[Der Kenner]

Hallo,

wie jeder, der irgendwann einmal ein Linux installiert hat, sicher gelesen hat, ist eine Aufteilung des Dateibaumes auf mehrere Partitionen empfehlenswert. Laut sämtlicher Installationsanleitungen sollten /home, /tmp, /var und diverse Unterverzeichnisse von /var auf jeweils eigenen Partitionen hausen.

Als Begründung wird dann immer die erhöhte Sicherheit angepriesen oder vereinfachte Backuphandhabung genannt, als ob das alles selbstverständlich wäre... So kommt es mir zumindest vor.

Was mir ja noch einleuchtet, sind ro-Mounts. Aber bei welcher Partition würde das Sinn machen? Mir fällt da nix ein.
Ein zweiter Sicherheitspunkt sind DoS-Attacken, die durch Auffüllen der Platte langsam den Rechner seiner Arbeitsgrundlage - seines Speichers - berauben. Das trifft wohl eher auf Server zu.
Ein gesetztes noexec-Flag macht wohl auch Sinn, zumindest seit dem 2.6er Kernel.

Meine Fragen: Wie ließe sich ein nicht gesetztes nodev oder nosuid ausnutzen? Das einzige was mir bei nosuid einfällt, wäre, dass eine Partitionierung verhindert, dass jemand Hardlinks zu exploitbaren SUID-Binaries erstellt, womit die sozusagen vor einem Fix mittles Update "geschützt" wären. Seinen geretteten Hardlink kann er jetzt verwenden, um weiterhin sein Unwesen zu treiben. Aber das klingt so abstrus, dass ich selber kaum dran glauben kann...

Wäre sehr erfreut über Erleuchtung

[wl59]

Meiner Meinung nach ist das alles Blödsinn. Theoretisch zwar mögich, aber sehr selten, etwa so wie wenn man nicht aus dem Haus geht weil man vom Blitz getroffen werden kann. In der Praxis sind wahrscheinlich die genannten Probleme noch niemanden der Leser passiert.

Falls du neu mit Linux bist, solltest du es zunächst einmal 'irgendwie' installieren und damit arbeiten lernen.

Wenn du schon vertraut mit Linux bist, dann waere es das einzige woran man evtl denken koennte, bestimmte Ordner wie /boot , /bin , /sbin an den Anfang zu kopieren, damit alles schneller wird, aber selbst das rentiert sich nur bei Systemem wo es wirklich auf Zeit ankommt, selten bei home-computern. Vor ca. 10 Jahren hätte ich es außerdem vermieden, wichtige Daten am Anfang oder Ende der Festplatte zu speichern weil da kaputte Sektoren usw am häufigsten auftreten, auch das ist heute belanglos geworden.

[sкavєи]

Zu allererst:
http://www.gentoo.org/doc/de/security/secu...rt=1&chap=4

http://www.debian.org/doc/manuals/securing...h3.de.html#s3.2
http://www.debian.org/doc/manuals/securing...h4.de.html#s4.9

Zusätzlich vielleicht noch interessant:
http://lists.debian.org/debian-devel/2001/...eads.html#00212
http://www.pathname....ub/fhs-2.3.html

Ich denke auch, dass es abgesehen von der Backupbehandlung der Partitionen, wenig Sinn macht bei einem Desktop-System an den Dateisystemberechtigungen rumzubasteln. Insbesondere der zweite Link zum Securing Debian Howto und der Link zur Debian Mailingliste zeigen wie sehr man sich den täglichen Umgang mit dem System dadurch erschweren kann.
Bei Servern kann sowas zwar durchaus Sinn machen, da diese relativ statisch laufen, also nicht unbedingt täglich diverse kleine Updates brauchen und zudem nicht so sehr der täglichen Nutzung unterliegen (der Administrator schaut ja nicht unbedingt jeden Tag nach welche Files sich auf dem Server verändert haben).
Aber bei Desktopsystemen die Erfahrungsgemäß täglich einige Updates für die ganze installierte Software anzubieten haben macht es denke ich nur mehr Arbeit.

P.S.: Ich mache bei Desktopsystemen normalerweise nur Partitionen für /, /tmp, /boot und /home und mounte diese mit den Standardoptionen, wobei ich das fsck-Intervall für das üblicherweise recht große /home höher stelle.

Dieser Beitrag wurde von sкavєи bearbeitet: 17. Dezember 2009 - 06:54

[Der Kenner]

@wl59: Was genau meinst du mit Anfang/Ende der Festplatte? Sind ja letztlich Datenscheiben.

