🚀 go-pugleaf

Hallo,

Matthias.Krippendorf@arbi.informatik.uni-oldenburg.de (Matthias.Krippendorf) writes:

[...]
>Es ist auch durchaus sinnvoll, auf dieses hinzuweisen. Jedoch eine detailierte 
>Beschreibung zum Einbruch in ein System zu liefern, ist ja wohl das daemlichste,
>was ich unter Security-News-Gruppen gesehen habe.

>Stell Dir nur mal den Sysadmin vor, der aus dem Urlaub wieder kommt, Dein 
>posting liest und dann feststellt, dass der Weg tatsaechlich funktioniert. Es 
>sind dann naemlich schon einige eingebrochen. DANK SOLCHEN LEUTEN WIE DIR!!!!

Dies ist die eine und sicherlich wichtigere Seite der Medaille. Ich hatte
aber auch schon mal einen Fall, bei dem mich exakt ein solcher Bug davor
bewahrt hat, auf meinem System eine komplette Neueinrichtung eines ISC-
Systems - verbunden mit erheblichen Datenverlusten - durchfuehren zu muessen.
Dabei hatte ich als root mit "vi /etc/passwd" eine andere Shell fuer den
root-Account eingetragen, die allerdings tatsaechlich gar nicht mehr auf
der Platte vorhanden war. Unmittelbar danach hatte ich das System herunter-
gefahren und konnte mich nach dem naechsten Reboot nicht mehr als root
einloggen. Nur durch Ausnutzung einer Sicherheitsluecke gelang es mir,
wieder als Superuser in die Kiste reinzukommen.
Deswegen finde ich es _als Betreiber eines niemandem ausser mir zugaeng-
lichen Unix-Systems_ sehr praktisch, wenn man Kenntnis auch ueber das
zum Einbruch noetige Verfahren bekommt. Allgemein gesehen ist es nichts-
destotrotz unverantwortlich ... nur wie sollte man sicherstellen, dass 
nur "berechtigte" Sysadmins die entsprechenden Informationen erhalten?
Denn andererseits: Was nutzt es mir, wenn ich den Weg nur Sicherheits-
organisationen erklaere, die dann vielleicht irgendwann mal den Hersteller
des Systems informieren, der seinerseits eventuell irgendwann vielleicht
einen Bugfix dafuer erstellt? 

Gruss, Thomas.

-----------------------------------------------------------------------
Thomas Liening * Roennebergstrasse 14 * 1000 Berlin 41, Germany, Europe 
Voice: +49 30 852 59 28 * Fax: +49 30 852 59 28 (call voice prior!)
Smart: root@chshost.in-berlin.de
Bang: ...mcsun!unido!fub!einoed!bitcave!chshost!root