[linux-l] Vortrag / Projektanregung vom 24.10.2007

[Peter Ross]

Hi Thorsten,

On Sun, 28 Oct 2007, Thorsten Stöcker wrote:

> http://www.baerensoftware.de/TEXT/downl.html

Ich wuerde es als besonders vorteilhaft sehen, wenn ich mehrere 
Betriebssysteme, je nach Bedarf und evt. auch gleichzeitig  booten will.

Die Firewall dann innerhalb des Hosts (Xen, VMWare) etc. zu erledigen ist 
nett - einmal fuer alle.

Wenn dann noch /boot auf einem USB-Stick dazukommt, der Rest auf 
verschluesselten Partitionen liegt (mit dem Key auf dem USB-Stick), sind 
alle Systeme auch gegen physischen Datendiebstahl bzw. Modifikation 
geschuetzt, solange der USB-Stick nicht aus der Hand gegeben wird.

Fuer meinen "Ein-OS-Rechner" allerdings habe ich alles so "im Griff": 
/boot auf USB ist kein Problem, der Rest kann ueber verschluesselte 
Partitionen gehen.

Mein System hat keinerlei ueberfluessigen Dienste gestartet, das ist Teil 
des FreeBSD-Designs (z.B. im Gegensatz von Red Hat, wo gar ein 
Minimalsystem mit CUPS angeschaltet daher kommt:-(.

ssh hat als Default PermitRootLogin=No (auch im Kontrast zu Red Hat),

wenn ich das mitgelieferte Firewallscript verwende und auf "closed" 
schalte, sind selbst gestartete und "vergessene" Dienste nicht erreichbar, 
auch beschraenke ich so die Moeglichkeiten ausgehender Verbindungen. Ich 
muss sie explizit zulassen.

Gegen Manipulationen hilft securelevel=3. /, /boot und /usr sind 
Read-Only-Mounts, dank des Securelevels koennen im laufenden Betrieb auch 
keinerlei Mounts veraendert werden, das Gleiche gilt fuer Firewallregeln. 
Rootkits duerften so recht schwer zu installieren sein;-)

Aenderungen dieser Einstellungen sowie Neueinstellungen 
(Upgrades/Installationen) sind nur nach Boot bevor dem Erhoehen des 
Securelevels moeglich (Erniedrigen im Betrieb geht per Design nicht),

das kann gelegentlich mal laestig sein, aber dafuer findet das "bei vollem 
Bewusstsein" statt (anstatt soetwas immer - und dafuer auch fuer einen 
Angreifer - zuzulassen). Die Installations- und Upgraderoutinen 
unterstuetzen allerdings die "Zweiteilung" gut (Holen, Auspacken und 
Zusammenstellen der Upgrades im "Normalbetrieb", kurzer Installationslauf 
nach Boot und ohne Netzwerk - so geschuetzt, und dann wieder weiter in den 
Normalbetrieb mit Securelevel-Schutz).

Leider kennt Linux das Securelevel-Konzept nicht. Es sollte sich 
sinngemaess auch mit einem SELinux-bestueckten System erledigen lassen, 
das ist aber wesentlich komplexer und nicht derartig transparent.

Dafuer kann FreeBSD leider kein Xen-Host sein, ansonsten waere es die 
ideale "Huelle" fuer Dein Problem.

Wenn Du aber den Xen-Host als wirklich schlankes, gut gekapseltes System 
aufsetzt (ich wuerde dafuer nach schlanken Linux-Distributionen fuer den 
Embedded/Firewall-Bereich suchen),

dann laesst sich damit aehnliche Sicherheit erreichen.

Es gruesst
Peter