Am 12.06.2002 um 17:26 schrieb Michael Raab:

Kann man sowas auch via Bootdisk lösen ?

Selbstverständlich. Einfache Bootdisk mit Lilo und Kernel. Dann muss ich halt als Boot-Parameter "root=" und "init=" angeben. Wenn du etwas sicherer gehen möchtest, nimmst du Disketten und CD/DVD-Laufwerke aus der Bootreihenfolge und schützt dein BIOS. -- Dennis Stosberg eMail: dennis@stosberg.net pgp key: http://stosberg.net/dennis.asc icq: 63537718

Am Mittwoch, 12. Juni 2002 17:26 schrieb Michael Raab:

Hallo Volker,

at 12 Jun 2002 17:58:41 +0200 Volker Kroll wrote:

...

...

ich hab grad mitbekommen, wie jeder User daß Root-Passwort ändern kann. Bin mir nun nicht sicher ob das ein Feature oder ein Bug ist.

Jede Maschine, zu der Du physikalischen Zugriff hast, kannst Du auch knacken.

Den physikalischen Zugriff würde ich durch das abklemmen der Tastatur verhindern.

Dann haenge ich halt meine mitgebrachte Tastatur dran und resete einfach...

...

Das ist weder Feature noch bug, sondern die Realität (und manchmal die Rettung) :-)

Kann man sowas auch via Bootdisk lösen ?

Klar... wenn die Partionen nicht verschluesselt sind kommt man auch dran. Dann habe ich Zugriff auf /etc/passwd und /etc/shadow und kann diese nach belieben editieren. Greets Marius

Hallo Marius, at Wed, 12 Jun 2002 19:50:53 +0200 Marius Brehler wrote:

Am Mittwoch, 12. Juni 2002 17:26 schrieb Michael Raab:

...

Kann man sowas auch via Bootdisk lösen ?

Klar... wenn die Partionen nicht verschluesselt sind kommt man auch dran. Dann habe ich Zugriff auf /etc/passwd und /etc/shadow und kann diese nach belieben editieren.

Also könnte man auch die Festplatte aus dem Server rausnehmen und in eine Linux Workstation packen und dort editieren. Fazit: Auch unter Linux ist Sicherheit relativ. Gruß Michael -- MS-DOS didn't get as bad as it is overnight -- it took over ten years of careful development Registered Linux User #228306 ICQ #151172379 http://counter.li.org GNU-PG-Key ID 0140F88B

* Bernd Brodesser textete am 13.06.02:

Sabotage ist viel einfacher. Von BIOS-Paßwörter halte ich gar nichts, da es angeblich kein Problem ist, an den Generalschlüssel zu kommen.

Du solltest aber schon recht genau wissen, welches BIOS da läuft, und mußt unter Umständen heftig viele Passwörter ausprobieren. Näheres dazu findet man mit google. ;-) cu flo -- Also erkennt man den Bumm daran das lauter tote vor Ihm herlaufen ja. Ist der Bumm dann selber auch tot, oder hatt er sie alle Tot gemacht? Wie sieht der Bumm eigentlich aus? [WoKo in dag°]

* Marius Brehler textete am 16.06.02:

Am Donnerstag, 13. Juni 2002 19:13 schrieb Florian Gross:

...

* Bernd Brodesser textete am 13.06.02:

...

Sabotage ist viel einfacher. Von BIOS-Paßwörter halte ich gar nichts, da es angeblich kein Problem ist, an den Generalschlüssel zu kommen.

Du solltest aber schon recht genau wissen, welches BIOS da läuft, und mußt unter Umständen heftig viele Passwörter ausprobieren. Näheres dazu findet man mit google. ;-)

Sonst besorg ich mir ein neues EEPROM und Flashe mir eben ein neues BIOS was ich mir vom Hersteller runterlade. Da muss ich dann auch nicht so lange suchen ;]

Au ja, ich stell dir mal meine Kiste hin. Viel Spaß beim Auslöten. cu flo, der jetzt dann einen Listenwechsel vorschlgaen würde... -- War damals doch gut hier vorbeizuschauen. All die hübschen Tischigungen mit dem gesunden Antackern. Die leckeren Froschpillen und das hübsche warme weisse Jäckchen. Der hübsche Friedhof mit meinem Ufo. Ach ja und meine Zelle. Ist doch gar nicht so schlecht in dag°. [WoKo in dag°]

hallo, die diskussionen hier sind ja schön und gut. aber wie kann man diese extreme sicherheitslücke schliessen? denn mit dieser lücke oder "feature" ist linux nicht geeingnet um als workstation (z.B. in der uni) zu dienen. nur zu leicht kann jeder auf der einen workstation root rechte bekommen und böse sachen machen. man kann abschliessend sagen, dass damit linux in verbindung mit lilo unsicherer ist als windows (wenn man vom lokalen "angrif" ausgeht). dies ist kein zustand und dieses sicherheitsloch MUSS geschlossen werden, sonst kann man linux knicken als workstation in öffentlichen räumen. sicherlich ist die gefahr zu hause nicht so gross aber denkt immer an den workstation. gruß, patrick

Am Montag, 17. Juni 2002 18:50 schrieb Patrick C.:

hallo,

die diskussionen hier sind ja schön und gut. aber wie kann man diese extreme sicherheitslücke schliessen? denn mit dieser lücke oder "feature" ist linux nicht geeingnet um als workstation (z.B. in der uni) zu dienen. nur zu leicht kann jeder auf der einen workstation root rechte bekommen und böse sachen machen.

man kann abschliessend sagen, dass damit linux in verbindung mit lilo unsicherer ist als windows (wenn man vom lokalen "angrif" ausgeht).

