[linux-l] Dateien mit '/' im Dateinamen

[Steffen Dettmer]

* Peter Ross wrote on Fri, Aug 01, 2003 at 18:49 +1000:
> On Fri, 1 Aug 2003, Steffen Dettmer wrote:
> 
> > * Peter Ross wrote on Fri, Aug 01, 2003 at 12:14 +1000:
> > > Wer fuer die Sicherheit zustaendig ist, freut sich drueber.
> >
> > Nee, wieso? Wird sicherlich jemand sofort (bzw. hat vermutlich
> > schon längst) jemand ein rootkit gebastelt.
> 
> Auf einem gutem System kann eigentlich kein Rootkit installiert
> werden, weil darauf eben nicht gilt: "Ich bin root, ich darf
> das"

Na ja, aber dann brauchste einen gepatchen Kernel und mußt
rebooten, um ne IP zu ändern (ja, übertrieben, klar). Ist ja dann
- ganz strenggenommen - auch kein Linux mehr :-)

Jedenfalls muß man schon bißchen abwägen, wo man den Kompromiß
Funktion <-> Sicherheit mehr zur einen oder anderen Seite machen
muß - klar.

> Mal abgesehen davon, dass ein abgesichertes System eben keine
> Kernelmodule nachladen kann, wenn es oben ist. Der Kernel ist
> dicht und Ruhe ist!

Na ja, Geschmackssache. Ich möchte keinen neuen Kernel
kompilieren, wenn ich mal ne Netzwerkkarte wegen Defekt wechseln
muß.

> > Sich jetzt zu freuen, weil es schwieriger wird, weil security
> > through obscurity betrieben wird, halte ich für falsch.
> 
> Ist es nicht, es ist Teil eines Konzepts, Systeme sicherer zu machen.

Find ich gar nicht. "Mathematisch" sicherer find ich einfach
unschlagbar besser. Muß man hier ein Geheimnis kennen und da
jenes machen. Geheimes kommt eh schnell raus. Und es trifft die
eigenen Kollegen auch schnell mal :-)

> Wenn das System gegen einen Austausch eines Kernel sicher ist,
> kann das nicht passieren. Das kann man auf Filesystemen von
> abgesicherten Systemen realisieren.

Klar, man kann viel. Bloß macht's dann im Betrieb komplizierter
und damit schnell ziemlich teuer. Kann man natürlich auch wieder
geeignet auffangen, die Kosten, klar. Nix ist teuerer als
Datenverlust oder Funktionsausfall wegen Hack :-)

> Ein Modul kannst Du dagegen prinzipiell ueberall hinlegen und
> dann laden.  Und ein System mit ReadOnly-Filesystem ab / kann
> man selten gebrauchen;-)

Und selbst das nützt nur bedingt. Und da kann man dann auch
schlecht Patches einspielen :-)

> Ich hatte mal ein Red Hat 7.3 zuhause. Zuerst war ich
> erschrocken, als ich als normaler User ohne root-Rechte "halt"
> eingab und die Kiste wirklich runterfuhr.
> 
> Was meinst Du, wieviele Systeme dieser Art, die sich so einfach
> ohne Rootrechte ausknipsen lassen, wird es geben?

Weiß ich nicht - ist aber ein anderes Thema :-) Thema ist ja
eher, darf root alles oder nicht oder so. Klar, ne grundlegende
Sicherheit muß schon immer da sein, macht ja sonst keinen Spaß
:-)

> Im Bunde mit unsicheren Defaulteinstellungen hast Du ein gutes
> Potential fuer Deinen naechsten DDoS.

Na ja, die muß man ja nicht übernehmen... Aber root darf eben
halt ausführen, finde ich. 

> Wer weniger Sicherheit braucht, darf abschalten, das ist
> besser.

All we do is risk management.

Ich finde, das hängt schon sehr von den Bedingungen ab. Wenn Du
einen PHP/mySQL Server hast, geht DoS bestimmt auch prima mit
www-run Rechten :-) 

> Warum laestern eigentlich alle ueber das so unsichere Windows
> und versuchen, die gleichen Sicherheitsluecken unter Linux zu
> implementieren?

Na, Gerätetreiber zu laden, ist für mich eben keine
Sicherheitslücke. Vor allem, weil man dann gleich viel machen
muß, damit /dev/kmem nicht mehr da ist und weiß ich was es da
sonst noch gibt. Wenn root nicht nach /sbin schreiben darf, ist
das sicherlich sicherer, aber rpm -Uhv geht dann auch nicht mehr.

> Auch Windows (NT und spaeter) waere um einiges sicherer, wenn
> die Defaulteinstellungen das System einschraenken wuerden. 

nu lenk mal nicht vom Thema ab :-) Das auf ne Firewall kein NFS
gehört etc., ist ja wohl kein Thema.

oki,

Steffen

-- 
Dieses Schreiben wurde maschinell erstellt,
es trägt daher weder Unterschrift noch Siegel.