Arch Linux

Sicherheit Linux für unerfahrene User

F4r3l

Hi,

man ließt ja immer wieder bei Android, das in denn Apps etwas eingebaut ist, was im Hintergrund ausgeführt wird und die User merken es nicht.

Wie sieht es denn bei Arch aus, ich nutze seit ca. 3,5 Jahren Linux bin nun bei Arch hängengeblieben, aber wenn ich ehrlich bin, wenn ich mir ein Programm installiere und in diesem Programm wie in den Android Apps etwas in mein System eingeschleust würde, werde ich es sicherlich nicht finden oder merken weil ich mich einfach nicht so gut mit Linux auskenne.

Wie kann ich mein System denn überprüfen/absichern oder besteht die Gefahr einfach nicht ?

efreak4u

Du kannst zum Beispiel mit "top", oder leichter "htop", schauen, welche Prozesse ausgefuehrt werde. Mit "ss -tlpn" und "iftop" bekommst du raus, ob etwas irgendwohin ueber das Netzwerk geschickt wird.

anomander

@TBone
Grundsätzlich hast du natürlich recht, aber ich denke hier geht es ja erstmal mehr darum, wie man prinzipiell das System beobachtet.
Klar - wenn man sich ein ordentliches Rootkit gefangen hat ist sowieso Ende und außer Platte ausbauen Forensik bleibt nicht mehr viel, ich denke jedoch nicht, dass es hier um so etwas geht.

@F4r3l:
Ich würde sagen mach es einfach wie efreak4u es gesagt hat und schau dich erstmal um was man mit Boardmitteln und anderen kleinen Helferlein so alles beobachten kann.
Was ich bei Arch immer schon toll fand ist, dass ich (wenn ich mir bei htop die Prozesse angucke) eigentlich bei jedem Prozess sagen kann "ja, den hab ich gestartet", oder mir nach etwas suchen herleiten konnte "achso, der läuft aus dem und dem Grund"....
Außerdem hilft sogar unter Linux "brain.exe" (läuft nativ und ohne wine 😉 )
Einfach nicht alles installieren was irgendwo am Straßenrand rumliegt - Signaturen für pacman nutzen und wenn man schon aus dem AUR baut wenigstens das PKGBUILD angucken und was da passiert.
Klar könnte der Quellcode dann immer noch verseucht sein, aber zumindest kann man im pkgbuild schonmal erkennen wo er herkommt - wenn es die Projektseite ist, dann ist das schonmal ein gutes Zeichen 😉

Echte Sicherheit hast Du natürlich nur wenn Du dir alles selbst baust und dir vorher jeden Quellcode anguckst... aber wer hat dafür schon die Zeit... und ist so paranoid!?

So... ich bin dann mal weg... Linux-3.14 lesen
:-D

Dirk

anomander schriebKlar - wenn man sich ein ordentliches Rootkit gefangen hat ist sowieso Ende und außer Platte ausbauen Forensik bleibt nicht mehr viel, ich denke jedoch nicht, dass es hier um so etwas geht.

Dagegen helfen, im UEFI die Virtualisierungsfunktionen der CPU abzuschalten, und SecureBoot einzurichten, zwar nicht zum 100 Prozent, aber besser, als es nicht zu konfigurieren.

anomander

Ist das so!?
Das ist jetzt wirklich ernst gemeint, da ich mich mangels solcher Hardware mit solchen Dingen noch nicht beschäftigt habe...

Aber wenn ich mir vorstelle, dass ich mein rootkit selbst installiere (worauf es ja eigentlich hinausläuft, denn vor Drive-by und Mailanhängen hab ich unter Linux mit exotischem Browser, aktuellem System und reinen Nutzerrechten am Rechner keine wirklich große Angst), weil ich einen verseuchten Quellcode kompiliere und / oder ein verseuchtes Paket installiere, dann wird mir das doch sicher nicht helfen, oder?
Wie sollte denn SecureBoot o.ä. erkennen können, ob ich mir gerade ne Schadsoftware, oder mein Lieblingstool/-spiel/-sonstwas installiert habe?

Dirk

anomander schriebIst das so!?

Na ja, wenn du die CPU-Virtualisierungsfunktionen ausschaltest, kann die CPU nicht mehr „einfach so“ virtualisieren, und wenn du SecureBoot vernünftig konfigurierst, kann auch nicht mehr einfach so alles starten, was du dem System gibst, sondern nur noch das, was signiert ist (denn abseits von Microsoft-Gebashe und aller berechtigter Kritik ist SecureBoot nämlich gar nicht mal so doof *g*). Zumindest VT-x bzw. AMD-V kann man auch im herkömmlichen BIOS konfigurieren.

anomander schriebAber wenn ich mir vorstelle, dass ich mein rootkit selbst installiere […] dann wird mir das doch sicher nicht helfen, oder?

