Wie wäre sowas möglich? Oder überhaupt möglich?

Vom einfachen Programm zum fertigen Debian-Paket, Fragen rund um Programmiersprachen, Scripting und Lizenzierung.
Antworten
dmant
Beiträge: 251
Registriert: 09.10.2017 10:28:29

Wie wäre sowas möglich? Oder überhaupt möglich?

Beitrag von dmant » 04.01.2018 13:43:34

Hallo,

ist es möglich ein "einbruchsicheres" system irgendwie zu erstellen? Ähnlich wie beim Flashen von Mikrocontrollern. Ich möchte gern ein angepasstes System auf einem Raspberry Pi laufen lassen. Allerdings möchte ich nicht das man an die Daten kommt. Also man kann den Raspberry an sein LAN anschließen und z.b. Samba läuft im Netzwerk aber auf das System selber soll man keinerlei Zugriff haben.

Ist etwas derartiges möglich? Man könnte ja auch einfach chrooten und fertig. Also gibt es eine möglichkeit derartiges auszuschließen? Kann man vielleicht in den Kernel ein passwort schreiben was nur beim booten aber nicht beim chrooten gelesen werden kann oder wie auch immer?

Ich dachte auch an ein vollverschlüsseltes system und entschlüsseln mittels dropbear, allerdings müsste man hier ja manuell freischalten und es sollte schon automatisch gehen.

Danke

Benutzeravatar
Datenteiler
Beiträge: 84
Registriert: 12.10.2008 21:01:46
Lizenz eigener Beiträge: GNU Free Documentation License
Wohnort: Hannover
Kontaktdaten:

Re: Wie wäre sowas möglich? Oder überhaupt möglich?

Beitrag von Datenteiler » 04.01.2018 16:04:38

dmant hat geschrieben: ↑ zum Beitrag ↑
04.01.2018 13:43:34
Hallo,

ist es möglich ein "einbruchsicheres" system irgendwie zu erstellen?
Hi,

so als Brainstorming würde ich zum härten eines Raspis folgendes machen:
  • Default User "pi" entfernen und neuen User anlegen
  • Alle noch vorhandenen Paswörter entfernen:
    1. Code: Alles auswählen

      # cat /etc/shadow | awk -F: '{if(length($2)>1) {print $1}}'
      # passwd -d pi
      
  • Am Raspi nur über SSH-Key anmelden
  • Alle nicht benötigter Dienste deaktivieren und Programme entfernen
  • Ein Network Intrusion Detection System (NIDS)
Aber es gibt bestimmt noch mehr Möglichkeiten.

Viele Grüße
Christian

eggy
Beiträge: 3331
Registriert: 10.05.2008 11:23:50

Re: Wie wäre sowas möglich? Oder überhaupt möglich?

Beitrag von eggy » 04.01.2018 16:17:40

Notiz am Rande: vergiss nicht, dass man die Karte aus dem Pi einfach in nen anderen Rechner stecken kann und dann Zugriff auf Alles hat.

Benutzeravatar
bluestar
Beiträge: 2334
Registriert: 26.10.2004 11:16:34
Wohnort: Rhein-Main-Gebiet

Re: Wie wäre sowas möglich? Oder überhaupt möglich?

Beitrag von bluestar » 05.01.2018 20:37:18

dmant hat geschrieben: ↑ zum Beitrag ↑
04.01.2018 13:43:34
ist es möglich ein "einbruchsicheres" system irgendwie zu erstellen?
Ein einbruchssicheres System ist unmöglich!
Maximale Sicherheit was Einbrüche angeht ist der Verzicht auf Konnektivität.
dmant hat geschrieben: ↑ zum Beitrag ↑
04.01.2018 13:43:34
Ich dachte auch an ein vollverschlüsseltes system und entschlüsseln mittels dropbear, allerdings müsste man hier ja manuell freischalten und es sollte schon automatisch gehen.
Verschlüsselung und gleichzeitig eine automatische Entschlüsselung? Da kannst du das Verschlüsseln auch direkt bleiben lassen. Schließlich musst du den Schlüssel ja unverschlüsselt bereitstellen zur Entschlüsselung.

TomL

Re: Wie wäre sowas möglich? Oder überhaupt möglich?