Na das glaub ich kaum!?? Wie war das F8 drücken oder von Diskette/CD/sonstiges starten ...

dies ist kein zustand und dieses sicherheitsloch MUSS geschlossen werden, sonst kann man linux knicken als workstation in öffentlichen räumen. sicherlich ist die gefahr zu hause nicht so gross aber denkt immer an den workstation.

Zum "Aufenthaltsort" für einen Server hat Bernd schon alles gesagt, ansonsten wär Dir ein "man lilo" und "man lilo.conf" zu empfehlen. MfG Mirko -- +--[ Mirko Richter (RHCE) ]------------------------+ | Networks & Communicationsystems | | Ernst-Thaelmann-Str. 5, D-06774 Soellichau | | E-MAIL: m.richter@ngi-box.de | | Tel. +49/(0)34243/3369-50 \\\\ | | Fax. +49/(0)34243/3369-28 (O O) | +-----------------------------------oOOo-(_)-oOOo--+

Patrick C. wrote:

dass ein server sicher aufbewahrt werden muss ist klar. eine WS aber nicht.

Dann musst du aber auch fuer dich selbst festlegen, was du als geschuetzt haben willst. Wenn du andere Antworten und die am Systemstart beteiligten Programm-Handbuecher gelesen hast, wirst du vielleicht auch noch anders ueber dieses Thema denken. Peter

* Patrick C. [17.06.02 19:59] Hi Patrick,

man kann keine workstations wegsperren. man muss einfach diese option/möglichkeit in lilo entfernen oder lilo durch ein anderes programm ersetzten welches diese möglichkeit nicht hat.

nein ich bin kein windows user. ich habe schon seit über 4 jahren linux auf der kiste (nur).

Wenn du nur Linux booten willst, brauchst du doch gar keinen lilo-Prompt. Nimm einfach "restricted", setz "timeout" auf 0, "delay" auf 0 und lösche "prompt". -- Gruß - Ulli Microsoft isn't the answer. Microsoft is the question, and the answer is no. -- Grant Edwards

Patrick C. schrieb:

hallo,

die diskussionen hier sind ja schön und gut. aber wie kann man diese extreme sicherheitslücke schliessen? denn mit dieser lücke oder "feature" ist linux nicht geeingnet um als workstation (z.B. in der uni) zu dienen. nur zu leicht kann jeder auf der einen workstation root rechte bekommen und böse sachen machen.

Ich glaube, das wurde doch schon im Thread angedeutet. man lilo.conf password=password Protect the image by a password. restricted A password is only required to boot the image if parameters are specified on the command line (e.g. single). Übrigens gibt es noch andere BootLoader für Linux und ein BootLoader ist kein Linux. Somit ist das auf keinen Fall ein "Feature" von Linux. Linux ist nur der Kernel.

Am Montag, 17. Juni 2002 19:42 schrieb Hartmut Meyer:

...

dies ist kein zustand und dieses sicherheitsloch MUSS geschlossen werden, sonst kann man linux knicken als workstation in öffentlichen räumen. sicherlich ist die gefahr zu hause nicht so gross aber denkt immer an den workstation.

Siehe oben. Schließ den Rechner weg (Zugang nur zu Tastatur, Maus und Monitor - so hatten wir es auch in der Uni) oder sorg zumindest dafür, dass es nicht möglich ist den Rechner von Diskette bzw. CD zu booten.

Sicher, wird auch bei uns gemacht. aber restarten kann man den rechner trotzdem (gegebenenfalls mit "stecker raus und wieder rein") und schon leuchtet und lilo an und man kann init=/bin/bash eingeben. ich meine nur diese problem. nicht das mit boot medien. gruß aus berlin, patrick

Am Montag, 17. Juni 2002 20:13 schrieb Erhard Schwenk:

man lilo.conf

--> restricted --> timeout

läßt sich doch längst alles regeln.

Tip: Wenn Du ein bißchen weniger in der Gegend rumblöken und ein bißchen mehr Doku lesen würdest, bräuchtest Du Deine Unwissenheit nicht so deutlich zu demonstrieren.

womit wir schonwieder bei "Re: OT: Persönlicher Angriff ..." wären. Nicht jeder muss alle man files "auswendig" wissen. und wer zum hobby man files liesst der muss es nicht anderen leuten zum vorwurf machen dieses nicht zu tun. Wieso können die leute nicht sachlich bleiben sondern glauben immer jemandem etwas beweisen zu müssen? dennoch danke für den hinweis und verweis auf das man file.