Wenn das rootkit irgendwie ohne Virtualisierung auskommt, oder du diese aktivierst, und den Kram signierst, oder SecureBoot abschaltest, hilft dir das natürlich nicht. Aber „Angriffe von Außen“ (zugegeben, unter Linux doch momentan eher unwahrscheinlich, da gleich ein halbes dutzend noch zu findender Sicherheitslücken ausgenutzt werden müsste) wehrt ein sinnvoll konfiguriertes System zuverlässig ab.

anomander schriebWie sollte denn SecureBoot o.ä. erkennen können, ob ich mir gerade ne Schadsoftware, oder mein Lieblingstool/-spiel/-sonstwas installiert habe?

So funktioniert SecureBoot nicht.

anomander

Ah, ok... also doch "Abwehr gegen außen", dann hatte ich das doch richtig vermutet...

Allerdings klingt das auch so als müsste ich mir das in Ruhe nochmal angucken, wenn hier irgendwann mal UEFI Hardware vor der Türe stehen sollte 😉 zumal nach meinem (zugegebenermaßen nicht ganz aktuellen) Kenntnisstand die Verträglichkeit von SecureBoot und Linux ja nicht die allerbeste ist.
... ich glaub aber wir schweifen hiermit dann doch ein wenig vom Thema ab.

Danke @Dirk für die kurze Erläuterung

Sorry @F4rr3l für OT 🙂

gaslicht

F4r3l schrieb man ließt ja immer wieder bei Android, das in denn Apps etwas eingebaut ist, was im Hintergrund ausgeführt wird und die User merken es nicht.

Also soweit ich das verstanden habe ist dieses Android eben Android, und so vergleichbar mit GNU/Linux wie OSX mit selbigem. Der Teil den der Linux-Kernel bei Android noch zu tun hat ist gering und die Fähigkeiten des Kernels werden auch nicht genutzt. Diese pösen Apps laufen soweit in einem von Google verkackten Userspace das Kernel eh nixx dazu tun könnte. Das ist aber auch so geplant von big G und hat wenig mit der Sicherheit von GNU/Linux zu tun.

Zusätzlich trifft zu was TBone schrieb, wenn dein System aktiv infiziert wurde um dein System zu kompromittieren, dann kannst du davon ausgehen das es schwer wird das zu erkennen. Du müsstest halt erkennen das dein System nicht mehr normal arbeitet. Und dafür musst du dein System kennen und dafür sind die Boardmittel (erstmal) ausreichend.

@Dirk: Kann man denn Secure Boot Signaturen unterschieben damit mein Arch-Kernel auch sicher bootet?

Dirk

gaslicht schriebKann man denn Secure Boot Signaturen unterschieben damit mein Arch-Kernel auch sicher bootet?

Du brauchst SecureBoot gar nichts „unterzuschieben“, das ist im Funktionsumfang vorgesehen.

TBone schriebDirk: Wieso den Virtualisierung ausschalten?

Das macht alle Rootkits, die darauf setzen, unmöglich 🙂

F4r3l

Ich danke euch für die ganzen Tipps und denke das ich mit meinem Arch einigermaßen sicher bin.

shibumi

F4r3l schriebIch danke euch für die ganzen Tipps und denke das ich mit meinem Arch einigermaßen sicher bin.

Das würde ich so direkt nicht sagen. Das was hier besprochen worden ist, ist nur ein Bruchteil von den Möglichkeiten die insgesamt da sind^^ Weniger als 1%.
Das GNU/Linux im Allgemeinen so sicher ist liegt nicht direkt am System sondern überwiegend einfach an den Nutzern mit der nötigen Expertise.
Im Übrigen empfehle ich eine Full-Disk-Encryption. Damit kann man schon mal lokale Angriffe abwehren und das man die Platte wenn man den Rechner verkauft/wegschmeißt richtig wipen sollte brauch ich hoffentlich nicht erzählen hier. Hab schon so oft von einem befreundeten "Müllmann" alte Geräte/Festplatten etc bekommen mit privaten Zeugs drauf. Natürlich alles noch da und unverschlüsselt mit im Browser gespeicherte Logins/Passwörter usw..

anomander

shibumi schrieb [...]
Das GNU/Linux im Allgemeinen so sicher ist liegt nicht direkt am System sondern überwiegend einfach an den Nutzern mit der nötigen Expertise.
[...]

Wage ich zu bezweifeln 😃
Das liegt vor allem daran, dass es nicht ein "Linux" gibt, sondern viele verschiedene heterogene Systeme und niemand einen relativ hohen Aufwand betreiben möchte um dann einen einstelligen Prozentsatz der Internetnutzer zu erwischen.
Bei Android lohnt es sich schon wieder mehr, weil a) viele Nutzer und b) einheitliche oder zumindest sehr ähnliche Software auf vielen Geräten (inklusive Installationsroutinen und antrainiertem Hinweise-wegklicken bei den Nutzern).

shibumi

anomander schrieb Wage ich zu bezweifeln 😃
Das liegt vor allem daran, dass es nicht ein "Linux" gibt, sondern viele verschiedene heterogene Systeme und niemand einen relativ hohen Aufwand betreiben möchte um dann einen einstelligen Prozentsatz der Internetnutzer zu erwischen.
Bei Android lohnt es sich schon wieder mehr, weil a) viele Nutzer und b) einheitliche oder zumindest sehr ähnliche Software auf vielen Geräten (inklusive Installationsroutinen und antrainiertem Hinweise-wegklicken bei den Nutzern).

