Security ist ärgerlich und lästig.
Ich halte den gesamten Komplex rund um Security für ärgerlich und
überflüssig -- nein, die Beschäftigung mit Security ist
ärgerlich und lästig und sollte überflüssig sein. Sie ist
es leider nicht, heute weniger als je zuvor. Warum ich das ärgerlich
finde? Die Beschäftigung mit Sicherheitslücken und potentiellen
Angriffsmöglichkeiten bindet personelle Ressourcen, verhindert
Kreativität und schränkt die Möglichkeiten der Informationsbeschaffung
ein.
Als ich eine IT-Abteilung geleitet habe, war ein Mitarbeiter (halbe
Stelle) vollauf damit beschäftigt, die Fragen der Sicherheit des
Unternehmensnetzwerks zu gewährleisten; dieser Mitarbeiter verbrachte
seinen ganzen Arbeitstag mit der Modifikation von Firewall- Regeln und
der Suche nach neu entdeckten Sicherheitslücken, musste zahllose
Mailinglisten und Security- Websites à la CERT und Bugtraq lesen -- und
kämpfte dennoch einen aussichtlosen Kampf: Proaktive Security gibt es
nur in sehr begrenztem Umfang, auch ein heuristisches IDS kann nur die
Muster erkennen, die ihm bekannt sind.
Ausserdem schotteten wir unser Firmen- LAN nicht nur vor externen,
nicht notwendigerweise ausschliesslich feindlichen Zugriffen ab, sondern
auch vor uns selbst: Das Tunneln sicherer Kanäle durch die mehrstufige
Firewall, das Verwenden immer neuer und komplizierterer Tools für VPNs,
zur Datenübertragung usw. schuf immer neue, immer schwerer zu lösende
Probleme. Früher konnte man sich mit Telnet auf einen relativ beliebigen
SMTP- Server verbinden und eine Mail absetzen; heutzutage gilt Telnet --
zu recht -- als unsicher und wird durch SSH ersetzt; offene Mail- Server
gibt es kaum noch, von wenigen Ausnahmen abgesehen handelt es sich dabei
um verpönte offene Relays; das bewährte FTP ist ebenfalls im Begriff,
durch SCP ersetzt zu werden usw. Hilft das der Informationsbeschaffung,
dem free flow of information? Sicherlich nicht.
Wie dem auch sei, das Internet ist heute kein offenes und freies
Medium, wie es dies noch in den 80er Jahren und Anfang der 90er Jahre
war; daher ist die Beschäftigung mit Security unumgänglich
geworden. Dennoch: Lästig und ärgerlich ist das Thema weiterhin.
GNU/Linux ist kein sicheres Betriebssystem.
Ein klassisches UNIX ist multiuser-fähig, wird von einem
professionellen Administrator verwaltet und ist viel zu teuer, um zu
Hause in grösserem Umfang als Desktop-
Betriebssystem eingesetzt werden zu können. Durch diese Eigenschaften --
konzptionelle Auslegung auf Mehrbenutzer- Betrieb, professionelle
Administration und eingeschränkte Verbreitung -- sind klassische UNIX-
Systeme de facto sicherer als konzeptionell nur eingeschränkt
mehrbenutzerfähige, semiprofessionell administrierte Systeme mit
hundertfach stärkerer Verbreitung.
Microsoft Windows- Systeme
verfügen über eine gigantische Masse an Installationen und aktiven
Nutzern, die Systeme werden überwiegend semiprofessionell oder von SOHO-
Anwendern selbst administriert Die DOS- basierten Versionen (95/ 98/ ME)
waren von Hause aus unsicher und in einer lächerlich begrenzten Form
mehrbenutzerfähig, aber nicht geeignet für den
Mehrbenutzer- Betrieb. Die NT- basierten Systeme (NT/ 2000/ XP)
unterscheiden sich dagegen, was die Möglichkeiten des sicheren
Betriebs angeht, nur unwesentlich von einem UNIX- System.
