z.B. unter Windows E-Mail Würmer verbreiten, die sich selber verschlüsselt(!) verschicken, und den Empfänger auffordern, dass Archiv zu entpacken, ein Passwort einzugeben und das Programm zu starten - dann kann man das auch 1:1 auf Linux übertragen.
Linux hat einen großen Vorteil: Es ist kaum verbreitet. In dem Moment, wo Linux weit verbreitet ist, werden die Viren & Würmer aus dem Boden spriessen und sich ebensoschnell verbreiten wie unter Windows.

[Savar]

Linux hat einen großen Vorteil: Es ist kaum verbreitet. In dem Moment, wo Linux weit verbreitet ist, werden die Viren & Würmer aus dem Boden spriessen und sich ebensoschnell verbreiten wie unter Windows.

und Gott sei Dank können wir hier im Forum versuchen das etwas zu Regeln.

Aber ich habe die Hoffnung, dass es einfach mal weniger häufig vorkommt das einer ÜBERHAUPT keine Ahnung hat was eine Firewall ist als das im Windowsbereich der Fall ist.

Viele Würmer grassieren immer noch nur deshalb rum, weil die meisten Windows-Dumpfbacken (bitte nicht allzu persönlich nehmen) einfach mal auch nach der dritten Warnung in Bild oder BZ oder sonstwo noch nichts dagegen gemacht haben.

Naja.. man kann hoffen.. ich meine ich war selber noch nie von einem Wurm befallen.. obwohl ich bis vor 5 Monaten hauptsächlich Windows benutzt habe.

[LittleBoy]

Nur zur Information: gut 70% der Windows-Würmer sind auf aktive(!) Mithilfe des Nutzers angewiesen. DIe Zeiten, wo Lücken in Outlook (Express) benutzt wurden, sind lange vorbei. Das ist heute auch nicht mehr nötig.

Das Problem ist halt: Es wird die Naivität des Durchschnittsbürgers unterschätzt. Die Leute werden leichtfertig als "Windows-Deppen" oder was auch immer bezeichnet - dabei ist es völlig egal, vor welchem Computer ein Nutzer sitzt.

[startx]

Generell ist es erstmal ein riesen Bullshit zu behaupten, Linux sei sicherer als Windows. Die gesamte Sicherheit eines Systems steht und fällt mit den Fähigkeiten und Einsatz des Administrators.

das habe ich auch nicht behauptet (aber "bullshit" ist das auch nicht...).
aber linux bringt, wie die alle unix systeme, einige
vorraussetzungen mit, wie zum beispiel ein sauberes rechte-management usw. die
win eben nicht hat. ausserdem erlaubt win dem admin viele dinge nicht, wie z.B. das kompilieren des kernels zum beheben von fehlern/sicherheitslücken. abgesehen davon ist stabilität auch ein sicherheitsfaktor, und das win stabiler ist als unix-systeme, hat ausser
msoft soweit ich weiss kaum jemand behauptet.

selbstverständlich hängt trotzdem das meiste am admin ...

[LittleBoy]

Bevor wir weiter reden: Hast du schonmal ein modernes Windows-System administriert?

[juesken]

Hiho,

also in diesem Zusammnhang möchte ich einmal einen Tipp zu einer Zeitschrift geben, die ich eigentlich sonst niemanden empfehle: Die LinuxIntern (ausversehen mal gekauft) hat in der Ausgabe Ausgust-Oktober genau dieses als Thema und beschreibt im Hauptartikel (ab Seite in "Risiko oder Fort KNBOX? \ ist Linux wirklich sicherer als Windows?" genau diese Problematik.

Die Argumentation ist gut und einfach nach zu vollziehen und genau wie hier schon beschrieben, sagt auch dort das Fazit: Es liegt am Menschen, auch ein Windows kann sicher sein, mit genügent aufwand. Desweiteren gibt es dort noch viele (für Umsteiger) interessante Artikel zum Thema Sicherheit mit Linux.


mfg bn

[pierre]

Wirf ich mich hier mal mit ein:

Zu erkennen ist erstmal der Zuwachs an Computern (Zukunft ohne sie: würde nie gehen). Dias derzeitige Problem scheint hauptsächlich am Anwender zu liegen: Virenscanner + E-Mail Filter sind echt schon praktisch, dann noch nicht jeden Mist runterladen, eine Firewall installieren und aufpassen(!) welche Programme man nutzt und mit denen man ins Internet geht. Der erste Punkt wird meistens ja schon erfüllt und den E-Mail Virenfilter bringen manche Hoster schon mit.
Wahre Story: Ist schon ein wenig länger her (so ein Jahr), aber immer wieder schockierend. Ich wurde mal wieder gerufen, das ein PC nicht mehr so läuft wie sonst (regelmäßige Abstürze und so). Das Resultat nach etwa 1 Stunde Arbeit: nichts interessantes was hätte den PC schützen können, also musste ich ihn mitnehmen. Was mir zu Hause auffiel: einige Trojaner, ganz wenig Viren und Dialer ohne Ende, keine Firewall und/oder Virenscanner und nur noch eine Wahl: komplette Neuinstallation. Leider musste ein Windows rauf, aber jedem das seine.

Bei der Administration von Windows: es ist schon hart/schwer dieses System zu verwalten. Dieses Klicki-Bunti erschwert mir das direkte Arbeiten enorm. Ausserdem wird beinahe alles über diese ominöse Registrierung gesteuert. Viele Einträge kann man nicht nachvollziehen. Ausserdem nervt die regelmäßige Defragmentierung.

Administration von Linux: manche Konfigurationsdateien liegen an einem unheimlischen Ort oder sind beinahe gar nicht kommentiert und in der man-page oder so steht auch nichts drin. Manche man-pages sind einfach nur Programmbeschreibungen und mehr nicht.

Fazit Systemsicherheit: Man unterschätzt die Gefahr von aussen, ob Linux, Windows oder sonstewelches System. Wenn man einen Computer bedienen will, so sollte man auch sich um Routinearbeiten und so kümmern oder ihn von JEGLICHEN Angriffen von außen fernhalten. Jeder der sein System pflegen will sollte nicht nur aufs äußere Wert legen, sondern regelmäßig updates einspielen, seinen Virenscanner aktualisieren und eine vernüftige Firewall (gibt es sowas unter win?) einrichten.

Grüße
pierre, der es immer wieder mit einem System aus Redmond zu tun hat.

[lobo]

So jetzt muss ich auch mal meinen Senf dazu geben.
Ich denke weniger, dass M$ Produkte häufiger das Ziel von Angriffen sind, weil sie weit verbreitet sind, das Problem ist eher die Monokultur von diesen Systemen. Ein Angreifer kann sich vorher genau ausmalen wie das Zielsystem aussieht. Es mag sein, dass vielleicht ein weit verbreiteter SuSE Standard Desktop ähnliche Probleme hat, aber mit GNU/Linux oder überhaupt mit OpenSource Betriebssystemen hat man ganz andere Möglichkeiten.

Ich denke ein Windows Admin kann seine Systeme auch gut absichern, wenn er fleißig bestimmte Sicherheitsmailinglisten verfolgt und ein verständnis für IT-Security insgesamt hat. Viele Grundüberlegungen und Maßnahmen um ein System abzusichern, lassen sich auf viele Betriebssysteme übertragen.

Dennoch muß ich sagen, dass es nicht stimmt, dass man in diesem Fall speziell Windows und GNU/Linux sicherheitstechnisch auf die gleiche Stufe stellen kann. Für GNU/Linux gibt es zahlreiche Sicherheitspatches wie GRSecurity, SELinux, OWL (da könnte ich jetzt noch ewig weitermachen), nur müssen die auch genutzt werden. Durch diese speziellen Patches lässt sich eine sehr hohe Sicherheit auf dem System erreichen, die auf einem Windows System einfach nicht möglich ist.

Ich würde mir für Linux auch wünschen, dass einige Eigenschaften aus diesen Security Patches im Vanilla Kernel landen, nur sind sie eben nicht für jedermann geeignet, da diese eben (wenn auch minimal) an der Performance des Sytems kratzen.

Gruss

Jochen

[LittleBoy]

Also, nehmen wir mal ein Beispiel: Windows XP SP2 - also das aktuellste Windows, hat schonmal eine Technik gegen Stack-Overflows. Es ist richtig, die kann man unter Linux mit PaX & Co auch nachrüsten, aber ob das nun wirklich einfacher ist, als einfach mal Windows Update auszuführen, weiss ich jetzt nicht.

