Al Bogner, Freitag, 3. Oktober 2003 18:56:

Na, dann beschränken wir uns mal auf den Linux-Teil. Ich habe das noch nicht probiert, aber mich würde schon interessieren, ob dann die ganzen Rechte, die unter Linux vergeben wurden, durch die Win-Tools ignoriert werden? Wenn ja, wie kann man unterbinden, dass somit ziemlch einfach, geschützte Daten gelesen werden können?

Du darfst Leuten, vor denen Du Dich schützen willst, keinen direkten Zugriff auf Deinen Computer geben. Das gilt immer, nicht nur für reiser/windows usw. Denn jeder, der Deinen Rechner mit einer Knoppix booten kann, liest bequem Deine reiserfs-Daten aus. Ergo: Rechner in den Panzerschrank stellen, und die Zugriffe nur übers Netzwerk zulassen. Dort hast Du - auch unter Windows - Möglichkeiten der Zugriffssteuerung. Irgendwo (war es bei Microsoft? Bin mir nicht mehr sicher...) habe ich mal sinngemäß gelesen: "ein Computer, auf den noch andere als du physikalisch Zugriff haben, ist nicht mehr dein Computer". Das ist zutreffend. -- Andreas Feile www.feile.net

Al Bogner, Freitag, 3. Oktober 2003 19:27:

Stell dir mal einen Rechner mit DualOS vor, der sich unter Win mit dem Internet verbindet. Wenn der Rechner lokal ein Linux-FS lesen kann, dann wird es auch möglich sein, dass der Win-Rechner Daten des Linux-FS ausspionieren kann

Richtig. Aber das ist auch der Fall, wenn Du unter Windows fat32- oder ntfs-Partitionen verwendest, oder wenn Du Dich gleich unter Linux konnektierst, und der Pinguin korrupt ist. Dieses Problem kannst Du indes nicht beheben, indem Du auf Filesystemebene Maßnahmen ergreifst. Was Du hingegen tun mußt, ist dem Windows abzugewöhnen, daß solcherlei Spionage überhaupt möglich ist. Nur dann packst Du das Problem bei der Wurzel. Um es meinem vorigen Beitrag entsprechend auszudrücken: Du brauchst eben eine Zugriffssteuerung, die funktioniert. -- Andreas Feile www.feile.net

Al Bogner, Freitag, 3. Oktober 2003 20:29:

...

Richtig. Aber das ist auch der Fall, wenn Du unter Windows fat32- oder ntfs-Partitionen verwendest, oder wenn Du Dich gleich unter Linux konnektierst, und der Pinguin korrupt ist.

Worauf willst du raus?

Nun, Dein Szenario ist doch folgendes: Du hast ein reiserfs, Du willst es unter Windows lesbar machen, und jetzt mißtraust Du ebendiesem Windows und versuchst, das, was Du eben erst für Windows lesbar gemacht hast, wieder zu schützen, und zwar möglichst mit der Unterscheidung zwischen "Gut und Böse". Das kann aber so nicht klappen. Ergo: Entweder Du hast Dein Windows im Griff. Dann brauchst Du keine Kapriolen schlagen mit Deinem reiser-oder-sonstwas-fs, weil Windows "die Bösen" draußen hält. Oder Du hast das Windows nicht im Griff. Dann aber liegt genau hier das Problem, und nicht darin, daß Windows das Linux-Rechtesystem nicht kennt. Und diese Problemlage stellt sich immer so dar, unabhängig davon, ob es sich um Daten handelt, die auf einem Windows-FS liegen, oder auf einem Linux-FS, und unabhängig davon, ob Du mit Windows oder mit Linux arbeitest.

...

Dieses Problem kannst Du indes nicht beheben, indem Du auf Filesystemebene Maßnahmen ergreifst.

Also alle Dateien verschlüsseln? Wie realisiert man so was mit relativ geringem Aufwand? Gute url zum Einlesen?

Zunächst: die Netzwerkverbindung in den Griff kriegen, und die Bösen draußen halten. Das ist das wichtigste. Ja, und Verschlüsselung ist durchaus auch eine gute Idee. Windows: PGPDisk, oder Scramdisk (www.scramdisk.clara.net), letzteres von mir favorisiert, da extrem klein, und bei mir über Jahre zuverlässig. Linux: http://portal.suse.com/sdb/de/2001/06/jsj_crypto_filesystem_mini_howto.html

...

Was Du hingegen tun mußt, ist dem Windows abzugewöhnen, daß solcherlei Spionage überhaupt möglich ist. Nur dann packst Du das Problem bei der Wurzel.

Wie soll das denn gehen? MS kaufen? :-)

Firewall installieren. Netbios nicht an das NIC binden, das nach draußen zeigt. DMZ bauen und vernünftig loggen. Keine unsichere Software installieren (=>CD-Laufwerk und Diskettenlaufwerk ausbauen, damit niemand was einschleppen kann). Und 1000 andere Dinge mehr. Mit anderen Worten: Ein Sicherheitskonzept entwerfen. Überleg Dir, wer mit welchem Aufwand und mit welchen Mitteln versucht, Deine Mechanismen zu überwinden. Dann überleg, wie Du dem begegnen kannst. Und lies hier: http://www.iks-jena.de/mitarb/lutz/usenet/Firewall.html.

Man wird nicht verhindern können, dasd irgendwer versucht, Daten auszuspionieren. Man kann sich nur einen den jeweiligen Verhältnissen angepassten Schutz überlegen.

Ja, genau. Das ist die Grundlage für jedes sicherheitsrelevante Vorgehen. Sicherheit kann man nicht out of the box kaufen, wenn man mal von Unfugabwehr absieht.