On Monday 17 June 2002 20:47, Patrick C. wrote:
> Am Montag, 17. Juni 2002 20:13 schrieb Erhard Schwenk:
> > man lilo.conf
> >
> > --> restricted
> > --> timeout
> >
> > läßt sich doch längst alles regeln.
> >
> > Tip: Wenn Du ein bißchen weniger in der Gegend rumblöken und
> > ein bißchen mehr Doku lesen würdest, bräuchtest Du Deine
> > Unwissenheit nicht so deutlich zu demonstrieren.
>
> womit wir schonwieder bei
> "Re: OT: Persönlicher Angriff ..."
> wären. Nicht jeder muss alle man files "auswendig" wissen. und
> wer zum hobby man files liesst der muss es nicht anderen leuten
> zum vorwurf machen dieses nicht zu tun. Wieso können die leute
> nicht sachlich bleiben sondern glauben immer jemandem etwas
> beweisen zu müssen?
>
> dennoch danke für den hinweis und verweis auf das man file.
Also wenn Du einen Hinweis darauf das deine Frage bereits mehrfach 
beantwortet wurde und du doch bitte die Mails die dir zum Thema 
deiner Frage geposted worden sind lesen möchtest als persönlichen 
Angriff wertest, dann tust du mir fast schon leid.
Ausserdem steht das seit mindestens SuSE 5.2 im Handbuch der 
Distribution.
Noch mal zum mitschreiben
1. lilo.conf 
Man mache aus :
# LILO configuration file
# Start LILO global Section
# If you want to prevent console users to boot with init=/bin/bash,
#  restrict usage of boot params by setting a passwd and using the 
option
#  restricted.
#password=bootpwd
#restricted
---8<---

einfach:
# LILO configuration file
# Start LILO global Section
# If you want to prevent console users to boot with init=/bin/bash,
#  restrict usage of boot params by setting a passwd and using the 
option
#  restricted.
password=ultrageheim
restricted
---8<---
und gut ist
Allerdings solltest Du dir evtl. ein anderes password als 
"ultrageheim" aussuchen.


Falls dieser Hinweis noch nicht reicht, ich könnte es auch noch 
Buchstabieren. Genauer kau ich das dir aber nicht mehr vor, ich 
gehe mal davon aus das du die Buchstaben auf der tastatur selber 
findest, vorrausgesetzt ich kann davon ausgehen dass du deine 
mails selber tippst.

Tschüss,
Thomas

On 17-Jun-02 Patrick C. wrote:

Am Montag, 17. Juni 2002 20:13 schrieb Erhard Schwenk:

...

man lilo.conf

--> restricted --> timeout

läßt sich doch längst alles regeln.

Tip: Wenn Du ein bißchen weniger in der Gegend rumblöken und ein bißchen mehr Doku lesen würdest, bräuchtest Du Deine Unwissenheit nicht so deutlich zu demonstrieren.

womit wir schonwieder bei "Re: OT: Persönlicher Angriff ..." wären. Nicht jeder muss alle man files "auswendig" wissen. und wer zum hobby man files liesst der muss es nicht anderen leuten zum vorwurf machen dieses nicht zu tun. Wieso können die leute nicht sachlich bleiben sondern glauben immer jemandem etwas beweisen zu müssen?

dennoch danke für den hinweis und verweis auf das man file.

Sammelst Du Plonks? 1. Um diese Lösung zu finden, muß man sicher nicht "man files auswendig wissen". Man muß lediglich die man page zu den Kommandos und Dateien lesen, die man benutzen möchte. Das ist ja wohl eine Selbstverständlichkeit, wenn man ein Problem hat. 2. Diese Liste ist *nicht* dazu da, Dir das Lesen von Dokumentation abzunehmen. Sie ist dazu da, Dir konkrete Fragen zu beantworten, wenn Du an der Dokumentation was nicht verstehst oder dort etwas nicht findest (in letzterem Fall mit Hinweis auf die passende Stelle in der Doku, in Ersterem erst nachdem Du diese Stelle genannt oder zitiert hast). 2. Die Lösung wurde Dir im Verlauf des Thread nun wirklich mehrfach und ausführlich erklärt. Beziehst Du die Liste Write-Only? 3. Ich habe Dich äußerst höflich darauf hingewiesen, Dich zu informieren, bevor Du in einem überheblicher und marktschreierischer Weise Behauptungen aufstellst, die einfach nur falsch sind. Was sollte ich damit beweisen wollen? Der einzige Beweis, den es zu erbringen gäbe, ist der Deiner uninformiertheit. Den hast Du selbst erbracht, nicht ich. 4. Zu Deiner Reaktion fällt mir eigentlich zunächst ein: getroffene Hunde bellen. 5. Informiere Dich bitte, bevor Du lautstark und öffentlich Kritik übst, Behauptungen in die Welt setzt oder Forderungen von Dir gibst. Der Ton Deiner Mail war schlicht nicht "ich weiß nicht wie das geht", sondern "ich finde es scheiße, *weil* es nicht geht" und gefordert, daß es gehen müßte. Das kann man natürlich machen - aber erst, nachdem man sicher weiß, daß die Voraussetzungen für so eine Forderung auch gegeben sind. Und nicht, wenn man das vermutet oder glaubt. *PLONK* entfällt wegen guter Laune. Aber nur deshalb. -- Erhard Schwenk http://www.fto.de - http://www.akkordeonjugend.de No Spam replies please.

