Malware für den Linux-Desktop

[DeletedUserReAsG]

Die Frage ist immer noch unbeantwortet: Wie kommt der Keylogger auf meinen Rechner...?... weil ich ihn selber nicht installiert habe und als einfacher User auch gar keine Rechte habe, fremde Programme zu installieren.

Ich möchte an dieser Stelle ein großes Geheimnis verraten: kein System ist sicher. Das ist nun bestimmt schockierend, aber es ist wahr!

Weniger plakativ: stell’ dir vor, du nutzt einen Browser, möglicherweise mit JS. Browser sind komplexe Gebilde, JS-Interpreter ebenso. Und erst die ganzen Libs, die noch im Spiel sind – irgendwo ist ein Fehler enthalten. Möglicherweise ist dieser ausnutzbar, um Code im Userkontext auszuführen. Nun stell’ dir weiterhin vor, jemand hat so einen Fehler gefunden, und sagt’s nicht dem Programmierer der Software, sondern nutzt ihn dazu, jedem, der seine Seite besucht, Schadsoftware unterzuschieben.

Weiter angenommen, es handelt sich dabei um einen Keylogger, dann läuft der erstmal nur im Userkontext – und der User ist’s, der die meisten Passwörter nutzt (oder gibt’s Leute, die ihren Banking-Kram, ihr Mailzeugs und alles andere unter Root machen?) – warum sollte der Angreifer dann noch irgendwas installieren wollen? Und selbst wenn – irgendwann wirst du auch mal was als Root machen wollen, und dich nicht extra neu einloggen, sondern etwa su benutzen, oder ein Programm starten, welches das Passwort anfordert → der Keylogger hat nun auch das Rootpasswort.

Oder als einer der beliebten Vergleiche mit Autobezug: warum sollte man sich anschnallen? Man selbst fährt doch nirgends gegen, das Auto war schließlich teuer, also muss man sich doch auch nicht anschnallen?

[uname]

Sehe ich ähnlich. Für einen Angreifer ist es viel interessanter Passwörter von irgendwelchen Cloud-Diensten abzufangen als Malware zu installieren. Daher wird es auch immer wichtiger 2FA direkt bei der Anmeldung zum Cloud-Service zu verwenden.

Selbst beim Internet-Banking hat man es mittlerweile erkannt. Für die Anmeldung soll 2FA genutzt werden.

Nur leider wird es wohl wieder nichts, sofern diese Ausnahme tatsächlich umgesetzt wird:

Nach der PSD 2 ist die Starke Kundenauthentifizierung auch dann erforderlich, wenn der Nutzer online auf sein Zahlungskonto zugreift. In der Praxis wird aber für das einfache Einloggen in das Online-Banking oft eine einfache Authentisierung ausreichen, zum Beispiel die Eingabe eines Passworts. Denn die Delegierte Verordnung sieht eine Ausnahme von der Pflicht zur Starken Kundenauthentifizierung vor, wenn der Nutzer nur seinen Kontostand oder die Umsätze der letzten 90 Tage ansehen will.

Damit der mögliche Missbrauch eines ausgespähten Online-Banking-Passworts nicht unbegrenzt fortgeführt werden kann, muss der Nutzer aber mindestens alle 90 Tage eine Starke Kundenauthentifizierung durchführen.

Wenn man nur alle 90 Tage 2FA nutzen muss bzw. Transaktionen der letzten 90 Tage sehen kann, bringt es natürlich nichts. Wobei man immerhin für Transaktionen weiterhin 2FA braucht

[TomL]

Der einfache Benutzer kann aber sehr wohl Programme von gott weiß woher ausführen. Einfach in seinem $HOME ablegen, ausführbar machen - und sofern die statisch gelinkt sind, sollte es noch nicht mal Probleme mit Bibliotheken geben.

Das ist das, was ich meinte, als ich schrieb, die erfahrenen Anwender hier aus dem Forum würden sich über meine Beschränkungen hinwegsetzen können, meine User könnens mangels Wissen nicht. Die können keine Programme in ihrem Homedir starten, weil ich die Homedirs mit 'noexec' remounted habe. Das ist nur eine ganz einfache Hürde, aber ohne Sachkenntnis unüberwindbar.

Ich möchte an dieser Stelle ein großes Geheimnis verraten: kein System ist sicher. Das ist nun bestimmt schockierend, aber es ist wahr!

