nicht angemeldet
Sicherheitslücke in Linux?
0 0
0 0 0 Danke!
Sicherheitslücke in Linux?
Hi,
ich gebe zu der Threadtitel klingt ein wenig reißerisch aber, nun ja.
Die Geschichte geht in etwa so:
Ich will mir ein Notebook kaufen und zwar eins ohne Floppy, wer braucht
das schon. Darauf sollen W2k und RedHat laufen.
Dualboot ist das Stichwort. Also erst partitionieren, dann W2k
installieren und schließlich RedHat. Wenn man das dann booten will muss
man den Umweg über den NT-Bootmanger -> startet LILO -> startet Linux
nehmen. So. Um das zu konfigurieren muss Linux _nach_ der Installation
gestartet, der Bootsector kopiert, LILO konfiguriert und das ganze dem
NT-Loader zum Starten übergeben werden. Der Haken ist folgender: will
man Linux zur Konfiguration starten (dieses erste mal), macht man das
gewöhnlich über die Bootdisk, ohne Floppy macht sich das aber schlecht.
Also habe ich auf meinem großen Rechner rumprobiert und schließlich
mein Linux uber den Rescue mode der Install-CD hochgefahren, welcher
das eigentliche Linux nach /mnt/syslinux mountet. Mit
"chroot /mnt/syslinux" bin ich schließlich ,mit Adminrechten versehen,
in mein System vorgedrungen und habe (erfolgreich) LILO konfiguriert.
Klappte alles prima. Aber: Ich habe _nicht_ einmal mein root-Password
eingeben müssen.
Ist das jetzt eine Sicherheitslücke, oder geht man gemäß dem
Grundsatz: "Wer Zugang zur Hardware hat, ist auch ein Administrator"
davon aus, dass diese Fall "eigentlich" nicht eintritt?
RedHat ist übrigens Version 7.4beta "null"
bye eddie
-
hi
Ist das jetzt eine Sicherheitslücke, oder geht man gemäß dem
Grundsatz: "Wer Zugang zur Hardware hat, ist auch ein Administrator"
davon aus, dass diese Fall "eigentlich" nicht eintritt?mehr oder weniger ja. Mehr oder weniger jedes System kann von eienr Diskette aus gestartet werden ohne die systemeigenen Schutzmechanismen zu nutzen. Daher empfielt es sich eben auch immer wichtige Daten einersetzs als Backup zu haben und andererseits auf dem angreifbaren System - speziell auf Laptops - zu verschlüsseln.
Achja: Das Wort "Notebook" solltest du dir abgewöhnen, das ist genauso ein falscher Anglizismus wie "Handy" - nur das das _richtige_ Wort hier noch allgemein bekannt ist - hoffen wir, dass es so bleibt!Grüße aus Bleckede
Kai
-
Tach auch,
Achja: Das Wort "Notebook" solltest du dir abgewöhnen, das ist genauso ein falscher Anglizismus wie "Handy" - nur das das _richtige_ Wort hier noch allgemein bekannt ist - hoffen wir, dass es so bleibt!
Aeh, wer hat Dir das denn erzaehlt? Sorry, aber das ist vollkommener Quatsch. Notebook wird genauso benutzt wie Laptop. Gib mal bei Google Notebook Computer ein, Du wirst Tausende und Tausende von Seiten finden...
Gruss,
Armin-
Hallo,
Aeh, wer hat Dir das denn erzaehlt? Sorry, aber das ist vollkommener Quatsch. Notebook wird genauso benutzt wie Laptop. Gib mal bei Google Notebook Computer ein, Du wirst Tausende und Tausende von Seiten finden...
nein, notebook bedeutet im englischen Notizbuch. Und handy ist dort noch nicht mal ein Subjekt.
Gruss
Thomas-
Tach auch,
Aeh, wer hat Dir das denn erzaehlt? Sorry, aber das ist vollkommener Quatsch. Notebook wird genauso benutzt wie Laptop. Gib mal bei Google Notebook Computer ein, Du wirst Tausende und Tausende von Seiten finden...
nein, notebook bedeutet im englischen Notizbuch. Und handy ist dort noch nicht mal ein Subjekt.
