:Zur Sicherheit von Betriebssystemen, der Unfug des Updatewahns, Szenarien und Anregungen:

Geht es nach den Medien, ist „neu“ immer gleich zu setzen mit „besser“. Dieses Konzept empfehle ich zwar nicht grundlegend abzulehnen, aber doch differenzierer zu betrachten.

Die Geschichte der Software zeigt uns, daß wir immer noch keine „sicheren“ Systeme haben, daher bedarf es vielleicht eines gewissen Umdenkens. Wir haben gesehen, dass Sicherheit an sich nur ein relativer Zustand ist, der einer ständigen thematischen Auseinandersetzung und des Versuchs einer realistischen Gefahrenabschätzung bedarf. Allerdings lassen sich durch gewisse Verhaltensweisen grundlegende Gefahren ausschließen. So sind z.B. Daten, die sich auf einer separaten Festplatte in der Schublade befinden, sehr gut geschützt gegen Einbruch in den Rechner über das Internet. Gegen Einbruch in die Wohnung bzw. Firma oder Feuer hilft diese Verhaltensweise dagegen gar nicht! Hängt man diesen Datenträger bei Bedarf „readonly“ an den Rechner, verhindert man hierdurch zumindest dessen (ungewollte) Manipulation. Bekannt geworden sind auch Fälle, in denen kriminelle Personen massenweise trojaner-verseuchte USB-Sticks auf Parkplätzen „verloren“ haben, da die Anzahl unbedarfter Anwender, die dem steinzeitlichen Jäger- und Sammlertrieb nicht widerstehen konnten und diesen „wertvollen Fund“ ohne Abschaltung der Autorun-Funktion[1] ihres Windows-Rechners und „Einschaltung“ ihres Kopfes in den Computer gesteckt haben, überraschend unvernüftig hoch ist. Das Ergebnis sind die inzwischen weltweit bekannten und verbreiteten Bot-Netze[2], die solange funktionieren werden, wie eben diese unbedarften Anwender nicht ihr geradezu fahrlässiges Verhalten im Umgang mit dem Rechner ändern! Von Seiten des Softwareherstellers ist ja scheinbar auch kein Umdenken zu erhoffen (da die Autorun-Funktion ja so praktisch ist ...). Genau so lange wird es Spam geben, wie Menschen ohne nachzudenken komische Email-Anhänge öffnen.
Vor einiger Zeit nahm ich an einer Schulung teil und schleppte jeden Tag konsequent mein natürlich mit Linux bestücktes Notebook mit. Beim Austausch div. Office-Dokumente fand ich anschließend zwei EXE-Dateien auf meinem USB-Stick, die nach kurzer Recherche im Internet zu einer Anleitung führten, wie man den wahrscheinlich im gesamten Rechenzentrum verbreiteten Trojaner wieder los wird ... Ich habe anschließend darum gebeten, dem Systemadministrator einen schönen Gruß von mir auszurichten. Ach ja, ab diesem Zeitpunkt wurde ich nicht mehr dafür belächelt, dass ich jeden Tag meinen Rechner mit geschleppt habe! :-)

Ich bin generell kein Freund dieses üblichen Versions- und Update-Wahnsinns. Die Wahl einer für die eigenen Bedürfnisse geeigneten Distribution mitsamt einer ordentlichen Konfiguration und Ausstattung an Sicherheitssoftware wird wohl mehr bringen als eine Standard-Installation und die automatische Aktualisierung des Systems ohne weitere Auseinandersetzung mit dem Thema. Wer 08/15 installiert, wird auch 08/15 bekommen und sich darüber wundern, dass 08/15-Angriffe funktionieren! Und: Was nützt die Installation des neuesten Systems, wenn dann beispielsweise irgendwelche Hardware-Komponenten nicht mehr erkannt werden oder funktionieren, weil z.B. der Treiber nicht mehr weiter entwickelt wird (und schlimmstenfalls ungepatchte Sicherheitslücken enthält)? Daher seien Sie vorsichtig mit solchen Experimenten und testen dies zumindest an einem separaten System bzw. auf einer separaten Platte oder einer virtuellen Maschine[3]. Und wenn Sie diese Experimente auf Ihrem einzigen System durchführen müssen/können/sollen/wollen, dann befassen Sie sich besser VORHER mit möglichen Randerscheinungen. Es gibt zahlreiche Berichte von zerschossenen Bootsektoren[4], nicht mehr gefundenen Systemen oder schlimmstenfalls verlorenen Daten! Wenn Sie das Risiko nicht abschätzen können oder sich nicht zu helfen wissen, ja dann lassen Sie besser die Finger davon – egal, was der Hochglanzprospekt oder der nette Nachbar von nebenan versprechen!

