[linux-l] Einige Fragen zu GRsecurity...

[Oliver Beck]

On Wed, 21 Jan 2004 12:20:02 +1100 (EST)
Peter Ross <Peter.Ross at alumni.tu-berlin.de> wrote:

> Du merkst schon in Deinem simplen Beispiel, wie schnell man sich mit
> ACLs ins Knie schiessen kann. Vorallem das sehe ich als echten
> Nachteil. Jede Methode ist nur so gut, wie sie der Admin beherrscht,
> und manche Sachen sind schon recht unangenehm komplex..

Ein gewisser Nachteil ist es schon. Aber man kann doch nicht erwarten,
das ein 'sicheres System' (mit welchen Mitteln auch immer) einfach zu
Administrieren ist. Das ist zwar das Wunschdenken von webmin-Dev's und
dergleichen, aber eben nur ein Traum. Ich für meinen Teil habe kein
Problem, etwas mehr Zeit in die Konfiguration zu stecken, wenn dabei
etwas Handfestes raus kommt.


> Es bedarf desweiteren einer gewissen Erfahrung und Reife in der
> Nutzung von Sicherheitsrichtlinien auf Fileebene. Das rwxrwxrwx-Modell
> hat schon einige Jahre auf dem Buckel. So ganz simpel ist es ja auch
> nicht. Man denke z.B. an den Zugriff auf die Dateien in /var/mail,
> /tmp, Stickybits etc.

Das ist meiner Meinung nach eher von dem Programm, das in /var/mail
resp. /tmp schreibt, abhängig. Wenn dieses laxe Deteirechte vergibt,
hat es sich auch. (Bis auf /var/mail, da das ja ein Stickybit hat)
Aber ich bin dadurch noch nicht vor einem Programm geschützt, dessen
Fehler im Code es erlaubt, andere Datei zu lesen, als es eig. sollte.
Daher sehe ich schon eine Daseinsberechtigung für ACL's.

> Inzwischen kann man so einigermassen Vertrauen haben, dass es
> einigermassen auch von den Programmierern beherrscht wird (auch wenn
> man immer mal wieder Sicherheitsloecher in der Art von Editoren
> findet, die Tempdateien mit der umask anlegen, obwohl die
> Ursprungsdatei halt 600 hatte, und so Spionieren ermoeglichen).

Das mag auf einem normalen System, das für User gedacht ist, akzeptabel
sein. Aber einer Firewall, einem Webserver oder was auch immer, kann es
leicht das Genick brechen und nicht nur die Kniescheibe zertrümmern.

> Ich durfte Webhosting aufsetzen und mich
> durch den Wust an Linux-Projekten durchwuehlen, um evt. eine
> Sicherheit zu erreichen, die ein ungepatchtes FreeBSD so mitbringt.

Das Linux im Vergleich zu *-BSD in Sachen Standart-Sicherheit den
kürzeren zieht, ist unumstritten. Aber es hat für keinen Sinn mehr,
jetzt nochmal mehr oder weniger von vorn anzufangen, und alles mit *-BSD
nochmal zu machen. Dazu hab ich schon zu viel Zeit in das härten von
Linux investiert, als das ich das jetzt aufgebe.

> Es ist also eine ziemliche Sysiphusarbeit, einem komplexen System
> ordentliche Standardeinstellungen zu verpassen.

s.O. (Absatz 1)

> Wie es ausschaut, graebst Du Dich auch gerade durch
> Linux-Sicherheits-Aspekte durch? Wie waere es mal mit einer
> Kurzaufstellung, dann koennte man das vielleicht gemeinsam machen?

Nicht gerade, aber jetzt speziell auf etwas komplettes.
Vielleicht ist jemanden LRs-Linux ([Bernd] Ellers-Linux)  bekannt. Eine
Distribution, die auf LFS basierend, das System komplett selbst bastelt.
Dort entsteht momentan ein neuer Ast mit dem Namen "Hardened-LRs-Linux".
Dieses soll in der fertigen Version ein System bieten, das als Grundlage
(!) für die verschiedensten Einsatzgebiete in Netzwerken dient. Es wird
(voraussichtlich) einen StackSmasher, den kompletten GRsec-Umfang und
vielleicht noch mehr, was sich im laufe der Entwicklung zeigen wird,
enthalten. Anfangs stand 'Systrace' noch auf dem Plan, wurde aber wieder
verworfen, da GRsec ja all dieses selbst anbietet.

 
> Gruss
> Peter


MfG/Best Regards Oliver Beck

-- 
 /"\ -ASCII-Ribbon-Campaign- |
 \ /    Against HTML Mail    | -Linux on an VIA EPIA-M9000-
  X      Against nontext     |    http://epia.std-err.de
 / \       attachments       |        (german only)