Hallo Patrick, Am Montag, 17. Juni 2002 20:03 schrieb Patrick C.:

Am Montag, 17. Juni 2002 19:42 schrieb Hartmut Meyer:

...

...

dies ist kein zustand und dieses sicherheitsloch MUSS geschlossen werden, sonst kann man linux knicken als workstation in öffentlichen räumen. sicherlich ist die gefahr zu hause nicht so gross aber denkt immer an den workstation.

Siehe oben. Schließ den Rechner weg (Zugang nur zu Tastatur, Maus und Monitor - so hatten wir es auch in der Uni) oder sorg zumindest dafür, dass es nicht möglich ist den Rechner von Diskette bzw. CD zu booten.

Sicher, wird auch bei uns gemacht. aber restarten kann man den rechner trotzdem (gegebenenfalls mit "stecker raus und wieder rein") und schon leuchtet und lilo an und man kann init=/bin/bash eingeben. ich meine nur diese problem. nicht das mit boot medien.

Hallo? Sach mal, liest du eigentlich die Mails auf die du antwortest? Ich (und andere) haben dir doch gesagt wie man Lilo dazu bringt keine Boot-Prompt-Parameter zu akzeptieren (init=/bin/bash _ist_ ein solcher!). Den entsprechenden Teil meiner Mail hast du praktischerweise nicht mit-gequotet. Hier nochmal: "Den Rest erledigt ein Lilo Passwort, mit dem verhindert wird, dass Lilo Boot-Prompt-Parameter akzeptiert (Stichwort "restricted")." Also bitte: Mails noch mal lesen. Dann denken. Dann verstehen. Dann evtl. noch mal nachfragen. Danke. Schöne Grüße aus Bremen hartmut

Moin, Patrick C. schrieb am 17.06.2002 (18:50):

die diskussionen hier sind ja schön und gut. aber wie kann man diese extreme sicherheitslücke schliessen?

Mehrere Möglichkeite wurden doch schon am Anfang dieses Threads eindeutig von mehreren Leuten genannt, hier einige als Beispiel: - Anderen Bootmanager als lilo verwenden - die "restricted"-Option von lilo verwenden Gruß, Antje P.S.: Bitte bastel Dir einen Realname. Danke. -- Computers make very fast, very accurate mistakes.

Manfred Tremmel hat einige gute Tipps gegeben, wie man den Rechner absichern kann .... Aber damit erreicht man nicht zuviel. Ich würde z.B. den Rechner ganz ohne CD-ROM und Diskettenlaufwerk ausstatten. Gehäuse absichern, so dass da auch niemand mehr dran kann. Wobei dies auch nur alles erschwert. Wer noch viel sicherer sein will, der sollte einfach der Anleitung folgen, wie man den IIS richtig sicher hinbekommt. Die Kurzform (evtl. leicht abgewandelt): - Rechner gut (luftdicht) verpacken - Gut verschliessen - Zusammen mit radioaktiven Müll 8Radioaktivität muss so stark sein, dass eine Annäherung nicht für Lebewesen möglich ist!) an der tiefsten Stelle des Ozeans versenken. Dieser Rechne wird so schnell nicht mehr gehackt - allerdings erfüllt er auch keinen bestimmten Zweck mehr, so dass man nicht mehr hat, als wenn man auf alles ganu verzichten würde. Was will ich damit sagen: - Es lohnt sich, zu überlegen, was ich überhaupt will! - Was für Schritte kann ich ohne Probleme vollziehen? Wenn ich z.B. einen Rechner in einem Öffentlichen Bereich unterstellen will, dann nehme ich keinen 08/15 PC. (Obwohl: Mach ruhig - ich hole ihn mir dann Nachts, wenn er gut ausgestattet ist!). Es gibt sehr nette Gehäuse, die recht sicher sind. Und da hast Du dann auch kaum Anschlussmöglichkeiten! Die Frage ist wirklich, was Du genau willst! Für ein Firmennetzwerk würde ich den Arbeitsplatz nicht ganz so sehr absichern. Der ist sch... egal (Zur Not schliesst jemand seinen Laptop an oder so!). Hier würde sich auf andere Punkte setzen. IPsec ist ein Stichwort oder es reicht vielleicht auch schon, wenn Autentisierungen sowie kritische Daten verschlüsselt ablaufen. Hier sind dann aber die Anwendungen zu kontrollieren. IPsec wäre aber ein guter Ansatz. Und wenn dann jemand eine Knoppix CD einlegt und davon bootet: Ist doch egal. Damit kann er vielleicht auch gewisse Dinge machen, aber vieles geht einfach nicht. Das Gleiche gilt für Notebooks. Dies ist ein anderer Ansatzpunkt. Das gilt für alle Betriebssysteme! Für NT/W2K7XP gibt es auch nette Boot-Disketten (DOS) + NTFS Treiber + Tool zum ändern des Passwortes. Das kostet paar Euro (Löhnware), aber es funktioniert total einfach! Daher ist ein solches Konzept extrem wichtig! Die Absicherung haut da nicht hin. BIOS-Passwörter. Entweder keiner oder alle kennen die Passwörter. Oder wie will man hier ein ordentliches Passwort-Management aufbauen? (In Firmen!) Was bekommt der "Angreifer" durch eine solche Attacke? Lokale Admin- Rechte. Nur was kann er damit anfangen? Vielleicht ist dies gar nicht so schlimm? Bei Servern sollte so oder so eine Überwachung inkl. Zugangsbeschränkung üblich sein. Und auch bei Firmen sollte es üblich sein, dass nicht jeder überall rein kann (Ein zentraler Zugang, Türe muss geöffnet werden, ...). Der normale Menschenverstand ist hier wichtig! Zuhause lasse ich ja auch nicht die Türe immer offen. Es mag Firmen geben, die einen starken Kundenzulauf haben. Einkaufsmärkte sind hier ein gutes Beispiel. Aber auch hier ist es einfach, die Kunden von "sensiblen" Bereichen fern zu halten. Auch wenn ich jetzt wieder viel geschrieben habe: Man muss sich wirklich immer hinsetzen und erst einmal nachdenken, was man überhaupt an Sicherheit braucht! Es gibt viele Ansätze, die man gut verfolgen kann! Und viele Absicherungen sind in meinen Augen wenig erfolgreich! (z.B. BIOS Passwörter!) Mit den besten Grüßen, Konrad Neitzel -- SoftMediaTec GmbH Tel: 0172 / 689 31 45 Fax: 069 / 90 50 99 53

