Posts mit dem Label Sicherheit werden angezeigt. Alle Posts anzeigen
Posts mit dem Label Sicherheit werden angezeigt. Alle Posts anzeigen

Samstag, 1. September 2012

Java-Plugin unter Linux stillegen

Heise berichtet seit Tagen über einen Fehler in Java, durch den beliebige Systeme angreifbar werden. Zumindest lässt sich mit den Benutzerrechten, mit denen eine Browsersitzung gestartet wurde, Code ausführen wenn eine Webseite aufgerufen wird, die Schadcode enthält.

Das Plugin lässt sich für alle Benutzer ganz einfach abschalten, in dem man jedem(!) Benutzer alle Rechte entzieht

user@host: ~> sudo bash
host:/home/user # cd /usr/lib64/browser-plugins
host:/usr/lib64/browser-plugins # chmod 000 javaplugin.so

Bei meiner SuSE-Installation ist dadurch letztendlich /usr/lib64/IcedTeaPlugin.so betroffen, weil die Links (s.u.) auf diese Datei verweisen. Aber dieses Plugin hat die selbe Sicherheitslücke.

Das einfache Umbenennen bringt hier nichts, Opera lädt z.B. offenbar alles, was der Ordner hergibt, also nicht nur Bibliotheken mit der Endung '.so'. Die Datei ganz zu löschen könnte einige Mühe verursachen, wenn das heute still veröffentlichte Update über das Paketmanagement der Distribution verfügbar wird...

Hinweis: Auf 32-Bit-Systemen liegt die Datei (der Link) in /usr/lib/browser-plugins

Freilich kommt auch das Löschen in Frage. Eine Alternative wäre den Link in /etc/alternatives/javaplugin zu manipulieren. z.B. auf /bin/false verweisen zu lassen:

user@host: ~> sudo bash
host:/home/user # cd /etc/alternatives/
host:/etc/alternatives/ # mv javaplugin javaplugin_aus
host:/etc/alternatives/ # ln -s /bin/false javaplugin

Zuvor muss man natürlich prüfen, ob /usr/lib(64)/browser-plugins überhaupt auf /etc/alternatives/javaplugin verweist. Sonst macht das nämlich keinen Sinn.


Der Erfolg sollte durch einen Abruf der Seite http://www.heise.de/security/dienste/Java-403125.html getestet werden.

Samstag, 4. August 2012

SSH-Authentifizierung durch Schlüsseldatei

Ich habe eine kleine Anleitung (hier als PDF) geschrieben, wie man einen SSH-Server so betreibt, dass die Authentifizierung nicht mehr mit mit Benutzer:Passwort sondern mit Public-Key und Privat-Key funktioniert.

Freitag, 13. Juli 2012

Diese dummen Banken!


Hauptaufgabe: "Entwicklung dynamischer Finanz-Webseiten"

Qualifikation: "Idealerweise haben Sie Kenntnisse mit einem weit verbreitetem Content Management System"

Klar ist folgendes: Die Anwendung eines  "weit verbreitetem Content Management Systems" verbietet sich für alles, was irgendwie sicherheitsrelevant sein könnte. Der Grund dafür findet sich in tausenden Zugriffen auf meinen Honeypot, mit denen sonst genau diese "weit verbreitetem Content Management Systeme" angegriffen werden.

Offensichtlich hat da eine Bank aber genau das vor. Und bitte: Das ist dumm.



Dienstag, 29. Mai 2012

Was sonst noch passierte

Auf einer Seminarreise begegnete ich beim Umsteigen auf dem Hauptbahnhof in Hannover folgender Werbung für Microsofts tolles Betriebssystem Windows und dessen automatischen Updates:


In Karlsruhe ist der doch auffallend trieste Bauzaun des Bundesverfassungsgerichtes laut diesem Schild eine Kooperation desselben mit dem Hochbauamt des Landes und sogar der Staatlichen Hochschule für Gestaltung. So wie der Zaun aussieht wundert mich nicht, wenn demnächst die Aussage kommt, dass demnächst auch diese Ausbildung eine private Hochschule anbietet.


Eine der Spezialitäten eines "echten Ossis" ist es, wenn man durch den Einsatz von verfügbaren oder billigen Mitteln den selben Effekt erzielt wie mit nicht verfügbaren oder teuren Mitteln. Hier der Ersatz für Lärmdämmmatten im Computer:  "Bitumenband", selbstklebend, 10 Meter kosten keine 5 Euro, verhindert so gut wie das teure "Dämmmattenset" aus dem Compufterladen das die Bleche im Takt des Lüfters mitschwingen:


Nein, es stinkt trotz des Namens nicht wie Straßenbau. Falls jemand in Kassel Interesse hat, ich habe noch "etwas" übrig. Bitte vorher anrufen, denn bei gutem Wetter bin ich gerne im Grünen. (Sinnbild: Umgebung von Saalfeld, alle Fotos habe ich selbst geknipst.)