@sкavєи: Danke für die Links. Ich werd mal mein /tmp mit noexec auslagern, meine APT-Einstellungen anpassen und schaun, ob es Probleme gibt. /usr auf ro zu setzen, funktioniert dann ja auch, wenn man die APT die Mount-Arbeit erledigen lässt, die Programme mit lsof +L1 ausfinding macht und killt und dann remountet.

Zitat

Im Prinzip ist das ein Angriff, bei dem ein lokaler Benutzer eine angreifbare Setuid-Anwendung versteckt, indem einer einen harten Link zu ihr einrichtet. So kann er wirksam verhindern, dass diese Anwendung vom Systemadministrator aktualisiert (oder entfernt) wird.

Omg, ich glaubs ja nicht...
Hm, aber wenn bei mir irgendwas SUID läuft, ist der Besitzer root. Glaube nicht, dass irgendein Eindringling sich formkorrekt dann noch nen Hardlink erstellt, wenn er meinen root-Account hat.

Noch eine Frage am Schluss: Macht es Sinn, /home noexec zu machen?

[Der Kenner]

@funky_monkey: Ah, da hast du wohl recht.

[wonderworld]

Viele der Tipps beziehen sich eher auf Multiiusersysteme. Die ganze read-only mounterei hilft, wenn man einen Multiuser rechner härten will. Wenn man ohnehin die einzige Person am Rechner ist, sehe ich diese Sicherheitsvorkehrungen auch nicht als wichtig.

Beliebt ist zum Beispiel ein noexec in /tmp, so dass man anderen usern keine binaries unterjubeln kann.
cdroms werden auch standarmässig mit "user" gemounted, so dass keine suid binaries eingeschleppt werden können.

Wirklich nützlich finde ich eigentlichnur die Ausllagerungen von /var und /home

/var um zu verhindern, dass bei wildlaufenden daemonen die root-partition mit logs volläuft
und /home um backups zu erleichtern. Ausserdem finde ich es generell gut betriebssystem und daten zu trennen.

Bei mir erledigt eigentlich 99% der Sicherheit mein router. Mein Desktop PC ist nicht direkt aus dem Internet erreichbar.

[Der Kenner]

@wonderworld: Danke für deine Tipps. Das mit den Dämonen macht wohl Sinn.

Ich werd jetzt /home nodev und /tmp und /var noexec und nodev machen. Denke, das reicht, oder?

[wl59]

Ich zBsp auf meinem Rechner übersetze und/oder installiere jeden Tag zahlreiche Pakete von Programmen. Bei einem normalem System halte ich es für unpraktikabel, nach /usr nicht zu schreiben.

Ebenso bei einem 'ernsthaft und nicht nur zum Spielen benutztem' Computer ist es unerläßlich, normal unter root zu arbeiten. Bei einem rechner den man nur selbst benutzt und wo nicht andere Leute driun rumfingern, macht man das sowieso. Das ist einer der Gründe, warum ich distros wie Ubuntu nicht ernst nehme.


Aus diesen Gründen würde ich Sicherheit und Benutzung des Rechners trennen, sonst wirst du auf die Dauer wahnsinnig und stolperst dauernd über deine eigenen Sicherheitsverkehrungen.

Dazu gehören etwa Firewall in Modem oder Computer. Bei meinem Computer läuft auch fast immer nepenthes, ist in meiner SYS distro auch installiert bund als default aktiviert.

Dieser Beitrag wurde von wl59 bearbeitet: 21. Dezember 2009 - 03:52

[MS Master]

Zitat (wl59: 21.12.2009, 03:50)

Ebenso bei einem 'ernsthaft und nicht nur zum Spielen benutztem' Computer ist es unerläßlich, normal unter root zu arbeiten. Bei einem rechner den man nur selbst benutzt und wo nicht andere Leute driun rumfingern, macht man das sowieso. Das ist einer der Gründe, warum ich distros wie Ubuntu nicht ernst nehme.

Das würde ich jetzt mal gerne erklärt bekommen.

Habe ich was verpasst, oder seit wann muss man zum "ernsthaften" benutzen eines Systemes permanent als root angemeldet sein

[Der Kenner]

@funky_monkey: Danke für deine Anregungen. Ich werde mal schaun, inwieweit die einzelnen Maßnahmen sich halbwegs komfortabel realisieren lassen. Letzten Endes handelt es sich hier doch nur um ein Ein-Mann-System hinter nem Router.