🚀 go-pugleaf

Hallo Matthias & andere Interessierte,

Matthias.Krippendorf@arbi.informatik.uni-oldenburg.de (Matthias.Krippendorf) writes:
>Schoen, dass Du eine der ueblichen Sicherheitsluecken in frisch installierten
>Betriebssystemen gefunden hast. Es ist leider ueblich, dass System-Accounts
>ungesichert ausgeliefert werden. 
Es ist aber nicht ok, dass Sicherheit vorgekaukelt wird durch die Trennung
von root und sysadm (sysadm kann uid < 100 nicht aendern), aber das ganze
so dilletantisch gemacht wird, dass es ueberhaupt nur Pseudo-Sicherheit
bietet. Es geht hier mehr als nur darum, dass sysadm kein PW hat. Auf einen
SCO Unix (angeblich C2-styled) sieht es nicht anders aus. 

>Es ist auch durchaus sinnvoll, auf dieses hinzuweisen. Jedoch eine detailierte 
>Beschreibung zum Einbruch in ein System zu liefern, ist ja wohl das daemlichste
>was ich unter Security-News-Gruppen gesehen habe.
Irre gut. Irre gut pauschalisiert. Gefaellt dir das Gegenteil besser ?  Siehe
dir mal das NSA an. Die kannten z.B. den Bug von sendmail, der spaeter u.A.
zum Arpa-Internet-Wurm fuehrte schon seit 1,5 Jahren und hielten es nicht
fuer notwendig ein Ton zu sagen. Braucht ja keiner Wissen, um was sich die
NSA oder Dockmaster kuemmert. Und das ist nicht ein Einzelfall sondern
gaengige Praxis. Auch hier in Deutschland.

>Stell Dir nur mal den Sysadmin vor, der aus dem Urlaub wieder kommt, Dein 
>posting liest und dann feststellt, dass der Weg tatsaechlich funktioniert. Es 
>sind dann naemlich schon einige eingebrochen. DANK SOLCHEN LEUTEN WIE DIR!!!!
Sowas kommt vor. Und wenn ein SysAdmin dadurch Daten verliert, die fuer einen
Betrieb lebenswichtig waren, dann gehoeren die Entscheidungstraeger vor die 
Luft gesetzt, die eine Infrastruktur geschaffen haben, die eine solche Ab-
haengigkeit geschaffen hat.

Im IT-Sicherheitshandbuch, welches vom BSI rausgegeben wird, sind ja 
(Oh Wunder) auch 2 Kapitel ueber Technikfolgenabschaetzung und Risiko-
folgenabschaetzung drin. Wenn diese nicht beim Relegator rausgeflogen sind,
dann koennte das mal eine echte Bereicherung fuer jene sein, die glauben
technokratisch an Sicherheitsfragen rangehen zu koennen. 

Sicherheitstechnik muss sein, aber wer sie allein als Allheilmitteil ein-
setzt, der hat schon verloren. Wenn ein Sicherungsmechanismus davon lebt,
dass bestimmte Arbeitsweisen nicht verraten werden, dann ist es ein 
Unsicherungsmechanismus per definition.

Rechner KOENNEN nicht sicher sein. Das ist unmoeglich. Du kannst nur versuchen 
die Wahrscheinlichkeit fuer ein Eindringen zu reduzieren. Die Computer sind 
von ihrem Konzept eher Maschinen zur Verarbeitung von Informationen. Von Natur 
aus, sind sie offen. Es gibt keine perfekten Programme und daher gibt es keine 
perfekten Sicherungsmassnahmen die dieser Natur entgegenwirken.

>Superuser koennen nun einmal nicht immer als erste News lesen.
Hah. Weisst du wieviel Rechner es in der Welt gibt ?   Weisst du wieviel
davon News lesen ?  Tausende von Rechner sind vermutlich heute noch 
mit uralten Sicherheitsloeckern angreifbar. Und ein "Cracks" kann allein
schon aus der Warnung recht gut vermuten, welches Sicherheitsloch wohl 
zu dieser Warnung gefuehrt hat. Aber die "echten" Hacker werden sowas 
nicht ausnutzen und keine Daten zerstoeren. Und glaubst du Wirtschafts-
kriminelle mit der Tatwaffe "Computer" auch nur paar Sekunden mit einer
zurueckhaltenden Informationspolitik aufzuhalten ???

>Beim naechsten Mal kannst Du uns News-Lesern erzaehlen, dass es eine Luecke
>gibt. Den Weg erklaerst Du bitte nur CERT oder vergleichbaren!!
Ich wuerde nicht auf CERT schwoeren. In Deutschland werden naemlich die
Informationen, die ueberhaupt ermoeglichen diese Sicherheitsluecken in ihrer
ganzen Bandbreite nachzuvollziehen nur 4 (!) Institutionen gegeben. In
Deutschland kriegen wir immer noch Informationen aus USA, weil fuer den
Bereich "Rechnersicherheit" kein deutsches CERT existiert. 

Fakt ist: Rechner mit schueztenswerten Daten gehoeren nicht vernetzt. Wer
	  das tut begeht grobe Fahrlaessigkeit. Bei Versicherungen sind
	  Risikoabschaetzungen nix neues. Falls sich jemand abhaengig von
	  einen Rechner machen will, dann soll er - verdammt nochmal - das
	  auch machen. Methoden dafuer gibt es. 

Die Methode, wie sie z.B. auch CORA (Europaeische Vereinigung gegen Viren)
anwendet hilft nicht weiter. Die sagen auch, dass sie mit niemanden zusammen-
arbeiten, der Informationen ueber Viren veroeffentlicht. Ralf Burger ist da
beliebte Zielscheibe. 

Wie mensch mit Sicherheitsloechern umgeht ist heutzutage eben noch nicht
geklaert und wer nach NSA-Methode, CERT-Methode oder Free-flow-of-Information
vorgeht, muss sich ueber die Vor- und Nachteile im klaren sein. Ulimative
Loesungen gibt es eben nicht.

Terra
-- 
-------------------------------------------------------------------------------
!   Frank Simon (Terra), Ammerlaender Heerstr. 389, D-2900 Oldenburg, FRG     !
!  terra@sol.ccc.de, terra@sol.zer, ext/simon@kmx.gmd.dbp.de, +49 441 76206   !
!	       "Gelesen, Gemerkt, Vergessen" (Joerg Lehners)                  !
-------------------------------------------------------------------------------