B.Brodesser@t-online.de (Bernd Brodesser) schrieb:

Was spricht gegen Rechner ohne Festplatte und einem Fileserver, der in einem Serverraum gut verschlossen steht? Oder gleich X- Terminals. Da hat man all diese Probleme nicht. Solange man nicht am Server/Rechner heran kommt ist doch alles gut.

Ja genau! Das Konzepot ist gut, nur eben braucht man schnelle Netzwerke. Siehe iSCSI von IBM. SCSI über TCP/IP, benötigt aber ein Gigabit Netzwerk :) War neulich bei Heise im Newsticker ...

Es wird sich doch irgendwo ein Raum finden, im Keller oder so, am Besten ohne Fenster, mit festen Mauern und eine Stahltür davor. Wenn man sowas hat, so ist das ein idealer Serverraum. Der Sysadmin muß da normalerweise nicht drin arbeiten, nur im Ausnahmefall.

Ja - ganz meine Meinung! Das Problem kann nur kommen, wenn a) Platzprobleme vorhanden sind b) Leitungen gezogen werden müssten Aber auch da gibt es oft noch einen Archivraum, den man auch abschliessen kann. Bei meinem Beispiel mit dem extremen "Publikumsverkehr" ist es ja auch so, dass der Betrieb gewisse Dinge schützen will. So hat ein Geschäft auch einen Raum für den Geschäftsführer, in dem auch meistens ein Tresor ist und so. Eine Lösung findet sich immer! Mich hatte aber auch mehr gestört, dass sich Leute an einem kleinen Punkt der IT Security so festhalten und rumschreien. Das Geschrei bei einem potentiellen Bug ist ja ok (Wenn nicht schon 2*10^24 Leute auf die Lösung hingewiesen hätten :) ), aber man sollte alles etwas distanzierter sehen. Und das fehlte mir bei einem bestimmten User total (Was ich mir aber nicht hab anmerken lassen, oder? *grins* Ups ... war da das *PLONK* zu sehr in Grossbuchstaben gewesen? :-)) ) Mit den besten Grüßen, Konrad Neitzel -- SoftMediaTec GmbH Tel: 0172 / 689 31 45 Fax: 069 / 90 50 99 53

Am Montag, 17. Juni 2002 21:47 schrieb Manfred Tremmel:

Am Montag, 17. Juni 2002 18:50 schrieb Patrick C.:

...

die diskussionen hier sind ja schön und gut. aber wie kann man diese extreme sicherheitslücke schliessen?

Fassen wir doch mal kurz zusammen:

1. Bios so einstellen, dass es ausschliesslich von der Startplatte bootet.

2. Bios-Passwort vergeben (was je nach Bios zwar nicht unbedingt sicher sein muß, aber den Gelegenheitshacker vielleicht doch von weiteren Attacken abhält, selbst im Internet recherchieren, wie es mit dem Passwortern für das eingesetzte BIOS aussieht, kann nicht schaden, eventuell Up- oder Downgraden, wenns mit Vorgänger- oder Nachfolgerversionen des BIOS besser aussieht und diese nicht andere Probleme aufwerfen). Sicheres Passwort verwenden und BIOS-Passwort nicht auf den Rechner kleben ;-)

;-))

3. /etc/lilo.conf Eintrag 'prompt' rausschmeissen, restricted rein und dann den delay noch auf 0, bei nem Server wirds ja wohl nicht so viel Konfigurationen geben (nach nem Kernelupdate sollte man vor dem ersten Start vielleicht was anderes reinnehmen).

4. Servergehäuse/Boards bieten oft die Möglichkeit, ein öffnen des Gehäuses zu erkennen, mit LM-Sensors kann man sich sowas gleich zumailen lassen (genauso wie Lüfterausfälle, Spannungseinbrüche usw.), das kann eventuell was helfen, ein Schloß am Gehäuse natürlich auch.