Das ist auch meine Überzeugung... man kann keine ultimative Sicherheit herstellen, es gibt immer Lücken. Aber ich glaube trotzdem, dass man sowohl die Anzahl von Lücken massiv reduzieren kann, als auch die Relevanz einer Lücke deutlich herabsetzen kann.... und zwar mit einfachen disziplinarischen Maßnahmen. Nur mal so als Beispiel:

Auf meinem Rechner sind Sessions mit und ohne persönlichen Passworten kompromisslos durch unterschiedliche UIDs bis hin zur totalen Isolation in VMs getrennt. Insofern denke (/hoffe) ich, dass das von Dir beschriebene Szenario hier so nicht funktionieren würde. Dieser Browser, mit dem ich jetzt hier schreibe, läuft zwar im laufenden System, aber unter einem völlig unberechtigen User, der Zugriff auf absolut gar nix hat. Dieser Browser sieht keine Share-Drive-Inhalte, keine anderen Homedirs, er sieht nie andere Passworte, als die wenigen, die für einige Linux-technische Online-Foren notwendig sind. Sobald ich in Bereichen außerhalb der Linux-Open-Source-Szene surfe, findet das in einer völlig isolierten VM statt, ohne jeglichen Zugriff aufs LAN oder dessen Ressourcen, Zugriff auf Daten und Passworte gibts da nicht. Andersrum sieht meine Banking-VM nie etwas anderes, als NUR die Seiten meiner Bank, jegliche andere Browser-Interaktion ist dort wieder mit Ublock vollständig blockiert.

Mein eigenes persönliches Homedir-Profil "thomas" sieht nur LAN-lokale Passworte zum Mailserver, das eigene Browser-Profil wird nur zum Customizing der lokalen Web-Interfaces verwendet und sieht vom Internet ausser meiner eigenen HP gar nix. Der Ublock Origin ist dabei so scharf eingestellt, dass damit auch gar nix anderes geht... allein weil das schon so nervt, wechsel ich dann schon den Browser zum Virt-User oder in die VM. Ist das alles aufwendig? Nee, überhaupt nicht, ich clicke je nach Zweck nur ein anderes Desktop-Icon... das heisst, bei mir gibts mehrere Browser-Icons als Desktop-Starter. Selbst Palemoon in der VM startet wegen der SSD ratzfatz durch.

Meine Einstellung zu sudo kennst Du, bei uns gibts keine User, die sich mit ihrer UID erweiterte Rechte aneigenen können.. alle User sind nur für ihr Homedir berechtigt. Die Mounts der jeweilig notwendigen Samba-Shares finden alle unter Verwendung der persönlichen Rechte dieses Users statt. Der Traffic rein und raus der Clients ist via Paketfilter ebenfalls scharf reguliert. Mein Server hat bis auf einige wenige explizite Ports überhaupt keine Erlaubnis, Kontakt zum Internet aufzunehmen, Incomming-Traffic wird nach dem ersten Failed-Connect sofort für 60 Minuten gebannt. Und ganz zum Schluss, ein beträchtlicher Teil der Unterstützung unserer Maßnahmen ist über Aufklärung, Gespräche und Verhaltensdirektiven (aus dem Betrieb kannte ich das als Compliance-Regeln) erfolgt.

Und ja, mir ist völlig klar, das ist trotzdem keine Garantie für ultimative Sicherheit, aber vermutlich ist es 1000 mal sicherer, als es für den Großteil der weltweiten Internet-Benutzer gilt. Und ich glaube, ich habe damit meine Grenzen des mir möglichen erreicht.

[B52]

(...) Sobald ich in Bereichen außerhalb der Linux-Open-Source-Szene surfe, findet das in einer völlig isolierten VM statt, ohne jeglichen Zugriff aufs LAN oder dessen Ressourcen, Zugriff auf Daten und Passworte gibts da nicht. Andersrum sieht meine Banking-VM nie etwas anderes, als NUR die Seiten meiner Bank, jegliche andere Browser-Interaktion ist wieder mit Ublock vollständig blockiert. (...)

Da sage ich nur Wow! Eine geballte Ladung an Sicherheit gegenüber der ständigen Bedrohung aus dem Netz.

Und ich glaube, ich habe damit meine Grenzen des mir möglichen erreicht.

Nein, es geht noch besser. Verzichte auf alles, was mit einem PC zu tun hat.

Ich fange mir echt Sorgen um meinen sorglosen Umgang bezüglich Internet und Sicherheit zu machen...

[TomL]

Nein, es geht noch besser. Verzichte auf alles, was mit einem PC zu tun hat.

Du glaubst, dass dass ein sachliches Statement ist...?... nee, isses nicht. Und warum sollte ich überhaupt sowas dummes tun?

Ich fange mir echt Sorgen um meinen sorglosen Umgang bezüglich Internet und Sicherheit zu machen...

Nööö, Du unterstellst mir eine falsche Motivation... ... ich gehöre eher zu der Generation, die mit Überzeugung die Meinung vertritt "Ich habe nix zu verbergen, die können alles sehen."