Mannomannomann, Ihr seid mir ja Spezialisten hier....
http://www.dictionary.com/search?q=notebook Noch Fragen?
Und bei Dell kann keiner Englisch?
http://www.dell.com/us/en/gen/topics/segtopic_seg_notebook_line.htm
Und bei HP auch nicht?
http://thenew.hp.com/country/us/eng/prodserv/notebooks_handhelds.html
I rest my case...
Gruss,
ArminPS: Mein Kommentar bezog sich auf Notebook. Ueber Handy lache ich mich schon seit Jahren kaputt.
-
Hallo,
http://www.dictionary.com/search?q=notebook Noch Fragen?
Ja. Im ersten Woerterbuch gibt´s einen Unterschied zwischen Laptop und Notebook, das zweite erwaehnt Computer gar nicht, bei Princeton muss er nicht mal transportabel sein und das letzte ist ein Computerlexikon (das aber scheinbar Sub-Notebook nicht kennt). Von einem synonymen Gebrauch kann da wohl keine Rede sein.
Und bei Dell kann keiner Englisch?
Und bei HP auch nicht?Du wirst bei jeder Firma eher Notebook als Laptop finden. Mit Laptop verbindet man die grossen klotzigen Teile, waehrend Notebooks urspruenglich mal die kleinen waren -> reine Marketingmassnahme.
Gruss
Thomas-
Tach auch,
http://www.dictionary.com/search?q=notebook Noch Fragen?
Ja. Im ersten Woerterbuch gibt´s einen Unterschied zwischen Laptop und Notebook, das zweite erwaehnt Computer gar nicht, bei Princeton muss er nicht mal transportabel sein und das letzte ist ein Computerlexikon (das aber scheinbar Sub-Notebook nicht kennt). Von einem synonymen Gebrauch kann da wohl keine Rede sein.Na ja, guck mal auf's Alter der Buecher. Ich habe mich gerade mit einer Kollegin unterhalten, die meinte die Grenze ist am ehesten zwischen Amerikanischem und Britischem Englisch. Notebook ist eher Amerikanisch, Laptop eher Britisch (allerdings wird Laptop auch hier langsam durch Notebook ersetzt).
Du wirst bei jeder Firma eher Notebook als Laptop finden. Mit Laptop verbindet man die grossen klotzigen Teile, waehrend Notebooks urspruenglich mal die kleinen waren -> reine Marketingmassnahme.
<sarcasm>Hm. Und ich dachte es gibt gar keine Notebooks? Es gibt nur Laptops, da Notebook ja Notizbuch heisst. Was denn nun?</sarcasm>
Auch nicht ganz richtig. Ein kurzer Besuch bei verschiedenen Retailern hier (Dixons, Currys, PCWorld) zeigt mir sehr oft (um nicht zu sagen fast immer) Laptop. Gehe ich zu Circuit City (USA) ist die Rubrik "Laptops", die Modelle werden dann allerdings Notebooks genannt. Aber dazu siehe oben.
Und ich benutze auch eher Laptop, was aber wahrscheinlich daran liegt dass mein Englisch eher Britisches als Amerikanisches Englisch ist. Jedenfalls habe ich manchmal Verstaendigungsprobleme mit meinen Amerikanischen Kollegen ;-)
Gruss,
Armin
-
-
-
-
-
-
Moin,
Klappte alles prima. Aber: Ich habe _nicht_ einmal mein root-Password
eingeben müssen.Das ist korrekt so und lässt sich bei keinem System verhindern.
