pferdefreund hat geschrieben: 29.07.2019 06:34:12
Der einfache Benutzer kann aber sehr wohl Programme von gott weiß woher ausführen. Einfach in seinem $HOME ablegen, ausführbar machen - und sofern die statisch gelinkt sind, sollte es noch nicht mal Probleme mit Bibliotheken geben.
Das ist das, was ich meinte, als ich schrieb, die erfahrenen Anwender hier aus dem Forum würden sich über meine Beschränkungen hinwegsetzen können, meine User könnens mangels Wissen nicht. Die können keine Programme in ihrem Homedir starten, weil ich die Homedirs mit 'noexec' remounted habe. Das ist nur eine ganz einfache Hürde, aber ohne Sachkenntnis unüberwindbar.
niemand hat geschrieben: 29.07.2019 07:49:44
Ich möchte an dieser Stelle ein großes Geheimnis verraten:
kein System ist sicher. Das ist nun bestimmt schockierend, aber es ist wahr!
Das ist auch meine Überzeugung... man kann keine ultimative Sicherheit herstellen, es gibt immer Lücken. Aber ich glaube trotzdem, dass man sowohl die Anzahl von Lücken massiv reduzieren kann, als auch die Relevanz einer Lücke deutlich herabsetzen kann.... und zwar mit einfachen disziplinarischen Maßnahmen. Nur mal so als Beispiel:
Auf meinem Rechner sind Sessions mit und ohne persönlichen Passworten kompromisslos durch unterschiedliche UIDs bis hin zur totalen Isolation in VMs getrennt. Insofern denke (/hoffe) ich, dass das von Dir beschriebene Szenario hier so nicht funktionieren würde. Dieser Browser, mit dem ich jetzt hier schreibe, läuft zwar im laufenden System, aber unter einem völlig unberechtigen User, der Zugriff auf absolut gar nix hat. Dieser Browser sieht keine Share-Drive-Inhalte, keine anderen Homedirs, er sieht nie andere Passworte, als die wenigen, die für einige Linux-technische Online-Foren notwendig sind. Sobald ich in Bereichen außerhalb der Linux-Open-Source-Szene surfe, findet das in einer völlig isolierten VM statt, ohne jeglichen Zugriff aufs LAN oder dessen Ressourcen, Zugriff auf Daten und Passworte gibts da nicht. Andersrum sieht meine Banking-VM nie etwas anderes, als NUR die Seiten meiner Bank, jegliche andere Browser-Interaktion ist dort wieder mit Ublock vollständig blockiert.
Mein eigenes persönliches Homedir-Profil "thomas" sieht nur LAN-lokale Passworte zum Mailserver, das eigene Browser-Profil wird
nur zum Customizing der lokalen Web-Interfaces verwendet und sieht vom Internet ausser meiner eigenen HP gar nix. Der Ublock Origin ist dabei so scharf eingestellt, dass damit auch gar nix anderes geht... allein weil das schon so nervt, wechsel ich dann schon den Browser zum Virt-User oder in die VM. Ist das alles aufwendig? Nee, überhaupt nicht, ich clicke je nach Zweck nur ein anderes Desktop-Icon... das heisst, bei mir gibts mehrere Browser-Icons als Desktop-Starter. Selbst Palemoon in der VM startet wegen der SSD ratzfatz durch.
Meine Einstellung zu sudo kennst Du, bei uns gibts keine User, die sich mit ihrer UID erweiterte Rechte aneigenen können.. alle User sind nur für ihr Homedir berechtigt. Die Mounts der jeweilig notwendigen Samba-Shares finden alle unter Verwendung der persönlichen Rechte dieses Users statt. Der Traffic rein und raus der Clients ist via Paketfilter ebenfalls scharf reguliert. Mein Server hat bis auf einige wenige explizite Ports überhaupt keine Erlaubnis, Kontakt zum Internet aufzunehmen, Incomming-Traffic wird nach dem ersten Failed-Connect sofort für 60 Minuten gebannt. Und ganz zum Schluss, ein beträchtlicher Teil der Unterstützung unserer Maßnahmen ist über Aufklärung, Gespräche und Verhaltensdirektiven (aus dem Betrieb kannte ich das als Compliance-Regeln) erfolgt.
Und ja, mir ist völlig klar, das ist trotzdem keine Garantie für ultimative Sicherheit, aber vermutlich ist es 1000 mal sicherer, als es für den Großteil der weltweiten Internet-Benutzer gilt. Und ich glaube, ich habe damit meine Grenzen des mir möglichen erreicht.