Dateien vor root schützen

Alles rund um sicherheitsrelevante Fragen und Probleme.
Antworten
Benutzeravatar
frindly
Beiträge: 1085
Registriert: 23.10.2007 08:13:26
Wohnort: Recklinghausen

Dateien vor root schützen

Beitrag von frindly » 18.04.2011 08:17:32

Hallo
ich habe ein ziemlich schwieriges Problem. Daten sollen vor dem Zugriff von root geschützt werden,
so das ich als root diese nicht einsehen kann. Gleichzeitig sollen sie aber über eine Samba Freigabe von aussen für mehrere Personen erreichbar sein.

Meine erste Idee basierte auf Truecrypt, so das ich eine Containerdatie auf der Freigabe abgelegt habe, die dann von den Windows Clients eingebunden wurde. Idee war ganz brauchbar,
aber es kann immer nur einer auf die Datei zugreifen.

Gibt es vieleicht über ACL's ne Lösung, so das ich als root den Inhalt nicht sehe, aber mehrere Nutzer den Ordner nutzen können?

Benutzeravatar
bmario
Beiträge: 1256
Registriert: 05.09.2007 12:15:47
Lizenz eigener Beiträge: MIT Lizenz
Wohnort: Dresden

Re: Dateien vor root schützen

Beitrag von bmario » 19.04.2011 21:22:43

Naja, im ersten Moment klingt die Anforderung ja recht sinnvoll, aber je mehr man drüber nach denkt, umso sinnloser kommt es einen vor.

Wenn man dem Systemadmin nicht trauen, dann ist es völlig abwegig ihn weiter als Systemadmin zu haben. So einfach ist das.
Nichts zu tun ist viel besser,
als mit viel Mühe nichts zu schaffen. - Laotse

Benutzeravatar
Saxman
Beiträge: 4215
Registriert: 02.05.2005 21:53:52
Lizenz eigener Beiträge: MIT Lizenz
Wohnort: localhost

Re: Dateien vor root schützen

Beitrag von Saxman » 19.04.2011 21:26:48

Mit selinux lässt sich selbst root einschränken. Google mal nach RBAC. Zum Sinn oder Unsinn sage ich mal nix, und zu den Anforderungen um das vernünftig zu implementieren schon 5 mal nix... :wink:
"Unix is simple. It just takes a genius to understand its simplicity." - Dennis Ritchie

Debian GNU/Linux Anwenderhandbuch | df.de Verhaltensregeln | Anleitungen zum Review und zum Verfassen von Wiki Artikeln.

Benutzeravatar
bmario
Beiträge: 1256
Registriert: 05.09.2007 12:15:47
Lizenz eigener Beiträge: MIT Lizenz
Wohnort: Dresden

Re: Dateien vor root schützen

Beitrag von bmario » 19.04.2011 21:30:18

Saxman hat geschrieben:Mit selinux lässt sich selbst root einschränken.
Das war auch mein erster Gedanke, aber wer setzt die Regeln auf? Und wer hat das Recht die wieder zu ändern? Richtig root. ;)
Nichts zu tun ist viel besser,
als mit viel Mühe nichts zu schaffen. - Laotse

Benutzeravatar
Saxman
Beiträge: 4215
Registriert: 02.05.2005 21:53:52
Lizenz eigener Beiträge: MIT Lizenz
Wohnort: localhost

Re: Dateien vor root schützen

Beitrag von Saxman » 19.04.2011 21:36:19

bmario hat geschrieben:
Saxman hat geschrieben:Mit selinux lässt sich selbst root einschränken.
Das war auch mein erster Gedanke, aber wer setzt die Regeln auf? Und wer hat das Recht die wieder zu ändern? Richtig root. ;)
Eben nicht, root ist hierbei nur der user, bei selinux geht es dann noch eine Ecke weiter. Jedem Benutzer läßt sich ein Kontext zuweisen, der nur bedingt von dem user geändert werden kann. Ich war schon per ssh root auf einem System da konnte ich buchstäblich nichts machen, und das trotz uid 0. Das war schon interessant.

http://fedoraproject.org/wiki/SELinux/SecurityContext
"Unix is simple. It just takes a genius to understand its simplicity." - Dennis Ritchie

Debian GNU/Linux Anwenderhandbuch | df.de Verhaltensregeln | Anleitungen zum Review und zum Verfassen von Wiki Artikeln.

Benutzeravatar
bmario
Beiträge: 1256
Registriert: 05.09.2007 12:15:47
Lizenz eigener Beiträge: MIT Lizenz
Wohnort: Dresden

Re: Dateien vor root schützen

Beitrag von bmario » 19.04.2011 21:44:37

Ja, ich kenne das auch. Aber was nutzt es einem? Wenn man dem Admin nicht vertrauen kann, dann kann man den Server nur in die Ecke stellen und verstauben lassen. Schränkt man root ein, kann der Admin seinen Job nicht tun, was die Sicherheit der Maschine gefährdet. Schränkt man root nicht ein, dann kann man der Machine nicht trauen, da der Admin "böse" Dinge tun könnte.

Und ganz davon abgesehen muss ja der Admin SELinux einrichten. Wenn man ihm also Böswilligkeit unterstellt, dann muss man auch davon ausgehen, das er die SELinux Regeln so anpasst, das er trotzdem Zugriff hat. Es führt einfach kein Weg dran vorbei einen Admin zu haben, der vertrauenswürdig ist.
Nichts zu tun ist viel besser,
als mit viel Mühe nichts zu schaffen. - Laotse

Benutzeravatar
Saxman
Beiträge: 4215
Registriert: 02.05.2005 21:53:52
Lizenz eigener Beiträge: MIT Lizenz
Wohnort: localhost

Re: Dateien vor root schützen

Beitrag von Saxman » 19.04.2011 21:52:37

Das streite ich ja auch gar nicht ab. Derjenige der selinux hierbei administriert kann die Rechte anpassen. Es ging ja hier nur darum den user root einzuschränken. Das kann durchaus interessant sein in manchen Umgebungen. Gerade wenn du z.B verhindern willst, dass zu viel kaputt geht wenn root kompromittiert wird.
"Unix is simple. It just takes a genius to understand its simplicity." - Dennis Ritchie

Debian GNU/Linux Anwenderhandbuch | df.de Verhaltensregeln | Anleitungen zum Review und zum Verfassen von Wiki Artikeln.

Benutzeravatar
minimike
Beiträge: 5594
Registriert: 26.03.2003 02:21:19
Lizenz eigener Beiträge: neue BSD Lizenz
Wohnort: Köln
Kontaktdaten:

Re: Dateien vor root schützen

Beitrag von minimike » 19.04.2011 23:27:54

OT
SELINUX unter Debian. Gut gebrüllt ihr Löwen. Das geht eigendlich nur mit RHEL ganz sauber. Habe es mehrmals unter Debian probiert. Und bin dann mehrmals zu RHEL übergegangen.
Wie das mit Tomoyo unter Debian ausschaut muss ich mal ausprobieren
"Lennart Poettering is one of those typical IT leaders..." "like Linus Torvalds and Theo de Raadt?" "more like Bozo the Clown" After all, now a good employee of Microsoft

Benutzeravatar
Blackbox
Beiträge: 4289
Registriert: 17.09.2008 17:01:20
Lizenz eigener Beiträge: GNU Free Documentation License

Re: Dateien vor root schützen

Beitrag von Blackbox » 20.04.2011 02:37:03

Vielleicht solltet ihr es aus einer anderen Richtung betrachten, wenn ROOT nicht in die Buchhaltungs- oder Geschäftsführungsgruppe (Gruppen mit sensiblen Geschäftsbereichen beliebig erweiterbar) schauen darf, kann er oder sie auch nicht für Fehler oder Unregelmässigkeiten verantwortlich gemacht werden.
Ich würde diese Regel eher Selbstschutzmassnahme nennen...
Ich kenne solche Regelungen, aus größeren Firmenkonstrukten, diese sind im Mittelstand eher unüblich, aber nicht undenkbar...
Eigenbau PC: Debian Sid - Kernel: 6.5.13 - Xfce 4.18 mit sway
Desktop PC: Dell Inspiron 530 - Debian Sid - Kernel: 6.5.13 - Xfce 4.18 mit sway
Notebook: TUXEDO BU1406 - Debian Sid - Kernel: 6.5.13 - Xfce 4.18 mit sway
Alles Minimalinstallationen und ohne sudo/PA/PW.
Rootserver: Rocky Linux 9.3 - Kernel: 5.14

Freie Software unterstützen, Grundrechte stärken!

pferdefreund
Beiträge: 3791
Registriert: 26.02.2009 14:35:56

Re: Dateien vor root schützen

Beitrag von pferdefreund » 20.04.2011 08:49:55

Wenns um einzelne, nicht zu große Dateien und überschaubare Datenmengen geht,
bietet es sich doch an, diese in einer Datenbank (postgresql oder so) verschlüsselt
abzulegen. Hier kann man dann sehr genau Zugriffsrechte lesen, schreiben usw)
einstellen. Außerdem können dann auch viele gleichzeitig zumindest lesend auf
die Daten zugreifen. Dafür sind ja auch Datenbanken da.

jmittendorf
Beiträge: 64
Registriert: 07.11.2007 08:56:30

Re: Dateien vor root schützen

Beitrag von jmittendorf » 20.04.2011 09:24:32

So etwas ähnliches hatte ich bei meinem Arbeitgeber vor Jahren auch schon einmal. Es wurde schnell wieder fallen gelassen.
Denn es macht einfach keinen Sinn.
Wie sollen denn die Daten gesichert werden, wenn der Admin keinen Zugriff hat?

Gruß Jörg

123456
Beiträge: 6126
Registriert: 08.03.2003 14:07:24

Re: Dateien vor root schützen

Beitrag von 123456 » 20.04.2011 09:48:26

das hier:
bmario hat geschrieben:Naja, im ersten Moment klingt die Anforderung ja recht sinnvoll, aber je mehr man drüber nach denkt, umso sinnloser kommt es einen vor.
kann man eigentlich nur unterstreichen.

Benutzeravatar
Snoopy
Beiträge: 4293
Registriert: 17.11.2003 18:26:56
Lizenz eigener Beiträge: MIT Lizenz
Wohnort: Rh.- Pflz.

Re: Dateien vor root schützen

Beitrag von Snoopy » 20.04.2011 10:57:13

Hi
jmittendorf hat geschrieben:Wie sollen denn die Daten gesichert werden, wenn der Admin keinen Zugriff hat?
Spätestens das muss ein K.O.-Kriterium für die Aktion sein.
Wenn man dem Admin nicht traut, spätestens auf den Datensicherungen wird er -rein von der Theorie- wieder zugreifen können.
Ich sehe das Aussperren des Root-Users als Unfug an, man holt sich mehr Stress als Nutzen.

Benutzeravatar
ThorstenS
Beiträge: 2875
Registriert: 24.04.2004 15:33:31

Re: Dateien vor root schützen

Beitrag von ThorstenS » 20.04.2011 18:35:11

unter Novell ging das schon Mitte der 90er und trotzdem lief eine Datensicherung und viel wichtiger: der Restore...

Antworten