Sicherheitsprobleme entstehen beispielsweise durch die weit verbreitete
Praxis, dass der typische Windows- Administrator eben aus
Bequemlichkeitsgründen permanent als "Superuser" arbeitet und bei
Desktop- Installationen der Benutzer zunächst einmal so ziemlich alles
darf, er ist ja zugleich auch unfreiwillliger Systemverwalter.
Bei GNU/Linux- Systemen ist eine vergleichbare Entwicklung zu
beobachten: Sogenannte
Desktop-
Distributionen unterlaufen die klassischen Sicherheitskonzepte von
UNIX, um die Installation reibungsloser und die Benutzung einfacher zu
gestalten. Evi Nemeth et al. bringen dies in ihrem ausgezeichneten
Handbuch
zur Linux- Systemverwaltung auf den Punkt:
»Linux ist nicht sicher. Und auch kein anderes
Betriebssystem, das über ein Netzwerk kommuniziert« (S. 751).
Jedes Betriebssystem weist Fehler auf und hat Sicherheitslücken, das
gilt noch viel stärker für vernetzte Systeme. Die Annahme, eine
bestimmte GNU/Linux- Distribution sei per se weniger
fehlerbehaftet und sicherer, »weil es eben Linux« oder »weil
es die total sichere Distribution xy ist«, spricht für die dümmliche
Arroganz einiger verbohrter Linux- Ideologen, sie entspricht jedoch
nicht den Tatsachen. Entscheidend ist also nicht das Betriebssystem,
sondern das Sicherheitskonzept, mit dem es betrieben wird.
GNU/Linux ist kein virenfreies System.
Ich bin überzeugt, dass mit der Verbreitung von GNU/Linux auch die
Sicherheitsprobleme zunehmen werden, schon allein, weil die wachsende
Menge von Installationen die Wahrscheinlichkeit erhöht, dass Fehler im
Kernel oder den Systemprogrammen auftreten. Sicherlich werden immer mehr
schlecht oder gar nicht ausgebildete Linux- Administratoren dieselben
Fehler begehen, die ihre Windows- Kollegen schon immer gemacht haben. Da
das Sicherheitsbewusstsein auch bei Windows- Administratoren und
-Anwendern zunimmt, ist eher mit einer Angleichung zu rechnen.
Interessant ist auch, dass die meisten Root-Kits für Linux- Rechner
gebaut werden, wohl weil es ungleich schwieriger für ein Script- Kiddy
ist, ohne automatisierte Tools in einen nur widerwillig scriptbaren und
graphischen Windows- Server einzubrechen.
Die Vielfalt von GNU/Linux -- zahllose Distributionen, unendliche
viele Wege, ein bestimmtes Ziel zu erreichen, etliche Optionen bei den
verfügbaren Anwendungen -- ist zugleich Stärke wie Schwäche des Systems.
Die Vielfalt macht es einerseits schwieriger, distributionsunabhängige
Exploits zu konstruieren; gleichzeitig wird es aber auch schwieriger
oder gänzlich unmöglich, konkrete distributionsübergreifende Richtlinien
zur Sicherung einer GNU/Linux- Installation aufzustellen; letztlich muss
man immer die Spezifika einer bestimmten Version einer bestimmten
Distribution berücksichtigen, und davon gibt es -- zumindest bei den
verbreiteten Mainstream- Distributionen -- mindestens viermal so viele
Varianten wie bei Windows- Installationen innerhalb desselben Zeitraums.
Einige distributionsspezifische Einstiegspunkte:
Daher vermute ich auch, dass es nur eine Frage der Zeit ist, bis das
Problem der Computerviren auch die GNU/Linux- Welt ergreift. Mit
der zunehmenden Zahl der Benutzer wird sicherlich auch das Interesse
der Virenprogrammierer an GNU/Linux zunehmen. Die unbeschwerten Tage
der Virenfreiheit sind spätestens dann gezählt, wenn eine nennenswerte
Anzahl von Unternehmen und Privatanwendern GNU/Linux einsetzt -- diese
kritische Grenze ist jedoch noch lange nicht erreicht.
Einen ersten Vorgeschmack bietet der Mitte März 2003 entdeckte
ptrace- Bug im Linux-Kernel; dieser Fehler erlaubt es lokalen
Benutzern, auf dem betroffenen System Root- Rechte zu erlangen.