5. Da 1. ohne 2. keine Sicherheit garantiert und 3. aushebelt, gilt wie schon öfters erwähnt, die physikalische Annäherung an den Server so schwierig wie möglich machen. Unnötige Lauwerke eventuell ausbaun, ein Printserver kommt sicher ganz gut ohne Floppy und CD- ROM aus, Updates können übers Netz eingespielt werden und booten soll er eh nur von der Platte.

Für Server kein Problem, die stehen in abgeschlossenen Räumen (zumindest solllten sie das).

6. Auch wenns dann vielleicht schon zu spät ist, ne Überwachungskammera mit Bewegungssensor kann abschrecken, langwieriges Hantieren eventuell verhindern und Täter dingfest machen helfen.

Nur er sprach in einer seiner Mails von Desktops/Workstations, da ist das nicht so einfach bzw. nich alles so Durchzuführen. Man kann solche Workstations auch direkt aus dem Netz booten, da hat man dann nicht nur überhauptkeinen bootprompt mehr, sondern auch noch eine ganze Reihe anderer Vorteile wie: 1. Kosteneinsparung, warum 100 Harddisks für 100 Rechner wenn es auch eine tut 2. einfachere Verwaltung/Installation/Wartung, 3. volle Multimediatauglichkeit(im Gegensatz zu den "allseits" beliebten X-Terminals), 4. "unkaputtbarer" Rechner - einfach mal Ausschalten macht der Kiste nix (mit Ausnahme der Daten des Nutzers, wenn er vergessen hat sich abzumelden) -- _besonders_wichtig_ für Schulen, Uni und andere "Bildungskisten" 5. einen entsprechend programmierten BootROM vorausgesetzt, kann von keinem anderen BootDevice mehr gebootet werden. Um das zu umgehen, muß der "Angreifer" die Netzwerkkarte / den BootROM ausbauen und vom Floppy/CD etc. zu booten, bloß was hat er dann davon .... etc.etc. etc. ... MfG Mirko -- +--[ Mirko Richter (RHCE) ]------------------------+ | + Netzwerke, Kommunikation, Computer, Service | | + Diskless Linux-Systeme | | + EPROM + FLASHROM Programmierung | |~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~| | Mirko Richter | | Networks & Communicationsystems | | Ernst-Thaelmann-Str. 5, D-06774 Soellichau | | E-MAIL: m.richter@ngi-box.de | | Tel. +49/(0)34243/3369-50 \\\\ | | Fax. +49/(0)34243/3369-28 (O O) | +-----------------------------------oOOo-(_)-oOOo--+

Am 12.06.2002 um 18:21 schrieb Andre Fischer:

mir geht es eher um die Kisten, die ich administriere und die öffentlich zugänglich sind und auf denen lilo als Bootmanager läuft

ich werde mich jetzt erstmal genauer mit lilo beschäftigen

Mit den Optionen "password" und "restricted" kannst du dieses Feature von Lilo deaktivieren. Aber wenn du etwas weiter denkst, wirst du merken, dass es nicht so viel bringt. Wenn ich ohne Root-Kennwort die Maschine neustarten will, muss ich entweder an die physikalische Tastatur (SYS-RQ) oder den Reset-Knopf. Wenn dann der Lilo keine Init-Option annimmt, kann ich versuchen, mein das System von Diskette oder CD zu starten, und dann z.B. das Root-Kennwort geändert. Selbst wenn Booten von Wechselmedien im BIOS abgestellt, das BIOS natürlich passwortgeschützt ist, oder gar keine CD- oder Diskettenlaufwerke vorhanden ist, kann ich theoretisch in einer ruhigen halben Stunde immer noch die Platte ausbauen, an meinem Laptop mounten und so das Root-Kennwort ändern. Solange man physikalischen Zugriff auf ein Gerät hat, kann man viel manipulieren. Für wirklich paranoide Seelen könnte man durch ein verschlüs- seltes Dateisystem (z.B. loop-aes.sf.net) mehr Sicherheit gegen physikalische Manipulationen bekommen. Dadurch ist as System nämlich im angreifbaren Zustand (Ausgeschaltet, Boot-Phase) besser gegen Manipulationen gesichert. -- Dennis Stosberg eMail: dennis@stosberg.net pgp key: http://stosberg.net/dennis.asc icq: 63537718

Am 12.06.2002 um 19:22 schrieb Patrick Hess:

Außer, man besorgt sich ein abschließbares Gehäuse mit ebenfalls abschließbarer Frontklappe. Dann kann keiner mehr dran rumfummeln, der nicht mindestens einen Schneidbrenner im Gepäck hat.

