EasyLinux Abwehr - mit Linux sicher im Netz (Vorschau)

Gefahren abwehren
TiTEL
der Distributions-DVD, einer Heft-DVD oder
der Originalseite der Entwickler. Solange Sie
als Linux-Anwender keine Programme starten,
die aus dunklen Quellen stammen, findet kein
Virus den Weg auf Ihren Rechner.
Äußerst sinnvoll sind Virenscanner für Linux
in gemischten Umgebungen: Läuft das
Schutzprogramm auf einem Datei- oder Mailserver,
der auch Windows-Clients bedient,
dann schützt Linux die Windows-Rechner
vor den Gefahren.
Repositories
Eine potenzielle Gefahr stellen Angriffe auf
Repository-Server dar, bei denen der Angreifer
die Kontrolle über diesen Server erlangt
und Softwarepakete durch eigene Versionen
ersetzt, welche dann Malware enthalten können.
Wer ein auf diese Weise „infiziertes“ Repository
als Paketquelle nutzt, kann sich bei
Installationen aus dieser Quelle Malware auf
den Rechner holen. Davor schützt allerdings
die Tatsache, dass die Softwareverwaltung Sie
warnt, wenn Sie versuchen, ein Paket zu installieren,
das nicht mit einem bekannten
Schlüssel signiert wurde (siehe Kasten Paketund
Repository-Signaturen). Der Angreifer hat
keinen Zugriff auf den privaten Schlüssel des
Repository-Anbieters und kann damit seine
veränderten Pakete nicht als offizielle Pakete
kennzeichnen.
abb. 1: Bei openoffice/ Libreoffice (hier Version 3.3.2) bestimmen sie selbst, ob es Makros
ausführen soll, und wenn ja, in welchen dateien sich die Makros befinden müssen.
Führen sie Makros nur aus, wenn sie sicher sind, dass der Code unbedenklich ist.
Makroviren
Makroviren funktionieren ähnlich wie Viren,
nur befallen sie keine Programme, sondern
Dokumente. Das klappt, solange die Bearbeitungssoftware
über Makro-Funktionen verfügt.
Es sind durchaus Viren denkbar, die sich
in OpenOffice- bzw. LibreOffice-Dateien einnisten.
Allerdings warnt OpenOffice den Be-
PakET- und REPosiToRy-signaTuREn
Um Anwender vor veränderten Paketen zu
schützen, setzen die großen Distributionen
schon seit einigen Jahren auf signierte Pakete
und zusätzlich auf ein signiertes Gesamtinhaltsverzeichnis
des Repositories. Zum Signieren
setzen sie einen privaten Schlüssel
ein, der geheim (beim Distributor) bleibt. Er ist
Teil eines Schlüsselpaars, und der zugehörige
öffentliche Schlüssel ist allgemein zugänglich;
wenn Sie eine neue Quelle einrichten, erhalten
Sie auch diesen Schlüssel.
Für jedes aus dem Repo zu installierende
Paket prüft Ihr Paketmanager nun nach dem
Herunterladen, ob die Signatur des Pakets
gültig ist; die Gesamtsicherheit des Repos
folgt daraus, dass auch die Metadaten signiert
sind und sich auf dieselbe Weise überprüfen
lassen.
Als Sicherheitslücke bleibt nun lediglich,
dass Anwender sich von einem Angreifer einen
zusätzlichen Schlüssel „unterjubeln“
lassen und damit dann künftig auch Pakete
aus dem Repository des Angreifers akzeptieren.
Beim Einbinden eines neuen Schlüssels
fragt die Paketverwaltung aber immer
noch, ob das wirklich gewünscht ist.
Unter Ubuntu (und Debian, Knoppix sowie
weiteren Debian-basierten Distributionen)
ist apt‐key das Programm, das sich um die
Schlüsselverwaltung kümmert; OpenSuse
hat diese Aufgaben in das Universalwerkzeug
zypper integriert.
Fügen Sie z. B. in Ubuntu 11.04 (Natty) das
Medibuntu-Repository hinzu, indem Sie die
Zeile
deb http://packages.medibuntu.org/ nU
atty free non‐free
in die Konfigurationsdatei /etc/ apt/ sources.list
eintragen und führen dan das Kommando
apt‐get update
aus, um die Paketliste zu aktualisieren, erhalten
Sie die Fehlermeldung
W: GPG‐Fehler: http://packages.medibU
untu.org natty InRelease: Die folgenU
nden Signaturen konnten nicht überprU
üft werden, weil ihr öffentlicher ScU
hlüssel nicht verfügbar ist: NO_PUBKU
EY 2EBC26B60C5A2783
die darauf hinweist, dass auf Ihrem System
kein öffentlicher Schlüssel installiert ist, der
die Echtheit der heruntergeladenen Metadaten
bestätigen kann. Dasselbe passiert,
wenn Sie anschließend versuchen, ein Paket
aus dieser Quelle zu installieren: Es erscheint
dann die folgende Warnung:
$ sudo apt-get install w32codecs
WARNUNG: Die folgenden Pakete könnenU
nicht authentifiziert werden!
w32codecs
Diese Pakete ohne Überprüfung instalU
lieren [j/N]?
Auf diese Weise sind Sie vor unbeabsichtigter
Installation von Software aus nicht vertrauenswürdigen
Quellen geschützt. Zypper
bietet unter OpenSuse vergleichbare Features
wie APT, was das Signieren von Paketen
und Repository-Metadaten angeht. Ausführliche
(aber nicht leicht verständliche) Informationen
bietet eine Webseite von Security-Forschern,
die sich mit diesem Thema
beschäftigt haben [1].
Das Signierverfahren, das hier zum Einsatz
kommt, ist übrigens GnuPG: Mit demselben
Tool können Sie auch E-Mails signieren (und
verschlüsseln), wenn Sie GnuPG installieren
und in Ihr Mailprogramm integrieren.
EasyLinux
03/2011
www.easylinux.de
33