Beim Lesen mehrerer Beiträge im aktuellen dot.net über CAS und zugehörige Tools des SDKs, anschließendem Meditieren über Erfahrungen mit Sicherheitseinstellungen, -bedenken und Erfahrungen kam mir ein grundsätzlicher Gedanke in den Sinn:
Was ist der Hauptunterschied zwischen Windows-basierten Systemen und der UNIX-Welt?
In der UNIX-Welt muss man sehr genau wissen, was man tut, um UNIX _unsicher_ zu konfigurieren. In der Windows-Welt ist’s leider andersrum…
“In der UNIX-Welt muss man sehr genau wissen, was man tut, um UNIX _unsicher_ zu konfigurieren. In der Windows-Welt ist’s leider andersrum…”
Veto! :)
Ich weiß nicht, wie der aktuelle Stand ist, aber ich kann mich noch gut an GNU/Linux - Distributionen (SuSE, RedHat, …) erinnern, die in der Default-Installation solch nette Dinge wie SMTP- oder WWW - Services installiert und aktiviert hatten, vielleicht noch sendmail *fröstel* als Standard-Dienst. Der andere Punkt ist: Auch Unix hat eine Sicherheitsvorgeschichte, die ganze Bücher füllen kann (nach > 30 Jahren im Einsatz auch nicht nennenswert erstaunlich…). Auf Unix wie Windows muß ich wissen, was ich wo zu tun habe, um eine sichere Umgebung zu schaffen (in beiden Fällen: Dienste deaktivieren, kritische Software meiden/ersetzen, ggfs. Firewalling davor, …). Auf beiden Systemen brauch’ ich im ernsten Umfeld jemanden, der das System kennt, so gut es irgend geht, und weiß, an welchen Schrauben er spielen muß, das System halbwegs sicher zu bekommen. Einziger wirklicher Unterschied dürfte sein, daß ich unter Windows (im Gegensatz zu Unix) als “nicht-administrativer” Nutzer (respektive als Account != [administrator|root] ) kaum sinnvoll arbeiten kann (was im täglichen Betrieb in einem potentiell feindlichen Netz aber definitiv wünschenswert wäre), und daß das (ansonsten eigentlich gar nicht so schlechte) Windows-Sicherheitskonzept (ACLs, detaillierte Vergabe von Systemrechten, …) im Gros der Situationen viel zu komplex ist, um beherrschbar zu sein…
Ach Kris, immer das Gleiche mit dir… ;) Wie oft hab ich dir eigentlich schon erzählt, dass der blog bewußt provokativ gehalten ist. Aber gut. Du willst Argumentationen? Here we go:
UNIX ist im Gegensatz zu Windows _konsistent_! Will sagen, wenn du irgendwelche Rechte nicht hast, _HAST_ du diese Rechte auch nicht! Im Gegensatz dazu kannst du bei Windows in vielen Fällen die Durchsetzung der Rechte im wahrsten Sinne des Wortes unterwandern. Das kommt daher, dass meistens nur die Dialoge, oder Teile dieser disabled sind. Soweit, so unzureichend! Da du, wenn du weißt wie, über’s FS oder die gute, alte Registry trotzdem vieles tun kannst von dem, was dir eigentlich laut Rechtevergabe nicht gestattet sein dürfte, ist das schon irgendwie nonsense.
Natürlich ist dieses Problem auch für Windows-Admins beherschbar, nur muss man dummerweise doch sehr genau wissen wie.
Und mal davon abgesehen, mit einem laufendem Indianer oder einem aktiven Postboten (außer sendmail –> kurz SM…) komm ich als admin zur Not noch klar. Mit einem oben geschlossenem und unten aber offenem System eher weniger.
Mmhhh, obwohl. *grübel* … Wenn ich’s mir recht überlege…. ;)
Zitat heise.de, zu einem (zugegeben) etwas älteren Kernel: “Das CERT Stuttgart warnt vor Sicherheitslücken in aktuellen Kernel-Versionen von Linux, durch die lokale Nutzer Root-Rechte erlangen können. Betroffen sind laut CERT alle Kernel vor den Versionen 2.2.22 und 2.4.20.”
Das vom 2.6er da noch nyx bekannt ist dürfte die existenz solcher Phänomene wohl nicht ausschließen. Haste schonmal n Win sicher gemacht? Ich meine, zumindest ab 2K ist Win da deutlich sicherer als sein Ruf.
Ja, stimmt schon. Ab und zu gibt’s auch im Linux-Kernel mal bugs, mittels derer man root Rechte erlangen kann. Aber erstens muss man dazu eben (meistens) ein Account haben, und zweitens sind diese für gewöhnlich binnen Stunden nach Bekanntwerden gefixt. Bei Microsoft sieht’s da drastisch anders aus. Mir ist schon klar, dass es da jeweils Ausnahmen auf beiden Seiten gibt (dass heißt schlechte Beispiele für Linux, gute für Windows).
Aber darum ging’s auch eigentlich nicht. Es ging ja um Konfiguration, nicht um bugs. Ich habe bis heute ein Win2K SP4 auf Arbeit gehabt, jetzt ist’s ein XP SP2. Bei dem Win2K konnte ich ohne(!) Adminrechte mittels händischer Registryänderung und unter Zuhilfenahem des Dateisystems teilweise mir Rechte organisieren, die ich eigentlich nicht hatte.
Im konkreten waren das:
* Hintergrundbild ändern;
* Bildschirmschoner mit automatischer Sperrung der Arbeitsstation nach timeout abschalten
* Schnellstartleiste freischalten
Der erste und der dritte Punkt sind natürlich unkritisch. Es ist aber nonsense, sowas verbieten zu können, wenn’s dann inkosistent ist. Beim zweiten Punkt ist das einleuchtender Weise schon etwas kritischer.
Und wie jedem bekannt sein dürfte, läßt sich auch ohne das man dazu die Rechte hat über die Registry beispielsweise ein proxy ändern. Da wird’s dann schon so langsam wirklich kritisch. Und wie sieht’s mit verbotenen zip-Downloads aus, die man aber über die “Öffnen”-Hintertür dennoch in’s System bekommt? Oder mit Ordner-Freigaben im Firmennetz um Kommunikationswege über Abteilungsgrenzen hinweg aufzubauen, die so nicht vorgesehen und nicht gewünscht sind?
Das ist das was ich meinte.