Beitrag von TomL » 05.01.2018 21:17:48

dmant hat geschrieben: ↑ zum Beitrag ↑
04.01.2018 13:43:34
ist es möglich ein "einbruchsicheres" system irgendwie zu erstellen?
Klar, abgestuft danach, welche Einbrecher man erwartet.

Schützen des PI gegen Zugriffe
- der eigenen Familie = keine Login-Zugänge erlauben, Zugang zur Karte verhindern.
- aus dem Internet = iptables INPUT DROP, OUTPUT DROP, FORWARD DROP. Allerdings geht damit auch kein Samba
- durch NSA, FSB oder die Chinesen = vom Strom trennen und im Safe aufbewahren

j.m.2.c.

uname
Beiträge: 12044
Registriert: 03.06.2008 09:33:02

Re: Wie wäre sowas möglich? Oder überhaupt möglich?

Beitrag von uname » 05.01.2018 21:59:37

Dienste minimieren und diese wiederum absichern. Wofür ist der Pi?

Beispiel:
- Samba absichern
- SSH zusätzlich per Key oder OTP
- alles andere deaktivieren

Firewall nur optional falls genannte Dienste nicht selbst korrekt einschränkbar, sonst nur zusätzliche Fehlerquelle.

breakthewall
Beiträge: 507
Registriert: 30.12.2016 23:48:51

Re: Wie wäre sowas möglich? Oder überhaupt möglich?

Beitrag von breakthewall » 05.01.2018 22:48:56

TomL hat geschrieben: ↑ zum Beitrag ↑
05.01.2018 21:17:48
Schützen des PI gegen Zugriffe
- durch NSA, FSB oder die Chinesen = vom Strom trennen und im Safe aufbewahren
Nicht übertreiben. Entgegen vieler Meinungen, kochen auch die nur mit Wasser, und unterliegen denselben technischen Grundgesetzen wie alle anderen. Es gibt nicht grundlos vielfache Forderungen nach Hintertüren, weil es eben nicht so einfach ist mal eben von aussen in PCs einzudringen. Es fängt schon mit offenen Ports an, hinter denen auch angreifbare Dienste stehen müssen, um überhaupt einen Angriffsvektor zu haben.

TomL

Re: Wie wäre sowas möglich? Oder überhaupt möglich?

Beitrag von TomL » 06.01.2018 11:33:31

breakthewall hat geschrieben: ↑ zum Beitrag ↑
05.01.2018 22:48:56
TomL hat geschrieben: ↑ zum Beitrag ↑
05.01.2018 21:17:48
Schützen des PI gegen Zugriffe
- durch NSA, FSB oder die Chinesen = vom Strom trennen und im Safe aufbewahren
Nicht übertreiben. Entgegen vieler Meinungen, kochen auch die nur mit Wasser, und unterliegen denselben technischen Grundgesetzen wie alle anderen.
Aber, aber, Herr Breakthewall, das war aber jetzt nicht sehr qualifiziert... :mrgreen: ... lässt es doch Raum zur Vermutung, meine beiden anderen Lösungsvorschläge wären sinnvoller... was sie ja nun wirklich nicht sind. Ganz im Gegenteil, ich glaube sogar, der einzig nicht übertriebene Vorschlag war der NSA-Vorschlag... denn wenn ich wirklich mal in deren Fokus gerate, gehen die einfach in mein Haus, wenn ich gerade nicht da bin 8)

Aber mal ganz im Ernst, ich tue mich ein wenig schwer damit, eine so undifferenzierte Frage seriös zu beantworten. Beim Lesen hat es mich an die Frage eines anderen Users an anderer Stelle erinnert, der seine Daten verschlüsseln möchte, um sie beim Surfen vor Fremdzugriff aus dem Internet zu schützen. Ihm war gar nicht bewusst, dass die verschlüsselten Daten nur dann geschützt sind, wenn er gerade sowieso nicht surft, weil der Rechner ausgeschaltet ist. :?