Ich weiß regelmäßig nicht ob ich lachen oder weinen soll, wenn mir Leute stolz berichten, daß sie ein System in zwei Stunden fertig einrichten können. Zu einer vollständigen Systeminstallation gehört neben einer anwenderfreundlichen Konfiguration auch eine ebenso sicherheitsfreundliche sowie die Ausstattung mit geeigneter Zusatzsoftware. Daher rechne ich persönlich für eine umfassende Installation lieber mehrere Tage ein (O.k., ich bin zugegebenermaßen Perfektionist ;-) ). Sich dabei aber blind auf irgendeinen Virenscanner („Ich habe dieses kostenlose Programm mit dem Regenschirm“) und irgendeine Firewall (vor allem für das „schlechteste Betriebssystem der Welt“) in Standardkonfiguration zu verlassen, kann auch nach hinten los gehen[5]. Da Virenscanner zur wirksamen Entfernung von Schadprogrammen administrative Rechte benötigen und gleichzeitig zumindest potentiell selber fehlerhaft sein können, ist deren Einsatz auf Produktivrechnern mit Nutzdaten eher kritisch einzuschätzen! Ich plädiere da eher entweder für den Einsatz auf einem zwischengeschalteten separaten Rechner, der ausschließlich den durchgehenden Netzverkehr analysiert und ggfs. eingreift. Oder den regelmäßigen Einsatz „von außen“ per LiveCD[6]. Idealerweise kombiniert man beide Verfahren miteinander. Aber überlegt euch besser dreimal, ob ihr auf eurem Produktivrechner eine solche möglicherweise korrumpierte „Sicherheitssoftware“ installieren wollt. Vergegenwärtigt euch, dass speziell Antivirensoftware von Schadecode-Autoren auf Angriffsvektoren abgeklopft wird, da aufgrund dessen benötigtem Vollzugriff auf's System der erreichbare Schaden sehr „attraktiv“ für solche Leute ist – vor allem, da der Verbreitungsgrad von Virenscannern gleichzeitig sehr hoch ist. Wie der Einsatz einer solchen Virenscanner-LiveCD funktionieren kann, habe ich grob in meinem Text „Wurmkur ohne Nebenwirkungen“ in „freiesMagazin 05/2011“ skizziert. Auch die Einrichtung einer Firewall[7] (idealerweise auch auf einem separaten, zwischengeschalteten Rechner), sowie Systeme zur Einbruchserkennung[8, 9] und Analyse des Netzverkehrs sind ratsam. Das erlaubt dann wenigstens eine fachgerechte Schadensanalyse im Falle des Falles. Bedenkt außerdem, dass alle diese Programme teilweise extremen Ressourcenverbrauch bedeuten, den man auch aus diesem Grund besser von seinem Produktivsystem auf separate Rechner auslagert. Der zwischengeschaltete Rechner bewirkt zudem, dass ein eventueller Einbruch dann auf diesem Rechner erfolgt (was schlimm genug ist), aber eben nicht auf eurem Produktivrechner. Der administrative Aufwand ist natürlich größer, das Schutzniveau aber auch. Es gibt sogar einige spezielle „Firewall-Distributionen“[10], die das administrative Leben bedeutend einfacher gestalten können.

Gänzlich unpopulär ist nach wie vor immer noch die konsequente Verschlüsselung interner und externer Datenträger, dabei bietet diese Verhaltensweise einige grundlegende Vorteile:

Eine mögliche Lösung gegen Passwort-Verlust durch vergessen bietet LUKS[11, 12] in Form von sog. Slots an. So könnte eine wirklich vertrauenwürdige Person eurer Wahl für jede relevante Partition ein weiteres Passwort (in „Slot 1“) festlegen, welches wiederum ihr nicht kennt, euch bei einem persönlichen Treffen aber wenigstens den Zugang zu eueren Daten ermöglicht, ohne dass ihr euer eigenes Passwort preisgeben müsst. Solltet ihr dieser Person zu einem späterem Zeitpunkt euer Vertrauen entziehen, kann ihr gesetztes Passwort nach Eingabe eures Passworts von „Slot 0“ gelöscht werden.

:Ein paar Gedanken zu „Updates“:

Ja, Aktualisierungen müssen sein, vor allem Fehlerkorrekturen! Bei einigen Programmen oder Systemen hat sich aber leider die Praxis eingestellt, dass sobald eine neue Version erschienen ist, die alte wenig bis gar nicht mehr gepflegt wird. An der Art wie Produkte beworben werden, kann man eines lernen: „Kaufen Sie unser Produkt X, da es das neueste, beste, tollste ist, was die Welt je gesehen hat!“ Ab dem Zeitpunkt, wo Produkt Y auf dem Markt ist, wird kein Wort mehr über Produkt X verloren, bzw. es kommen nur noch negative Kommentare: „Ach, lass mich mit dem alten Sch... in Ruhe!“
Gerade Jene, die produktiv arbeiten müssen, können häufig ein Lied davon singen, was es heisst, „mal eben“ das System zu aktualisieren, nur weil es neu und laut Beschreibung „besser“ ist. In mehr als 15 Jahren nahezu täglichem Linuxeinsatz habe ich viel „bessere“ Software gesehen, viel davon dank LiveCDs. Aber wenig „Besseres“ und noch wenig „Überzeugenderes“. Neue Versionen bringen eben nicht nur Fehlerkorrekturen und neue Features, sondern häufig auch neue Probleme, Inkompatibilitäten auf Hard- und Softwareebene, ungewünschte neue und nicht mehr unterstütze gewünschte Features, mehr Ressourcenverbrauch, neue Paketabhängigkeiten, mehr Verbrauch an Festplattenplatz und Speicher, sowie führen im schlimmsten Fall zu Datenverlust. Ein vorheriger Blick in den Changelog[13] sowie ganz banal auf die Versionsnummer kann sehr aufschlussreich sein. Distributionen wie Debian[14, 15] verhalten sich eher „konservativ“, d.h. sie pflegen zwar Fehlerkorrekturen ein, ändern die eingesetzte Version der Anwendung aber nur in Ausnahmefällen. Sichert vor solchen Aktualisierungen auf jeden Fall die relevanten Daten.

Ich persönlich habe da eine etwas andere Philosophie anzubieten: Wenn man sein System grundlegend abdichtet, Probleme und Risiken von Anfang an ausschaltet (z.B. JavaScript[16, 17] im Browser abschaltet), ja dann kann ein „veraltetes“ System trotzdem immer noch hinreichend „sicher“ sein.

Wenn man immer das Neuste haben will – was vollkommen legitim ist – kann man beispielsweise Debian „testing“[18, 19] installieren. Das empfiehlt sich aber nur, wenn man sich bei Problemen zu helfen weiss, falls es doch mal „kracht“. „Testing“ ist eben kein „stable“[20, 21]! Idealerweise installiert man ein solches System auf einem Zweitrechner oder zumindest in einer Virtualisierungsumgebung[3]. „Mal eben“ sein System über idiotischerweise populären Distributionen beigefügte Upgrade-Werkzeuge zu aktualisieren kann schnell mächtig nervend werden, wie die Berichte nicht mehr startbarer Systeme (beispielsweise bedingt durch fehlgeschlagene Aktualisierungen des Bootmanagers[22] Grub[23, 24] 1 auf Grub 2) bestätigen.

Ich rate bei solchen Aktionen zur Vorsicht. Ich habe zu viele kaputte Systeme, zu viele fehlerhafte Anwendungen und zu viele schlechte „alternative“ Desktopumgebungen gesehen! Selbst die triviale Aktualisierung des Browsers kann zu mancherlei Nebeneffekten führen, so dass ich auch dort eher zu konservativem Verhalten rate. Auch dort ist eine sicherheitsbewusste Konfiguration und Zusatzausstattung durch Erweiterungen wohl eher zielführend als permanent den neusten Versionen hinterher zu hecheln! Statt selten wirklich funktionierende System-Upgrades empfehle ich die Datensicherung und Neuinstallation des aktuelleren Systems.