Aber ich bin auch Rentner und habe einfach total Spass daran, solche Lösungen zu entwickeln... da ist wirklich nix anderes dahinter, als die Lust am Tun, sportlicher Ehrgeiz, und weil die Computerei seit 40 Jahren Lebensinhalt und Hobby für mich ist. Allerdings gestehe ich, dass mir der kontinuierliche Abbau von Demokratie und demokratischen Grundrechten hier in DE nicht gefällt. Und es wundert mich schon, wie sorglos die Leute mit ihren Daten umgehen.

Nicht unbedingt neu, aber immer wieder neu beängstigend: "Nothing to hide" (Ich habe nichts zu verbergen):
https://vimeo.com/195446463

Den Satz eines der Interviewten am Ende "Demokratie ist KEIN Zuschauersport" müssten sich viel mehr Leute verinnerlichen. Wenn das, was hier durch unsere EU-Regierungen an Überwachung der Bürger etabliert wurde, in die falschen Hände einer möglicherweise restriktiveren/repressiven Nachfolgeregierung fällt, wars das mit Demokratie und Freiheit.

[MSfree]

Ich fange mir echt Sorgen um meinen sorglosen Umgang bezüglich Internet und Sicherheit zu machen...

Vielleicht solltest du damit anfangen, deinen Wohnort nicht bis auf 0.1 Bogensekunden genau in deinem Profil abzulegen. Eine einfache Googlesuche bringt einen nämlich bis auf die Hausnummer genau an die entsprechende Adresse.

Nur so nebenbei, 0.1 Bogensekunden entsprechen rund 3 Meter.

[B52]

Vielleicht solltest du damit anfangen, deinen Wohnort nicht bis auf 0.1 Bogensekunden genau in deinem Profil abzulegen. Eine einfache Googlesuche bringt einen nämlich bis auf die Hausnummer genau an die entsprechende

Das war Absicht. Ich sehe jedoch, dass ich mich um ca 9 Meter vertan habe... Und falls Du mal in der Nähe bist, komm doch auf ein kühles Bier vorbei.

[MSfree]

Den Satz eines der Interviewten am Ende "Demokratie ist KEIN Zuschauersport" müssten sich viel mehr Leute verinnerlichen. Wenn das, was hier durch unsere EU-Regierungen an Überwachung der Bürger etabliert wurde, in die falschen Hände einer möglicherweise restriktiveren/repressiven Nachfolgeregierung fällt, wars das mit Demokratie und Freiheit.

Ob sich ein repressives System durch aktivere Demokratie (wie auch immer das stattfinden soll) verhindern läßt, bezweifel ich. Diejenigen, die an einem repressiven System interessiert sind, bedienen sich nämlich genau der Mittel der aktiveren Demokratie, um sich dem repressiven System anzunähern.

Vor allem sehe ich einen krassen Widerspruch zu deiner Aussage:

ich gehöre eher zu der Generation, die mit Überzeugung die Meinung vertritt "Ich habe nix zu verbergen, die können alles sehen."

In einem repressiven System wird alles gegen dich verwendet werden. Deine Ansichten bezüglich Umweltschutz, dem politischem System oder deiner Zugehörigkeit zum Kaninchenzüchterverein mag im Moment völli unverfänglich sein, und das braucht man im Moment nicht zu verbergen. In einem repressiven System wird dir das aber zum Verhängnis, und sei es nur, weil durch Nahrungsmittelknappheit deine mühevoll gezüchteten Karnickel konfisziert werden.

OK, genug ge-Aluhut-et

[MSfree]

Und falls Du mal in der Nähe bist, komm doch auf ein kühles Bier vorbei.

[DeletedUserReAsG]

Auf meinem Rechner sind Sessions mit und ohne persönlichen Passworten kompromisslos durch unterschiedliche UIDs bis hin zur totalen Isolation in VMs getrennt. Insofern denke (/hoffe) ich, dass das von Dir beschriebene Szenario hier so nicht funktionieren würde.

Virtualisierungssoftware ist noch viel komplexer, als ’n popeliger Browser. Und es gab durchaus auch schon Ausbrüche aus virtualisierten Umgebungen. Dann hat der Angreifer gleich alle VMs auf einmal unter sich, und von den virtualisierten Systemen gibt’s keine Chance festzustellen, dass alles kompromittiert ist. Und das beliebte „aber ich hab ja nix zu verbergen“ – deine Nachfahren werden dich dafür hassen.

[TomL]

Vor allem sehe ich einen krassen Widerspruch zu deiner Aussage:

ich gehöre eher zu der Generation, die mit Überzeugung die Meinung vertritt "Ich habe nix zu verbergen, die können alles sehen."