Donnerstag, 29. Dezember 2011

Interne Festplatte auf USB-Platte spiegeln, löschen, wieder herstellen

Oft steht das Problem, dass man vor der Reparatur eines Notebooks die Daten von der Festplatte löschen will oder sogar muss. Immerhin haben diese oft mehr Wert als das Notebook selbst und wer weiß schon, was während der Reparatur noch geschieht...

Und leider bieten nicht alle Notebooks die Möglichkeit, die Festplatte(n) einfach auszubauen. Die folgende Anleitung zeigt Ihnen deshalb, wie Sie
  1. den Inhalt einer internen Festplatte komplett auf eine externe, mit USB angeschlossene Platte spiegeln,
  2. den Inhalt einer Festplatte komplett löschen, so das dieser auch nicht mit großem Aufwand wieder herstellbar ist (die Daten also "schreddern")
  3. das Backup (Image) zurück spielen
Damit kann Ihnen diese Anleitung also auch dann helfen, wenn Sie gebrauchte Platten weiterverkaufen oder verschrotten wollen oder wenn es darum geht, ein Backup für eine schnelle Wiederherstellung insbesondere Ihres Betriebssystems zu erzeugen.

Sofern das Notebook noch funktioniert , sollten Sie für die folgenden Schritte unbedingt am Stromnetz betreiben, denn der Vorgang kann - je nach Plattengröße - viele Stunden dauern.

Zunächst sollten Sie sich eine Linux-Live-CD besorgen. Die folgenden Schritte sind mit Ubuntu erprobt, gehen aber auch mit jedem anderen Linux, welches Ihnen eine Live-CD oder gar eine Datenrettungsdisk bietet .

WARNUNG: Bei nicht exakter oder nicht an Ihr System angepasster Vorgehensweise können Ihre Daten von Ihnen selbst unwiederbringlich zerstört werden: Ohne gefestigte Linux-Grundkenntnisse (und also nicht ohne ein weiteres Backup der DATEN) sollten Sie das nicht angehen.

1) Starten Sie von der Rettungs/Linux-Live-CD.

2a)
Öffnen Sie eine Konsole, geben Sie ls -l /dev/sda ein. Prüfen Sie das Ergebnis, ob die "Datei" gefunden wurde, dann ist Ihre einzige(?) Platte das Gerät '/dev/sda' und vermutlich eine SATA-Platte.

Weitere Festplatten müssten dann unter /dev/sdb, /dev/sdc zu finden sein.

Nur wenn nichts gefunden oder nicht alle Platten entdeckt wurden:

2b)
geben Sie ls -l /dev/hda ein. Prüfen Sie das Ergebnis, ob die "Datei" gefunden wurde, dann ist Deine einzige(?) Platte das Gerät '/dev/hda' und vermutlich eine IDE-Platte.

Weitere Festplatten müssten dann unter /dev/hdb, /dev/hdc zu finden sein.

3) Mounten Sie die USB-Platte (einfach anstecken, geht meist automatisch)

4) Schauen Sie nach, wo diese in /media/ gemountet wurde. Ich nehme im Folgenden an, es handelt sich um /media/Volume (das ist auch oft zutreffend)
In der Konsole: ~> ls /media

Finale:
Je nachdem welche Platte existiert und wie "Volume" bei Ihnen heisst:
~> sudo dd if=/dev/sda | gzip -9 -c > /media/Volume/sda.img.gz

Das erzeugt eine Datei mit einem komprimierten(!) Image. Wollen Sie, das das Notebook danach automatisch herunter fährt, so gegen Sie unmittelbar nach dem Befehl noch ein

&& init 0

ein,

Shotdown:

Mit einem ~> ls -l /media/Volume/sda.img.gz sollten Sie sich darüber informieren ob das Anlegen es Backups geklappt hat. Dieses sollte, außer bei ganz neuen, nur (gut komprimierbaren) Textdateien enthaltenden oder nur geringfügig gefüllten (oder bei bereits "geschredderten") Platten nicht(!) so sehr viel kleiner sein als Ihre eigentliche Festplatte.

~> sudo dd if=/dev/zero of=/dev/sda
Das überschreibt Ihre komplette Platte mit (binären) Nullen.

oder, für gehobene Ansprüche:

~> sudo dd if=/dev/random of=/dev/sda
Das überschreibt Ihre komplette Platte mit Zufallswerten

Die letztere Möglichkeit zerstört Ihre Daten so gründlich, dass diese auch nicht mit Geheimdiensten durchaus zur Verfügung stehenden und teuren, langwierigen, deshalb auch nur bei dort selten angewendeten Möglichkeiten - die dann auch nur teilweise zum Erfolg führen - wieder hergestellt werden können. Wenn Sie selbst wirklich zu viel Geld haben können Sie ja mal testen, ob Ontrack diese Daten wieder herstellen kann oder ob es auch bei einer wirklich großen Rechnung dieses auf dem Gebiete absolut anerkannten Spezialisten nur bei dem Versuch bleibt :-)

Aus diesem Grund sollten Sie überlegen, ob Sie das nicht jemanden machen lassen, der etwas davon versteht. Ein allzu amateurhaftes Vorgehen kann den Komplettverlust Ihrer Daten bewirken!