:Wahl des Dateisystems:

Das betrifft nicht minder den Einsatz von Dateisystemen[25, 26, 27], was ein hochkritisches Element der persönlichen Rechnerausstattung ist. Nachdem „ext4“[28] jetzt seit einigen Jahren offiziell als stabil bezeichnet wird, kann man es inzwischen wohl produktiv einsetzen. Von anderen Dateisystemen lasse ich persönlich die Finger – vor allem, wenn es noch nicht einmal vernünftige Rettungs- oder Reparaturwerkzeuge gibt. Denn wer schon einmal auf Bit- und Byteebene Tage und Nächte damit zugebracht hat, seine Daten zusammen zu suchen, weiss warum. Es ist grob fahrlässig, das manche Distributionen, die für produktiven Einsatz gedacht sind, bei der Standardinstallation Partitionierungen vorschlagen mit Dateisystemen, die noch nicht einmal offiziell als „stabil“ gelten, geschweige denn, dass sie ein paar Jahre „gereift“ sind um ihre „Kinderkrankheiten“ in den Griff zu bekommen. Bei solchen Vorschlägen empfiehlt sich eine gute Rechtsabteilung, um sich vor eventuellen Schadensersatzklagen aufgrund von Datenverlusten zu schützen!

:Wahl der Desktopumgebung:

Aber auch zur Wahl des Desktops[29, 30] will ich mich noch ausk...en: Der favorisierte Desktop sollte gut ausgewählt sein, stellt er doch die Infrastruktur zur tagtäglichen Handhabung der Daten dar. Es geht dabei weniger um Optik (die kann man anpassen) als vielmehr um grundlegende Arbeitsvorgänge. Da können großlappige Startmenüs, bei denen man auf einmal 4 statt 2 Klicks zum Start eines Programms benötigt, dafür dann schöne aber dennoch wertlose Bilder gezeigt bekommt, genau so nerven wie bescheuerte Automounter, die einem zwischen funken und sich im schlimmsten Fall nicht konfigurieren lassen, oder auch nahezu wertlose Dateimanager, die entweder gar nichts oder zu viel können. Zu Sicherheitslücken in Desktopumgebungen findet man überraschend wenig Informationen, obwohl von deren Existenz aufgrund der Komplexität dieser Software doch sehr auszugehen ist.

Ich habe nahezu alles ausprobiert, was es an relevanten Desktop-Umgebungen gibt. Und wenig finde ich wirklich überzeugend. Wenn ich mir dann so einige „neuartige“ Desktop-Umgebungen ansehe und dann beispielsweise deren Dateimanager zu blöd sind, Dateigrößen in exakten Bytes anzuzeigen, damit man fast identische Dateien in der Größe vergleichen kann, ohne dafür extra ein separates Tool starten zu müssen, ist wohl mindestens so befremdlich wie fehlerhafte Dateitypzuordnungs-Werkzeuge. Wenn das Ganze dann noch gipfelt in so idiotischem Verhalten wie dem des Gnome-Projekts[31, 32], wo bei fast jeder neuen Version gerne mal elementare Features ausgebaut werden, kommt man aus dem „Facepalming“[33] nicht mehr heraus. Wenn mich gelegentlich Leute ansprechen, ob ich ihnen nicht „mal eben“ Linux installieren könne, konfrontiere ich sie daher mit einer anstrengenden Anzahl unterschiedlicher LiveCDs zum „Desktop angucken“.

Ich frage mich allerdings inzwischen, wie hoch die persönliche Schmerzresistenz oder auch Not sein kann, dass Anwender freiwillig Geld ausgeben für Systeme, die sie mit möglicherweise schadcode-verseuchter Werbung im Startmenü belästigen ...

:Softe Ware gegen harte Währung:

Wenn Aktualisierungen – wie bei einem bekannten drittklassigen „Betrübssystem“ – bedeuten, dass man sich bei jeder neuen Version des Systems erst einen neuen Rechner kaufen muss, damit der nigelnagelneue Schnickschnack-Desktop in akzeptabler Geschwindigkeit das macht, was vorher vielleicht sogar besser auf dem langsameren Rechner funktionierte, könnte der aufgeklärte Zeitgenosse vielleicht doch ins Grübeln kommen. Mit alledem im Kopf empfehle ich daher, das Thema Aktualisierung sehr differenziert und wohlüberlegt zu betrachten, sowie über Alternativen nachzudenken!

Status: stable