...

Um es meinem vorigen Beitrag entsprechend auszudrücken: Du brauchst eben eine Zugriffssteuerung, die funktioniert.

Und die wäre, wenn es nur um unerlaubte Zugriffe eines anderen OS (zB Win) geht? Ich meine nicht, keinen Rechner mit mehreren OS zu installieren.

Wie schon geschrieben: Sorg dafür, daß aus dem Netz keiner auf Deine Datei- und Druckerfreigaben zugreifen kann, und daß keine Software auf Deinen Rechner kommt, die irgendwelche Dateien vom LAN aus nach draußen versendet. Und sorg dafür, daß Du es merkst, wenn einer an Deiner Tür kratzt. Und sorg dafür, daß dieser nicht die Logs manipulieren kann. Und und und... Die Frage, wieviele OSse auf einer Kiste installiert sind, halte ich übrigens in diesem Zusammenhang für irrelevant. -- Andreas Feile www.feile.net

Am Freitag, 3. Oktober 2003 21:52 schrieb Al Bogner:

Nehmen wir mal den worst case an.

Nehmen wir an, dass kein _Zusatz_programm installiert ist, dass ein Linux-Filesystem lesen kann, sondern, sondern dass man das vermutlich _versteckt_ in Windows integrieren _könnte_.

Demnächst "patcht" ein Wurm oder was immer das OS und liest das Adreßbuch unter Linux aus.

Ein laufendes Betriebssystem wird immer die kontrolle über den laufenden Computer haben. Damit kann es zwangsweise auf alle Partitionen zugreifen. Wenn ein Wurm/Virus/Sonstwas die Fähigkeiten hat ext2/3/ reiserfs zu lesene und das OS es gestattet, auf die Partition zuzugreifen, hast Du immer verloren. Ein nicht laufendes Linux kann keinen Schutz bieten. Daher können die Linux/Unix Dateirechte auch nichts bewirken. Einziger Schutz vorm ausspionieren kann Verschlüsselung bieten (wie schon genannt).

Mir geht es um eine grundsätzliche Überlegung wie man Mißbrauch vorbeugen könnte. Persönlich habe ich keinen speziellen Bedarf dafür.

Das ist nur möglich, wenn auf dem Rechner gleichzeitig nur ein Betriebssystem vorhanden ist und auf dieses Verlass ist. Sobald ein zweites reinkommt (und wenns nur ne Knopix CD ist), ists vorbei.

Na ja. Ich denke da an eine ziemlich einfache Situation. DualOS mit Win98 und Linux auf einem Notebook. Etwas sensible Daten sind unter Linux gespeichert. Win98 verlangt zwar ein PW, aber man weiß, dass

Win98 ist ein OS ohne die geringsten Sicherheitsmöglichkeiten, wer das einsetzt, sollte von sensieblen Daten die Finger lassen.

man mit esc das PW überspringen kann. Es besteht kein dringender Verdacht, dass das Notebook entwendet wird. User DAU denkt sich, es kann keiner an meine Daten ran, ist ja alles unter Linux mit entsprechenden Rechten eingeschränkt und lässt das Notebook unbeaufsichtigt. (realistische Firmensituation) User "Kennmichaus"

Selber schuld, Knopix CD rein, von CD booten, dort steht die Platte als root offen wie ein Scheunentoor. Da muß weiß Gott kein zweites OS auf dem Rechner installiert sein.

installiert unter W98 ein Programm, das User DAU vermutlich gar nicht bemerkt und liest die Daten aus. Hätte das Notebook nur 1 OS (aber nicht

Genauso leicht. Ein CD-Rom oder Diskettenlaufwerk (gibt ja auch genügend Linux-Disketten Distris), von dem man booten kann hebelt alle Sicherheitsmerkmale aus, egal welches OS. Damit liest Du Windows-Daten wie Linux-Daten im Handumdrehen aus. Merke, sobald physischer Kontakt auf übliche PC-Hardware möglich ist, ist Sicherheit nicht mehr als ein leeres Wort. -- Machs gut | http://www.iivs.de/schwinde/buerger/tremmel/ | http://packman.links2linux.de/ Manfred | http://www.knightsoft-net.de

Am Freitag, 3. Oktober 2003 18:10 schrieb Philipp Zacharias:

erstens ist das hier wohl OT, denn Du fragst nach einem Windows-Tool auf einer Linuxliste.

Hier eine Antwort zu finden, ist wahrscheinlicher als auf einer Win-Liste. Ausserdem ist die Frage sicherlich auch interessant für andere Linuxer. Sind eigentlich die zig Anfragen ob man NTFS schreiben kann auch OT? Wenn ich jetzt nichts Übersehen habe, müsste nämlich durch die Lese-Möglichkeit von Windows aus, die FAT-Partition zum Datenaustausch überflüssig geworden sein!

zweitens hast Du vergessen Google zu befragen: www.google.de ->

Das kann man jedem Zweiten hier sagen.

PS: Ich finde es nicht gut, wenn mit anderer Leute Zeit so verantwortungslos umgegangen wird und man sich selbst nicht mal mehr die Mühe macht so etwas einfaches wie eine Suche in Google zu starten um das Problem selbst zu lösen.

Du hast Deine Zeit selbst verschwendet, genau wie ich jetzt. Eigentlich war der Tread mit meinem Tipp zu Ende. Den habe ich selbst übrigens vor ein paar Tagen von der suse-multimedia Liste bekommen. Da war es aber wirklich OT, hatte nämlich gar nicht danach gefragt, fand ihn aber trotzdem interessant. Ciao, Rüdiger