Nach der Reparatur:

1) Starte Sie von der Linux-Live-CD.
2) Öffne Sie eine Konsole
3) Mounten Sie die USB-Platte (einfach anstecken, geht meist automatisch)

Finale:
Je nachdem welche Platte existiert und wie "Volume" bei Ihnen heißt:
~> sudo cat /media/Volume/sda.img.gz | gzip -dc | dd of=/dev/sda

Wollen Sie, das das Notebook danach automatisch herunter fährt, so gegen Sie unmittelbar nach dem Befehl noch ein

&& init 0

ein.

Die entpackten Daten werden zurückgeschrieben. Danach können Sie von der Platte normal booten und alle Partitionen sind wieder da.

Hinweis: Je nach Größe der USB-Festplatte (über 2 Terabyte?) kann es sich lohnen dem Programm dd eine Blockgröße mitzuteilen:

sudo dd bs=4096 if=/dev/sda | gzip -9 -c > /media/Volume/sda.img.gz
sudo dd bs=4096 if=/dev/zero of=/dev/sda
sudo dd bs=4096 if=/dev/random of=/dev/sda

ist die Platte halbwegs modern machen Sie damit nichts falsch. Grund ist, dass moderne und große Platten eine Blockgröße von 512B nur simulieren, was natürlich Rechen- und somit Transferzeit kostet.

Sonntag, 11. September 2011

Honeypot blockt Angreifer

Vor einigen Tagen habe ich einen Honeypot fertiggstellt, der Angreifer schon bei der Vorbereitung eines Angriffs auf meine Webserver feststellt und blockiert.

Hier das Ergebnis der letzten Nacht:

(Uhrzeit, Angriffsersuch, IP-Adresse)

04:42 /admin/banner_manager.php/login.php - 174.128.240.2
04:50 /admin/categories.php/login.php?cPath=&action=new_product_preview - 174.142.75.174
04:50 /admin/categories.php/login.php?cPath=&action=new_product_preview - 75.126.154.162
04:53 /admin/categories.php/login.php?cPath=&action=new_product_preview - 85.158.181.47
04:53 /admin/categories.php/login.php?cPath=&action=new_product_preview - 189.113.5.131
04:54 /admin/categories.php/login.php?cPath=&action=new_product_preview - 74.222.6.111
04:59 /admin/categories.php/login.php?cPath=&action=new_product_preview - 85.36.63.35
05:26 /admin/categories.php/login.php?cPath=&action=new_product_preview - 88.12.17.111
06:45 /admin/banner_manager.php/login.php - 89.249.68.71
07:34 /admin/file_manager.php/login.php - 62.173.138.142

Nette Versuche! Beim nächsten Test auf eine Angriffsmöglichkeit gab es für diese Besucher eine Umleitung zu einer Webseite des BKA über die Bekämpfung von Internetkriminalität. (Etwas) Humor habe ich nämlich auch noch.

Montag, 8. Februar 2010

Benutzerrechte: Filesystem Access-Control-List (FACL) unter Linux

Immer wieder höre ich, dass Linux bei der Vergabe von Benutzerrechten Windows nachstehe.

Der Grund hierfür ist jedoch nicht, dass Linux Benutzerrechte an Dateien nicht genau so genau vergeben kann wie Windows, der Grund ist, dass zu viele nicht wissen wie das geht. Und zugegeben: es gibt derzeit für einiges hiervon keine grafische Oberfläche.

Der Mangel an , nennen wir es „klickablen“ war es dann aber auch schon, für Administratoren dürfte schon wesentlich interessanter sein, dass sich Vorlagen für Benutzerrechte in menschen- und maschinenlesbaren Textdateien speichern und also auch verarbeiten lassen. Diese Dimension bietet Windows nicht.

Da ich damit rechnen muss das diesen Artikel auch (künftige) Systemadministratoren lesen werden die bisher nur wenig mit Linux zu tun hatten beginne ich mit einem Exkurs in die „gewöhnlichen“ Rechteverwaltung unter Unix.

Benutzerrechte_Access-Control-Lists_ACL_unter_Linux.pdf

Dienstag, 22. Dezember 2009

htpasswd-Generator - Eine Lösung für kleine Webs

Unter http://www.fastix.de/htpasswd2_sourceview.php habe ich eine "kleine Lösung" für die Verwaltung von Benutzern auf Webservern abgelegt.

Einfach als Datei htpasswd.php in dem zu schützendem Verzeichnis speichern.

Danach Aufruf mit http://DeinHost/DeinVerzeichnis/htpasswd.php - Benutzer anlegen, Schutz einschalten. Das sollte auch schnell getan werden, denn sonst kann es jeder andere auch...

Ein Bild sagt mehr als tausend Worte: