Sicheres System

[construct]

Moin.

Ich möchte bald mein System neu aufsetzen - werde wohl das neue Debian nehmen.

Alle wichtigen Verzeichnisse, wie /boot /usr /home /var /tmp / usw., sollen dabei eine eigene Partition bekommen, und jedes Verzeichnis/Partition mit so wenig Rechten wie möglich (oder anders herum ausgedrückt nur mit den notwendigsten Rechten) betrieben werden. Zusätzlich möchte ich alle Partitionen, die anwenderspezifische Daten enthalten, (/home, /tmp/ usw.) verschlüsseln.

Jetzt meine Fragen:

1. Wie kann ich mit möglichst geringem Aufwand feststellen, welches Programm kritische (anwenderbezogene -, datenschutzrelevante-) Daten in welches Verzeichnis schreibt - und dies gegebenenfalls in ein verschlüsseltes umleiten. (Damit meine ich nicht den selbstbestimmten Speicherort, sondern sonstige Zwischenspeicherungen usw., von denen man als normaler Benutzer nichts mitbekommt)

2. Welchen Verschlüssungsalgorithmus sollte ich nehmen? Blowfish oder AES? Blowfish ist ja deutlich schneller - aber ist es wirklich genauso sicher? Wo kann ich im Netz deutsche! Seiten mit Sicherheitsrelevanten Informationen über diese beiden Algorithmen finden?

3. Gibt es irgendwo ein How-to, in dem ich nachlesen kann, mit welchen Rechten die verschiedenen Verzeichnisse auskommen?


Vielen Dank für Eure evt. Mühe :)

Gruß

const

[BloodyBullet]

Zu 3)
Lese dir folgendes durch:
http://www.pathname.com/fhs/pub/fhs-2.3.pdf

Dann solltest du in der Lage sein zu beurteilen, welchem Verzeichnis welche Rechte zugeordnet werden müssen.

MfG

[construct]

Danke für diesen Tipp. Weiß zufällig jemand, ob und wo es dieses Dokument vielleicht auch auf deutsch gibt? Mein englisch ist nämlich leider etwas eingerostet und ich würde wohl Tage brauchen mich durch dieses Dokument "zukrampfen" *g*.

Gruß

const

[construct]

Wollte den Post nochmal nach oben schieben.

[Tomek]

Wollte den Post nochmal nach oben schieben.
Toll! :ugly:

[sirmoloch]

Toll! :ugly:

Dein Beitrag war aber auch nicht besser. :ugly: ;)
(Und meiner ist es auch nicht.)

http://refspecs.freestandards.org/lsb.shtml#LSB_2_1_0
Deutsche Dokumente habe ich bisher noch nirgendwo dazu gefunden. Dir bleibt wohl nur eine Wiederauffrischung deines Englisch. ;)

[nunja]

@ construct
Wozu braucht man sowas im eigenen Haushalt?

Auch wenn die beschriebenen Sicherheitsmaßnahmen eingebaut werden ist das Teil noch kein Tempestrechner. Und sollte der Rechner einen Zugang zum Internet haben hilft der ganze Aufwand unter Umständen nichts. Desweiteren ist anzumerken das der Aufwand für einen normalen Haushalt wohl zu groß ist da selbst die Katze die Kiste lahm legen kann und bei einem Neustart wohl die notwendigen Schlüssel in irgendeiner Form irgend jemandem zugänglich sein müßen um den Rechner wieder hoch zu bekommen.

Ich könnte noch ein Buch über sinnige oder unsinnige Dinge dazu schreiben ;)

Zum Schluß ein paar Hinweise zum Einstieg:
Ich schließe mich einmal einem meiner Vorgänger an der in etwa vonsich gab:
Wörterbuch English-Deutsch-English oder falls nicht vorhanden Deutsch-English-Deutsch.

Vor allem mußt Du erst einmal wissen wie Du die Schlüsselverwaltung erledigst.
Danach solltest Du Dir Gedanken machen wie Du, mangels eines Tempestrechners, den Rechnerraum gestaltest. Alter Trick, hilft aber nur zur Schalldämmung, Tapeten runter und im Supermarkt soviele Eierträger (50 Eier gehn da drauf) besorgen das alle Wände und Decken damit ausgekleidet werden können. Alternativ helfen auch Kupferbleche. Der Fußboden bräuchte ebenfalls eine Spezialbehandlung. Telefone, Radios und sonstige Geräte die einen elektrischen Anschluß brauchen sind aus dem Rechnerraum zu verbannen.

Anschlißend macht man sich Gedanken wie man den ein zusetzenden Linuxkern stutzt. Dabei sollte man alle Geräte die zum Starten gebraucht werden in den Kern fest einbinden. Dies gilt vorallem für Festplatten, USB mit SCSI - falls man die Schlüßel auf einem USB Massenspeicher unterbringen will - eventuell IEEE1394 samt SBP2 (Firewire Festplattenzugriff) - falls man Schlüßel auf einer IEEE1394 Festplatte oder Compact Flash Lesegerät ablegen will.

Desweiteren braucht man vor dem Übersetzen des gestutzten Linuxkern noch loop-AES in der neuesten Version (eventuell AESpipe), GnuPG 1.4.1 - mit Option für Schlüßelserver übersetzt -, die linux-utils in der zu loop-AES passenden Version.

Am Besten bindet man das mit loop-AES gelieferte loop.(k)o per Modifikation fest an den Kern an. Damit nachher nichts schief geht. Übersetzt den Kern damit und nimmt sich anschließend die linux-utils her die auch modifiziert werden müßen.

Bevor ich hier weiter mache am Besten die README Datei von loop-AES (Achtung Englisch) durch lesen. Darin stehen verschiedene Möglichkeiten beschrieben. Der Autor hat einen Orden für die verständliche Schreibe und das Programm verdient.

Hat man alles vorbereitet bringt man das Ganze wie beschrieben auf die verschlüßelten Platten. Kernelneuerung einspielen ist danach Tabu da sonst Daten eventuell futsch.

Anschließend Installation einrichten und schauen das SELinux richtig eingerichtet wird. Am besten wäre vorher ein Übungsgang mit genauem Notieren der einzelnen Schritte auf einem separatem Rechner. Bei Fehler eventuell auch als root ausgesperrt aus dem Rechner.

Nachdem alles fertig ist nicht vergessen die Festplatte des Übungsrechner und der Vorbereitungspartition des Zielrechners nach DOD Norm zu löschen da ansonsten jeder zumindest den Aufbau der Festplattenteilung nachvollziehen kann und damit der Rechner angreifbar wird.

Wie gefragt ob sich das für einen Haushalt lohnt ist die Frage. Doch es gäbe eine - der anwender ist bei einem bestimmten Dienst angestellt und erledigt zu Hause seine Büroarbeiten, was allerdings gegen die Sicherheitsvorschriften des Dienstherren verstöße.

PS: Schreibfehler - wie gehabt - (c) der Autor.

[obzidian]

Boah, dass dann immer das Tempestargument kommt. Es gibt auch Sicherheitsstufen vor "Nachrichtendienst sicher" (wobei die imho über Eierkartons an der Wand nur lächeln) und ja sowas braucht man unter Umständen im eigenen Haushalt. Und wenns nur Liebesbriefchen oder Kontodaten, die das Finanzamt nun nicht unbedingt braucht, sind. Bei professioneller Überwachung natürlich zu umgehen, aber das dürfte ja auch eher die Ausnahme sein.

[nunja]

Auch sowas
Es gibt auch Sicherheitsstufen vor "Nachrichtendienst sicher" ist nicht für den normalen Haushalt gedacht ;)

Bist Du Dir bei der Aussage
Bei professioneller Überwachung natürlich zu umgehen, aber das dürfte ja auch eher die Ausnahme sein. so sicher. Ich bekomme manchmal den Eindruck das bestimmte Leute zuviel Zugriff auf unsere Daten haben wollen weil sie uns als Erorristen ansehen anstatt mal über den eigenen Geisteszustand nachzudenken.

