Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

3.4. HOSTSICHERHEIT
Diese Schutzmaßnahmen des Dateisystems gelten jedoch nicht für den Superuser. Wenn Daten auch
vor dem Administrator oder einem Benutzer mit Root-Rechten geschützt werden sollen, ist der Einsatz
von Verschlüsselungssoftware erforderlich, z.B. CFS (Cryptographic File System) (siehe [CFS, 1997]
und Abschnitt 3.4.7).
3.4.3 Dienste
Da die meisten Angriffe gegen Rechner über Schwachstellen in den laufenden Netzwerk-Diensten
(fingerd, telnetd, ftpd, httpd, ...) geführt werden, sind grundsätzlich auf jedem Rechner nur solche
Dienste zu starten, die unbedingt zum ordnungsgemäßen Betrieb benötigt werden.
Ist es nicht möglich, auf einen bestimmten, bekanntermaßen unsicheren Dienst zu verzichten, so kann
dieser eventuell durch einen sichereren ersetzt werden, der über die gleiche Funktionalität verfügt,
aber zusätzliche Sicherheitsfunktionen beeinhaltet. Beispielsweise ist es sehr ratsam, die r-Dienste
(rlogind,rshd,...)durchdasSSH-Paketzuersetzen.AlsweiteresBeispieldientder„finger“-Daemon,
welcher in seiner Standardkonfiguration sehr viele Informationen über die Benutzer eines Rechners
liefert (Loginname, Zeit, Homeverzeichnis, ...),die einem Angreifer hilfreich sein können. Abhilfe
kann hier z.B. der „restricted finger“-Daemon liefern, bei dem die Ausgaben frei konfigurierbar sind.
Darüberhinaus sollte der „TCP-Wrapper“ ([TCP-Wrapper, 1999]) eingesetzt werden, der den Zugriff
auf die Netzwerk-Dienste nur von bestimmten Rechnern aus gestattet.
3.4.4 SetUID- / SetGID-Root-Programme
Dateien, bei denen das SetUID- bzw. das SetGID-Bit gesetzt ist, werden mit den Rechten des Eigentümers
bzw. der Gruppe ausgeführt. Dies gestaltet sich besonders problematisch, wenn bei diesen
Programmen Root als Eigentümer ausgewiesen ist. Denn in diesem Fall kann der Ausführende, beispielsweise
duch einen „Buffer Overflow“ oder andere Fehler innerhalb des Programms, ebenfalls
Root-Rechte erlangen. Ein Beispiel für solch ein Programm ist passwd:
-r-sr-xr-x 3 root sys 12345 Apr 27 1995 /bin/passwd
Programme wie passwd oder su benötigen dieses Bit. Meist gibt es allerdings in einer Standardinstallation
etliche SetUID-Programme, die entweder nicht benötigt werden oder die unnötigerweise mit
diesen Rechten ausgestattet worden sind. Daher sollten nach der Installation von neuer Software oder
Patches regelmäßig nach diesem Bit gesucht werden. Der folgende Aufruf erledigt dies, wobei es in
Abhängigkeit vom jeweiligen Betriebssystem wiederum zu Unterschieden kommen dürfte:
find / \( -perm -004000 -o -perm -002000 \) -type f -print
Die SetUID / SetGID-Bits der gefundenen Programme können anschließend mit dem chmod-Befehl
zurückgesetzt werden. Als Schutzmaßnahme vor unbekannten Dateisystemen können diese mit der
Option „nosuid“ in das Dateisystem einhängt werden, wodurch eine generelle Ignorierung der SetUID /
SetGID-Bits erreicht wird. Sollte auf bekanntermaßen unsichere SetUID-Root-Programme nicht verzichtet
werden können, so sind diese in einer „Chroot“-Umgebung auszuführen. Eine Chroot-Umgebung
ist ein Verzeichnisbaum, der alle zur Ausführung benötigten Dateien enthält und von den dort
laufenden Programmen nicht ohne größeren Aufwand verlassen werden kann. Auf diese Art und Weise
erhält ein Angreifer nach einem „Buffer-Overflow“ lediglich Zugriff auf eben diesen einzelnen
Verzeichnisbaum – und nicht auf das komplette Dateisystem.
SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen 43