Naja dazu kommt noch das man linux aus technischer Sicht schon besser "härten" kann als ein Windows.. siehe SELinux etc

anomander

Mit meinen Fähigkeiten: vermutlich ja.

Aber ich glaube jemand der sich wirklich mit Windows Administration auskennt (und ich meine nicht den 0-8-15-Nutzer, sondern Admins) bekommt auch ein Windows recht dicht. Dann meckern nur die Nutzer das sie nichts mehr dürfen 😃
Der große Vorteil bei Linux ist halt, dass man alles frei dokumentiert im Netz findet und keine teueren certified-irgendwas Kurse machen muss. Von daher hast Du schon recht - die meisten die Linux nutzen haben an sowas halt auch mehr Spaß als der "normale" Windowsnutzer - sonst würden Sie sich ja den Stress sowieso nicht geben 😃

[edit]
da ich gerade in einem anderen Forum darüber gestolpert bin und es hier gut passt:
Im Serverbereich sieht es auch gleich ganz anders aus - da ist Linux durchaus lohnend:
http://www.heise.de/open/meldung/Ebury-Rootkit-Zombie-Server-greifen-taeglich-eine-halbe-Million-Rechner-an-2149609.html
[/edit]

Dirk

shibumi schriebIm Übrigen empfehle ich eine Full-Disk-Encryption. Damit kann man schon mal lokale Angriffe abwehren und das man die Platte wenn man den Rechner verkauft/wegschmeißt richtig wipen sollte brauch ich hoffentlich nicht erzählen hier.

Wer lokalen root-Zugriff hat, kann alles was er will, und „richtig Wipen“ bedeutet – seit 2008 sogar per Studie bewiesen – einmalig mit Nullen zu überschreiben.

gaslicht

TBone schrieb
shibumi schriebIm Übrigen empfehle ich eine Full-Disk-Encryption. Damit kann man schon mal lokale Angriffe abwehren
Wie sollte das lokale Angriffe abwehren? Bootloader, initramfs, Kernel kann ich trotzdem infizieren.

Ne, die hab ich immer bei mir da kommste nicht ran. und der Stick zerstört sich wenn du ihn woanders ansteckst.

shibumi

TBone schrieb
shibumi schriebIm Übrigen empfehle ich eine Full-Disk-Encryption. Damit kann man schon mal lokale Angriffe abwehren
Wie sollte das lokale Angriffe abwehren? Bootloader, initramfs, Kernel kann ich trotzdem infizieren.

Solche Angriffe soll eine Full-Disk-Encryption ja auch nicht abwehren 😛 Es geht um die Daten die auf der Platte sind. Ist klar das eine Full-Disk-Encryption gegen eine Evil-Maid-Attack oder deine Angriffsmethoden misslingt.

Und mann kanns dir ja noch schwer machen und BIOS passwort setzen und so ein Zeugs. Im Spiegel war da mal eine schöne Fotostory wie man einen alten Laptop hardwaremäßig "härtet". Also offenes BIOS drauf. Audioausgänge/mikrofon abklemmen und all so ein Zeugs.

tapsiturtle

shibumi schrieb
anomander schrieb Wage ich zu bezweifeln 😃
Das liegt vor allem daran, dass es nicht ein "Linux" gibt, sondern viele verschiedene heterogene Systeme und niemand einen relativ hohen Aufwand betreiben möchte um dann einen einstelligen Prozentsatz der Internetnutzer zu erwischen.
Bei Android lohnt es sich schon wieder mehr, weil a) viele Nutzer und b) einheitliche oder zumindest sehr ähnliche Software auf vielen Geräten (inklusive Installationsroutinen und antrainiertem Hinweise-wegklicken bei den Nutzern).

Naja dazu kommt noch das man linux aus technischer Sicht schon besser "härten" kann als ein Windows.. siehe SELinux etc

Das benutzen von SELinux wird unter Arch künftig aber schwieriger da die Kernelkonfigurationen deaktiviert wurden: https://mailman.archlinux.org/pipermail/arch-dev-public/2014-April/026102.html

Dirk

tapsiturtle schriebDas benutzen von SELinux wird unter Arch künftig aber schwieriger da die Kernelkonfigurationen deaktiviert wurden: https://mailman.archlinux.org/pipermail/arch-dev-public/2014-April/026102.html

Alle Welt spricht über Datensicherheit, und unter Arch wird sie erschwert …

Dirk

… fähig, aber nicht willens 🙂 Ich bin halt unendlich faul, seit ich Linux-Nutzer bin *g*

Und irgendwie finde ich, dass man SELinux, statt es de facto raus zu schmeißen, besser integrieren, und standardmäßig aktivieren sollte.

Nächste Seite »