Aber Scherz beiseite. Natürlich steht jedem in der BRD lebenden Bürger das Recht auf Verschlüßelung zu. In Frankreich hingegen..
Die Bemerkungen (Eierkartons) waren eher dazu gedacht das Ganze etwas aufzulockern und darauf hinzuweisen das man sich gut überlegen sollte ob der Aufwand lohnt. Denn ein Teil der Eingangsfrage war 'wie kann ich mit geringem Aufwand'. Und sogar mit dem kleinsten Aufsatz gibt es eben keinen geringen Aufwand. Man muß sich schon etwas mit der Materie beschäftigen (oder beschäftigt haben) da es hier keine Betriebssysteminstallation von der Stange gibt.

Ausserdem könnte der Moderator vielleicht diese Anfrage in den Bereich Sicherheit verschieben? Damit alle was davon haben, dort wird nämlich nicht so viel geschrieben und die Nachrichten bleiben länger erhalten.

[construct]

@ Nunja

Danke für Deine Mühe.

Ich denke, was nützlich ist und was nicht, dass muss jeder für sich selbst entscheiden. Mir geht es nicht nur um ein "aufwandgerechtes Arbeiten", sondern ich möchte wissen wie es geht, damit experimentieren usw...

Wie ich einen Rechner physikalisch vor der Umwelt abriegeln kann, dass weiß ich schon. Mir geht es also um das innere.

Achja - bevor man sich an den Aussagen von anderen Leuten hochzieht, sollte man diese "richtig" gelesen und verstanden haben.

Meine erste Frage bezog sich ausschließlich auf das in der Frage gestellte Problem - somit auch der Bezug auf "den möglichst geringen Aufwand".

Das das sichere Verschlüsseln ein großer Aufwand ist - bis man diese Sache sicher beherrscht - dürfte jedem klar sein, der sich schon ein wenig dem Thema gewidmet hat.

Wo wir schon mal dabei sind - Du scheinst AES zu befürworten. Was spricht aus Deiner sicht gegen Blowfish?

Ansonten trotzdem nochmal Danke - im gegensatz zu den anderen hast Du wenigstens was konstruktives geschrieben :ugly:

Gruß

constructor

[lilapause]

Moin.
3. Gibt es irgendwo ein How-to, in dem ich nachlesen kann, mit welchen Rechten die verschiedenen Verzeichnisse auskommen?


Es gibt ein "securing Debian" Manual das ziemlich gut ist und in dem es ein Kapitel genau darüber gibt. Irgendwo gibt es davon auch eine deutsche Übersetzung die Größtenteils fertig ist -> google

[nunja]

@ construct
Blowfish habe ich nicht erwähnt weil ich es nicht mag sondern weil ich in Erinnerung habe das ein Anwender unter SuSE seine Platten damit verschlüsselt hatte und dann auf eine neuere Version umgestiegen ist. Er konnte dann auf einmal nicht mehr an die Daten heran da in der von ihm eingesetzten neueren Version das Kernmodul modifiziert wurde. Er mußte also zurück erneuern, seine Daten auf ein externes unverschlüsseltes Medium sichern und anschließend das Ganze unter der neuen Linuxversion wieder aufsetzen und einspielen.

Das loop-AES Grundpaket, zu beziehen unter http://loop-aes.sourceforge.net, hingegen ist autonom und wird übrigens ständig liebevoll gepflegt. Du solltest Dir wie ich schon vorgeschlagen habe das Archiv einmal herunterladen und die darin enthaltene README Datei lesen. Darin findest Du übrigens auch eine gute Erklärungen mit dazugehörigen Anleitungen wie man nur verschlüsselte Dateibehälter erstellt und nutzt, oder nur Teilbereiche der Festplatte verschlüsselt, das root Verzeichnis (also die gesamte Arbeitsplatte) verschlüsselt, Hinweise wie man externe Startmedien wie DVD/CD oder USB RAM Stecker einrichtet und nutzt, den Swap Bereich verschlüßelt und vieles mehr.