Hmm. Habe ich gerade nicht dabei. Aber es kommt darauf an, was ich vor wem schützen möchte. Wenn sichergehen möchte, dass sensible Daten nicht in falsche Hände geraten, ist ein verschlüsseltes Dateisystem eleganter und sicherer als ein Tresor. Wenn ich allerdings einen Rechner an einem öffentlichen Platz aufstelle, dann geht nichts über ein stabiles Metallgehäuse und eine entsprechende Tastatur. Aber dann möchte ich ja nicht meine Daten schützen, sondern meine Hardware. Aber ich glaube, es entwickelt sich hier etwas in Richtung OT. -- Dennis Stosberg eMail: dennis@stosberg.net pgp key: http://stosberg.net/dennis.asc icq: 63537718

* Andre Fischer schrieb am 12.Jun.2002:

mir geht es eher um die Kisten, die ich administriere und die öffentlich zugänglich sind und auf denen lilo als Bootmanager läuft

ich werde mich jetzt erstmal genauer mit lilo beschäftigen

Sorg dafür, daß der Server nicht öffentlich zugänglich ist. Braucht doch nur jemand die Festplatte auszubauen, oder mit dem dicken Hammer zu kommen. Was will so eine arme kleine Software gegen den dicken Hammer unternehmen? Und glaub ja nicht, daß es das nicht schon gegeben hat. Es wurden mehr als ein Rechner zertrümmert. Sicherungsbänder sollten natürlich auch nicht öffentlich zugänglich sein. Bernd

On Wed, 12 Jun 2002, Michael Rolli wrote:

> Hallo Andre
>
> >simpel und funktioniert - ich bin erschüttert!
> Stell Dir vor, Du möchtest auf diese Art einen IBM-Server unter Deine
> Kotrolle
> bringen...
> 1) Nach Amerika fliegen.
> 2) Ab zum IBM-Firmengelände
NACK, IBM gibt es ueberall, z.B. bei mir auf Arbeit...

> 3) Am Portier vorbei
Unser Pfoertner laesst jedem rein, der freundlich "Moin" sagt ;-)

> 4) In den Serverraum ...    aha. Da dürfte dann wohl das Problem liegen. :-)
Um in den Serverraum zu kommen, ziehe ich mein Badge durch den
Badgereader, oeffne die Tuer, schalte die Klima ab und die Monis
an, und dann ist alles zu spaet ;-)

Gruss, Conrad.

Am Mit, 2002-06-12 um 18.30 schrieb Antje M. Bendrich:

Moin,

Andre Fischer schrieb am 12.06.2002 (17:51):

...

ich hab grad mitbekommen, wie jeder User daß Root-Passwort ändern kann. Bin mir nun nicht sicher ob das ein Feature oder ein Bug ist.

funktionieren tut das wie folgt:

am lilo Prompt als Option "init=/bin/bash" eingeben [..]

Sobald Du physikalischen Zugriff auf einen Rechner hast, ist der Rest nicht mehr so schwer.

das ist bekannt

In "man lilo.conf" steht was über die per-image-Optionen password und restricted, vielleicht ist das etwas, was für Dich in Frage kommt, wenn Du Benutzer hast, die mal etwas rumspielen, aber noch davor zurückschrecken - die Festplatte einfach auszubauen und in einen anderen Rechner einzubauen und zu mounten, - mit Knoppix, SuSE Rettungssystem o.ä. zu booten - ...

genau das beschreibt die Situation, wobei die Rechner gut weggeschlossen sind (nur Taste, Mouse, Moni, Drucker, Scanner physikalisch erreichbar)

Pack Deine wirklich geheimen Daten auf ein verschlüsseltes Dateisystem. Schließ den Server gut weg. Sei in gesundem Rahmen paranoid ;-)

mir geht es in dem Zusammenhang um frei zugängliche PC's und nicht um Server tschau fisch -- EDV-Beratung Fischer Olbrichtplatz 1, 04703 Leisnig http://www.edv-leisnig.de Tel.: +49.160.99054107 info@edv-leisnig.de Fax.: +49.34321.13945 http://www.webdesigner24.com

Am Mittwoch, 12. Juni 2002 18:43 schrieb Andre Fischer:

Am Mit, 2002-06-12 um 18.30 schrieb Antje M. Bendrich:

...

Moin,

Andre Fischer schrieb am 12.06.2002 (17:51):

...

ich hab grad mitbekommen, wie jeder User daß Root-Passwort ändern kann. Bin mir nun nicht sicher ob das ein Feature oder ein Bug ist.

funktionieren tut das wie folgt:

am lilo Prompt als Option "init=/bin/bash" eingeben

[..]

Sobald Du physikalischen Zugriff auf einen Rechner hast, ist der Rest nicht mehr so schwer.

das ist bekannt

Warum dann die Aufregung?

...

In "man lilo.conf" steht was über die per-image-Optionen password und restricted, vielleicht ist das etwas, was für Dich in Frage kommt, wenn Du Benutzer hast, die mal etwas rumspielen, aber noch davor zurückschrecken - die Festplatte einfach auszubauen und in einen anderen Rechner einzubauen und zu mounten, - mit Knoppix, SuSE Rettungssystem o.ä. zu booten - ...

genau das beschreibt die Situation, wobei die Rechner gut weggeschlossen sind (nur Taste, Mouse, Moni, Drucker, Scanner physikalisch erreichbar)

BIOS richtig konfigurieren (Boot Device: C only & Passwort setzen)

...

Pack Deine wirklich geheimen Daten auf ein verschlüsseltes Dateisystem. Schließ den Server gut weg. Sei in gesundem Rahmen paranoid ;-)

mir geht es in dem Zusammenhang um frei zugängliche PC's und nicht um Server

Da hilft dir auch ein verschluesseltes Dateisystem. Marius

* Bertram Scharpf textete am 13.06.02:

Das gilt betriebssystemunabhängig schon fürs BIOS-Paßwort, das Du löschen kannst, indem Du die Batterie rausnimmst.