SELinux & Co bieten noch weitere Sicherheitslevels - vieles davon kann man unter Windows auch machen, vieles davon ist schlicht paranoid. Denn wer sich z.B: einmal mit Penetration-Testing auseinandergesetzt hat, wird schnell feststellen, dass heute solche Angriffe gar nicht nötig sind, um ein Netzwerk anzugreifen.

Aber die "Diskussion" driftet in die übliche Richtung ab...

[lobo]

Also, nehmen wir mal ein Beispiel: Windows XP SP2 - also das aktuellste Windows, hat schonmal eine Technik gegen Stack-Overflows. Es ist richtig, die kann man unter Linux mit PaX & Co auch nachrüsten, aber ob das nun wirklich einfacher ist, als einfach mal Windows Update auszuführen, weiss ich jetzt nicht.

Da hast du recht, aber das SP2 schützt dann eben nur gegen eine Klasse von den typischen Overflows, aber da hat PaX noch einiges mehr zu bieten. Aber hier geht es ja auch nicht um Einfachheit, sondern um die Möglichkeiten ein System abzusichern. In deinem letzten Satz kommt es irgendwie so rüber, als ob du die Sicherheitspatches für den Linux Kernel mit einem einfachen Software Update gleich stellst. Ob nun ein apt-get update && apt-get upgrade schwerer als das Windows Update ist, darüber lässt sich streiten.

SELinux & Co bieten noch weitere Sicherheitslevels - vieles davon kann man unter Windows auch machen, vieles davon ist schlicht paranoid.

Über SELinux kann ich hier nicht sprechen, da ich GRSecurity einsetze, aber dort habe ich Möglichkeit, zu definieren auf welche Resourcen ein Programm zugreifen darf, sowas kenne ich unter Windows nicht, aber ich lasse mich da gerne eines Besseren belehren.

Denn wer sich z.B: einmal mit Penetration-Testing auseinandergesetzt hat, wird schnell feststellen, dass heute solche Angriffe gar nicht nötig sind, um ein Netzwerk anzugreifen.

Dann führe doch mal ein paar Beispiele an, damit das nicht so theoretisch ist. Die obengenannten Patches, verhindern zum größten Teil Script Kiddie Angriffe, heruntergeladene Exploits und Root hat auch keinen Vollzugriff mehr auf dem System. Im LAN kann man dann vielleicht noch die Daten manimpulieren, die von und zu diesem Rechner fließen, aber was für einfache Angriffe sollten dann noch möglich sein?

Aber die "Diskussion" driftet in die übliche Richtung ab...

Das ist eben normal bei einer Grundsatzdiskussion. Ich will hier nicht sagen, dass die Sicherheitsfunktionen von Windows schlecht sind, aber sie reichen eben nicht ganz an ein gehärtetes Linux System hin. Da ich selber in einem Umfeld mit 80% Windows Kisten arbeite, wäre ich froh, wenn du mal ein paar Beispiele ansprichst, wie du Windows gleichwertig absichern kannst, damit ich auch noch was dazu lerne.

Gruss

Jochen

[juesken]

ich werde mal einen anderen Aspekt in dieses Diskussion ein bringen..

Was mich von anfang an an Linux fasziniert hat, ist die Totale Kontrolle. Das Absolute, was root besitzt. Und ich denke da hat Linux schon etwas vorraus. Alles wird über einfache Text-Dateien gesteuert. Jede Einstellung kann man von Hand vornehmen und man hat die Absolute kontrolle über alles, über jeden Prozess, über jeden Port, über jeden User.

Das fehlt bei Windows. Und das macht es auch so unsicher. Beispiel: Ich hab mir den neuesten medion gekauft und das XP erstmal eingerichtet. Folge: ALLE MEINE BENUTZER WAREN ADMINISTRATOREN. Im Hintergrund liefen zieg Dienste, die ich weder Kenne, noch weiß wozu sie gut sind, noch hab ich sie jemals gestartet oder ihnen ähnliches erlaubt. (Anbei: eine System Update hat dann erstmal 15-20 mehr oder minder schwere Löcher aufgezeigt).

Desweiteren sind manche funktionen von Windows XP nur mit speziellen Programmen oder über die Registry zu machen. Und das ganze alles andere als gut dokumentiert.