Mit dem oben genannten Verschlüßelungsarchiv erstellt man ein eigenes loop.(k)o Kernmodul das entweder durch Modifikation direkt ein einen selbst zu übersetzenden Kern integriert wird oder als eigenständiges Modul übersetzt wird. Dieses loop Modul ersetzt das mit dem Kern mitgelieferte und ist autonom da der Verschlüßelungsalgorythmus direkt in das loop Modul eingearbeitet ist, d.h. man benötigt das aes.(k)o Modul das im Kern enthalten ist nicht unbedingt.
Nimm einmal an Du verlegst das mit loop-aes präparierte initrd.img auf ein externes Medium (USB RAM Stecker) zu dem keiner außer Dir Zugang hat. Dein Rechner ist verschlüsselt und läuft. Jemand findet einen Weg im laufenden Bertrieb an die Rechte zu kommen die benötigt werden um das Kernmodul aes bzw. aes-i586 auszutauschen, aus welchem Grund auch immer. Würdest Du die Platte mit dm-crypt oder cryptoloop hochfahren wäre es jetzt um die Sicherheit schlecht bestellt denn die verwenden ja das ausgetauscht Modul. Die präparierte externe initrd.img hingegen nicht und sobald der Rechner hochgefahren ist müßte es eigentlich eine Meldung an den Anwender 'root' geben das Modul wurde ausgetauscht. Wie gesagt Fiktiv aber nur einmal als Beispiel.

Außerdem besteht mit loop-aes im Zusammenhang mit gnupg 1.4.1 (Option Schlüßelserver) noch weitere Maßnahmen aufzubauen die bei richtiger Handhabung die Kompromitierung des Hauptschlüssels weitergehend erschweren.

Schau einfach einmal das Archiv und die README Datei an. Ich bin sicher das Du auch mit verstaubtem Englisch und einem Wörterbuch bald Deine Experimente in der Praxis machen kannst und vielleicht auch ein paar Sachen entdeckst die nicht in den Anleitungen stehen.

Ach ja zum Schluß noch etwas. Falls Du Dich angegriffen fühltest und versuchst zu kontern solltest Du vielleicht einmal darüber nachdenken wie der Eröffnungstext Deiner Anfrage formuliert ist. Eventuell könnte man darauf kommen das hier jemand eine Anfrage gestartet hat der entweder neu in der Materie ist und sich etwas zu viel zumutet oder der vom chef eine Aufgabe bekommen hat die etwas zu hoch war obwohl die Einstellungspapiere besagen er müße es können.
Neulinge schreckt man meist mit etwas Humor/Groteske und kurzer Beschreibung über bevorstehende Schwierigkeiten ab. Wenn der Neuling sich allerdings hartnäckig wieder meldet weis man das man die Eingangserklärung nicht umsonst abgegeben hat da er wirklich Interesse hat.
Nunja, und die mit dem Chef behaupten meist sie müßen für ihren eigenen Rechner erledigen.

Ich entschuldige mich hiermit falls meine Wortwahl meiner vorherigen Antwort Dich 'verletzt' haben sollte. Das war nicht beabsichtigt.

[construct]

Verletzt hab ich mich nicht gefühlt, aber schon etwas "schroff von der Seite angefahren" ;)

Ich hätte mich vielleicht auch präziser ausdrücken solln!

Danke für Dein ausführliches Statement und die Tipps. Ich werd mir das Ganze in meinem Urlaub, der Gott sei Dank schon in 2 Wochen ist (*freu*), reinziehen.

Falls ich dann neue Fragen hab, dann melde ich mich hier einfach wieder - vielleicht kannst Du mir dann ja nochmal ein bisschen auf die Sprünge helfen.

Und Danke an lilapause für den Tipp mit dem Manual.

Schöne Tage noch

const

[lilapause]

@ construct
Das loop-AES Grundpaket, zu beziehen unter http://loop-aes.sourceforge.net, hingegen ist autonom und wird übrigens ständig liebevoll gepflegt. Du solltest Dir wie ich schon vorgeschlagen habe das Archiv einmal herunterladen und die darin enthaltene README Datei lesen. Darin findest Du übrigens auch eine gute Erklärungen mit dazugehörigen Anleitungen wie man nur verschlüsselte Dateibehälter erstellt und nutzt, oder nur Teilbereiche der Festplatte verschlüsselt, das root Verzeichnis (also die

Und wenn ich mich recht entsinne steht in dem selben Dokument auch wie man auf die SuSE verschlüsselten Partitionen zugreift. Aber auf jeden Fall in einer der Doku-Dateien des Pakets.

[pcdog]

ich den der thread wäre im sicherheitsforum mal besser aufgehoben
(kein vorwurf)

grüssle
Silvan