Moderaten Schutz gegen Boot-Floppys bietet ein Bios-Passwort und die Einstellung nur von Festplatte zu booten. Natürlich nur, wenn sich das Bios-Passwort nicht mit zwei Handgriffen entfernen lässt (in der Regel also nur bei Laptops). Es geht übrigens noch einfacher auf der Lilo-Kommandozeile: linux init=/bin/sh (linux durch den Namen der Konfiguration ersetzen die du booten willst). Das bringt dich direkt auf eine Shell ohne init zu starten und damit wird keiner der üblichen Startvorgänge ausgeführt (das System ist aber auch praktisch unbenutzbar ;). Gegen sowas hilft dann ein lilo-Passwort.
Der einzige sinnvolle Schutz gegen alle diese Möglichkeiten ist aber generell nur ein verschlüsseltes Dateisystem.
--
Henryk Plötz
Grüße von der Ostsee -
Moin!
Ist das jetzt eine Sicherheitslücke, oder geht man gemäß dem
Grundsatz: "Wer Zugang zur Hardware hat, ist auch ein Administrator"
davon aus, dass diese Fall "eigentlich" nicht eintritt?Nein, es ist keine Sicherheitslücke, dass man mit einem gebooteten Linux die Festplatte mounten kann und Root-Zugriff hat.
Du kannst die Festplatte eines ansonsten perfekt gesicherten Systems auch ausbauen, in einen Rechner packen, auf dem du selbst von einer anderen Platte aus Linux bootest und Root wirst, und mountest dann die ausgebaute Festplatte - und erhälst Zugriff zu allen Daten. Lediglich einige User- und Gruppen-IDs werden dem System unbekannt sein oder anders heißen als im Original, und beim Directory-Listing nur als Zahlwert angezeigt werden - das ist aber kein Hinderungsgrund für den Zugriff.
"Sicherheit" ist kein Zustand, sondern ein Konzept. Solange die einzige Eindringmöglichkeit des Angreifers eine Datenleitung ist, solange ist der Rechner relativ geschützt. Er muss lediglich beliebigen Datensätzen widerstehen, während er seinen ordnungsgemäßen Betrieb aufrecht erhält.
Wenn der Angreifer aber Zugriff auf die Hardware erhält, dann sieht das schon ganz anders aus. Deshalb gehört zur "Sicherheit" auch ein Konzept zur Zugangskontrolle. Ein Rechenzentrum wird niemals von Hans und Franz betreten werden dürfen, sondern nur von ausgesuchten Mitarbeitern des Betreibers (und allenfalls unter Aufsicht von Kunden, die Server anliefern und/oder abholen) - eben damit genau das beschriebene Szenario nicht passieren kann: Jemand klaut die Festplatte.
Die beschriebene Vorgehensweise funktioniert ganz sicher auch für alle anderen Betriebssysteme, die mit nicht-verschlüsselnden Dateisystemen arbeiten, ist also keine Spezialität von Linux.
- Sven Rautenberg
-
Hallo Allerseits,
danke für die Antworten, ich hatte mir sowas gedacht, aber nun ist es
klarer. Sogesehen ist es ja schonmal ein guter Plan ein _Laptop_ ohne
Floppy zu kaufen ;-)bye eddie
-
Tach auch,
Sogesehen ist es ja schonmal ein guter Plan ein _Laptop_ ohne
Floppy zu kaufen ;-)Och, Du kannst Dir ruhig ein _notebook_ mit floppy/floppy disk kaufen. Das wichtige ist dass Du Dir eins ohne floppy disk _drive_ (oder auch diskette _drive_) kaufst.
SCNR ;-)
Gruss,
Armin-
Hi,
Sogesehen ist es ja schonmal ein guter Plan ein _Laptop_ ohne
Floppy zu kaufen ;-)Och, Du kannst Dir ruhig ein _notebook_ mit floppy/floppy disk kaufen. Das wichtige ist dass Du Dir eins ohne floppy disk _drive_ (oder auch diskette _drive_) kaufst.
SCNR ;-)
im Grunde habe ich darauf gewartet als ich das Ausgangsposting getippt habe und
mich gefragt _wann_ der Dämpfer kommt ;-) Aber ich war einfach zu faul, noch das
Wort dahinter zuschreiben; unfasslich, oder?bye eddie
-
-