Ich wollte damit eher ausdrücken, dass ich ein absolut gesetzestreuer Bürger bin, der keine subversiven oder dubiosen Interessen vertritt .Ich versuche mich immer konsequent im Rahmen der gesellschaftlichen Akzeptanz zu bwegen und das ich deswegen auch keine für den Verfassungsschutz relevante Daten generiere ... ich bin ein absolut folgsamer Dackel und warte sogar an einer leeren Straße bei roter Fußgänger-Ampel. Aber Du hast damit trotzdem Recht....das ist alles nicht so einfach.... ich bestehe natürlich auf mein Recht der Verfügungshoheit meines digitalen Lebens und der dabei anfallenden persönlichen privaten Daten und auf das zweifelsfreie Recht digitaler Privatsphähre. Aus dieser Motivation heraus versuch ich natürlich schon, meine Interessen zu wahren.

Ansonsten teile ich Deine Meinung. Und Alu-Hut hin oder her, ja oder nein.... soll man wirklich tatenlos alles hinnehmen, was 'die' da mit uns machen? Ich betrachte meine Maßnahmen i.ü.S. als "Gardinen vor die Fenster zu hängen". Wer reinsehen will, muss sich deutlich mehr anstrengen, als er es ohne Gardinen müsste... und vielleicht krieg ich es dann ja genau deswegen mit. Ich denke mittlerweile, dass diese Alu--Hut-Metapher, die ja mal der Lächerlichkeit preisgebend ausgerichtet war, heute der Realität gewichen ist.

Und das beliebte „aber ich hab ja nix zu verbergen“ – deine Nachfahren werden dich dafür hassen.

Dieser Rückschluss passt aber nicht zu dem, was ich ansonsten beschrieben habe.... weil mir ja genau das eben bewusst ist.

[uname]

Nur so nebenbei, 0.1 Bogensekunden entsprechen rund 3 Meter.

Das stimmt so nur zum Teil.

In Nord-Süd also entlang des Längenkreises sind das etwa 30m pro Bogensekunde und somit 3m bei 0.1 Bogensekunden.
In West-Ost also entlang des Breitenkreises sind das auf Höhe von Bern etwa 20m pro Bogensekunde und somit 2m bei 0.1 Bogensekunden.
Richtung Äquator geht der Wert für den Breitenkreis auch Richtung 30m je Bogensekunde, Richtung Nordpol geht der Wert Richtung Null.

Die Angaben sind nur ca. Werte.
Die Werte könnten ja vielleicht auch kombiniert auftreten, was dann etwa 3,6 m macht.
Auch muss man für die mögliche Abweichung noch die Erdkrümmung in dem 3mx2m-Feld beachten, es sei denn man ist Flacherdler.

[B52]

Das stimmt so nur zum Teil. (...) Die Angaben sind nur ca. Werte.

Ich lerne nie aus. Das nächste Mal gebe ich die Koordinaten im CH1903 System (1) an. Scheint genauer für die CH zu sein, da der Nullpunkt ein wenig ausserhalb der CH (Bordeaux, F) liegt.

(1) https://de.wikipedia.org/wiki/Schweizer ... oordinaten

[MSfree]

Nur so nebenbei, 0.1 Bogensekunden entsprechen rund 3 Meter.

Das stimmt so nur zum Teil.

Klar, 3m ist nur ein Pi-mal-Daumen-Wert. Ich wollte damit auch nur dem Otto Normalverbraucher die Größenordnung veranschaulichen. Leuten ohne Geodäsiestudium sagt das mehr als das Bogenmaß.

Siehe auch hier
https://xkcd.com/2170
(wobei Randall Munroe hier auch nicht ganz exakt ist)

[uname]

Ich lerne nie aus. Das nächste Mal gebe ich die Koordinaten im CH1903 System (1) an. Scheint genauer für die CH zu sein, da der Nullpunkt ein wenig ausserhalb der CH (Bordeaux, F) liegt.

Die Ungenauigkeit deiner Angaben liegen wohl weniger an CH1903 oder WGS84, sondern an deiner Ermittlung. Wie hast du die Koordinaten denn überhaupt ermittelt? Normale Navigationsgeräte haben meist eine Ungenauigkeit von 5 Metern Auch Landkarten sind nicht ganz genau. Hast du mal Google Maps z. B. mit OpenStreetMap verglichen?

https://wiki.openstreetmap.org/wiki/DE: ... _GPS-Daten

[B52]

Wie hast du die Koordinaten denn überhaupt ermittelt? Normale Navigationsgeräte haben meist eine Ungenauigkeit von 5 Metern

Mit dem alten Navigaytiongerät vom Vater. Er hat ein (uraltes) Garmin-Gerät. Erstaunlich, dass diese schon damals (ca. Jahr 2002) auf rund 10-15 Meter genau waren...

Auch Landkarten sind nicht ganz genau. Hast du mal Google Maps z. B. mit OpenStreetMap verglichen?

Ja, wie bereits erwähnt. Habe mich um ein paar Metern vertan. Der Schweizer nutzt übrigens https://map.geo.admin.ch/