Ich denke, dass das größte Problem von Windows die Benutzerfreundlichkeit ist. Denn dadurch werden viele (unnötige) Dienste gestartet und weil das User-Management so scheiße ist, alle als Administratoren eingerichtet. Und natürlich alles mit viel BUNT.

womit wir wieder bei einem alten Problem sind: Benutzerfreundlichkeit steht im Gegensatz zu Sicherheit.

bn

[el_cattivo]

womit wir wieder bei einem alten Problem sind: Benutzerfreundlichkeit steht im Gegensatz zu Sicherheit.bn

Kann ich nicht bestätigen. Schonmal mit MAX OS X gearbeitet? Die Anwendungen laufen auch ohne Root-Rechte, will man mal eine Einstellung ändern gibt man einfach Name / Passwort des Admins ein und fertig.Unter XP hab ichs 2 Wochen durchgehalten mich dauern neu anzumelden, Benutzer zuw echseln oder so wenn ich was ändern wollte. Dann hat es nur noch genervt. Nebenbei kennt der Mac auch keine DLL's, die Programme bestehen häufig aus einer einzigsten Datei die man von überall starten kann und überhaupt können das selbst die größten DAUs bedienen. Ist man aber erstmal Windows geschädigt wird der Umstieg schwer...

Ich bin kein Mac Fan, aber dort könnte sich das Linux und besonders das Windows Lager noch einiges abschauen. Das Motto "keep it simple" und wirklsame Sicherheit sind kein gegensatz.

Unter XP / 2000 wird man fast gezwungen als Admin zu arbeiten, dann greifen auch die Firewall /Virenscannercheck und andere ach so tolle SP2 Features nicht mehr. Man kann ja selber alles ändern - und damit der Wurm auch.

Aber ich glaube das passt nicht so ganz hierher

[suntsu]

Nebenbei kennt der Mac auch keine DLL's, die Programme bestehen häufig

Die heisse einfach anders...

gruss
manuel

[peschmae]

Ich möchte gar nicht wissen wie gross meine Platte und Arbeitsspeicher sein müssten wenn alles und jedes statisch gelinkt wäre.

MfG Peschmä

[lobo]

...
Die Anwendungen laufen auch ohne Root-Rechte, will man mal eine Einstellung ändern gibt man einfach Name / Passwort des Admins ein und fertig.Unter XP hab ichs 2 Wochen durchgehalten mich dauern neu anzumelden, Benutzer zuw echseln oder so wenn ich was ändern wollte. Dann hat es nur noch genervt.

Mit solchen Aussagen wäre ich etwas vorsichtig, da du dich da anscheinend nicht gut informiert hast. Unter Windows gibt es den Befehlt "runas" oder in der GUI einfach Shift+RechteMaustaste auf eine EXE-Datei und schon kann man das Programm auch als anderer User ausführen.

Nebenbei kennt der Mac auch keine DLL's, die Programme bestehen häufig aus einer einzigsten Datei die man von überall starten kann und überhaupt können das selbst die größten DAUs bedienen.
...

Ich bin jetzt Programmiertechnisch nicht so ganz fit, aber die Shared-Libraries dürften wohl das Equivalent zu den DLLs sein.

Unter XP / 2000 wird man fast gezwungen als Admin zu arbeiten, dann greifen auch die Firewall /Virenscannercheck und andere ach so tolle SP2 Features nicht mehr.

Das ist teilweise wahr, da es wirklich ein paar Programme gibt, die nicht vernünftig arbeiten, wenn man sie nicht als Administrator ausführt, aber da muss man sich überlegen ob man die Programme wirklich haben will. Ich denke SP2 ist mal ein guter Anfang, deswegen sollte man es nicht gleich schlecht machen (wobei das jetzt eigentlich nichts zur Sache tut ).

Gruss

Jochen

[Burns]

Sicherlich auch noch ein wichtiger Punkt in Sachen Sicherheit, ist die Tatsache, dass Linux ein Open- Source System ist. Wie man immer wieder hört, sind Sicherheitslücken unter Windows teilweise schon monatelang bekannt, bevor sie von Microsoft gestopft werden, und das häufig auch erst dann, wenn sie schon im großen Stil ausgenutzt wurden.
Unter Linux hingegen ist niemand darauf angewiesen, auf die Patches eines großen Herstellers zu warten, jeder kann die Fehler selber beheben. Nun könnte ich persönlich keine Exploits im Kernel beheben, aber es gibt genug Leute, die das können und es auch schnell tun, sobald Lücken bekannt werden.