Betroffen sind die Kernel
Versionen 2.2 und 2.4 und damit nahezu alle Linux-Systeme, die seit
1999 installiert wurden, und bei denen der Administrator die
Möglichkeit, Kernel-Module nachträglich zu laden, nicht explizit
deaktiviert hat. Es existiert auch bereits ein fertiger Demo- Exploit,
der einem Angreifer direkt eine Shell mit Root- Rechten beschert.
Jürgen Schmidt kommentiert die Konsequenzen dieser »Entdeckung« in
der Meldung "Der erste gefährliche Linux-Virus kommt" auf Heise
Online vollkommen zutreffend:
»Auch wenn bereits erste Linux-Viren gesichtet wurden,
gehen viele Linux-Benutzer immer noch davon aus, dass wirklich
gefährliche Viren eine reine Windows-Plage sind. Sie selbst fühlen
sich durch das von Haus aus sichere (Betriebs-)System quasi immun.
Aber das ist ein Irrtum« ( www.heise.de/newsticker/data/ju-22.03.03-000;
Zugriff: 23- Mar-2003).
Ähnlich äussert sich auch das Editorial von Entwickler.com vom April
2003, "Schluss mit lustig - Virenalarme für Linux-Systeme steigern
sich":
»Die Zeiten, in denen man mit gutem Gewissen sagen konnte,
Linux-Systeme seien per se sicher, sind endgültig vorbei. Mit der
wachsenden Verbreitung von Linux nicht nur auf Servern, sondern auch
auf Desktop-Systemen steigt einerseits das Interesse von Hackern,
ihre Viren und Würmer auch unter Linux wüten zu lassen, andererseits
sinkt statistisch gesehen die Sicherheit der Linux-Systeme alleine
schon deshalb, weil immer mehr Anwender, die mit der
Sicherheitsproblematik nicht oder nur wenig vertraut sind, mit
Linux-Rechnern im Internet unterwegs sind. [...]
Die Anbieter von Sicherheits- und Antiviren-Software haben
die Zeichen der Zeit längst erkannt. Viele Windows-Anbieter haben
bereits vergleichbare Linux-Produkte auf den Markt gebracht. Nun ist
es an den Systemadministratoren und Anwendern, sich den neuen
Herausforderungen, ihre Linux-Systeme abzusichern, zu stellen«.
( www.pl-berichte.de/edit/apr2003.html,
Do, 3. Apr 2003, 8:02; Zugriff: 04-Apr-2003).
Auch das häufig vorgebrachte Argument, ein Virus könne unter UNIX nur
begrenzten Schaden anrichten, da es ja schlimmstenfalls die Daten eines
Home- Directories vernichten könne, ist ein ein Scheinargument: Wenn der
Benutzer seinen Linux- Rechner als Desktop- System einsetzte, sind dort
alle relevanten Daten kompromittierbar; es hilft dem Benutzer
dann wenig, wenn sein (leicht ersetzbares) Betriebssystem nicht
kompromittiert wird, aber sämtliche Daten in seinem Home- Verzeichnis
von einem Virus gelöscht oder manipuliert wurden.
GNU/Linux- Anwender können sich wohl noch eine Weile in trügerischer
und relativer Sicherheit wiegen, die eigentliche Herausforderung besteht
jedoch darin, mit den immer vorhandenen Fehlern und Risiken angemessen
umzugehen. Für Microsoft Windows
steht mit dem Windows Update ein recht leistungsfähiger, wenn
auch verbesserungsfähiger Mechanismus zur Verfügung; in der Linux- Welt
bietet bisher nur
Debian
GNU/Linux mit der Online- Aktualisierung über
APT und einer geeigneten
sources.list einen vergleichbar aktuellen, allegemein verfügbaren
und zuverlässigen Mechanismus.
Ansätze zum Virenschutz unter GNU/Linux finden sich in dem Artikel
Viren und GNU/Linux.
Kefk Network :
GNU/Linux |
About |
Wiki.
Security:
EUR
49,90