Ja, vor allem bei den eingelöteten. *g* cu flo, SCNR! -- One item could not be deleted because it was missing. -- Mac System 7.0b1 error message

* Mirko Richter textete am 13.06.02:

Am Donnerstag, 13. Juni 2002 19:15 schrieb Florian Gross:

...

* Bertram Scharpf textete am 13.06.02:

...

Das gilt betriebssystemunabhängig schon fürs BIOS-Paßwort, das Du löschen kannst, indem Du die Batterie rausnimmst.

Ja, vor allem bei den eingelöteten. *g*

Auf vielen Boards gibt es einen Jumper zum löschen des CMOS - schließen, 30sec warten, das System ist wieder "willig"

und wenn es keinen gibt -- die "brutale" Methode -- CMOS-Batterie/Akku kurzschließen -- dann wie oben 30sec ....

Security!? - null Chance ;)

Ich weiß. Bei einem öffentlich zugänglichen Rechner ist das aber schon _sehr_ auffällig. Und in den Büros kommt man meist eh leicht an die Passwörter ran. flo -- Die elche werden auch immer verüückter hier, seitdem sie bei Ikea keine Arbeitsverträge mehr bekommen. [WoKo in dag°]

Hallo! "Michael Temeschinko" schrieb:

wegen des niedrigeren Innenwiderstandes Akkus niemals kurzschliesen!

was bei den normalen Batterien gerade noch zu verantworten ist. kann bei Akkus leicht in einem Versuch zu schweißen aussarten :-)

Na - nun lass uns doch einmal eine kleine Praxiseinführung ins Schweissen machen. Das sind schöne Erfahrungen, die man ruhig haben sollte. (Es stinkt so schön, wenn selbst Teile der Leiterplatte richtig verschmoren und das Lötzinn sich dann nur noch in der Luft befindet und so ...) Gewisse Erfahrungen sind doch immer was feines ... (Ich habe dieses aber nicht mit einem Motherboard gemacht sondern mein selbstgebautes Netzteil wurde von mir etwas zerblastert ... Das war ein Teil, das bei 12 V auch einige Ampere ab konnte ... Und das was meine Lektion: "Warum baue ich eine Sicherung nicht nur auf der 220 V Seite sondern auch auf der 12V Seite?" Lässt sich schön ausrechnen, was eine träge Sicherung temporär erlaubt, ehe denn dann die Sicherung fliegt. Der Trafoblock hatte es aber zum Glück überlebt :) ) Mit den besten Grüßen, Konrad Neitzel -- SoftMediaTec GmbH Tel: 0172 / 689 31 45 Fax: 069 / 90 50 99 53

* Thomas Bendler schrieb am 13.Jun.2002:

Nein, erschüttert brauchst du nicht sein. Das "Problem" zeigt eigentlich nur das nur eine Kombination aus Hardware und Software Sicherheit bietet. Entgegen der Aussagen der anderen Mails kann man aber auch bei physikalischen Zugriff das System durchaus "sicher" machen. Das setzt dann voraus das du einen Controller verwendest der auf den Festplatten eine Hardwareverschlüsslung durchführt, dann bringst auch nichts mehr die Festplatte auszubauen. Allerdings ist

Das schützt aber nur vor Datenklau, nicht vor Datenzerstörung. Sicherlich ist in den meisten Fällen der Datenklau das Schlimmere, aber Zerstörung von Daten kann auch sehr übel sein. Sehr beliebt etwa, wenn jemand seine Doktorarbeit schreibt. Es ist erschreckend, wieviele mißgünstige Menschen es gibt, die aus reiner Boshaftigkeit versuchen, das Projekt zum Scheitern zu bringen. Eine zerstörte Festplatte ist da ganz schön Hilfreich. Eine Verschlüsselung bringt dem Doktoranden da gar nichts.

das auch nur bedingt hilfreich da man dadurch natürlich die Performance reduziert. Tendenziell verfährt man in grossen Unternehmen so das die Rechner in speziellen Räumlichkeiten (z.B. grossen Tresoren stehen), man nur über spezielle Adminnetworks die wiederum nur über speziell gesicherte Konsolen zugänglich sind die Rechner administriert. Physikalischen Zugang zu den Systemen habe meistens nur die Techniker die entsprechende Komponenten tauschen müssen (da kann man dann ganz elegant die Rechner vom Admin Raum ausschalten (siehe SP attached bei RS/6000 z.B.)). Allerdings gibt es selbst in solchen Umgebungen keine definitive Sicherheit, es hängt immer noch viel davon ab wie integer die Mitarbeiter sind (was bringt die grösste Sicherheit wenn ein Admin auf alle Resourcen freien Zugriff hat und die Sicherheitslöcher selber reinbauen kann). Zusammengefasst lässt sich nur eine hinreichend hohe Sicherheit erreichen wenn das "Gesamtkonzept" stimmt.

ACK Bernd -- Umsteiger von Microsoft Windows xx? Hast Du schon file://usr/doc/howto/de/DE-DOS-nach-Linux-HOWTO.txt gelesen? Auch file://usr/doc/Books/Linuxhandbuch.dvi ist zu empfehlen. |Zufallssignatur 1