Tatsache ist doch, wenn sich der PI hinter einem der üblichen Consumer-Router befindet und es wurde vorher nicht unsachgemäß am Router rumgefummelt, so hat doch erst mal sowieso kein Angreifer aus dem Internet direkten Zugang zum Pi. Und wenn man dem PI selber im Router auch noch den ausgehenden Internetzugang verbietet, so ist er aus dieser Perspektive imho absolut ausreichend gesichert. Man muss also am PI gar nix machen, lediglich vorher einen Blick auf den Router werfen und ein paar Haken entfernen. Aber ob das überhaupt so möglich ist, aufgrund des Anforderungsprofils an den PI, weiss man doch hier gar nicht.

Und wenn man eine Lösung sucht, den PI vor der eigenen Familien zu schützen (physischer Zugriff SDC), käme mir die Frage in den Sinn, ob man bei soviel Misstrauen nicht besser die Familie austauscht. Es sei denn, man hat nicht die Idee, ihn physisch zu schützen, sondern nur digital, damit Anwender nicht mit einfachen Mouse-Clicks an die Daten anderer Anwender herankommen, oder aus Dummheit oder Experimentierfreude am Customizing rumspielen. Aber das geht ja relativ einfach. Man muss halt nur wissen, gegen welche Einbrecher und welche Einbruchsszenarien soll der PI überhaupt geschützt werden. Und ....

...solange nicht ein Einsatzszenario beschrieben ist und solche Fragen beantwortet sind, wie z. B. wo der PI eingesetzt wird, welche Aufgaben hat er, wer hat physischen Zugang, wer nur digitalen, wer soll, wer muss, wer darf Zugang haben... ich glaube nicht, dass man seriös irgendwelche Tips zur Sicherheit geben kann, die auch wirklich mehr als nur Scheinsicherheit sind.

Ich empfinde es als Quatsch, mich auf die Einstellung irgendwelche Dienste zu stürzen, wenn man doch zuerst am konkreten Aufgabenprofil feststellen muss, was überhaupt gebraucht wird und welche Dienste schlichtweg komplett deinstalliert werden könnten... dann spart man sich die Zeit für die Suche nach überflüssigen Einstellungen zur Verhinderung von Missbrauch dieser Dienste. Braucht es überhaupt irgendwelche dieser typischen Komfort-Tools, wie einen Networkmanager, ein Desktop-Environment, Displaymanager, X-Server, DHCPD, cups, rsyslogd, ntpd, ModemManager, wpa_supplicant, und und und? Effektiver Schutz kommt ja nicht unerheblich auch daraus, nicht benötigte Dienste gar nicht erst im System zu belassen.

Mit meinen 3 nicht zu einer Lösung beitragenden Antworten hatte ich eigentlich nur die Absicht, Fragen aufzuwerfen. Stell Dir vor, jemand fragt "Wie kann ich mein Auto sicher machen?". Was meint er mit dieser Frage? Wegfahrsperre und Diebstahlschutz? Oder Assistenzsysteme wie Auffahrschutz, Spurüberwachung und Einschlafpiepser? Oder als Bewohner eines Sommer-Sonnen-Landes die Frage nach Winterreifen für den Winterurlaub? Oder Tips als Rechtsfahrer für einen Urlaub im Linksfahrer-Land? Es bleibt die gleiche Frage: Welchem Zweck dienen die Maßnahmen zur Verbesserung der Sicherheit...?... oder besser, welchem Zweck sollen sie dienen? Und ob sie das dann auch wirklich tun,muss man sehen... weil ... vorne aufgebaut und mit dem Hintern wieder umgeworfen geht ja auch gaaanz schnell.

Benutzeravatar
heisenberg
Beiträge: 3473
Registriert: 04.06.2015 01:17:27
Lizenz eigener Beiträge: MIT Lizenz

Re: Wie wäre sowas möglich? Oder überhaupt möglich?

Beitrag von heisenberg » 06.01.2018 12:51:18

@dmant:

Ich bitte Dich mal 2 Minuten zu investieren um den Threadtitel zu ändern, dass er kurz und treffend ist, so dass man beim lesen sofort weiss worum es geht und ob man sich beteilligen möchte und dass auch der Artikel in der späteren Suche dann entsprechend klar benannt ist.
... unterhält sich hier gelegentlich mangels wunschgemäßer Gesprächspartner mal mit sich selbst.

Antworten